Inteligência de fronteira combate cibercriminosos em 89 segundos

A Sophos, empresa de segurança cibernética que protege mais de 625 mil organizações em todo o mundo, está revolucionando sua capacidade de resposta a ameaças. Por meio do programa OpenAI Daybreak, a companhia conseguiu reduzir o tempo médio de investigação de incidentes de aproximadamente 38 minutos para apenas 89 segundos, uma diminuição de 96% no tempo de resposta.

John Peterson, Chief Technology Officer da Sophos, explica que a empresa acumula quatro décadas de experiência em combate a ataques cibernéticos. “Vemos uma enorme variedade de ataques diferentes”, afirma. “Cultivamos vasta experiência em combatê-los ao longo de quatro décadas no negócio de segurança cibernética”.

O centro do trabalho é o Sophos Fusion, um sistema de defesa cibernética nativo de IA que inclui o serviço de Detecção e Resposta Gerenciada (MDR). Ele reúne dados de sensores de mais de 500 integrações de terceiros junto aos produtos da própria Sophos. Juntos, esses sensores geram trilhões de eventos por dia, que a Sophos destila em aproximadamente 1 mil a 2 mil casos para que suas nove centros de operações de segurança investiguem.

Os agentes construídos por meio do programa Daybreak transformaram como esses casos são tratados. Um agente de investigação reúne o contexto do cliente, detecções, indicadores de comprometimento (IoCs) e inteligência de ameaças relevantes para cada caso. Um modelo de planejamento cria um ciclo de plano-execução-revisão: constrói um plano de investigação, executa as etapas e produz um resumo com ações de resposta recomendadas para análise dos especialistas. Outros agentes podem executar partes da resposta.

Antes do Daybreak, a investigação e resposta a um caso dependiam principalmente da experiência humana. O processo existente da Sophos media em média 38 minutos, desempenho que Peterson diz ser melhor do que 96% dos centros de operações de segurança profissionais. “Agora, devido aos agentes que construímos por meio do programa Daybreak, o tempo médio de resposta para casos que usam esses agentes caiu para cerca de 89 segundos. Cerca de metade dos casos que tratamos agora está sendo automatizada por agentes que desenvolvemos usando os modelos Daybreak”.

A Sophos implementou controle de cliente em seu serviço MDR por meio de três modos de operação: Notify, onde a Sophos investiga o caso e recomenda uma resposta, mas o cliente age; Collaborate, onde Sophos e cliente trabalham juntos antes de tomar ação; e Authorise, onde a Sophos pode responder diretamente em nome do cliente. As mesmas fronteiras se aplicam whether o trabalho é concluído por uma pessoa ou um agente. A Sophos usa automação para agir rapidamente e fazer melhor uso do tempo dos analistas, mas ações potencialmente destrutivas ainda exigem o nível certo de supervisão humana.

“Qualquer coisa com a qual não nos sentimos confortáveis em deixar um agente tratar é encaminhada para julgamento humano”, confirma Peterson. Com o Daybreak, a Sophos conseguiu resolver 52% dos casos MDR de ponta a ponta com IA, dentro de limites calibrados por analistas da empresa, enquanto escala a capacidade de computação em vez de depender de crescimento equivalente em escassez de profissionais de segurança cibernética.

Peterson afirma que a Sophos continuará expandindo o que seus agentes podem fazer. “As capacidades de resposta vão continuar se tornando mais sofisticadas e vamos expandir o alcance dos casos de uso abordados pelos agentes que construímos”. Seu conselho para outros líderes de segurança é simples: “A única coisa que líderes de segurança devem fazer amanhã é realmente voltar a focar nos fundamentos de segurança para sua organização”. Isso inclui patches, mas Peterson alerta que os patches só incluem vulnerabilidades conhecidas pelo fornecedor. A resposta é manter “uma abordagem de segurança em camadas” que inclua proteção de endpoint, autenticação multifator (MFA), segmentação de rede e operações de segurança robustas.

Com informações de: OpenAI (ChatGPT)