We-Watch: שילוב AI ו-Human in the Loop שמנצחים אירועי סייבר

מאת: הילל יוסף

חברת ווי-אנקור (We Ankor) מציעה לארגונים שירות 24/7 Agentic MDR הכולל יכולות הגנה מתקדמות, הרבה מעבר לחוקים והתרעות.

"בעולם בו מתקפות הסייבר הופכות מהירות, חכמות ורב-שלביות יותר – גם ההגנה חייבת להשתנות. האתגר המרכזי של כל SOC מודרני, אינו רק זיהוי אירוע – אלא ביכולתו להבחין בין רעש תפעולי לדפוס תקיפה אמיתי, ולאחריו – להחזיק בכלים שמאפשרים תגובה מהירה ויעילה לסגירת האיום. המענה המיטבי למתקפות בעידן החדש יהיה בשילוב של בינה מלאכותית (AI), לימוד מכונה (ML) ומגינים בני אנוש", כך אמר ניר אדלשטיין, ראש תחום הנדסת אבטחה ותפעול MSSP בחטיבת הגנת הסייבר של ווי-אנקור.

"בחטיבת אבטחת המידע", אמר, "בנינו מרכז תפעול תגובה מודרני, שמבוסס לא רק על טכנולוגיה מתקדמת, אלא על שילוב הדוק בין Machine Learning לזיהוי איומים, יכולות AI לתמיכה בחקירת אירועים, אוטומציה להאצת תהליכי תגובה, ואנליסטים אנושיים שמנהלים את קבלת ההחלטות". זאת, הסביר אדלשטיין, "על מנת לצמצם באופן משמעותי את זמני ה-MTTD וה-MTTR, ולספק לארגונים מעבר להתרעות – יכולת תגובה אפקטיבית בזמן אמת".

לדברי אדלשטיין, "התרעה בודדת לא אומרת דבר. היום חייבים מנגנונים שיודעים להסתכל רוחבית – על רצף הפעולות, התנהגות המשתמשים, תנועות רוחב ברשת, כדי להבין האם מדובר בפעילות לגיטימית, או בתקיפה מתוחכמת".

מרוץ מתמיד ל-MTTD ו-MTTR

לדבריו, "פעילות We-Watch נמדדת בשני מדדים מרכזיים, הזמן לזיהוי והזמן לתגובה. זה המרוץ האמיתי בעולם ה-SOC. מי שמזהה או מגיב באיטיות – יאפשר לתוקף להעמיק אחיזה בסביבה הארגונית ולהגדיל את היקף הנזק. לכן אנחנו בונים תהליכים, אוטומציות ותשתיות טכנולוגיות שמטרתן לזהות מוקדם ולהגיב מהר, בצורה מדויקת ומבוקרת".

לחטיבת אבטחת המידע של ווי-אנקור יש ניסיון מצטבר של שני עשורים: היא עוסקת בהטמעת מערכות SIEM כבר מ-2004 והרחיבה את פעילותה לעולמות ההגנה על תחנות הקצה והענן, בין היתר באמצעות שותפות אסטרטגית עם קראודסטרייק (CrowdStrike).

"המיקוד נשאר קבוע", ציין אדלשטיין. "כצוותי Blue Team אנחנו מתמחים בהגנה על ארגונים, לא רק בהטמעה טכנולוגית, אלא בבניית מעטפת הגנה תפעולית מלאה".

פלטפורמת We-Watch מספקת אבטחה כשירות וניהול מערכי SOC עבור מאות ארגונים, באופן רציף וסביב השעון.

"שירות We-Watch", סיפר, "קם ב-2017, על בסיס הידע המצטבר של ווי-אנקור. התחלנו ממערכת SIEM עם חוקה עשירה שנבנתה לאורך שנים, שילבנו תשתיות Big Data ומודלים ראשוניים של Machine Learning כדי לצמצם פערי ניטור. זו הייתה התחלה טובה, אך לא מספקת. עברנו מגישת ניטור פסיבית ל-SOC אקטיבי. SOC, שמטפל באירועים ומגיב בזמן אמת, המספק הגנה מעשית (ולא רק התרעות). שילבנו יכולות MDR ו-EDR ומגוון יכולות וטכנולוגיות נוספות והפכנו את התגובה לחלק בלתי נפרד מהשירות".

אוטומציה ו-AI – בלי קופסה שחורה

"אחד האתגרים המרכזיים הוא שילוב טכנולוגיות מתקדמות בלי לאבד שליטה תפעולית", ציין אדלשטיין. "אנחנו לא מאמינים ב-Black Box. בניהול אבטחה עבור מאות ארגונים חייבים לדעת בדיוק איך המנועים עובדים, איך מתקבלות החלטות, והיכן נמצאים גבולות האחריות של המערכת והאנליסט".

"פלטפורמת We-Watch משלבת בינה מלאכותית, אוטומציות שמאיצות חקירה, העשרת מידע ומיטיגציה", הדגיש, "אך תמיד תחת בקרה אנושית ותהליכי אישור מוגדרים. המטרה הינה זיהוי מהיר של אירוע אבטחה ומניעה שלו. מנועי ה-AI מאפשרים להעצים את יכולות האנליסטים. כדי למצות את היכולות של LLM – טכנולוגיה מרשימה עם מגבלות – אנחנו משתמשים ב-AI לתמיכה בחקירה, קורלציה, בניית הקשר וסיוע בקבלת החלטות. ותמיד תוך שמירה על Human-in-the-loop בכל שלב קריטי".

החזון: SIEM ללא חוקים קשיחים

"במבט קדימה", העריך אדלשטיין, "מערכות SIEM לא יתבססו על חוקה סטטית. החלק המבצעי של זיהוי תוקפים יעבור למנועי AI, בעוד שהחוקים הקשיחים יישארו לצורכי הלימה לרגולציה. גם סביבת ה-SOC משתנה: סוכני AI יעבדו לצד אנליסטים (אצלנו התהליך כבר קיים בהיבטי זיהוי האירוע והחקירות), ויחד הם יאיצו חקירה, יגיבו ויאפשרו לצוות האנושי להתמקד בהחלטות הקריטיות. לאחר עבודה מאומצת ורבה – העתיד הזה כבר התממש אצלנו כבר כיום".

לדבריו, "בניית SOC עבור MSSP מחייבת שילוב של צוותים מגוונים: מהנדסי Professional Services, מומחי אוטומציה, עם צוותי AI ואנליטיקה. יש לנו יתרון ייחודי: כל הצוותים האלה כבר בתוך הבית, עובדים זה לצד זה, ומשתפים ידע בין פעילות השירות המנוהל לפעילות החטיבה. זה ממנצח עם עומק מקצועי חד פעמי".

"אנחנו לא SOC של חוקים סטטיים ואנליסטים ש'חופרים' בהתרעות", סיכם אדלשטיין. "We-Watch היא פלטפורמה חיה: ML שמזהה אירועים, AI שתומך בחקירה, אוטומציה שמאיצה תגובה ומעליהם אנליסטים מקצועיים שמובילים את התהליך ומנהלים את ההגנה מול הלקוחות.

רק שילוב חכם של טכנולוגיה מתקדמת ואנשים מנוסים יאפשר לארגונים להתמודד עם נוף האיומים המשתנה ולהישאר צעד אחד לפני התוקפים".