Charlotte AI: Hva bør dere automatisere i sikkerhetsovervåkingen?
AI kan hjelpe med å undersøke sikkerhetsvarsler. Nytten må vurderes ut fra beslutningene og responsen i deres egen drift.
Forsidebildet er en AI-generert redaksjonell illustrasjon. Skjermer og dokumenter er illustrerte konsepter.
Det første spørsmålet om AI i en sikkerhetsoperasjon er hvilket arbeid den tar over. Å samle opplysninger til et varsel er et godt sted å begynne. Å avgjøre om en kritisk tjeneste skal stanses, krever en grundigere vurdering.
CrowdStrike beskriver Charlotte AI som støtte for å samle sikkerhetsinformasjon, koordinere undersøkelser og gjennomføre respons med avtalte kontrollmekanismer. Det er funksjoner det er verdt å prøve. Beskrivelsen sier ikke hvor mye tid dere vil spare, eller hvilke hendelser som kan håndteres uten at noen griper inn.
Begynn med undersøkelsen
Velg en type varsel analytikerne kjenner godt. Undersøk om AI-en finner riktig bruker og maskin, samler relevant aktivitet og viser hva konklusjonen bygger på. Ta med et tvilstilfelle, ikke bare et åpenbart angrep.
Det er lettere å vurdere en undersøkelse når analytikeren kan følge dokumentasjonen. En skråsikker oppsummering uten et slikt spor gir dere enda en påstand å kontrollere.
Avtal grensene for respons
Bestem hvilke handlinger som kan kjøres automatisk, og hvilke som trenger godkjenning. Grensene kan være forskjellige for en ansatts bærbare PC og en produksjonsserver. Dokumenter unntak og sørg for at feilhandlinger kan undersøkes.
Kjøper dere en administrert tjeneste, bør dere spørre hvem som tar ansvar når automatikken er usikker. Programvare som kjører hele døgnet, er ikke det samme som en bemannet responstjeneste. Avtalen bør si hvem som undersøker, hvem som kan begrense et angrep, og hvem som kontakter dere.
Vi ville vurdert en agentisk SOC ut fra disse beslutningene og resultatene. Raskere sortering av varsler er nyttig når den fører til god respons, færre oversette hendelser og mindre unødvendig driftsstans.
