Мониторинг предотвращения агентных угроз

Обзор.

Предотвращение агентных угроз защищает от автономных, управляемых ИИ мутаций атак с машинной скоростью. Использует ИИ-агенты для выявления атак, применения и адаптации защиты до возникновения какого-либо воздействия. Это уменьшает поверхность атаки и останавливает передовые угрозы ИИ без ожидания ручного вмешательства. Для получения дополнительной информации о предотвращении агентных угроз посетите Что такое предотвращение агентных угроз?.

Страница Агентные угрозы позволяет контролировать активность на каждом этапе предотвращения. Страница обобщает подозрительные поведения, примененные контроли и уменьшенные угрозы для хоста в вашем окружении. Его виджеты помогают понять, что выявил агент, почему он ответил и какие меры были приняты.

С этой страницы вы можете:

Просматривать подозрительные поведения, которые идентифицировали ИИ-агенты, а также рассуждения и контекст каждой находки, включая сводку активности ИИ на каждом хосте.
Отслеживайте динамические контроли, которые в настоящее время применены, и те, которые были скорректированы или удалены при изменении поведения
Понимать угрозы, которые были уменьшены, и их потенциальное воздействие на ваше окружение

Понимание работы предотвращения агентных угроз

Предотвращение агентных угроз непрерывно анализирует активность в вашем окружении для выявления и остановки подозрительного поведения, используя следующий пятиступенчатый поток предотвращения:

Build an Entity Baseline: Agentic Threat Prevention’s AI agents monitor network activity over time to establish normal behavior across your network.
Detect Deviations: Agents collect real-time signals from multiple security engines, including services such as Anti-Malware, IPS, Firewall and SAM. It also analyzes long-term insights from the Cato data lake, which aggregates all security events. AI agents reasoning identifies suspicious behavioral patterns compared against the behavioral baseline to identify abnormal activity. Even actions that appear benign can be flagged if they significantly deviate from normal behavior.
Dynamic Controls: When suspicious behavior is detected, to reduce the attack surface, the agent predicts the next stage of the attack and applies customized controls to prevent it from progressing. Multiple controls can be applied for a single suspicious behavior.
Block Malicious Action: If a malicious action is taken, it is blocked in real time to prevent threats.
Adapt Dynamic Controls: Agents continuously reevaluate entity behavior and dynamically adjust or expire the applied controls as the risk level changes.

Начало работы со страницей агентных угроз

Страница Агентные угрозы позволяет контролировать активность на каждом этапе предотвращения. Она состоит из трех ключевых компонентов:

Анимация и сводная таблица: Анимация иллюстрирует каждый этап потока предотвращения и показывает количество действий и затронутых хостов на этом этапе. Нажатие на каждый этап потока предотвращения фильтрует сводную таблицу по данным, специфичным для того этапа. Таблица затем отображает обзор подозрительного поведения или действий, предпринятых предотвращением агентных угроз.
Панель деталей: Выберите сущность в Сводной таблице чтобы открыть панель деталей. Панель предоставляет дополнительную информацию о сущности, включая сводку активности, выявленной на хосте ИИ.
Диаграмма Санки: Показывает, как хосты проходят через каждый этап потока предотвращения. Диаграмма предоставляет контекст для каждого хоста, показывая предшествующее обнаружение или контроль и итоговый результат.

Сценарий использования — понимание полностью минимизированной атаки за минуты, без ручного расследования

Команда безопасности компании ABC замечает активность минимизированных угроз на странице Агентные угрозы. Аналитик использует анимацию потока предотвращения, чтобы увидеть, как было идентифицировано подозрительное поведение, применены контроли и блокирована угроза до того, как она могла развиться.

Аналитик выбирает затронутый хост для открытия панели деталей. Сводка, созданная ИИ, объясняет подозрительную активность, обоснование обнаружения, примененные контроли и уменьшенные угрозы. Хронология помогает администратору просмотреть последовательность событий и понять, как развивалась активность.

Для дальнейшего исследования аналитик использует диаграмму Санки, чтобы отследить хост через каждый этап потока предотвращения. Это предоставляет полную картину взаимосвязи между подозрительным поведением, активированными контролями и итогом. В течение минут аналитик понимает, что агент обнаружил, почему он ответил, какие меры были приняты и нейтрализирована ли угроза. Это сокращает время расследования, сохраняя при этом контекст и журнал аудита, необходимый для административного обзора.

Доступ к странице угроз агентов

Для доступа к странице Агентные угрозы, перейдите в Безопасность > Агентные угрозы.

Понимание анимации и сводной таблицы

Анимация предоставляет иллюстрацию действий, предпринятых предотвращением агентных угроз в вашей сети. Используйте анимацию, чтобы понять, где активность появляется в потоке предотвращения.

Выводы ИИ: Этот раздел показывает рассуждения ИИ-агента при мониторинге поведения на хостах в вашей сети.
Поток предотвращения: Отображает объем активности и количество затронутых хостов на каждом этапе потока предотвращения.
- Подозрительное поведение: Количество раз, когда ИИ-агенты идентифицировали подозрительную активность на основе поведения пользователей и сигналов от нескольких механизмов безопасности.
- Активированные контроллеры: Количество раз, когда применялись автоматические меры для ограничения рискованных действий на хостах, чтобы предотвратить развитие атаки. Количество хостов отражает только хостов с активными контролями.
- Минизированные угрозы: Количество случаев, когда рискованные действия были предприняты и заблокированы в реальном времени для уменьшения угроз.
Блокировка/Мониторинг: На основе вашей конфигурации, количество раз, когда действие было заблокировано или мониторировано. Для получения дополнительной информации, см. Управление предотвращением агентных угроз.

В приведенном выше примере ИИ-агент идентифицировал четыре подозрительных поведения на 15 хостах. Он активировал 24 контроля на этих хостах, из которых три всё ещё активны. Среди хостов с активными контролями, агент уменьшил три угрозы на двух хостах, в то время как один хост остается защищенным без обнаруженной угрозы.

Нажатие на каждый этап потока предотвращения фильтрует сводную таблицу по данным, специфичным для того этапа. Таблица затем отображает обзор подозрительного поведения или действий, предпринятых предотвращением угроз. Используйте сводную таблицу для просмотра затронутого поведения, контроля, угроз и хостов

Сводная таблица — Подозрительное поведение

Вкладка подозрительного поведения: Отображает поведения, которые агент посчитал подозрительными.
Хосты с подозрительным поведением: Отображает хосты, на которых было обнаружено подозрительное поведение. При нажатии на хост открывается панель.

Сводная таблица – Активированные контроли

Вкладка контроля: Отображает примененные агентом контроли, подозрительное поведение, которое контроль предотвратил, и текущий статус контроля. Нажатие на статус подозрительного поведения или контроля хоста открывает панель. В приведенном выше примере, контроль загрузки Rclone был применен для предотвращения двух подозрительных поведений на 15 хостах. Этот контроль истек на 14 из тех хостов и всё ещё активен на 1.
Вкладка хостов с активными контроли: Отображает хосты, на которые применены активные контроли. При нажатии на хост открывается панель.

Сводная таблица – Минизированные угрозы

Вкладка угроз: Перечисляет снижаемые угрозы и показывает, сколько хостов было затронуто каждой угрозой.
Хосты с минизированными угрозами: Перечисляет хосты, на которых предотвращение агентных угроз снижало одну или несколько угроз.

Понимание панели деталей

Выбор ссылки в таблице сводки открывает панель деталей с соответствующей информацией. Из таблицы Подозрительного поведения вы можете просмотреть примененные в ответе контроли. Из таблицы Активированных контролей вы можете просмотреть подозрительное поведение, которое вызвало каждый контроль.

Панель деталей в основном используется для расследования хостов. Выберите хост в таблице сводки, чтобы открыть панель, которая содержит три вкладки:

Детали хоста

Краткое резюме хоста, включая сводку, созданную ИИ. Это описание на естественном языке с богатым контекстом того, что идентифицировал агент предотвращения агента, какие контроли он применил и, когда это уместно, какие угрозы он уменьшил.

Хронология

Хронология активности на хосте.

Агентное предотвращение угроз

Показывает, как хост продвигается через каждый этап потока предотвращения. Выберите этап, чтобы обновить таблицу соответствующей информацией.

Нажатие на этап Активированные Контролы отображает контролы, которые в настоящее время применены к хосту. Наведя курсор на Статус Контроля, вы можете просмотреть дату и время истечения срока действия контроля. Активное окно зависит от типа контроля.

Понимание диаграммы Санки

Используйте диаграмму Санки для отслеживания прогресса через поток предотвращения, от подозрительного поведения через активированные контроли к окончательному результату. Связывающие пути показывают, как каждый этап относится к следующему. Выберите этап для просмотра соответствующих деталей в таблице.

Эти данные также могут быть просмотрены в форме таблицы с ссылками, которые открывают Панель деталей.