ИИ-ассистент в MaxPatrol SIEM разбирает алерты за секунды, пока 2/3 из них остаются без расследования

Positive Technologies запустила PT Naira, ИИ-ассистента внутри MaxPatrol SIEM, который за секунды объясняет аналитику, что стоит за каждым срабатыванием, пока две трети алертов в крупных SOC остаются нерасследованными из-за нехватки времени.

SOC (Security Operations Center, центр мониторинга безопасности) крупной организации фиксирует более 10 000 срабатываний корреляционных правил в день. По данным самой Positive Technologies, нерасследованными остаются почти две трети из них, причём большинство относятся к невысоким уровням значимости. Именно в этом зазоре прячутся злоумышленники, маскируясь «под фон». Модуль поведенческого анализа MaxPatrol BAD уже умел выявлять аномалии, но между сигналом системы и пониманием аналитика оставался разрыв: разобраться в событии по-прежнему нужно было вручную. PT Naira закрывает именно этот промежуток.

Что умеет PT Naira?

• Деобфускация скриптов за секунды. Обфусцированный код (код, намеренно запутанный, чтобы скрыть его назначение) ассистент разбирает и объясняет человеческим языком. В примере из тестирования hex-кодирование и base64 скрывали попытку обратиться к процессу LSASS через PowerShell, то есть красть учётные данные. Вручную аналитик тратит на каждый такой скрипт минуты, за смену они складываются в часы.

• Анализ контекста «безобидных» процессов. Стандартная утилита Windows, запущенная из временной директории через двойную вложенность оболочек, сама по себе не вызывает подозрений. PT Naira смотрит на путь запуска и цепочку родительских процессов и распознаёт технику Living off the Land (использование штатных инструментов системы для атаки, чтобы обойти защиту).

• Объяснение незнакомых корреляций. Если аналитик видит сработку с незнакомым названием, ассистент описывает технику, действия атакующего, вероятный следующий шаг и подсказывает, как отличить реальную атаку от ложного срабатывания (галлюцинация здесь, когда ИИ уверенно выдумывает то, чего не было, минимизирована за счёт дообучения на реальной активности).

• Интерфейс без перестройки привычек. Карточка события в MaxPatrol SIEM выглядит как раньше, но теперь в ней есть меню ассистента: готовые команды («объяснить событие», «описать процесс») и свободный чат.

Почему данные не уходят на сторону?

Positive Technologies сознательно отказалась от подключения сторонних LLM (Large Language Model, большая языковая модель). MaxPatrol SIEM работает на площадке клиента (on-prem), а PT Naira развёрнута в защищённом облаке Positive Technologies на собственном оборудовании компании. Обмен данными идёт по контролируемому каналу.

Компания регулярно тестирует актуальные модели с открытыми весами (open weights) на своих задачах: разбор процессов, выполняемых команд, корреляций. Лучшую модель дообучают (fine-tuning, обучение модели на примерах под узкую задачу) на экспертизе Positive Technologies: как выглядит легитимная и вредоносная активность, какова специфика MaxPatrol SIEM.

Для SOC-аналитика в России это принципиально: данные инфраструктуры, учётные записи, сетевая активность, инциденты, не покидают контур отечественного вендора. MaxPatrol SIEM имеет сертификат ФСТЭК, и сохранение данных внутри периметра Positive Technologies согласуется с требованиями регулятора.

Как попробовать?

1. Убедитесь, что у вас развёрнут MaxPatrol SIEM актуальной версии с модулем MaxPatrol BAD.
2. Обратитесь в Positive Technologies или к вашему интегратору для подключения модуля PT Naira. Компания не раскрыла, доступен ли ассистент всем текущим клиентам автоматически или требуется отдельная активация.
3. После подключения откройте карточку любого события и используйте меню ассистента: выберите готовую команду или задайте вопрос в свободном чате.

PT Naira и сторонние ИИ-помощники: в чём разница для российского рынка?

Ряд зарубежных SIEM-систем (например, Microsoft Sentinel с Copilot for Security) используют облачные LLM крупных вендоров. Для российских организаций это, как правило, неприемлемо: данные инфраструктуры уходят за рубеж, а сам продукт недоступен или ограничен из-за санкций.

PT Naira работает на инфраструктуре Positive Technologies в российских дата-центрах. Аналогов среди отечественных SIEM с встроенным ИИ-ассистентом, который дообучен именно на данных о вредоносной и легитимной активности, компания-разработчик на момент публикации не называет. YandexGPT и GigaChat решают другие задачи: это универсальные языковые модели, не заточенные под анализ событий безопасности в SIEM.

Частые вопросы

PT Naira отправляет данные моей инфраструктуры в интернет?

Нет. MaxPatrol SIEM стоит на вашей площадке, а ИИ-ассистент развёрнут в защищённом облаке Positive Technologies на собственном оборудовании компании. Обмен идёт по контролируемому каналу, данные не передаются третьим сторонам.

Нужно ли переучиваться, чтобы пользоваться ассистентом?

Интерфейс MaxPatrol SIEM не меняется. В карточке события появляется меню с готовыми командами и свободный чат. Аналитик работает в привычной среде и вызывает ассистента по необходимости.

Какая модель лежит в основе PT Naira?

Positive Technologies сообщает, что регулярно тестирует актуальные модели с открытыми весами и выбирает лучшую для задач анализа безопасности. Конкретное название модели компания не раскрыла. Выбранную модель дообучают на собственной экспертизе о легитимной и вредоносной активности.