图片来源：Shutterstock

Elastic发布面向安全运营中心（SOC）的AI代理集群“Alert Zero”，以应对持续加剧的告警过载问题。据SiliconANGLE 8日报道，该方案集成于Elastic Security，支持告警分流、威胁狩猎和取证分析。

Elastic表示，Alert Zero的核心目标是缓解SOC团队长期面临的告警压力。随着告警数量持续超出分析师处理能力，叠加误报影响，待核查事项进一步堆积，安全团队的处置效率也随之承压。

在使用方式上，用户可按任务粒度自行设定Alert Zero的自动化范围，并根据实际需要进行调整。即便在最高自动化级别下，如遇判断不明确的情况，系统仍需人工审批。用户还可自行选择所使用的模型；如果调查过程中证据发生变化，分析师也可切换模型。

Alert Zero由4类代理组成。其中，Triage Watch负责补全进入系统的告警上下文信息，并判断是否构成真实威胁；对于被认定为噪声的告警，系统会记录原因并结束处理流程。Hunt Watch基于威胁研究结果持续开展威胁狩猎。Detection Watch会学习其余三个Watch的处理结果，针对噪声较多的检测规则提出调整建议，或就补足检测空白提出新规则建议，但未经批准不会直接修改规则。Forensic Watch则负责恶意代码分析和漏洞利用路径追踪。

Elastic安全业务负责人Mike Nichols表示，参与打造Alert Zero的成员都曾担任过SOC分析师，其目标是“让团队只接纳处于自身可监督范围内的自动化”。

目前，Alert Zero已在Elastic Cloud、自管环境以及网络隔离环境中以技术预览形式提供。

关键词

#Elastic #Alert Zero #Elastic Security #SOC #告警过载 #威胁狩猎 #取证分析 #AI代理
版权所有 © DigitalToday。未经授权禁止转载或传播。