Elastic vừa công bố AlertZero, bộ tác nhân AI được thiết kế để giảm tải cảnh báo tại trung tâm vận hành an ninh (SOC). Theo SiliconAngle ngày 8/10 (giờ địa phương), giải pháp này được tích hợp sẵn trong Elastic Security, hỗ trợ phân loại cảnh báo, săn tìm mối đe dọa và điều tra pháp y số.

Theo Elastic, AlertZero được phát triển để xử lý bài toán ngập cảnh báo tại SOC. Trong nhiều năm, các đội ngũ SOC phải đối mặt với khối lượng cảnh báo vượt quá khả năng xử lý của nhân sự phân tích, trong khi số lượng cảnh báo giả và cảnh báo nhiễu tiếp tục làm tăng khối lượng công việc cần rà soát.

Khách hàng có thể tự điều chỉnh phạm vi tự động hóa của AlertZero theo từng tác vụ. Ngay cả ở mức tự chủ cao nhất, hệ thống vẫn yêu cầu con người phê duyệt khi kết luận chưa đủ chắc chắn. Người dùng cũng có thể lựa chọn mô hình phù hợp; trong quá trình điều tra, nếu bằng chứng thay đổi, nhà phân tích có thể chuyển sang mô hình khác.

AlertZero gồm bốn nhóm tác nhân. Trong đó, “Triage Watch” bổ sung ngữ cảnh cho các cảnh báo đầu vào để xác định liệu đó có phải là mối đe dọa thực sự hay không; với những cảnh báo được xác định là nhiễu, hệ thống sẽ ghi lại lý do và đóng cảnh báo. “Hunt Watch” liên tục theo dõi các mối đe dọa dựa trên hoạt động nghiên cứu mối đe dọa. “Detection Watch” học từ kết quả của ba nhóm còn lại để đề xuất tinh chỉnh những quy tắc phát hiện tạo ra nhiều nhiễu, đồng thời bổ sung quy tắc mới nhằm lấp các khoảng trống trong khâu phát hiện; các thay đổi chỉ được áp dụng sau khi có phê duyệt. “Forensic Watch” phụ trách phân tích mã độc và truy vết phương thức khai thác.

Mike Nichols, lãnh đạo mảng bảo mật của Elastic, cho biết đội ngũ phát triển AlertZero đều có kinh nghiệm trực tiếp làm nhà phân tích SOC. Theo ông, mục tiêu của sản phẩm là giúp các nhóm chỉ tiếp nhận mức độ tự động hóa mà họ có thể kiểm soát và giám sát.

AlertZero hiện được cung cấp dưới dạng bản xem trước kỹ thuật (technical preview) trên Elastic Cloud, các môi trường self-managed và những môi trường mạng tách biệt.