Рынок инструментов для центров мониторинга безопасности переживает странный момент: SIEM-вендоры, SOAR-платформы и специализированные AI SOC-компании используют почти одинаковые формулировки в презентациях. «Искусственный интеллект», «автоматизация», «снижение нагрузки на аналитиков» — эти фразы звучат везде. А вот продукты за ними стоят совершенно разные. На одном конце спектра — чат-ассистент, прикрученный к устаревшему SIEM и умеющий пересказать содержимое алерта человеческим языком. На другом — агентная платформа, которая самостоятельно ведёт детектирование, триаж, расследование и реагирование, опираясь на собственный фундамент данных. Разница между этими двумя мирами проявляется не в маркетинговых материалах, а во время пилотного внедрения, когда продукт сталкивается с реальным трафиком и реальными атаками.
Есть пять параметров, по которым имеет смысл сравнивать такие системы: время расследования инцидента, объём ложных срабатываний, количество часов, которые платформа реально возвращает аналитикам, совокупная стоимость эксплуатации SOC и архитектурная устойчивость — выдержит ли решение рост объёма, скорости и сложности атак через два-три года. Последний пункт часто игнорируют на этапе выбора, а зря: закупка защитного инструмента редко ограничивается одним годом использования.
Что вообще считать AI SOC-платформой? Рабочее определение звучит так: это платформа, в которой AI-агенты выполняют основную работу центра мониторинга — детектирование, триаж, расследование, реагирование, — рассуждая над коррелированными данными безопасности под присмотром человека. Ключевое слово здесь «agentic»: агенты не просто ассистируют человеку, они делают работу сами. Противоположность этому — «bolt-on AI», надстройка, которая умеет резюмировать алерты внутри существующего SIEM, пока вся фактическая работа по-прежнему выполняется вручную. Проверить, к какому типу относится конкретный продукт, можно только на пилоте, а не по буклету с описанием возможностей.
Предсказуемость поведения агента — это свойство данных, а не модели. Такая формулировка расставляет акценты иначе, чем принято в отрасли: обычно спорят про качество модели, забывая, что модель без правильного контекста строит догадки, а не выводы. Агент, который просто суммирует алерт, может обойтись содержимым самого алерта. Но агент, которому доверяют закрывать алерты или запускать действия по реагированию, нуждается в гораздо большем: контекст сущности (идентичность, ресурс, устройство), история отклонений конфигурации от нормы, базовая линия «обычного» поведения для этой сущности и ещё десяток факторов, которые редко попадают в сам алерт.
Платформы, построенные с расчётом на доверие, поддерживают граф знаний в реальном времени — непрерывно обновляемую карту идентичностей, ресурсов, конфигураций и поведенческих базовых линий вместе со связями между ними, собранную ещё до того, как сработал первый алерт. В сочетании с многоуровневой архитектурой моделей это даёт согласованные, подкреплённые доказательствами вердикты. Bolt-on AI работает в обратном направлении: он запрашивает сырые логи уже после того, как алерт приземлился в очередь. Именно поэтому выводы таких надстроек часто не выдерживают проверки при более внимательном разборе — данных для полноценного вывода собрать постфактум просто не успевают.
Проверить эти заявления перед покупкой можно несколькими способами. Стоит спросить у вендора, коррелируются ли данные об идентичности, конфигурации, ресурсах и базовых линиях непрерывно (подход графа знаний) или собираются из сырых логов в момент запроса. Скорость ответа сама по себе ничего не доказывает — быстрые поисковые движки тоже отвечают за секунды. Более честный тест: выбрать случайную идентичность и проверить, знает ли система её права доступа (админ или нет), историю отклонений конфигурации и поведенческую базовую линию — обычную геолокацию, IP, ASN, user agent. Подделать это в момент запроса невозможно.
Второй тест касается полного жизненного цикла: попросить вендора провести один инцидент от начала до конца — детектирование, триаж, расследование, действие по реагированию — и посмотреть, переносится ли контекст между этапами или собирается заново на каждом шаге. Многие платформы автоматизируют только триаж первого уровня и на этом останавливаются: очередь алертов разгружается, а сам SOC быстрее работать не начинает. Третий критерий — аудируемость вердикта: полная цепочка доказательств, каждая строка лога, каждая корреляция и вывод должны быть доступны для проверки, а аналитик должен суметь воспроизвести находку на тех же данных. Вердикт, который нельзя проверить, — это просто мнение.
Четвёртый пункт — покрытие детектирования за пределами SIEM. Реальные инциденты пересекают облако, SaaS, идентификационные системы и код, а значительная часть телеметрии никогда не попадает в SIEM просто потому, что её приём стоит слишком дорого. Полезно составить список «тёмных» источников — например, объёмные облачные аудит-логи, GitHub, Google Workspace — и попросить вендора продемонстрировать срабатывание детектора и расследование именно на этих данных. Пятый критерий — поэтапная автономность с человеческим контролем: тревожный сигнал, если платформа предлагает полную автономию с первого дня, и такой же тревожный сигнал, если она никогда не получает больше, чем доступ на чтение. Стоит выяснить, как именно устроено накопление доверия, какие действия начинаются как рекомендации, какая доказательная база разблокирует автоматическое выполнение и где по-прежнему требуется подпись человека — пороги должны настраиваться отдельно под каждый тип действия. Шестой пункт — измеримые результаты: метрики уровня ложных срабатываний и среднего времени расследования и реагирования нужно зафиксировать до начала пилота, сравнить с текущей базовой линией и спросить у существующих клиентов вендора, что изменилось у них в первый же квартал.
Одним из примеров агентной платформы, построенной вокруг этих принципов, служит Exaforce. Продукт состоит из четырёх компонентов, названных «Exabot», каждый из которых закрывает свой этап цикла работы SOC: Exabot Detect выступает в роли инженера по детектированию, Exabot Triage доводит каждый алерт до вердикта с глубиной проработки уровня Tier-3, Exabot Investigate снижает порог входа для проведения threat hunting любым сотрудником, а Exabot Respond координирует действия по цепочке киллчейна, оставляя за человеком согласование любых необратимых шагов. Все четыре компонента опираются на единую платформу данных в реальном времени, которая принимает и обогащает логи и конфигурации из облака, SaaS-сервисов, систем идентификации, конечных точек и кода. Аналитики могут запрашивать всё это на обычном языке через Exabot, а сама платформа способна заменить SIEM — без парсеров, поддержки пайплайнов и необходимости нанимать отдельных специалистов по конкретному SIEM-продукту.
Практические результаты компания подтверждает клиентскими кейсами. Guardant Health сделала Exaforce своей основной SIEM и MDR-системой; Майк Шеннон, директор по инженерии безопасности этой компании, формулирует эффект так: «Я больше не пишу запросы. Я просто спрашиваю у Exabot». Компания Invisible сократила время расследования на 95% — процессы, занимавшие часы или дни, теперь укладываются в минуты. Forcepoint заменила MSSP-провайдера, который «требовал постоянного присмотра», на MDR-услугу Exaforce и вышла на среднее время реагирования (MTTR) в 14 минут по инцидентам категории P0. При этом клиент сам выбирает модель эксплуатации: платформу может обслуживать собственная команда безопасности, либо этим займётся Exaforce через MDR-предложение — архитектура и сами Exabot остаются идентичными в обоих случаях, меняется только оператор.
Ни одна платформа, включая Exaforce, не решила проблему современного SOC целиком — это признают и сами разработчики подобных систем. Борьба идёт по формуле «ИИ против ИИ», и решающим фактором в ней окажутся не самые передовые модели сами по себе, а данные, над которыми эти модели рассуждают. Агенты, опирающиеся на данные в реальном времени, коррелированные с идентичностью, активами, устройствами, затронутыми ресурсами и базовыми линиями поведения, выдают вердикты, которые можно предсказать, воспроизвести и проверить — а именно это в конечном счёте формирует доверие к автоматизированной работе SOC.
Есть пять параметров, по которым имеет смысл сравнивать такие системы: время расследования инцидента, объём ложных срабатываний, количество часов, которые платформа реально возвращает аналитикам, совокупная стоимость эксплуатации SOC и архитектурная устойчивость — выдержит ли решение рост объёма, скорости и сложности атак через два-три года. Последний пункт часто игнорируют на этапе выбора, а зря: закупка защитного инструмента редко ограничивается одним годом использования.
Что вообще считать AI SOC-платформой? Рабочее определение звучит так: это платформа, в которой AI-агенты выполняют основную работу центра мониторинга — детектирование, триаж, расследование, реагирование, — рассуждая над коррелированными данными безопасности под присмотром человека. Ключевое слово здесь «agentic»: агенты не просто ассистируют человеку, они делают работу сами. Противоположность этому — «bolt-on AI», надстройка, которая умеет резюмировать алерты внутри существующего SIEM, пока вся фактическая работа по-прежнему выполняется вручную. Проверить, к какому типу относится конкретный продукт, можно только на пилоте, а не по буклету с описанием возможностей.
Предсказуемость поведения агента — это свойство данных, а не модели. Такая формулировка расставляет акценты иначе, чем принято в отрасли: обычно спорят про качество модели, забывая, что модель без правильного контекста строит догадки, а не выводы. Агент, который просто суммирует алерт, может обойтись содержимым самого алерта. Но агент, которому доверяют закрывать алерты или запускать действия по реагированию, нуждается в гораздо большем: контекст сущности (идентичность, ресурс, устройство), история отклонений конфигурации от нормы, базовая линия «обычного» поведения для этой сущности и ещё десяток факторов, которые редко попадают в сам алерт.
Платформы, построенные с расчётом на доверие, поддерживают граф знаний в реальном времени — непрерывно обновляемую карту идентичностей, ресурсов, конфигураций и поведенческих базовых линий вместе со связями между ними, собранную ещё до того, как сработал первый алерт. В сочетании с многоуровневой архитектурой моделей это даёт согласованные, подкреплённые доказательствами вердикты. Bolt-on AI работает в обратном направлении: он запрашивает сырые логи уже после того, как алерт приземлился в очередь. Именно поэтому выводы таких надстроек часто не выдерживают проверки при более внимательном разборе — данных для полноценного вывода собрать постфактум просто не успевают.
Проверить эти заявления перед покупкой можно несколькими способами. Стоит спросить у вендора, коррелируются ли данные об идентичности, конфигурации, ресурсах и базовых линиях непрерывно (подход графа знаний) или собираются из сырых логов в момент запроса. Скорость ответа сама по себе ничего не доказывает — быстрые поисковые движки тоже отвечают за секунды. Более честный тест: выбрать случайную идентичность и проверить, знает ли система её права доступа (админ или нет), историю отклонений конфигурации и поведенческую базовую линию — обычную геолокацию, IP, ASN, user agent. Подделать это в момент запроса невозможно.
Второй тест касается полного жизненного цикла: попросить вендора провести один инцидент от начала до конца — детектирование, триаж, расследование, действие по реагированию — и посмотреть, переносится ли контекст между этапами или собирается заново на каждом шаге. Многие платформы автоматизируют только триаж первого уровня и на этом останавливаются: очередь алертов разгружается, а сам SOC быстрее работать не начинает. Третий критерий — аудируемость вердикта: полная цепочка доказательств, каждая строка лога, каждая корреляция и вывод должны быть доступны для проверки, а аналитик должен суметь воспроизвести находку на тех же данных. Вердикт, который нельзя проверить, — это просто мнение.
Четвёртый пункт — покрытие детектирования за пределами SIEM. Реальные инциденты пересекают облако, SaaS, идентификационные системы и код, а значительная часть телеметрии никогда не попадает в SIEM просто потому, что её приём стоит слишком дорого. Полезно составить список «тёмных» источников — например, объёмные облачные аудит-логи, GitHub, Google Workspace — и попросить вендора продемонстрировать срабатывание детектора и расследование именно на этих данных. Пятый критерий — поэтапная автономность с человеческим контролем: тревожный сигнал, если платформа предлагает полную автономию с первого дня, и такой же тревожный сигнал, если она никогда не получает больше, чем доступ на чтение. Стоит выяснить, как именно устроено накопление доверия, какие действия начинаются как рекомендации, какая доказательная база разблокирует автоматическое выполнение и где по-прежнему требуется подпись человека — пороги должны настраиваться отдельно под каждый тип действия. Шестой пункт — измеримые результаты: метрики уровня ложных срабатываний и среднего времени расследования и реагирования нужно зафиксировать до начала пилота, сравнить с текущей базовой линией и спросить у существующих клиентов вендора, что изменилось у них в первый же квартал.
Одним из примеров агентной платформы, построенной вокруг этих принципов, служит Exaforce. Продукт состоит из четырёх компонентов, названных «Exabot», каждый из которых закрывает свой этап цикла работы SOC: Exabot Detect выступает в роли инженера по детектированию, Exabot Triage доводит каждый алерт до вердикта с глубиной проработки уровня Tier-3, Exabot Investigate снижает порог входа для проведения threat hunting любым сотрудником, а Exabot Respond координирует действия по цепочке киллчейна, оставляя за человеком согласование любых необратимых шагов. Все четыре компонента опираются на единую платформу данных в реальном времени, которая принимает и обогащает логи и конфигурации из облака, SaaS-сервисов, систем идентификации, конечных точек и кода. Аналитики могут запрашивать всё это на обычном языке через Exabot, а сама платформа способна заменить SIEM — без парсеров, поддержки пайплайнов и необходимости нанимать отдельных специалистов по конкретному SIEM-продукту.
Практические результаты компания подтверждает клиентскими кейсами. Guardant Health сделала Exaforce своей основной SIEM и MDR-системой; Майк Шеннон, директор по инженерии безопасности этой компании, формулирует эффект так: «Я больше не пишу запросы. Я просто спрашиваю у Exabot». Компания Invisible сократила время расследования на 95% — процессы, занимавшие часы или дни, теперь укладываются в минуты. Forcepoint заменила MSSP-провайдера, который «требовал постоянного присмотра», на MDR-услугу Exaforce и вышла на среднее время реагирования (MTTR) в 14 минут по инцидентам категории P0. При этом клиент сам выбирает модель эксплуатации: платформу может обслуживать собственная команда безопасности, либо этим займётся Exaforce через MDR-предложение — архитектура и сами Exabot остаются идентичными в обоих случаях, меняется только оператор.
Ни одна платформа, включая Exaforce, не решила проблему современного SOC целиком — это признают и сами разработчики подобных систем. Борьба идёт по формуле «ИИ против ИИ», и решающим фактором в ней окажутся не самые передовые модели сами по себе, а данные, над которыми эти модели рассуждают. Агенты, опирающиеся на данные в реальном времени, коррелированные с идентичностью, активами, устройствами, затронутыми ресурсами и базовыми линиями поведения, выдают вердикты, которые можно предсказать, воспроизвести и проверить — а именно это в конечном счёте формирует доверие к автоматизированной работе SOC.
