Năng lực ApexAI Drawbridge
Năng lực · Khắc phục
Phản ứng chờ cái gật đầu của bạn.
Phản ứng tự động chỉ hữu ích khi bạn tin được nó. ApexAI Drawbridge chuẩn bị mỗi bước ngăn chặn hay khắc phục dưới dạng đề xuất: làm gì, vì sao, sẽ thay đổi gì và hoàn tác ra sao. Đội của bạn phê duyệt, và mọi quyết định đều được lưu lại.
Trạng thái: Đang phát triển Đề xuất phản ứng có bằng chứng và đường lui đã có ở bản preview; phần thực thi hành động đã duyệt trên công cụ của bạn đang được xây và tắt cho tới khi bạn bật; phản ứng trên gateway nằm trong lộ trình.
Vì sao đề xuất trước
Cô lập nhầm máy chủ hay khoá nhầm tài khoản có thể gây thiệt hại lớn hơn chính cuộc tấn công cần ngăn. Rất nhiều thứ trông đáng ngờ trong alert hoá ra là công việc hợp lệ: backup, cập nhật phần mềm, quản trị viên đang làm việc của mình. Một hệ thống phản ứng hành động theo một alert đơn lẻ sớm muộn sẽ hành động nhầm vào một trong số đó.
ApexAI Drawbridge được xây theo hướng ngược lại. Nó chỉ hành động trên một câu chuyện đã xác nhận, không trên một tín hiệu đơn, và luôn bắt đầu bằng một đề xuất. Đề xuất mang theo bằng chứng, thay đổi cụ thể sẽ thực hiện, tác động dự kiến và cách hoàn tác. Một người đọc và quyết định. Chỉ hành động bạn đã duyệt mới được thực hiện, và kết quả được kiểm tra rồi ghi lại.
Một đề xuất Drawbridge gồm những gì
Bằng chứng
Case, thực thể và các dữ kiện cho thấy cần hành động lúc này, kèm nguồn.
Thay đổi cụ thể
Hành động nào, trên công cụ nào, nhắm vào host, tài khoản, địa chỉ hay IOC nào, nêu chính xác.
Tác động dự kiến
Cái gì sẽ dừng, cái gì vẫn chạy bình thường, và nghiệp vụ có thể nhận thấy điều gì.
Đường lui
Hành động được hoàn tác ra sao, và với hành động có thời hạn, khi nào nó tự hết hiệu lực.
Kiểm tra an toàn
Hệ thống trọng yếu, hạ tầng nội bộ và tài khoản được bảo vệ được kiểm tra trước khi đưa ra đề xuất.
Bản ghi
Ai đề xuất, ai duyệt, cái gì đã chạy và có hiệu lực hay không, trong audit trail xuất ra được.
Từ kết luận đến hành động
01
Xác nhận
Case phải thành một câu chuyện có IOC đã xác nhận và hành vi nằm ngoài nhịp bình thường của thực thể.
02
Đề xuất
Drawbridge soạn hành động kèm bằng chứng, tác động dự kiến và cách hoàn tác.
03
Phê duyệt
Người có quyền phù hợp duyệt hoặc từ chối. Hành động tác động lớn có thể cần hai người duyệt.
04
Thực hiện và kiểm tra
Hành động đã duyệt được thực hiện qua công cụ bạn đang dùng, và ApexAI kiểm tra nó thực sự có hiệu lực.
05
Hoàn tác khi cần
Nếu hành động gây ảnh hưởng hoặc không còn cần, nó được đảo lại từ chính bản ghi đó.
Những giới hạn không bao giờ nới
- Không hành động nào chạy khi chưa được duyệt. Mỗi loại hành động được bật riêng, bắt đầu từ loại rủi ro thấp nhất.
- Mỗi loại hành động khi bật đều bắt đầu bằng một đợt thử nhỏ, có trần, trước khi mở rộng, và có thể tắt bất cứ lúc nào.
- Kết nối tới công cụ bảo mật của bạn chỉ đọc cho tới khi bạn cấp quyền ghi cho một hành động cụ thể.
- Đề xuất không bao giờ dựng từ một alert đơn lẻ hay chỉ dựa vào mức nghiêm trọng.
- Scanner được phép, backup và các vận hành thường ngày được nhận ra và không bị coi là tấn công.
- Kết quả ghi rõ hành động đã được áp, bị lỗi hay bị từ chối.
Drawbridge hành động ở đâu
| Lĩnh vực | Ví dụ | Trạng thái |
|---|---|---|
| EDR | Cô lập hoặc thả host, chặn IOC, điều chỉnh policy | Đề xuất ở bản preview; thực thi đang phát triển |
| Mạng và định danh | Chặn địa chỉ, khoá tài khoản, thu hồi phiên đăng nhập | Đề xuất ở bản preview; thực thi đang phát triển |
| API gateway | Siết rate limit, thêm bước xác thực, chặn một client trong thời gian định trước | Lộ trình |
Câu hỏi thường gặp
Khắc phục theo đề xuất là gì?
Là mô hình phản ứng trong đó hệ thống chuẩn bị hành động, kèm bằng chứng và cách hoàn tác, và một người phê duyệt trước khi hành động chạy. Tự động hoá lo phần chuẩn bị; con người giữ quyền quyết định.
ApexAI có bao giờ hành động khi chưa được duyệt không?
Mặc định là không. Mọi việc thực thi tự động đều phải do bạn bật cho một loại hành động cụ thể, bắt đầu bằng đợt thử có trần, và luôn hoàn tác được, có audit.
Drawbridge làm việc với những công cụ nào?
Mục tiêu là hành động qua chính công cụ bạn đang chạy, như EDR, firewall và hệ thống định danh. Đề xuất đã có; phần thực thi qua các công cụ này đang được phát triển.
Làm sao xem Drawbridge lẽ ra đã làm gì?
Đề xuất vẫn được ghi lại kể cả khi phần thực thi đang tắt, nên bạn có thể so chúng với việc đội của bạn đã thực sự làm trước khi quyết định bật bất cứ thứ gì.
Xem ApexAI chạy trên chính cảnh báo của bạn.
Một buổi trình diễn với đội của bạn, bắt đầu ở chế độ quan sát: ApexAI chấm điểm và đề xuất, không tự hành động.