研究顯示，網(wǎng)絡(luò)犯罪數(shù)量激增，而安全專(zhuān)業(yè)人員在努力連接各種信息并跟進(jìn)時(shí)陷入困境。為此，IBM上周宣布將在其QRadar SIEM工具中添加生成式人工智能(Generative AI)功能，為應(yīng)對(duì)這一挑戰(zhàn)提供了一種可能的前進(jìn)路徑。

　　安全信息與事件管理(SIEM)工具對(duì)于熱愛(ài)安全的組織來(lái)說(shuō)至關(guān)重要，因?yàn)樗鼈兪菑默F(xiàn)代IT堆棧中的各個(gè)組件(包括IBM i)中收集安全數(shù)據(jù)并試圖理清表面混亂的地方。QRadar，由IBM于2011年收購(gòu)Q1Labs而獲得，是這一領(lǐng)域的頂級(jí)產(chǎn)品之一。

　　長(zhǎng)期以來(lái)，機(jī)器學(xué)習(xí)在SIEM工作中一直是標(biāo)配，因?yàn)樗�可以發(fā)現(xiàn)數(shù)據(jù)中埋藏的人眼可能忽略的異常。QRadar提供的機(jī)器學(xué)習(xí)功能之一是用戶(hù)行為分析(UBA)，它使產(chǎn)品能夠?qū)⑾到y(tǒng)和網(wǎng)絡(luò)事件與用戶(hù)行為數(shù)據(jù)相結(jié)合，以識(shí)別可能標(biāo)志著潛在威脅的復(fù)雜交互。

　　然而，即使有機(jī)器學(xué)習(xí)在搜索相關(guān)性的數(shù)十億事件日志中做著繁重的工作，安全專(zhuān)業(yè)人員仍然滯后。Vectra AI的研究發(fā)現(xiàn)，安全分析師每天必須手動(dòng)查看約4，500個(gè)警報(bào)，這雖然相對(duì)于數(shù)十億來(lái)說(shuō)已經(jīng)好了很多，但仍然太多。

　　Vectra AI發(fā)現(xiàn)，幾乎所有受訪(fǎng)分析師(97%)擔(dān)心漏掉重要信息。這是因?yàn)榘踩�工具供�?yīng)商害怕不標(biāo)記重要事項(xiàng)而導(dǎo)致安全分析師遭受“警報(bào)過(guò)載”。IBM在其于今年三月發(fā)布的《全球安全運(yùn)營(yíng)中心研究結(jié)果》報(bào)告中得出了類(lèi)似的結(jié)論。該研究發(fā)現(xiàn)，安全運(yùn)營(yíng)中心(SOC)工作人員平均花費(fèi)其典型工作日的三分之一來(lái)調(diào)查并非真實(shí)威脅的事件。而且，五分之四的SOC工作人員表示手動(dòng)調(diào)查威脅會(huì)減緩他們的響應(yīng)時(shí)間。

　　顯然，有必要提供更好的工具，能夠自動(dòng)化更多的工作并減輕SOC的負(fù)擔(dān)。這正是IBM通過(guò)在其QRadar套件中引入生成式AI功能所做的事情。

　　IBM上周宣布的GenAI功能基于其Watsonx產(chǎn)品線(xiàn)，將用于自動(dòng)執(zhí)行報(bào)告、威脅獵捕、數(shù)據(jù)解釋和數(shù)據(jù)整理等多項(xiàng)任務(wù)。IBM表示，QRadar中的GenAI功能將于2024年第一季度推出。

　　IBM表示，將一些更為乏味的任務(wù)交給GenAI將使安全分析師能夠?qū)Ｗ⒂诟�重要的工作。例如，Watsonx GenAI功能將代替安全分析師構(gòu)建報(bào)告。同樣地，QRadar將利用Watsonx的自然語(yǔ)言處理(NLP)功能自動(dòng)生成用于識(shí)別不良分子的搜索。NLP還將用于生成日志數(shù)據(jù)分析的簡(jiǎn)明英語(yǔ)描述。最后，NLP將被用于“解釋和總結(jié)”威脅情報(bào)，這可能會(huì)讓SOC工作人員在對(duì)抗網(wǎng)絡(luò)犯罪分子時(shí)更具優(yōu)勢(shì)。

　　IBM表示，計(jì)劃推動(dòng)在其廣泛的安全軟件和服務(wù)組合中應(yīng)用GenAI。公司表示，最終可能會(huì)利用GenAI來(lái)幫助安全團(tuán)隊(duì)發(fā)現(xiàn)類(lèi)似事件、更新受影響的系統(tǒng)，甚至修補(bǔ)有漏洞的代碼。

　　IBM表示，已經(jīng)對(duì)QRadar進(jìn)行了最新版本的全面改進(jìn)，并且現(xiàn)在是“云原生”了。它重新設(shè)計(jì)了產(chǎn)品，使其運(yùn)行在自家的Red Hat OpenShift Kubernetes分發(fā)版上。新QRadar套件的云版本將于本季度上線(xiàn)，而本地和多云版本將于明年發(fā)貨。

　　新QRadar套件所宣傳的功能包括:支持行業(yè)標(biāo)準(zhǔn)的SIGMA安全檢測(cè)規(guī)則;跨云和本地?cái)?shù)據(jù)源進(jìn)行聯(lián)邦搜索和威脅獵捕的能力，并與MITRE ATT&CK知識(shí)庫(kù)集成;攻擊面管理(ASM)功能;支持行業(yè)標(biāo)準(zhǔn)的安全、編排、自動(dòng)化和響應(yīng)(SOAR)操作手冊(cè);以及擁有700個(gè)預(yù)構(gòu)建集成的深度合作伙伴網(wǎng)絡(luò)。

　　當(dāng)然，其中一項(xiàng)集成是IBM i，通過(guò)由IBM提供的名為QRadar DSM for IBM i的設(shè)備支持模塊(DSM)提供。IBM i用戶(hù)有多種選項(xiàng)將IBM i中的安全事件數(shù)據(jù)推送到QRadar，包括手動(dòng)提取安全日志、使用Syslog自動(dòng)導(dǎo)入安全事件，或使用第三方工具將IBM i安全事件轉(zhuǎn)換為QRadar專(zhuān)用的Common Event Format(CEF)或Log Event Extended Format(LEEF)。