Menší tým
Méně zkušený analytik zvládne vyšetřování s průvodcem a nemusí znát dotazovací jazyk platformy.
Kde modul pomáhá během útoku
Purple AI sám útok neblokuje; jeho hlavní role je rychlejší vyšetřování a rozhodování nad daty ostatních modulů.
| Oblast | Úroveň |
|---|---|
| Průzkum | kontext |
| Počáteční přístup | kontext |
| Spuštění a persistence | kontext |
| Eskalace a šíření | kontext |
| Dopad | kontext |
| Vyšetřování a obnova | hlavní role |
AI analytik nad daty celé platformy
Purple AI je generativní AI asistent pro bezpečnostní tým. Pracuje nad daty, která platforma Singularity shromažďuje z koncových zařízení, cloudu, identit a napojených nástrojů třetích stran. Data jsou normalizovaná do otevřeného schématu OCSF, takže lze klást otázky napříč zdroji.
Asistent analytika nenahrazuje. Zkracuje rutinní práci: vyhledání souvisejících událostí, shrnutí aktivity, návrh dalších kroků a dokumentaci postupu.
- Otázky v přirozeném jazyce místo ručně psaných dotazů.
- AI shrnutí událostí a nalezené aktivity.
- Řízená vyšetřování, která pomáhají méně zkušeným členům týmu.
- Investigation Notebooks, které průběh vyšetřování automaticky dokumentují.
- Auto-Triage a agentní vyšetřování s doporučenými kroky a zdůvodněním verdiktu.
Jak vypadá vyšetřování s Purple AI
Analytik dostane výstrahu a zeptá se například, odkud se na stanici dostal podezřelý soubor a na kterých dalších zařízeních se objevil. Purple AI připraví vyhledávání, výsledky shrne a nabídne navazující otázky. Analytik vidí, z jakých dat odpověď vychází.
Agentní vyšetřování podle výrobce samo provede analýzu, předloží důkazy a doporučí kroky. Reakci lze propojit s automatizací Singularity Hyperautomation, ale jen v rámci předem schválených politik a se záznamem provedených akcí.
Výrobce uvádí, že zákaznická data nepoužívá k trénování modelů. Podmínky zpracování dat ověříme ve smluvní dokumentaci pro vaši licenci.
Výrobce nabízí také MCP Server, přes který lze data a postupy Purple AI zpřístupnit vlastním AI agentům organizace. Takové napojení vyžaduje stejné posouzení přístupů a dat jako jakákoli jiná integrace.
Přínos pro různé role v týmu
Purple AI má smysl tam, kde tým s platformou SentinelOne už pracuje a výstrahy skutečně vyšetřuje. Bez kvalitních dat a bez lidí, kteří o zásahu rozhodují, přínos nevznikne.
Kvalita odpovědí závisí na datech. Čím více relevantních zdrojů platforma obsahuje, tím širší otázky lze klást. Proto Purple AI často zvažujeme spolu se Singularity AI SIEM nebo s napojením dalších zdrojů.
Zkušený analytik
Rychlejší vyhledávání hrozeb, shrnutí a dokumentace bez ruční rutiny.
Vedení bezpečnosti
Konzistentnější postup a záznam o tom, jak tým k závěru dospěl.
Zavedení a provoz s APPSEC
Nejprve ověříme licenční předpoklady a to, které zdroje dat máte v platformě k dispozici. Pak na reálných výstrahách vyzkoušíme typické otázky vašeho týmu.
- Ověření licence a dostupnosti funkcí pro vaše prostředí.
- Pilot na vašich datech s předem dohodnutými scénáři.
- Pravidla pro automatizované kroky: co smí proběhnout samo a co vyžaduje schválení.
- Zaškolení analytiků a správců v rozsahu nabídky.
Co ověřit před nákupem
- Licenční předpoklady a balíček, ve kterém je Purple AI dostupný.
- Které zdroje dat budou v platformě k dispozici a jak dlouho se uchovávají.
- Podmínky zpracování dat, umístění konzole a požadavky vaší interní politiky pro AI.
- Kdo bude schvalovat automatizované reakce a jak se budou evidovat.
- Jak v pilotu poznáte přínos, například podle času potřebného na vyšetření typické výstrahy.
- Zda chcete Purple AI napojit na vlastní AI nástroje přes MCP Server.
