Menší tím
Menej skúsený analytik zvládne vyšetrovanie so sprievodcom a nemusí poznať dopytovací jazyk platformy.
Kde modul pomáha počas útoku
Purple AI sám útok neblokuje; jeho hlavná rola je rýchlejšie vyšetrovanie a rozhodovanie nad dátami ostatných modulov.
| Oblasť | Úroveň |
|---|---|
| Prieskum | kontext |
| Počiatočný prístup | kontext |
| Spustenie a perzistencia | kontext |
| Eskalácia a šírenie | kontext |
| Dopad | kontext |
| Vyšetrovanie a obnova | hlavná úloha |
AI analytik nad dátami celej platformy
Purple AI je generatívny AI asistent pre bezpečnostný tím. Pracuje nad dátami, ktoré platforma Singularity zhromažďuje z koncových zariadení, cloudu, identít a napojených nástrojov tretích strán. Dáta sú normalizované do otvorenej schémy OCSF, takže možno klásť otázky naprieč zdrojmi.
Asistent analytika nenahrádza. Skracuje rutinnú prácu: vyhľadanie súvisiacich udalostí, zhrnutie aktivity, návrh ďalších krokov a dokumentáciu postupu.
- Otázky v prirodzenom jazyku namiesto ručne písaných dopytov.
- AI zhrnutia udalostí a nájdenej aktivity.
- Riadené vyšetrovania, ktoré pomáhajú menej skúseným členom tímu.
- Investigation Notebooks, ktoré priebeh vyšetrovania automaticky dokumentujú.
- Auto-Triage a agentové vyšetrovanie s odporúčanými krokmi a zdôvodnením verdiktu.
Ako vyzerá vyšetrovanie s Purple AI
Analytik dostane výstrahu a opýta sa napríklad, odkiaľ sa na stanicu dostal podozrivý súbor a na ktorých ďalších zariadeniach sa objavil. Purple AI pripraví vyhľadávanie, výsledky zhrnie a ponúkne nadväzujúce otázky. Analytik vidí, z akých dát odpoveď vychádza.
Agentové vyšetrovanie podľa výrobcu samo vykoná analýzu, predloží dôkazy a odporučí kroky. Reakciu možno prepojiť s automatizáciou Singularity Hyperautomation, ale len v rámci vopred schválených politík a so záznamom vykonaných akcií.
Výrobca uvádza, že zákaznícke dáta nepoužíva na trénovanie modelov. Podmienky spracovania dát overíme v zmluvnej dokumentácii pre vašu licenciu.
Výrobca ponúka aj MCP Server, cez ktorý možno dáta a postupy Purple AI sprístupniť vlastným AI agentom organizácie. Takéto napojenie si vyžaduje rovnaké posúdenie prístupov a dát ako akákoľvek iná integrácia.
Prínos pre rôzne roly v tíme
Purple AI má zmysel tam, kde tím s platformou SentinelOne už pracuje a výstrahy naozaj vyšetruje. Bez kvalitných dát a bez ľudí, ktorí o zásahu rozhodujú, prínos nevznikne.
Kvalita odpovedí závisí od dát. Čím viac relevantných zdrojov platforma obsahuje, tým širšie otázky možno klásť. Preto Purple AI často zvažujeme spolu so Singularity AI SIEM alebo s napojením ďalších zdrojov.
Skúsený analytik
Rýchlejšie vyhľadávanie hrozieb, zhrnutia a dokumentácia bez ručnej rutiny.
Vedenie bezpečnosti
Konzistentnejší postup a záznam o tom, ako tím dospel k záveru.
Zavedenie a prevádzka s APPSEC
Najprv overíme licenčné predpoklady a to, ktoré zdroje dát máte v platforme k dispozícii. Potom na reálnych výstrahách vyskúšame typické otázky vášho tímu.
- Overenie licencie a dostupnosti funkcií pre vaše prostredie.
- Pilot na vašich dátach s vopred dohodnutými scenármi.
- Pravidlá pre automatizované kroky: čo smie prebehnúť samo a čo si vyžaduje schválenie.
- Zaškolenie analytikov a správcov v rozsahu ponuky.
Čo overiť pred nákupom
- Licenčné predpoklady a balík, v ktorom je Purple AI dostupný.
- Ktoré zdroje dát budú v platforme k dispozícii a ako dlho sa uchovávajú.
- Podmienky spracovania dát, umiestnenie konzoly a požiadavky vašej internej politiky pre AI.
- Kto bude schvaľovať automatizované reakcie a ako sa budú evidovať.
- Ako v pilote spoznáte prínos, napríklad podľa času potrebného na vyšetrenie typickej výstrahy.
- Či chcete Purple AI napojiť na vlastné AI nástroje cez MCP Server.
