/13270381/i_800.jpg)
Раньше данные каждого продукта хранились отдельно, и чтобы проверить гипотезу, аналитикам и разработчикам приходилось согласовывать доступ с несколькими командами, заказывать ручную выгрузку и ждать датасеты. Security Lakehouse автоматически приводит их к единому формату, и разработчики сразу получают данные, готовые к работе. Внутренняя платформа принимает в пике до 1 млн событий в секунду и способна обработать десятки терабайт новых данных. В сутки в Lakehouse попадает более 50 млрд обезличенных записей от всех продуктов Positive Technologies о том, что происходит в сетях и на устройствах защищаемых компаний.
В отличие от классических архитектур работы с данными в ИБ и традиционного подхода со статическими правилами корреляции, Security Lakehouse позволяет находить то, чего еще не заметил никто. Такую атаку не видно по данным отдельных средств защиты отдельной компании. Зато мы можем ее отследить, когда данные собраны и взаимообогащаются в едином хранилище из нескольких источников сразу.
На основе имеющихся данных PT Cloud AF – облачная защита веб-приложений и API – находит IP-адреса, которые атакуют сразу несколько компаний. Для каждой из этих компаний в отдельности атака выглядит как несколько разрозненных срабатываний защиты, неотличимых от фонового шума. Еще один пример – поиск аномалий в трафике и атаках. PT Cloud AF замечает резкие отклонения от обычной картины: начало или всплеск атаки, неожиданное падение трафика или изменение характера атак – например, фиксирует ситуацию, когда вместо привычных типов угроз начинают массово появляться другие.
ИИ-модели, обученные на данных из Security Lakehouse, замечают то, что проявляется только на стыке разных продуктов – например, когда программа на устройстве устанавливает сетевое соединение по нехарактерному для нее протоколу. Чтобы это заметить, нужно одновременно видеть и поведение на самом устройстве, и сетевую активность, а по отдельности данные из одного продукта такой картины не дают.
Security Lakehouse в облаке Positive Technologies накапливает данные с клиентских PT NAD и данные киберразведки, на основе которых рассчитываются облачные детекты и обогащения. Таким образом клиенты получают более точные детекты.
Security Lakehouse уже лежит в основе PT X. Появление ИИ по обе стороны, и в атаке, и в защите, увеличило глубину хранения данных, скорость ретроспективного поиска событий, с которыми приходится работать, а традиционные архитектуры на таких нагрузках упираются в предел. Поэтому компания строит на платформе следующее поколение продуктов, включая MaxPatrol O2, где аналитика, искусственный интеллект и работа с большими данными объединены в систему.
