SentinelOne: un SOC autonomo con la risposta ‘closed-loop’

SentinelOne ha presentato il sistema di risposta controllata ‘closed-loop’ integrato nella piattaforma Singularity™, che garantisce un’automazione affidabile per le operazioni di sicurezza. Purple AI e Singularity Hyperautomation ora analizzano autonomamente gli alert, prendono decisioni e mettono in atto le azioni necessarie. I team di sicurezza definiscono innanzitutto i criteri, decidendo in quali casi l’AI può agire in modo autonomo e quando invece deve attendere l’approvazione da parte di un operatore. Il SOC autonomo gestisce quindi gli alert e le azioni con la velocità e la scalabilità dell’AI, ma con la sicurezza e il controllo garantiti dai professionisti della sicurezza.

L’idea del vendor è che da anni i SOC cercano di sfruttare l’automazione per gestire un volume enorme di alert e dati. Il primo tentativo di automatizzare il processo di risposta è stato realizzato attraverso i playbook SOAR, sebbene questi rappresentino delle strutture decisionali fisse che falliscono non appena le situazioni reale si allontana dallo scenario previsto. Ciò che continuava a mancare era il processo decisionale nel momento dell’azione. Con Purple AI SentinelOne vuole colmare la lacuna, scegliendo come procedere in base a ciò che l’indagine ha effettivamente rilevato, anziché seguire un percorso prestabilito mesi prima.

La piattaforma è già operativa a pieno regime. Purple AI Agentic Investigation è in funzione negli ambienti dei clienti da giugno e ora gestisce ogni giorno oltre 8.500 indagini autonome critiche. Più di un terzo della base clienti potenziale lo utilizza. Su questi clienti, Purple AI indaga su un numero di alert quasi tre volte superiore a quello che gli analisti riescono a gestire manualmente. Gli alert che sarebbero rimasti in coda vengono esaminati, e gli analisti dedicano il loro tempo alle decisioni che richiedono una valutazione critica.

“I team di security hanno bisogno di tecnologie AI di cui possano fidarsi e che agiscano entro i parametri stabiliti” ha affermato Chris Corde, Chief Product Officer di SentinelOne. “Con questa soluzione, i team decidono esattamente in quali ambiti Purple AI è autorizzata ad agire in modo autonomo e quando invece deve cedere il posto all’intervento umano. È proprio questa governance a rendere fattibile la risposta autonoma in un SOC operativo. I tempi di risposta umana si allungano durante la notte e nei fine settimana, mentre quelli degli attacchi no. In un solo fine settimana, Purple AI ha analizzato oltre 5.000 alert critici relativi alla base clienti, ciascuno in pochi minuti. Nulla è stato rimandato a lunedì”.

In tale contesto ciò che determina se un SOC possa adottare una risposta autonoma basata sul ragionamento agentico è la possibilità per un essere umano di vedere l’azione, tracciarla e annullarla. Ogni azione guidata dall’AI nella Singularity Platform è tracciabile, verificabile e può essere annullata dal team che l’aveva autorizzata. Non tutti i workflow devono necessariamente essere eseguiti in modo autonomo. La chiave, secondo il vendor, è adottare un controllo mirato, intervenendo solo nelle decisioni che comportano conseguenze concrete e lasciando che il resto proceda automaticamente.

Queste funzionalità sono integrate negli elementi principali della Singularity Platform. I team SOC dispongono del ragionamento basato sull’AI e di un execution automatizzata all’interno dei workflow, degli strumenti e delle linee di approvazione che già utilizzano.

Basandosi su Purple AI Agentic Investigation, le nuove funzionalità utilizzano i workflow Singularity Hyperautomation per:

· Avviare un’indagine Purple AI Agentic Investigation da qualsiasi fase del workflow, non solo dalla segnalazione iniziale.

· Estrarre il report completo dell’indagine, con conclusione e prove, direttamente nella logica di automazione.

· Applicare azioni LLM personalizzabili per analizzare i risultati e determinare il passaggio successivo più appropriato.

· Richiamare snapshot di risposta convalidati, ovvero blocchi di azioni riutilizzabili che i team creano una volta sola e utilizzano ripetutamente.