Dentro do SOC agentivo da Elastic: como elevamos a precisão da triagem de alertas por IA de 60% para 92%

Tradução automática do conteúdo disponibilizado no feed de Elastic Security Labs. Original: https://www.elastic.co/security-labs/alert-triage-agentic-soc-self-correcting-agents

A correção dos veredictos de IA em nosso centro de operações de segurança (SOC) é de 92%, acima de 60%, mas não trocamos os modelos para obter isso. O que mudamos foi o contexto recebido pelos agentes antes de decidirem, incluindo o guia de investigação da regra de detecção, dados de risco do usuário do Workday e motivos de encerramento de 30 dias de casos anteriores da mesma regra. Esta publicação aborda como o pipeline do SOC agentivo é construído no Elastic Workflows e no Elastic Agent Builder, incluindo os prompts e o ciclo de feedback que permite ao agente identificar quando errou a mesma regra anteriormente. Customer Zero: executando o Agent Builder em nosso próprio SOC. Na Elastic, nosso SOC interno opera como Customer Zero, o que significa que somos o primeiro e mais exigente usuário de cada recurso lançado. Executamos as versões mais recentes do Elastic Security e do Agent Builder em nosso ambiente de produção, frequentemente antes da disponibilidade geral (GA), em uma frota distribuída globalmente de laptops, servidores e cargas de trabalho em nuvem. Os workflows e configurações de agentes mostrados refletem nossa configuração na versão 9.5.1. Quando seu analista de SOC de IA está errado 40% das vezes, nossa equipe integrou agentes de IA à triagem de alertas. Quando os agentes viam apenas o contexto do alerta atual e os índices de investigação, a precisão ficava em torno de 60%. Resumos longos e incorretos estavam atrasando os analistas. Após fornecer mais contexto, a correção dos veredictos subiu de 60% para 92%. O pipeline usa consultas e chamadas de API para buscas previsíveis, agentes para tarefas que exigem leitura e raciocínio, e ações para publicar resultados em casos e no Slack. O guia de investigação por regra fornece instruções específicas; a busca de detalhes do usuário no Workday identifica usuários de alto risco; e casos encerrados dos últimos 30 dias oferecem uma linha de base histórica. O ciclo de feedback usa os motivos de encerramento e comentários dos analistas para ajudar agentes a evitar erros anteriores. O workflow principal Agent Brainstorm orquestra 12 workflows secundários e três agentes: Pattern Finder, L1 Investigation e Summarizer. O Pattern Finder compara casos históricos sem realizar consultas externas; o agente de investigação coleta evidências e chega a um veredicto; e o Summarizer formata o resultado para Slack e casos. Após as mudanças, a triagem passou a permitir que analistas revisem resumos e encerrem casos rapidamente. A Elastic mantém analistas no circuito e usa campos personalizados e dashboards para acompanhar veredictos incorretos e ajustar prompts ou fornecer contexto adicional.