AI pagrindu veikiantys agentų kampanijos – tokios kaip GTG-1002 – tai daugiapakopės operacijos, vykdomos didžiausiu greičiu, dažnai nenaudojant nestandartinio kenksmingo programinės įrangos, bet naudojant teisėtus įrankius ir protokolus. Tokiame modelyje svarbiausiu tampa gynyba, pagrįsta elgsenos tinklo stebėjimu, o ne tik parašais. ExtraHop sprendžia šią problemą kompleksiškai:
1️⃣ Holistinis tinklo matomumas ir aklųjų zonų šalinimas
Efektyvios gynybos nuo autonominių agentų pagrindas yra visapusiška, vieninga tinklo telemetrija. ExtraHop suteikia matomumą end-to-end naudojant srautų analizę linijinio greičio tempu, dešifravimą ir gilų protokolų dekodavimą. Tai apima tiek įprastus komunikacijos sluoksnius, tiek verslo aplikacijas ir API, kuriuos dirbtinio intelekto agentai naudoja rekognicijos, prieigos eskalavimo ir duomenų vagysčių tikslais. Dėl to ExtraHop atskleidžia veiksmus, kurie kitu atveju liktų paslėpti užkoduotame sraute arba „pilkosios zonos“ teisėtose protokoluose.
2️⃣ Orkestracinio srauto į LLM/MCP paslaugas aptikimas
Nauja agentų kampanijų savybė yra nuolatinis vidinio agento bendravimas su išorine orkestracijos infrastruktūra – pvz., MCP serveriais ir Large Language Model paslaugomis. ExtraHop gali identifikuoti šio tipo srautą kaip atskirą, labai diagnostinį grėsmių signalą. Praktiškai tai dažnai lengviau pastebėti, nes sukuria ilgalaikes, pasikartojančias jungtis su neįprasta charakteristika. Šio modelio aptikimas leidžia saugumo komandoms greitai nutraukti atakos grandinę, atjungiant dirbtinio intelekto agentą nuo jo „valdymo sistemos“.
3️⃣ Elgsenos anomalijų realaus laiko detekcija
ExtraHop naudoja pažangius mašininio mokymosi modelius elgsenos anomalijų realaus laiko detekcijai. Pradiniuose etapuose tai apima, pvz., didelės apimties skenavimus, neįprastą paslaugų enumeraciją ar sisteminį pažeidžiamumų validavimą. Kitais etapais platforma aptinka automatinius šoninius srautus, netipinį privilegijuotų paskyrų naudojimą ir kitus modelius, kurie rodo „agentinį“ veikimą.
4️⃣ Teismo ekspertizė (forensika)
Po incidento aptikimo taip pat svarbu tiksliai suprasti jo eigą. ExtraHop saugo aukštos kokybės paketų duomenis ir tinklo metaduomenis, kurie leidžia atkurti visą atakos kelią: kurias paslaugas dirbtinio intelekto agentas įvardijo, kokius išteklius pasiekė, kokius duomenis apdorojo ir kaip bandė juos perduoti. Paketų įrašai leidžia rekonstruoti sudėtingas veiksmų grandines ir automatizuotus sprendimus, priimtus AI pagrindų, kas yra svarbu siekiant stiprinti saugumą ateityje.
5️⃣ Informacijos apie grėsmes integracija ir IOC/TTP koreliacija
Nepaisant aukšto autonomijos lygio, agentų kampanijos vis dar remiasi užsienio infrastruktūros komponentais, tokiomis kaip „callback“ serveriai, C2 adresai ar įrankių saugyklos. ExtraHop integruojasi su patikimais Threat Intelligence šaltiniais, taip praturtindama aptikimą žinomais kompromitacijos indikatoriais (IOC) ir priskirdama stebimas veiklas MITRE ATT&CK technikoms.
6️⃣ Spartus reagavimas į incidentus ir tikslūs taisymo veiksmai
ExtraHop generuoja aukšto patikimumo įspėjimus ir vizualizuoja atakos kelią, nurodydamas kompromituotus pagrindinius kompiuterius, jų ryšius ir jautrius išteklius, kuriems gresia šoninis judėjimas. Toks detališkumo lygis leidžia SOC komandoms greitai priimti tikslius sprendimus: izoliuoti konkrečias sistemas, blokuoti šoninio judėjimo vektorius ir – kas ypač svarbu agentų kampanijose – nedelsiant nutraukti ryšius tarp vidinio dirbtinio intelekto agento ir jo išorinių orkestracijos serverių.
NDR klasės sprendimai iš ExtraHop užtikrina derinį, kuriame yra visapusiškas matomumas, elgsenos nustatymas, dirbtinio intelekto agentams specifinių signalų identifikacija ir gilus teismo ekspertizės tyrimas. Tai reikalingų funkcijų rinkinys efektyviam vykdomos ir naujos kartos šnipinėjimo kampanijų aptikimui bei nutraukimui, kuriose dirbtinis intelektas veikia kaip autonominis atakos operatorius.
