Когнитивный облачный сервис IBM Watson соединили с платформой управления событиями и информацией безопасности IBM Q Radar — получившееся решение было представлено на RSA Conference 2017. Обработав событие безопасности, SIEM-платформа передает сведения о нем Watson, а тот помогает аналитикам выяснить, является ли инцидент следствием атаки.
Для этого Watson изучает информацию об угрозах, причем его база знаний постоянно пополняется по мере появления новых публикаций специалистов и постов в тематических блогах. Человек такой объем информации усвоить просто не в состоянии, отмечают в IBM. Watson же ничего из обработанного материала не забывает и просматривает его гораздо быстрее, чем люди: как утверждают в IBM, он способен всего за 15 мин выполнить анализ, на который у человека ушла бы неделя.
В IBM также сообщают, что путем корреляции характеристик события с известными ему сведениями Watson может определить, что оно является частью более масштабной атаки, чем расследуемый инцидент. Чтобы людям было удобнее выяснять дополнительные сведения о проанализированных Watson инцидентах, тот генерирует отчеты на естественном языке.
Watson для Q Radar смогут пользоваться как новые пользователи SIEM-платформы IBM, так и существующие.
