Greenlight تغلق 90% من 4,000 حالة أمنية شهريا بواسطة وكلاء على AgentCore

مشكلة مألوفة لأي فريق أمني: التنبيهات كثيرة، ومعظمها روتيني، لكن لا بد من فحص كل واحد منها يدويا. في Greenlight Financial، التي تقدم بطاقات خصم للعائلات، يتلقى مركز العمليات الأمنية ما بين 3 و4 آلاف إشارة شهريا. وتتطلب حالة واحدة لبطاقة عثر عليها في الويب المظلم التحقق من حالة البطاقة، والتنبيهات المكررة، وجلسات العميل، والتذاكر المفتوحة. يستغرق ذلك 15–30 دقيقة من العمل البشري، ومع هذه الأحجام لا يمكن لهذا الأسلوب أن يتوسع ببساطة.

كيف بني نظام Luna

أنشأ الفريق نظاما هرميا متعدد الوكلاء على Amazon Bedrock AgentCore، وحاكى بنية مركز عمليات أمنية يعمل فيه البشر. يستقبل مشرف المستوى الأول الحالات عبر API Gateway، من خلال نقطة نهاية MCP، أو من Tines SOAR. ثم يختار الوكلاء اللازمين من بين أكثر من 30 وكيلا متخصصا في مجالات تشمل الهوية والوصول، وEDR، وجرد الأصول، والمدفوعات، والدعم، واستخبارات التهديدات، وغيرها. بعد ذلك يجمع النتائج ويصدر الحكم. ويبلغ الزمن الوسيط للحالات الروتينية بضع ثوان.

إذا لم تكن درجة الثقة كافية، تنتقل الحالة إلى مشرف المستوى الثاني. يعمل هذا المشرف على نموذج ذي قدرات استدلال موسعة، ويشغل وفق جدول زمني عبر EventBridge أو بصورة عاجلة عند الطلب، ويطابق البيانات من 3 إلى 5 مصادر. والمخرج هو تقرير يتضمن سلسلة أدلة ليطلع عليها الإنسان. وتمثل هذه الحالات نحو 10% من الإجمالي.

الذاكرة بوصفها عامل المضاعفة الرئيسي

أكثر ما يتسم بالطابع العملي في هذه التجربة هو طبقة الذاكرة. تحتفظ الذاكرة العرضية بقرارات آخر 30 يوما. ومن أمثلة المقال أن دورا في البنية التحتية ينفذ في الساعة 3 من صباح كل يوم ثلاثاء عملية الوصول نفسها ضمن أعمال الصيانة. من دون ذاكرة، يضع الوكيل علامة على هذا النشاط كل أسبوع؛ ومع الذاكرة، يضيف النمط إلى قائمة السماح بعد أول تحليل.

تحتفظ الذاكرة طويلة الأجل بقوالب القرارات وإحصاءات من قبيل: «73% من تنبيهات البطاقات الواردة من هذا المصدر هي نتائج إيجابية كاذبة». ويسجل مسار مستقل مبني على Lambda وDynamoDB نتائج الحالات، وإذا حلت الحالة بالطريقة نفسها ثلاث مرات، فإنه يسجل نمطا مؤكدا. ووفقا لـGreenlight، فإن هذا تحديدا هو ما رفع الاستقلالية من 83%، عند استخدام المستوى الأول وحده، إلى أكثر من 90%.

التوسع إلى المخاطر المالية

بعد شهرين من الإطلاق في مركز العمليات الأمنية، طبق الفريق البنية نفسها على فرز المخاطر. وأضاف وكلاء جدد، من بينهم Galileo ووكيل لتقييم الاحتيال، إلى جانب مشرف للمخاطر، وأعاد استخدام وكيلي Zendesk وMixpanel. ويتضمن مسار العمل الخاص ببطاقة عثر عليها في الويب المظلم التحقق منها في نظام معالجة المدفوعات، وإزالة التكرارات، ومطابقة الجلسات والتذاكر، وتقييم المخاطر. تسجل المخاطر المنخفضة، وتحال المتوسطة إلى المراجعة، وتصعد المرتفعة مرفقة بالأدلة.

ما الذي ينبغي استخلاصه

أولا: ابدأوا بنطاق ضيق ومقياس نجاح واضح، وهو «اتخذ القرار الصحيح أو صعد الحالة». ثانيا: حاكوا الهيكل التنظيمي للبشر، فهذا يسهل على الفريق الوثوق بالنظام. ثالثا: الفرز أولا، ثم الإجراءات. لا يقدم Luna سوى التوصيات، بينما يطلق المعالجة إنسان أو سياسة معتمدة، وقد ساعد ذلك على اجتياز متطلبات الامتثال.

هناك قيود أيضا. فهذه مادة منشورة في مدونة AWS، والأرقام مقدمة من الشركة نفسها، كما أن الوفر موصوف على أنه تقدير يبلغ 900–1,800 ساعة عمل للمحللين شهريا. ولا تتوافر بيانات عن نسبة الأحكام الآلية الخاطئة أو تكلفة الاستدلال. ومع ذلك، يمكن نقل نمط المستويات المتعددة، والذاكرة المزودة بإزالة التكرارات، والوكلاء المشتركين إلى أي نظام دعم أو مكافحة احتيال أو إدارة لحوادث DevOps.