Аналитик открывает алерт о подозрительном письме — и вместо ответа получает пять вкладок: почтовый шлюз, песочницу для вложений, базу threat intelligence, скриншот страницы по ссылке и лог активности отправителя. Именно так до недавнего времени выглядело расследование фишинга в крупных SOC. Кейс Microsoft показывает, что происходит, когда все эти источники собирает в один ответ ИИ-агент.
Что произошло
В сети клиник St. Luke’s University Health Network агент Security Copilot Phishing Triage экономит аналитикам почти 200 часов в месяц — об этом заявила Криста Арндт, заместитель директора по информационной безопасности St. Luke’s. По её словам, агент автономно закрывает тысячи ложных срабатываний, оставляя команде только реальные угрозы.
Инженер St. Luke’s Уэйд Уильямс описал прежний процесс так: «До Security Copilot на триаж и разбор сотен алертов в день уходили часы. Приходилось копаться в множестве порталов и вкладок». После внедрения агента, по его словам, «теперь всё в одном месте, и триаж занимает считаные минуты». По данным Microsoft, аналитики, использующие агента триажа алертов, обрабатывают их на 78% быстрее, выносят на 77% более точные вердикты и выявляют в 6,5 раза больше по-настоящему вредоносных писем, чем при ручном разборе — подробный разбор этих цифр мы публиковали ранее.
Как это работает
Технически Phishing Triage Agent — не надстройка над готовым SOAR-плейбуком, а LLM-модель, которая рассуждает о содержании письма так же, как это делал бы аналитик, а не сверяется со списком статичных правил. По данным Microsoft, на ручной триаж одного алерта уходило до 30 минут — умножьте на десятки репортов в день, и станет ясно, откуда берутся часы очереди.
Вместо последовательного похода по консолям агент за один проход задействует минимум пять категорий инструментов: анализ содержимого письма, детонацию файлов и ссылок в изолированной среде, разбор скриншотов веб-страниц и вложений, обогащение через ленты threat intelligence и корреляцию с данными расширенного хантинга по всей телеметрии организации. Триггером служит стандартное событие — пользователь пометил письмо как подозрительное через кнопку в почтовом клиенте, и создаётся алерт. Итоговый вердикт — «ложное срабатывание» или «подтверждённая угроза» — сопровождается текстовым обоснованием и графическим деревом решений, которые аналитик может развернуть и проверить. Здесь агент отличается от классических сигнатурных фильтров: он оценивает намерение письма, а не только формальные индикаторы компрометации.
Модель также обучаема: аналитик может оставить фидбэк в свободной форме, объясняя, почему вердикт неверен, и агент превращает это в «урок», который сохраняется в его памяти и применяется к похожим алертам в будущем. Каждое действие агента — под учётной записью с минимально необходимыми правами и логируется для аудита, поэтому расширение автономии не означает потери контроля. Важно и то, что агент не переопределяет статус инцидента без права аналитика вернуть классификацию — если письмо признано угрозой, инцидент остаётся открытым для человека, а не закрывается автоматически.
Что внедрить у себе
- Посчитайте, сколько отдельных консолей аналитик реально открывает на один инцидент фишинга — это ваша базовая метрика для оценки эффекта от консолидации.
- Требуйте от любого ИИ-агента триажа не просто вердикт, а разворачиваемое обоснование с перечнем улик — без него доверие аналитиков не сформируется.
- Заложите канал обратной связи: без обучения на реальных фидбэках агент будет повторять ошибки на нетипичных для вашей организации письмах.
- Выдавайте агенту отдельную учётную запись с минимальными правами вместо переиспользования учётки дежурного аналитика.
- Отслеживайте среднее время триажа (MTTT) до и после внедрения — это единственный способ доказать руководству реальную экономию часов.
- Начните с одного типа алертов — писем, помеченных пользователями, — и только после стабильных метрик расширяйте охват на другие типы, включая BEC-атаки без вложений и ссылок.
Консолидация инструментов в один запрос не отменяет рост самого объёма фишинга — по данным телеметрии Microsoft Defender, только QR-фишинг вырос на 146% за квартал. Поэтому эффект от агентного триажа стоит измерять не в разовой экономии часов, а в способности SOC держать темп при растущем потоке репортов.
Источники: Microsoft Customer Stories — St. Luke’s University Health Network; Microsoft Learn — Phishing Triage Agent documentation; Microsoft Community Hub — Security Copilot Blog.
