Az AI segítségével végzett felderítés és exploit-fejlesztés drasztikusan lerövidítette a támadási ablakot. Míg 2025-ben az átlagos kihasználási idő (Mean Time to Exploit) 23,2 nap volt, 2026-ra ez az érték mindössze 1,6 napra zuhant. Ebben a környezetben a hagyományos SOC-folyamatok már nem csupán lassúak, hanem irrelevánsak.

A 400 Gbps-os vakfolt

Miközben az infrastrukturáért felelős csapatok rohamléptékben fejlesztik az adatközponti hálózatokat, a biztonsági arzenál képtelen tartani a tempót. A 400 Gbps-os hálózatok monitorozás nélküli bevezetése valójában vakrepülés a vállalat értékei felett. A legtöbb védelmi eszköz még mindig a 100 Gbps-os korlátokkal küzd, ami kritikus technológiai szakadékot hozott létre.

Ez a szakadék szüli a legveszélyesebb kompromisszumot: a mintavételezést. A sampling a stratéga szótárában csupán egy udvarias kifejezés a tudatosan hagyott vakfoltra. Amikor a hálózat legforgalmasabb és legérzékenyebb pontjain a védelmi eszközök csak a forgalom egy töredékét látják, a legkifinomultabb támadások észrevétlenek maradnak. Ez különösen az AI-orientált infrastruktúrákban végzetes.

A kártevők fejlődése egy olyan fordulóponthoz érkezett, amely elavulttá teszi a peremhálózati védelmet. A hagyományos detekció a command-and-control kommunikációra épített. Az AI-vezérelt malware azonban már nem szorul külső instrukciókra. Saját beépített modellje segítségével a kompromittált hoszton hoz autonóm döntéseket.

Mivel nincs gyanús észak-déli irányú forgalom, az egyetlen esélyünk a detektálásra az oldalirányú mozgás figyelése. Ezt tovább nehezíti, hogy ez a forgalom belső hálózaton is egyre inkább titkosított, így a hagyományos eszközök számára láthatatlan. Ebben a környezetben virágzik a Shadow AI. A Gartner adatai szerint a kiberbiztonsági vezetők 79%-a észlelt visszaélést jóváhagyott GenAI eszközökkel, 69%-uk pedig tiltott eszközök használatát is megerősítette. A támadó tehát nemcsak gyors, de az ellenőrizhetetlen, rövid életű workloadok mögé rejtőzik.

Az AI-asszisztens csapdája

A piaci válasz gyakran az, hogy a meglévő SIEM rendszerekre egyszerűen ráhúznak egy AI-segédet. Ez azonban csak áthelyezi a szűk keresztmetszetet. Az autonómia ugyanis drasztikusan megemeli az adatminőséggel szembeni elvárásokat.

Egy emberi elemző, ha hiányos adatokból dolgozik, elbizonytalanodik és kérdez. Ezzel szemben egy autonóm ágens fragmentált kontextusból valami sokkal veszélyesebbet tesz: magabiztosan hoz rossz döntést, hatalmas sebességgel. Az olyan szabályozói környezetben, mint az EU AI Act, az autonóm döntéseket sziklaszilárd bizonyítékokkal kell alátámasztani. Hiányos hálózati kontextus mellett az AI döntései nem auditálhatóak, így a vállalat jogilag és technikailag is védtelenné válik.

Az új korszak védelmi modellje, az Agentic SOC, három elválaszthatatlan pillérre épül: Kontextus, Keretrendszer (Harness) és Modell. Ebben a struktúrában a modell cserélhető, a keretrendszer biztosítja az irányítást és az auditálhatóságot, de az egész alapja pedig a kontextus.

A kontextus forrása csakis a hálózat lehet. A logok manipulálhatók, a végponti ágensek kikapcsolhatók. A hálózat az egyetlen forrás, amelyet a támadó nem tud kiiktatni anélkül, hogy ne szüntetné meg magát a támadási felületet is.

A valódi védelemhez azonban a hálózatot nem mintavételezett szeleteken, hanem a teljes forgalom valós idejű, 400 Gbps-os elemzésén keresztül kell látni. Csak a strukturált, line-rate hálózati adatok képesek olyan igazságforrást biztosítani, amelyre az autonóm ágensek alapozhatják a döntéseiket.

Az ExtraHop válasza

Az ExtraHop bemutatta az iparág első olyan hálózati észlelési és válaszadási (NDR) platformját, amely képes 400 Gbps-os sebességen működni, felszámolva ezzel a modern vállalati adatközpontok kritikus vakfoltjait.

Az ExtraHop platformja képes a legforgalmasabb horizontális (east-west) hálózati forgalmat is valós időben rögzíteni, titkosítását feloldani és strukturálni – mindezt a védett munkafolyamatok késleltetése nélkül. Ez a technológia hiányos minták és sejtések helyett teljes körű, valós bizonyítékot biztosít a biztonsági csapatok és az autonóm ágensek számára, így lehetővé teszi a gépi sebességű, AI-vezérelt támadások menet közbeni lefülelését. Az új 400 Gbps-os szenzor a tervek szerint 2026 negyedik negyedévében válik általánosan elérhetővé.

Forrás

The Next “Frontier”: Defending the Data Center at Machine Speed

Kapcsolódó tartalom

ExtraHop képzések a RelNet eLearning programban