Что произошло

Компания NGR Softlab представила вторую версию собственной ИИ-модели DivergentGPT-2 для поиска аномалий в данных. Задача разработки — точнее отделять потенциально опасную активность пользователей и информационных систем от естественных изменений рабочего процесса, снижая количество ложных срабатываний и нагрузку на аналитиков информационной безопасности. Главное изменение — глубина анализируемого контекста выросла в четыре раза: со 128 до 512 точек, одновременно улучшилось качество анализа временных рядов. Модель уже встроена в продуктовый портфель вендора: она работает в модуле поведенческой аналитики xBA платформы Dataplan и в модуле анализа поведения PAM Infrascope.

Ключевые характеристики

  • Контекст ×4. Окно анализа увеличено до 512 событий: модель учитывает более длинную историю и надёжнее понимает «нормальный ритм» конкретного сотрудника или системы.
  • 30 МБ и работа без GPU. Компактная модель не требует дорогих графических ускорителей и исполняется непосредственно в хранилище ClickHouse — ИИ-аналитика включается там, где данные уже накапливаются, без усложнения корпоративной инфраструктуры.
  • Проверка на открытом бенчмарке. На публичном датасете TSB-UAD DivergentGPT-2 показала рост точности обнаружения аномалий и заметное сокращение ложноположительных срабатываний относительно первой версии, а по качеству прогнозирования временных рядов приблизилась к результатам моделей Amazon, Google и других международных вендоров.

Почему это актуально

Главная боль дежурных смен SOC — не дефицит данных, а тонны алертов. Каждое ложное срабатывание — это потраченное время аналитика и накопительная «усталость от тревог», из-за которой реальный инцидент рискует утонуть в шуме. Особенно чувствительны к этому инструменты поведенческой аналитики: их задача — замечать необычное поведение, а необычное по определению не всегда означает опасное. Например, резкий рост количества операций или обращений к корпоративным ресурсам может быть как признаком подготовки атаки, так и следствием временного изменения бизнес-процессов — новая модель обучена различать эти сценарии.

Ставка NGR Softlab на «маловесную» специализированную ИИ-модель отражает заметный тренд рынка. Как отмечают разработчики, для узких корпоративных задач компактные модели могут не уступать большим универсальным, а в отдельных сценариях и превосходить их за счёт специализации — при значительно меньших требованиях к вычислительным ресурсам и более простой интеграции в существующий ИТ-ландшафт. Для российских заказчиков это ещё и практичный сценарий импортозамещения: ИИ-аналитику можно развернуть на «земле», в контуре уже работающей платформы, без покупки GPU-кластеров и зависимости от внешних облачных сервисов.

Термины простыми словами

UEBA (User and Entity Behavior Analytics) — класс решений, которые ищут аномалии, сравнивая поведение сотрудников и систем с их же исторической нормой, а не с жёсткими правилами.

Временной ряд — последовательность значений показателя во времени (например, число входов в систему по минутам); прогнозируя его, модель понимает, что «нормально», и флагует отклонения.

Итог: DivergentGPT-2 показывает, что российские вендоры ИБ дошли до собственного конкурентоспособного ИИ-ядра для аналитики безопасности — компактного, проверяемого на открытых бенчмарках и работающего внутри привычного хранилища данных. Для рынка это удешевляет и упрощает внедрение поведенческого анализа: ИИ в SOC перестаёт требовать отдельной GPU-инфраструктуры. Продукты NGR Softlab — платформа Dataplan и система привилегированного доступа Infrascope — доступны у дистрибьютора MONT.

Читайте также: