دیتاداگ ابزارهای MCP امنیتی رو برای Cloud SIEM ساخت
هوش مصنوعی
تستخلاصهٔ کاملتر
تیم امنیتی دیتاداگ هرروز سیگنالها رو بررسی میکنه، قانونهای تشخیص رو تنظیم میکنه و ساپرشنها رو مدیریت میکنه. برای اینکه ایجنتهای هوش مصنوعی تو این کارا کمک کنن، دیتاداگ یه دسته ابزار امنیتی برای Datadog MCP Server ساخته. مشکل اصلی اینه که همه این ابزارها یه پنجره کانتکست مشترک دارن؛ هر ابزار جدید یهکم از اون فضا رو میخوره و اگه زیاد بشن، ایجنت گیج میشه و نمیدونه کدوم ابزار به کارش میاد.
قبل از ساخت هر ابزاری، تیم رفتار واقعی کاربرا رو تحلیل کرد: الگوهای فراخوانی API، دادههای RUM و لاگهای چت Bits AI. نتیجه: ۴۴ درصد پیامها درباره نوشتن و ارزیابی قانونهای تشخیص بود. کاربرا کل JSON سیگنال رو تو چت میذاشتن تا بفهمن یعنی چی، پس ایجنت باید به محتوای کامل سیگنال دسترسی داشته باشه نه فقط خلاصه. تریاژ دستهجمعی هم پرتکرار بود؛ رابط کاربری فقط ۵۰ سیگنال همزمان رو پشتیبانی میکنه، ولی یه کاربر تو ۹ دقیقه هفتبار پشتسرهم تریاژ ۵۰تایی زده بود، یعنی رو هم بیش از ۳۵۰ سیگنال.
برای کنترل کانتکست، اولین ابزار مهم اسکیماست که به ایجنت یاد میده چطور یه قانون تشخیص بنویسه؛ بهجای اینکه کل اسکیمای همه محصولات رو یهجا بده، فقط اون بخشی که به تسک مربوطه رو برمیگردونه، یعنی افشای تدریجی اطلاعات. فیلتر کردن روی نوع قانون حدود ۱۵ درصد مصرف توکن رو کم کرد و ترکیبش با فیلتر روش تشخیص، این عدد رو به ۴۱ تا ۴۷ درصد رسوند.
ابزار دوم مربوط به تریاژ دستهجمعیه. نسخه اول لیست آیدی سیگنالها رو میگرفت که خودش حجم زیادی از کانتکست رو میخورد و کند بود. نسخه جدید بهجاش یه کوئری جستوجو میگیره، خودش آیدیها رو پیدا میکنه و تا ۵۰۰ سیگنال رو تو یه فراخوانی تریاژ میکنه. آپدیت کردن صدها سیگنال از حدود ۲ دقیقه (برای فقط ۵۰ تا) به یهکم بیشتر از یه دقیقه رسید.
چون رفتار ایجنت غیرقطعیه، تست معمولی جواب نمیده. برای همین یه فریمورک ارزیابی سفارشی ساختن که با CI تیم پلتفرم هوش مصنوعی یکپارچهست و هر تغییری تو ابزارها رو خودکار تست میکنه؛ اگه امتیاز پایه بیش از ۵ درصد افت کنه هشدار میده و ابزار بدون پوشش تست هم رد میشه. هر سناریو چندبار اجرا میشه تا نویز غیرقطعی بودن کم بشه، و برای کاهش هزینه پاسخ ابزارها رو موک میکنن. هدف، نرخ موفقیت پایه حدود ۸۰ درصده.
چون چند تا تیم روی این مجموعه ابزار کار میکنن، یه کمیته حاکمیتی سبک هم راه انداختن که بر پایه مدل خوداتکاست: هر ابزار تا قبل از GA خودکفاست و تیمها بدون منتظر موندن برای ریویو میتونن پیش برن، فقط باید حداقل امتیاز ارزیابی رو رعایت کنن. این کمیته زیرساخت مشترک و بهترین شیوهها رو نگه میداره تا ابزار جدید کیفیت بقیه رو خراب نکنه.
نکات کلیدی:
- دیتاداگ برای Cloud SIEM یه دسته ابزار MCP ساخته تا به ایجنتها تو بررسی سیگنال، نوشتن قانون تشخیص و تریاژ کمک کنه
- افشای تدریجی اطلاعات مصرف توکن رو تا ۴۷ درصد کم کرد
- ابزار تریاژ جدید تا ۵۰۰ سیگنال رو با یه کوئری جستوجو مدیریت میکنه
- یه فریمورک ارزیابی سفارشی رفتار غیرقطعی ایجنت رو زیر نظر میگیره
- حاکمیت سبک و خوداتکا اجازه میده تیمها سریع تکرار کنن بدون افت کیفیت
