Cortex w SOC dla AI OS: analiza i kontrolowana odpowiedź

Cortex wykonuje analizatory i respondere SOC; nie jest samodzielnym SIEM ani pełnym systemem spraw. Dokumentacja projektu potwierdza licencję AGPL dla Cortex. To odróżnia go od aktualnego modelu licencjonowania TheHive.

Jaką pracę wykonuje?

Analizator przyjmuje obserwablę, np. hash pliku lub domenę, i zwraca wzbogacony wynik. Responder wykonuje działanie, np. blokadę adresu albo powiadomienie zespołu. Integracja z TheHive pozwala uruchamiać te kroki w kontekście incydentu. W środowisku AI OS możesz badać domenę, z którą połączyło się narzędzie agenta, hash zmienionego skryptu albo adres bramy API.

Gdzie potrzebna jest kontrola?

Responder ma prawo zmieniać środowisko. Automatyczne zablokowanie całej podsieci fabryki po pojedynczym sygnale może przerwać produkcję. Oddziel analizę od reakcji: analiza może być automatyczna, blokada wymaga polityki i — przy wysokim wpływie — zatwierdzenia człowieka. Sprawdź zakres kluczy API analizatorów i to, czy wysyłają obserwable do zewnętrznych usług. Lokalna instalacja Cortex nie gwarantuje, że każde rozszerzenie działa lokalnie.

Alternatywy i zastosowanie

Własne playbooki SOAR, skrypty SIEM i kolejki zadań mogą zastąpić poszczególne funkcje. Cortex wybierz, gdy zespół potrzebuje wspólnego API do wielu analizatorów i responderów. W teście podaj podejrzaną domenę z incydentu agenta, uzyskaj lokalny raport, pokaż analitykowi decyzję, a dopiero po zatwierdzeniu uruchom responder. Wynik, tożsamość osoby zatwierdzającej i skutek akcji zapisz w sprawie.