Трейс
ИИ-помощник
для аналитиков кибербезопасности
Пользователь и задача
Опытному аналитику
недостаточно готового вердикта
Заказчик поставил цель сократить количество ручных действий на 30 %. Я выясняла, какие этапы можно автоматизировать и какие данные нужны аналитику, чтобы проверить вывод ИИ.
Сложные разборы
Опытные аналитики, которые расследуют сложные инциденты и принимают решения о реагировании.
Контекст в разных системах
Для решения нужны события с устройств, из сети и каталога учётных записей.
Контроль решения
Аналитик должен иметь возможность проверить вывод и выбрать реакцию.
Что дали кастдевы
Восстановила ручной путь к вердикту
Разобрала запись работы аналитика и переходы между системами.
Уточнила, что нужно для проверки
В интервью аналитик отметил: без доступа к исходным событиям он продолжит проверку в других системах.
Разобрала прототип с экспертом заказчика
На экспертной сессии уточнили основания связей и привязку проверок к шагам.
Исследование включало интервью, письменный отклик и экспертную сессию. После уточнения аудитории ответы инженера SIEM и начинающего аналитика использовала как контекст, а решения сверяла с экспертом заказчика.
По результатам обсуждений добавила доступ к исходным событиям, объяснения связей и границы проверок.
Основной сценарий
От поиска данных
к проверке готового разбора
Сохранила возможность углубиться в событие, но изменила точку входа. Аналитик начинает с собранной картины и проверяет спорные места в контексте одного разбора.
Ручной разбор
- Сработка
- Поиск в системах
- Вердикт
Найти события в системах безопасности, сопоставить факты и собрать картину атаки.
Контекст приходится переносить между окнами.
В Трейсе
- Готовый разбор
- Проверка оснований
- Решение
Открыть готовый разбор и проверить основания, которые вызывают вопросы.
При необходимости можно раскрыть исходное событие или задать вопрос ИИ.
Схема восстановлена по интервью и записи работы аналитика. Показывает логику маршрута.
Итерации
От очереди решений
к разбору с доказательствами
Сначала работала с очередью решений. Затем собрала стенд для проверки объяснений. Вместе с командой выбрала вариант с осью разбора.
Ранний подход
Готовое решение как точка входа
Предложила начинать с очереди решений, чтобы аналитик оценивал уже собранный разбор. Ранний отклик выявил риск: проверка может превратиться в формальное подтверждение.
Стенд для обсуждения
Больше глубины для проверки
Добавила основания, альтернативные версии и ограничения вывода. На экспертной сессии стало понятно, что нужно объяснить, почему отдельные события относятся к одной атаке.
Выбранное решение
Связи и проверки на одной оси
Собрала объяснения связей рядом с шагами и встроила вопрос к ИИ в карточку. Отдельную таблицу проверок убрали, потому что она повторяла результаты на оси.
Ключевое решение
Объяснение связи
рядом с самой связью
На экспертной сессии выяснилось: набор подозрительных событий ещё не объясняет, почему это одна атака. Я перестроила подачу доказательств вокруг этого вопроса.
Почему события связаны
Поместила основание между шагами. Теперь рядом с переходом видно, какое совпадение связывает события. Например, имя файла или учётная запись.
Что удалось проверить
Привязала проверки к шагам и разделила два состояния: «не найдено» и «источник не ответил». Пробел в данных остаётся видимым.
Где вывод может быть ошибочным
Вынесла ограничение в заметный блок перед действием. Аналитик видит слабое место до подтверждения реакции.
Действия аналитика
Три способа ответить
на вывод ИИ
Я разделила принятие вывода и выбор реакции. Можно подтвердить предложенное действие, выбрать другое или отклонить сам вывод.
Одобрить и выполнить
Показала последствия и обратимость до запуска команды. Для подтверждения нужно удержать кнопку около секунды.
Выбрать другое действие
Вывод может быть верным, но предложенная реакция не подходить ситуации. Для этого предусмотрела отдельный выбор действия.
Отклонить вывод
Несогласие с выводом выделила в самостоятельный сценарий. Причина сохраняется вместе с решением в журнале.
После подтверждения
После подтверждения приложение запускает выбранную команду. Решение аналитика сохраняется в журнале разбора.
Лендинг продукта
трейс.onlineСпроектировала и собрала лендинг на той же визуальной системе, что и приложение. Показала работу ассистента на примере разбора и добавила переход к демо и обсуждению пилота.
Показатели на лендинге основаны на расчёте команды на цифровом двойнике заказчика.
Реализация и результат
Интерфейс, фронтенд
и библиотека компонентов
Реализовала фронтенд с Claude Code и собрала библиотеку компонентов. Продукт прошёл проверки работоспособности. Работа завершена и сдана.
Компоненты и состояния
Вынесла цвета, типографику и состояния компонентов в библиотеку. В очереди выбранная строка выделена фоном и боковой линией, уровень опасности обозначен отдельной меткой.
Для кнопок действий предусмотрены состояния фокуса, недоступности и загрузки.
Признаки компрометации домена
Обнаружены репликация каталога и выгрузка ntds.dit. Связи между частью событий требуют проверки.
Признаки компрометации домена
Обнаружены репликация каталога и выгрузка ntds.dit. Связи между частью событий требуют проверки.
Расчёт на цифровом двойнике
417 → 127
нажатий в расчёте, примерно на 70 % меньше
25 → 0
переключений между системами в том же расчёте
Что означают эти цифры
Команда рассчитала показатели на цифровом двойнике заказчика. Они показывают потенциал сокращения механических действий.