Wykrywanie ransomware przez Druva zwalcza ataki wspierane przez AI za pomocą AI

17 września Druva uruchomiła dwustopniowy system wykrywania ransomware, reagując na sytuację, w której ataki wspierane przez AI coraz trudniej odróżnić od rutynowych zmian. Nowa funkcja wykrywania ransomware Druva analizuje migawki kopii zapasowych, weryfikuje podejrzenia szyfrowania i pomaga administratorom szybciej wskazać bezpieczniejszy punkt odzyskiwania.

Nie jest to po prostu starcie AI z AI. Konwencjonalne wykrywanie anomalii identyfikuje nietypowe zachowania, ale sama anomalia nie dowodzi, że ransomware zmieniło dane. Zespoły ds. bezpieczeństwa i odzyskiwania mogą tracić kluczowy czas na korelowanie alertów, próbując ustalić, którym kopiom zapasowym nadal można ufać.

Druva chce zastąpić tę niepewność dowodami. Jej system łączy modele behawioralne, kryminalistyczną analizę plików na poziomie pojedynczych plików oraz kontekst tożsamości z Dru MetaGraph. To podejście odpowiada na znaną słabość cyberodzyskiwania: szybkie wykrycie ma niewielką wartość, gdy osoby reagujące nie potrafią z przekonaniem wybrać danych do przywrócenia.

Druva przechodzi od alertów o anomaliach do potwierdzania ransomware

Kluczowa zmiana wprowadzona przez Druva polega na przejściu od identyfikowania podejrzanej aktywności do potwierdzania, czy ransomware zmieniło migawkę kopii zapasowej.

Pierwszy etap analizuje metadane kopii zapasowych pod kątem zachowań związanych z ransomware. Sygnały te obejmują masową zmianę nazw plików, nietypowe rozszerzenia oraz artefakty, takie jak notatki z żądaniem okupu. Druva twierdzi, że specjalnie zaprojektowane modele AI i uczenia maszynowego oceniają te wskaźniki w wielu migawkach.

Podejrzany wynik nie jest od razu uznawany za potwierdzony incydent ransomware. Zamiast tego Druva przekazuje dotkniętą migawkę do drugiego etapu analizy kryminalistycznej. Takie rozdzielenie ma ograniczać fałszywe alarmy, które mogą wynikać ze zwykłej aktywności administracyjnej lub aplikacyjnej.

Drugi etap bada pliki źródłowe. Zgodnie z dokumentacją techniczną Druva kontrole obejmują analizę entropii, zgodność typu MIME, nagłówki plików i integralność strukturalną.

Entropia mierzy, jak losowa wydaje się zawartość pliku. Szyfrowanie często zwiększa tę losowość, choć wysoka entropia sama w sobie nie dowodzi złośliwego zamiaru. Analiza MIME porównuje deklarowany format pliku z jego faktyczną zawartością, pomagając wykrywać pliki ukryte za zmienionymi rozszerzeniami.

Druva następnie koreluje te ustalenia przed wystawieniem krytycznego alertu. Jej system odróżnia ostrzeżenie o wysokim poziomie ważności dotyczące potencjalnej aktywności od krytycznego alertu zgłaszającego potwierdzony wpływ.

To rozróżnienie rozwiązuje praktyczny problem reagowania na incydenty. Nagły wzrost liczby zmienionych plików może oznaczać ransomware, ale może również wynikać z migracji, aktualizacji oprogramowania lub dużego zadania administracyjnego. Traktowanie każdego odchylenia jako ataku powoduje zmęczenie alertami i spowalnia dochodzenie.

Druva podaje, że dowody są dostępne w Recovery Insights i Security Command Center. Administratorzy mogą zbadać dotknięte migawki, wskazać punkt sprzed pozornej infekcji oraz uruchomić Restore Scan przed przywróceniem danych do środowiska produkcyjnego.

Funkcja weszła w ograniczoną dostępność dla maszyn wirtualnych VMware, maszyn wirtualnych Microsoft Azure oraz obciążeń AWS EC2 i EBS. Druva podaje, że jest dostępna w ramach oferty Premium Security i wymaga aktywacji przez opiekuna konta lub zgłoszenie do wsparcia.

Firma opisuje tę funkcję jako bezagentową, ponieważ działa ona w architekturze chmurowych kopii zapasowych Druva. Klienci nie potrzebują kolejnego lokalnego agenta wykrywania ani oddzielnego urządzenia skanującego.

Ta architektura ma znaczenie podczas incydentu. Narzędzia endpointowe mogą zostać wyłączone, zmanipulowane lub odizolowane od zespołu odzyskiwania. Telemetria kopii zapasowych pozostaje odrębnym źródłem informacji o tym, co stało się z chronionymi danymi.

Funkcja nie zapobiega jednak początkowemu uzyskaniu dostępu ani nie zatrzymuje ransomware przed jego uruchomieniem. Jej wartość zaczyna się po tym, gdy podejrzane zachowanie dotrze do chronionych danych i stanie się widoczne w migawkach kopii zapasowych.

Ta węższa rola jest istotna. Wykrywanie ransomware Druva to przede wszystkim funkcja dostarczania dowodów i odzyskiwania, a nie zamiennik ochrony endpointów, tożsamości, poczty e-mail czy sieci.

Ransomware wspierane przez AI zwiększa koszt niepewności

AI zmienia rywalizację z ransomware, zwiększając szybkość i różnorodność ataków, podczas gdy obrońcy nadal potrzebują wiarygodnych dowodów przed przywróceniem systemów produkcyjnych.

Opisywane wdrożenie przedstawia produkt w kontekście napastników wykorzystujących AI do testowania większej liczby ścieżek i szybszego zmieniania taktyki. Skradzione poświadczenia również sprawiają, że złośliwe działania mogą przypominać legalną aktywność użytkownika.

Nie oznacza to, że każdy ładunek ransomware działa autonomicznie. AI może wspierać kilka elementów operacji, nie kontrolując całego ataku. Może usprawniać phishing, generować skrypty, przyspieszać rozpoznanie lub pomagać operatorowi dostosować się do środowiska celu.

Badanie Proofpoint dotyczące ransomware w erze AI wykazało, że 65 procent ankietowanych ofiar ransomware uważało, iż AI zwiększyła skuteczność ataku. To samo badanie wskazało, że 47 procent incydentów rozpoczęło się od złośliwego linku.

Liczby te podkreślają problem tożsamości stojący za odpowiedzią Druva. Wiele ataków zaczyna się od działania, które początkowo wygląda na autoryzowane, na przykład od otwarcia linku przez użytkownika lub użycia prawidłowych poświadczeń przez intruza.

Gdy dostęp wygląda na legalny, pojedyncze sygnały bezpieczeństwa stają się trudniejsze do interpretacji. Zmieniona polityka, nowe uprawnienie lub nieznane połączenie aplikacji może być normalnym działaniem administracyjnym. Może też oznaczać przygotowanie do ruchu bocznego lub utrzymania dostępu.

Tradycyjne wykrywanie anomalii pozostaje użyteczne, ponieważ zawęża obszar poszukiwań. Zespoły bezpieczeństwa nadal muszą jednak zdecydować, czy alert oznacza atak, które systemy zostały dotknięte i kiedy środowisko było ostatnio godne zaufania.

Zespoły odzyskiwania stają przed dodatkowym problemem. Najnowsza kopia zapasowa nie jest automatycznie najlepszym punktem odzyskiwania. Jeśli napastnik utrzymywał dostęp przez wiele dni, ostatnie migawki mogą zawierać skompromitowane dane lub złośliwe zmiany.

Przywrócenie zainfekowanej migawki może ponownie uruchomić incydent. Wybór niepotrzebnie starej migawki może prowadzić do utraty legalnej aktywności biznesowej. Właściwy punkt odzyskiwania leży między tymi rezultatami, a jego wskazanie wymaga czegoś więcej niż zielonego statusu zadania kopii zapasowej.

Druva argumentuje, że lata telemetrii kopii zapasowych mogą zapewnić stabilniejszą podstawę tej decyzji. Historyczne migawki pokazują zmiany zachodzące w czasie, a analiza kryminalistyczna plików może sprawdzać, czy przypominają one szyfrowanie.

Dlatego ransomware wspierane przez AI wywiera presję na dostawców kopii zapasowych, a nie tylko na tradycyjne firmy z branży bezpieczeństwa. Klienci coraz częściej oczekują, że chronione dane będą wspierać dochodzenie, walidację i skoordynowane odzyskiwanie.

Rubrik, Cohesity, Commvault i Veeam również pozycjonują ochronę danych jako element cyberodporności. Porównanie dostawców przygotowane przez Gartner wymienia kilka z tych produktów jako alternatywy w tej samej kategorii zakupowej.

Konkurencja przesuwa się od pytania, czy platforma przechowuje niezmienne kopie, do pytania, co potrafi udowodnić na ich temat. Kupujący chcą wiedzieć, czy dane są czyste, które tożsamości były zaangażowane oraz jak szybko można wznowić działalność.

Odpowiedź Druva odzwierciedla tę zmianę. Jej AI nie jest przedstawiana jako ogólny asystent bezpieczeństwa. Zastosowano ją do konkretnej decyzji, w której błędy są kosztowne: ustalenia, czy chronione dane zostały dotknięte przez ransomware.

Wykrywanie ransomware Druva przekształca sygnały w dowody na potrzeby odzyskiwania

Dwustopniowa konstrukcja ma znaczenie, ponieważ oddziela szerokie behawioralne przesiewanie od bardziej rygorystycznych dowodów potrzebnych do autoryzacji odzyskiwania.

Na pierwszym etapie szerokie wykrywanie jest zaletą. Model może skanować pod kątem zmienionych rozszerzeń, pozostawionych artefaktów, masowej zmiany nazw oraz podejrzanych przekształceń plików. Wzorce te mogą ujawniać znane ransomware i jego warianty bez ustalonej sygnatury.

Ta szerokość tworzy również niejednoznaczność. Wiele legalnych obciążeń generuje duże lub nietypowe zmiany. Systemy deweloperskie tworzą nieznane typy plików, procesy baz danych przepisują duże zbiory danych, a migracje mogą przypominać masową modyfikację.

Drugi etap jest odpowiedzią Druva na tę niejednoznaczność. Ocena dotyczy tego, czy pliki wykazują cechy zgodne z szyfrowaniem lub manipulacją strukturą. System następnie przedstawia wskaźniki uzasadniające alert.

Druva nazywa to wyjaśnialnymi dowodami. W praktyce administrator powinien widzieć, dlaczego platforma eskalowała migawkę, zamiast otrzymać jedynie ocenę ryzyka.

To rozróżnienie może usprawnić współpracę między zespołami operacji bezpieczeństwa a administratorami kopii zapasowych. Analitycy bezpieczeństwa rozumieją podejrzewany atak, a zespoły kopii zapasowych znają dostępne punkty przywracania. Obie grupy potrzebują wspólnego zapisu przed podjęciem działania.

Proces zaczyna się od wykrycia, lecz kończy decyzją o odzyskiwaniu. Wyjaśnienie produktu Druva dzieli ten proces na wykrywanie behawioralne, walidację kryminalistyczną i cyberodzyskiwanie.

Po potwierdzeniu prawdopodobnego wpływu platforma prezentuje ustalenia w narzędziach odzyskiwania. Zespoły mogą przejrzeć dowody, wybrać migawkę sprzed infekcji, przeskanować proponowany punkt przywracania, a następnie przejść do odtwarzania.

Jest to bardziej użyteczne niż alert kończący się na komunikacie „coś się zmieniło”. Łączy diagnozę z operacyjnym zadaniem przywrócenia systemów do działania.

Mimo to wynik modelu zależy od danych widocznych w środowisku Druva. Nie może odtworzyć zdarzeń, które nigdy nie zostały zarejestrowane, ani zagwarantować, że każda złośliwa zmiana pozostawi rozpoznawalne dowody.

Wykrywanie szyfrowania obejmuje też tylko część współczesnego ransomware. Atakujący mogą kraść dane, niszczyć tożsamości, zmieniać polityki dostępu lub ustanawiać trwały dostęp przed zaszyfrowaniem czegokolwiek. Niektóre kampanie wymuszeń mogą w ogóle nie szyfrować danych.

Druva częściowo wypełnia tę lukę istniejącymi usługami. Threat Watch skanuje pod kątem znanych wskaźników kompromitacji. Data Anomaly Detection oznacza nietypową aktywność danych, a zarządzane wykrywanie i reagowanie monitoruje zagrożenia administracyjne oraz działania destrukcyjne.

Nowa funkcja znajduje się między tymi narzędziami. Jest bardziej szczegółowa niż ogólne wykrywanie anomalii, ale nie zastępuje szerszego dochodzenia w sprawie incydentu. Jej zadaniem jest walidacja wpływu ransomware i wsparcie bezpieczniejszego wyboru przywracania.

Firma deklaruje „niemal zerową” liczbę fałszywych trafień, jednak twierdzenie to wymaga niezależnych testów w zróżnicowanych środowiskach klientów. Skuteczność pod względem fałszywych alarmów często zmienia się zależnie od rodzaju obciążenia, wolumenu danych i lokalnych wzorców operacyjnych.

Ograniczona dostępność daje Druva kontrolowany okres na taką walidację. Oznacza również, że początkowe ogłoszenie opisuje rozwijającą się funkcję, a nie uniwersalnie wdrożoną funkcję produkcyjną.

Dla nabywców korporacyjnych pytanie oceniające jest konkretne. Czy Druva potrafi konsekwentnie odróżniać złośliwe szyfrowanie od legalnych zmian o dużej skali bez opóźniania odzyskiwania?

Ta miara ma większe znaczenie niż sama obecność AI. Skuteczny model musi skracać czas dochodzenia, zachowując jednocześnie wystarczającą ilość dowodów, aby osoba reagująca mogła zakwestionować jego wniosek.

Dru MetaGraph rozszerza dochodzenie o tożsamość

Dowody z plików mogą pokazać, co ransomware uszkodziło, ale kontekst tożsamości jest potrzebny, aby wyjaśnić, jak atakujący do tego dotarł.

Druva łączy swój potok wykrywania zagrożeń z Dru MetaGraph, warstwą analityczną łączącą kontekst tożsamości, aktywności i danych. System obejmuje konta ludzkie i tożsamości nieludzkie, w tym tożsamości usługowe oraz agentów AI.

Wyznacza relacje między Microsoft Entra ID, Active Directory i Okta. Druva twierdzi, że umożliwia to zespołom reagującym analizowanie w czasie zmian dotyczących uprawnień, aplikacji, zasad i tożsamości.

Graf jest użyteczny, ponieważ atak rzadko składa się z pojedynczego, odizolowanego zdarzenia. Intruz może zdobyć dane uwierzytelniające, podnieść uprawnienia, ustanowić trwały dostęp, przemieszczać się między systemami, a następnie wpłynąć na chronione dane.

Płaska lista alertów zmusza analityków do ręcznego składania tych relacji. Dru MetaGraph ma na celu przedstawienie ścieżki jako połączonej sekwencji, wraz z prawdopodobnym zakresem skutków wokół przejętej tożsamości.

Druva twierdzi, że mapuje zaobserwowane zachowania na bazę wiedzy ATT&CK. MITRE ATT&CK porządkuje rzeczywiste zachowania przeciwników według taktyk i technik, zapewniając zespołom bezpieczeństwa wspólny język prowadzenia dochodzeń.

Mapowanie może pomóc odróżnić cel stojący za poszczególnymi zdarzeniami. Zmiana uprawnień może oznaczać eskalację przywilejów, a nowy mechanizm uwierzytelniania może wspierać trwałość dostępu.

Druva twierdzi, że jego widok kontekstowy może skrócić dochodzenia z dni do godzin. Pozostaje to deklaracją firmy, a materiały publiczne nie przedstawiają szerokiego, niezależnego benchmarku potwierdzającego takie skrócenie czasu.

Istotniejszym wyborem projektowym jest połączenie historii tożsamości z historią kopii zapasowych. Alert na poziomie pliku może wskazać podejrzane szyfrowanie, a rejestry tożsamości mogą pokazać, w jaki sposób atakujący dotarł do objętego wpływem zasobu.

Razem te warstwy mogą pomóc ustalić stan sprzed ataku. Osoba reagująca musi zidentyfikować czyste dane, ale również godne zaufania konta, uprawnienia i zasady.

Przywrócenie plików bez usunięcia trwałego dostępu pozostawia atakującemu drogę powrotu do środowiska. Zresetowanie kont bez sprawdzenia danych może z kolei przywrócić użytkownikom uszkodzone lub zaszyfrowane systemy.

Druva twierdzi, że jego system może wygenerować dopasowany plan odzyskiwania. Plan ten identyfikuje objęte wpływem obiekty, rekomenduje działania i wskazuje czyste migawki. Każda rekomendacja nadal wymaga przeglądu operacyjnego.

To tworzy najbardziej wyrazisty argument konkurencyjny Druva. Platforma kopii zapasowych SaaS już przechowuje dane historyczne z wielu punktów odzyskiwania. Dodanie relacji tożsamości może przekształcić te migawki w chronologię analizy po naruszeniu.

Ta sama architektura rodzi pytania dotyczące zarządzania. Grafy tożsamości zawierają wrażliwe informacje o kontach, przywilejach, aplikacjach i zachowaniach. Klienci muszą rozumieć granice gromadzenia danych, okresy retencji, mechanizmy kontroli dostępu oraz zasady przetwarzania regionalnego.

Agenci AI czynią tę kwestię jeszcze pilniejszą. Tożsamości nieludzkie mogą działać nieprzerwanie, łączyć się z wieloma aplikacjami i otrzymywać przywileje, które trwają dłużej niż zadanie, dla którego je utworzono.

Zespoły bezpieczeństwa muszą odróżniać legalne zautomatyzowane działanie od sytuacji, w której atakujący nadużywa tej tożsamości. Graf Druva może dostarczać kontekstu, lecz sam kontekst nie eliminuje potrzeby stosowania kontroli tożsamości i ludzkiego osądu.

Istotna rywalizacja nie toczy się więc wyłącznie między Druva a ransomware. Dotyczy odzyskiwania opartego na dowodach w zestawieniu z rozproszonym procesem reagowania, w którym zespoły bezpieczeństwa, tożsamości i kopii zapasowych widzą różne fragmenty incydentu.

Trudnym Testem Jest Zaufanie, Nie Liczba Alertów

Druva musi udowodnić, że jego dowody pozostają wiarygodne w złożonych środowiskach, wobec ukrytych ataków i podczas incydentów, które nie przebiegają według schematu „najpierw szyfrowanie”.

Najmocniejszą obietnicą produktu jest precyzja. Druva twierdzi, że wieloetapowa walidacja może odfiltrować fałszywe sygnały i dostarczać potwierdzone dowody. Ta obietnica zasługuje na uważną analizę, ponieważ decyzje o odzyskiwaniu mogą wpływać na całą firmę.

Fałszywie pozytywny wynik może poddać kwarantannie czystą migawkę lub opóźnić przywracanie. Fałszywie negatywny wynik może oznaczyć naruszone dane jako bezpieczne i przywrócić złośliwe zmiany do środowiska produkcyjnego.

Ryzyko rośnie, gdy atakujący dostosowują się do detektora. Przeciwnik rozumiejący typowe wskaźniki ransomware może unikać not okupu, spowalniać zmiany w plikach albo szyfrować wybrane zasoby poniżej oczekiwanych progów.

AI może przyspieszyć takie dostosowanie, generując warianty i testując zachowania. Modele defensywne muszą zatem ewoluować, nie stając się jednocześnie na tyle czułe, by zwykłe operacje stale wywoływały eskalacje.

Druva twierdzi, że jego wykrywanie poprawia się dzięki telemetrii, analizie zagrożeń i ciągłemu udoskonalaniu modeli. Klienci powinni pytać, jak testowane są te aktualizacje i czy zmiany modeli wpływają na spójność alertów.

Powinni także analizować dowody przedstawiane dla każdego wniosku. Czytelne wyjaśnienie jest cenniejsze niż ogólny wskaźnik pewności, szczególnie podczas odzyskiwania danych pod dużą presją.

Kolejnym ograniczeniem jest zakres obsługiwanych środowisk. Początkowa wersja o ograniczonej dostępności obsługuje VMware, maszyny wirtualne Azure oraz AWS EC2 i EBS. Organizacje często przechowują krytyczne dane w aplikacjach SaaS, na urządzeniach końcowych, w bazach danych, kontenerach i systemach fizycznych.

Druva oferuje inne zabezpieczenia dla części tych środowisk, ale nowa dwuetapowa funkcja ransomware nie zaczyna od uniwersalnego pokrycia. Nabywcy powinni oddzielić szersze portfolio platformy od bieżącej listy obsługiwanych środowisk tej funkcji.

Istnieje także kwestia czasu. Analiza oparta na kopiach zapasowych widzi dane w rytmie ustalonym przez proces ochrony. Kontrola bezpieczeństwa działająca na aktywności produkcyjnej może obserwować zdarzenia wcześniej, podczas gdy analiza kopii zapasowych oferuje separację i kontekst historyczny.

Obie role się uzupełniają. Kontrole punktów końcowych i tożsamości mogą pomóc zatrzymać lub ograniczyć atak. Kryminalistyka kopii zapasowych może zweryfikować szkody i wesprzeć bardziej świadomy powrót do działania.

Żaden dostawca nie powinien przedstawiać tej relacji jako fałszywego wyboru. Analiza odzyskiwania nie eliminuje potrzeby zapobiegania, monitorowania, segmentacji, reagowania na incydenty ani przetestowanych planów ciągłości działania.

Twierdzenia konkurencyjne wymagają podobnej ostrożności. Rubrik, Cohesity, Commvault i Veeam opisują możliwości wykrywania i czystego odzyskiwania, wykorzystując różne architektury. Porównania marketingowe rzadko odtwarzają rzeczywiste obciążenia lub ograniczenia odzyskiwania występujące u klienta.

Nabywcy potrzebują testów opartych na scenariuszach. Użyteczna ocena obejmowałaby reprezentatywne migawki zawierające podejrzane zmiany plików, łagodne operacje masowe oraz kontrolowane szyfrowanie. Zespoły mogłyby następnie porównać jakość wykrywania, wyjaśnienia i czas przywracania.

Powinny one uwzględniać także kompromitację tożsamości. Test powinien ustalić, czy platforma łączy zmiany przywilejów, trwały dostęp, ruch boczny i uszkodzone dane w użyteczną sekwencję odzyskiwania.

Liczy się również użyteczność operacyjna. Dowody, które potrafi zinterpretować wyłącznie specjalista, nie pomogą mniejszemu zespołowi podczas nocnego incydentu. Alerty muszą kierować działaniem, nie ukrywając niepewności.

Ogłoszenie Druva przedstawia wiarygodny mechanizm ograniczania zgadywania, ale nie rozstrzyga kwestii weryfikacji. Rzeczywiste wdrożenia muszą pokazać, jak często system ma rację, czego nie wykrywa i jak szybko zespoły mogą podjąć działanie.

Co Powinni Obserwować Nabywcy Korporacyjni

Kolejne dowody powinny wynikać z szerszej dostępności, niezależnych wyników wykrywania i ćwiczeń odzyskiwania prowadzonych przez klientów, a nie z dodatkowego brandingu AI.

Pierwszym sygnałem jest przejście od ograniczonej dostępności do szerokiego dostępu produkcyjnego. Druva powinno wyjaśnić, kiedy większa liczba klientów będzie mogła włączyć tę funkcję oraz czy obsługiwane środowiska rozszerzą się poza początkowy zakres obejmujący chmurę i maszyny wirtualne.

Szersza dostępność wzmocniłaby narrację o produkcie tylko wtedy, gdy wydajność pozostanie spójna w zróżnicowanych zbiorach danych. Opóźnienia lub wąski zakres sugerowałyby, że precyzję kryminalistyczną trudniej uogólnić, niż wynika z komunikatu premierowego.

Drugim sygnałem jest niezależna walidacja. Nabywcy potrzebują zmierzonych wyników fałszywie pozytywnych i fałszywie negatywnych, wraz z rezultatami dotyczącymi czasu odzyskiwania z realistycznych symulacji.

Użyteczny benchmark powinien uwzględniać łagodne zmiany masowe, znane ransomware, nieznane warianty, powolne szyfrowanie oraz ataki zmieniające tożsamość przed dotknięciem plików. Powinien również wyjaśniać zastosowany zbiór danych i progi decyzyjne.

Niezależne dowody wzmocniłyby twierdzenie Druva, że dwuetapowa analiza zapewnia wiarygodne potwierdzenie. Wyniki wskazujące na konieczność znacznego ręcznego przeglądu osłabiłyby tezę, że system zastępuje niepewność jasnymi dowodami na potrzeby odzyskiwania.

Trzecim sygnałem jest wdrożenie przez klientów w rzeczywistych przepływach reagowania na incydenty. Najważniejsze pytanie brzmi, czy zespoły bezpieczeństwa i kopii zapasowych wykorzystują te same dowody, aby podjąć szybszą i bezpieczniejszą decyzję.

Relacje klientów powinny opisywać, jak system zidentyfikował migawki objęte wpływem, wybrał punkt sprzed ataku, zweryfikował proponowane przywrócenie i obsłużył przejęte tożsamości. Ogólne stwierdzenia o poprawionej odporności nie odpowiedzą na to pytanie.

Reakcje konkurentów również zasługują na uwagę, lecz liczba funkcji nie powinna dominować w porównaniu. Istotniejszym testem jest to, czy inna platforma zapewnia wyraźniejsze dowody, szerszy kontekst lub szybsze zweryfikowane odzyskiwanie.

Wykrywanie ransomware przez Druva pojawia się w chwili, gdy AI przyspiesza zarówno aktywność atakujących, jak i analizę defensywną. Jego dwuetapowa architektura daje AI ograniczone zadanie: szeroko przesiewać, dogłębnie walidować i łączyć ustalenia z odzyskiwaniem.

To rozsądne podejście. Nierozstrzygnięte pozostaje pytanie, czy Druva zdoła utrzymać tę precyzję, gdy środowiska klientów, metody atakujących i relacje tożsamości staną się bardziej złożone.

Liderzy bezpieczeństwa oceniający tę funkcję powinni przeprowadzić jedno wymagające ćwiczenie. Należy przekazać platformie mieszany zestaw czystych, nietypowych i złośliwych migawek, a następnie poprosić zespół reagowania o odzyskanie bez wskazówek dostawcy. Jeśli dowody wspierają właściwą decyzję pod presją, odpowiedź AI Druva ma praktyczną wartość. Jeśli zespół nadal ręcznie odtwarza przebieg incydentu, produkt ma jeszcze wiele do udowodnienia.