Гостевой блог Бобби Сингха, директора по информационной безопасности и глобального руководителя отдела инфраструктурных услуг Фондовой биржи Торонто.
Искусственный интеллект (ИИ) и машинное обучение (МО) — горячие темы в сфере кибербезопасности. Но что они предлагают? Какие недостатки необходимо преодолеть? И что мы должны знать, когда мы ищем решения для обеспечения безопасности, которые будут использовать AI и ML в будущем?
Прежде чем перейти к этим вопросам, я хотел бы дать несколько рабочих определений. Я рассматриваю ИИ и машинное обучение как разные дисциплины. Машинное обучение является частью ИИ, но оно основано на анализе исторических данных. Например, в случае мониторинга поведения сотрудников, если сотрудник просматривает веб-сайты по подбору персонала на работе, обновляет свое резюме и опаздывает на работу, это шаблоны, которые машинное обучение сможет обнаружить и идентифицировать как подозрительные. Анализируя модели поведения сотрудников и сопоставляя их с их последующими решениями покинуть компанию, машинное обучение, как правило, может выдавать предупреждение о том, что «этот сотрудник потенциально может сбежать».
Для сравнения, искусственный интеллект будет общим решением проблем, которое имитирует решение проблем человеком. ИИ может представлять собой глубокое обучение с использованием множества нейронных сетей для решения сложных проблем или принятия простых решений, основанных на здравом смысле. Примером такого решения проблем может быть то, что сделали братья Райт во время своего первого полета. Они использовали метод проб и ошибок и решили проблему полета инновационным способом, используя невиданный ранее подход. Но мы далеки от создания такой системы ИИ.
Где мы сейчас? AI и ML в кибербезопасности сегодня
В настоящее время в сфере решений для кибербезопасности доминирует машинное обучение. Как директор по информационной безопасности я вижу поставщиков, предлагающих решения, основанные на анализе исторических моделей. Эти решения используют прошлые атаки в качестве основы для анализа текущих данных с целью определения модели атаки. В этом отношении машинное обучение дает преимущества. Если вы ищете иголку в стоге сена, это позволит вам найти ее самым быстрым и эффективным способом. Но это предполагает, что вы ищете иголку — определенный исторический образец или определенный критерий.
Конечно, в кибератаках нет правил, и то, что у нас есть текущие решения, основанные на исторических шаблонах, не означает, что будущие атаки будут следовать этим шаблонам. Способные плохие актеры играют не по правилам. Они могут получить информацию о специфике нашего решения безопасности путем разведки или от скомпрометированных инсайдеров и могут атаковать системы, используя слепые зоны. В качестве альтернативы они могут манипулировать конфигурацией инструментов безопасности машинного обучения, используя специализированное вредоносное ПО или скомпрометированных инсайдеров, чтобы создавать бреши в защите кибербезопасности. Даже если у организации есть достойное решение для машинного обучения, ей не следует расслабляться. Человеческий интеллект злоумышленников, а также человеческие слабости внутри организации, такие как отсутствие процессов или, в крайнем случае, инсайдерское сотрудничество с злоумышленниками, всегда будут слабым местом, которое можно использовать для поражения любой «искусственно интеллектуальной» системы безопасности.
Машинное обучение — это решение?
Я бы сказал, что машинное обучение — это часть ответа, но не полный ответ. Позвольте мне немного пояснить это. Прежде всего, я сомневаюсь, что мы когда-нибудь сможем найти пуленепробиваемое решение для кибербезопасности. Всегда будут человеческие, технологические и технологические уязвимости как в технологиях, так и в системах безопасности, которые мы даже не можем предсказать, не говоря уже об устранении. Было бы нереально ожидать совершенства, а искусственный интеллект, как и человеческий, всегда будет несовершенным.
Учитывая это отсутствие правил в мире кибератак, задача машинного обучения непроста. Мы пытаемся определить правила, которым должно следовать машинное обучение, но злоумышленники не играют ни по каким правилам. Мы должны остерегаться чрезмерной зависимости от машинного обучения, веры в то, что оно защитит нас от всего, что, как мы думаем, могут использовать злоумышленники. Машинное обучение никогда не уловит все аномалии или новые векторы атак, которые кто-то извне может попытаться внедрить в организацию. Давайте не будем переоценивать концепцию машинного обучения в решениях по кибербезопасности. Если мы признаем, что работаем в системе, в которой нет никаких правил, имеет ли смысл использовать определенные критерии при настройке машинного обучения?
Также важно, чтобы машинному обучению не давали столько доступа, чтобы оно делало что-то, что могло бы иметь негативные последствия. В определенных случаях использования, например, когда можно управлять последствиями неправильной работы, машинное обучение можно автоматизировать. Но в других ситуациях, например, при появлении нового шаблона атаки, машина не должна принимать решения. Скорее, он должен посылать предупреждения, чтобы эксперт-человек мог действовать.
Я не против искусственного интеллекта и машинного обучения. Они здесь, и они могут помочь нам стать лучше. Но мы не готовы отказаться от человеческого вмешательства, потому что машины еще недостаточно умны. Может ли это измениться в ближайшие несколько лет? Возможно.
Что нам делать дальше?
Так, где это оставляет нас? жизненно важно, чтобы мы уделяли внимание основам безопасности — гигиене мира кибербезопасности. Например, исправления или пробелы, возникающие в результате отсутствия исправлений, — это гигиенические исправления, которые мы должны выполнить, чтобы свести к минимуму уязвимости и воздействие. Это не требует передовых навыков или большого количества исследований и разработок. Это основные вещи, которые мы все должны делать в нашем пространстве, чтобы защитить его. С другой стороны, хакеры не станут использовать изощренные атаки, если им известны незакрытые уязвимости, которые можно легко использовать.
На втором уровне мы должны максимально использовать AI/ML для автоматизации защиты от известных сценариев атак. Там мы должны объединить четкие правила бизнеса и технологий и дополнить экспертов по безопасности машинным обучением. Мы можем внедрить явные экспертные правила, которые предотвращают запрещенные бизнесом или подозрительные действия. Например, транзакция, превышающая дневной лимит клиентов, или доступ пользователя к системе с двух континентов в течение короткого периода времени, или деловое административное действие, происходящее вне диапазона ожидаемых рабочих часов, могут быть полностью предотвращены системой с использованием явных правила.
Наконец, человеческий интеллект профессионалов в области безопасности остается нашей последней и самой важной линией обороны. Мы должны знать, что любая система безопасности AI / ML будет иметь слепые зоны, точки, которые мы не отслеживаем. Более того, любая система безопасности потенциально может быть обманута разумным и превосходным злоумышленником. Однако в этот момент специалистам по безопасности людей будет намного легче работать, поскольку огромное количество известных атак уже будет отражено мощной защитой AI / ML.
Загрузите книгу CLX Forum, Canadian Cybersecurity 2018: Anthology of CIO/CISO Enterprise-Level Perspectives:http://www.clxforum.org/
