ИИ усиливает кибербезопасность, но человеческий надзор остается необходимым

Когда речь идет о защите компьютеров и информационных систем от кибератак, искусственный интеллект и машинное обучение могут помочь — но они не панацея от растущей проблемы.

Несмотря на текущий ажиотаж вокруг ИИ и его растущую способность превосходить людей на множестве фронтов, это не волшебная пуля для укрепления кибербезопасности, говорит Рэнди Уоткинс, технический директор в Critical Start, Inc.

Сильные и слабые стороны ИИ

ИИ превосходен в управлении огромными объемами данных, включая алерты о возможных нарушениях безопасности. Проблема кроется в том, как он интерпретирует эту информацию.

Алерты адресуются в порядке их поступления. Затем они приоритизируются и оцениваются на предмет соответствующего уровня угрозы. Человеческие аналитики, с глубокими знаниями и опытом бизнеса, хороши в размещении каждого алерта в его правильном контексте. Машины — не так сильно. ИИ-драйвенная система может обнаружить аномальную активность пользователя, но она менее эффективна в определении того, включает ли событие злонамеренный умысел.

«Я не несейер всего ИИ», — говорит Уоткинс, — «но ИИ и машинное обучение не имеют способности применять изобилие рассуждения к тому, что они делают».

Проблема ложных срабатываний

Машины не особенно хороши в минимизации ложных срабатываний. Возьмите PowerShell от Microsoft, популярный фреймворк для автоматизации задач. Машина не может точно определить, должен ли данный пользователь этого инструмента выполнять команду в конкретное время. Аномалия может или не может быть результатом злонамеренной атаки.

Термин «машинное обучение» подразумевает, что система становится лучше с опытом, но Уоткинс говорит, что эта способность ограничена. Обучение алгоритма реагировать правильным образом требует подачи большого количества предыдущих примеров, как хороших, так и плохих. И это всё ещё не решает проблему ложных отрицаний — реальных атак, которые система пропускает. «Вы должны иметь возможность отсекать выбросы, которые будут искажать ваши данные», — говорит Уоткинс.

Контекст и чувствительность

Определение того, является ли событие злонамеренным, не всегда сводится к ответу да или нет. Во-первых, компании должны определить, насколько чувствительными они хотят систему. Должна ли она поднимать тревогу за 100% кажущихся аномальных событий? Как насчет 80%? Слишком много — и вы завалены алертами и потенциальными отключениями системы. Слишком мало — и нарушения, вероятно, проскользнут незамеченными.

«Когда вы вводите больше переменных, вы требуете дополнительные наборы данных, больше контекста о субъекте и поведении [системы]», — отмечает Уоткинс. «Как только вы начинаете вводить эти вопросы, машина разваливается».

Человеческий фактор в оценке рисков

Эффективное обнаружение кибератак зависит от кумулятивного скоринга риска, в чем люди хороши. «Каждый раз, когда мы смотрим на событие, мы решаем, подозрительно ли оно», — говорит Уоткинс. «Но вы также можете применить рассуждение и предыдущие знания о безопасности, которых алгоритмы не имеют.

«Машина может проползть через огромные объемы данных быстро», — продолжает он. «Но дайте ей абстрактную концепцию вроде least privilege и примените к набору алертов — она распознает эскалацию привилегий? Есть много безвредной активности, которая выглядит злонамеренно».

Перспективы и дефицит талантов

Нет сомнений, что машинное обучение будет эволюционировать, даже пока киберворы придумывают новые способы избегать обнаружения. Microsoft сделал шаги к улучшению изощренности автоматизированных систем обнаружения, как и Palo Alto Networks, глобальный лидер в кибербезопасности. «Но в конце дня», — говорит Уоткинс, — «вам всё равно нужен человек, чтобы сказать: „Да, отключи этот домен-контроллер“. Компании постоянно стремятся минимизировать стоимость простоев системы, вызванных ошибочными алертами.

Тем не менее, не хватает человеческих экспертов, чтобы заполнить потребность в кибербезопасности по всем секторам. «Определенно есть нехватка талантов в отрасли», — говорит Уоткинс. Отсюда поворот к внешней поддержке в виде managed detection and response.

Дефицит талантов не новый. «Он существует с тех пор, как существует безопасность», — говорит Уоткинс. Только в последние 10 лет компании и университеты начали пробуждаться к необходимости лучшего обучения и образования будущих экспертов по кибербезопасности.

И людям, и машинам есть куда идти, если они хотят сотрудничать в обеспечении жизненно важных систем против вечно растущей угрозы кибератаки. «Мы начали с нуля, когда нам нужно было быть на 60», — говорит Уоткинс. «Теперь нам нужно быть на 90, а мы на 60».