Ramutė Varnelytė, IPXO:n toimitusjohtaja – Haastattelusarja

Ramutė Varnelytė, IPXO:n toimitusjohtaja, tuo yli 15 vuoden kaupallisen johtamiskokemuksen ja nimitettiin johtamaan yritystä alkuvuonna 2025. Tehtävässään hän ajaa strategista kasvua, operatiivista erinomaisuutta ja markkinasijoittumista, varmistaen, että IPXO pysyy innovaatioiden kärjessä IP-osoitteen vuokrauksessa ja hallinnassa.

IPXO, lyhenne sanoista Internet Protocol Exchange Organization, perustettiin vuonna 2021 ratkaisemaan globaalia IPv4-pulaa luomalla dynaaminen vuokraus- ja rahastusjärjestelmä. Se on kasvanut maailman suurimmaksi täysin automaattiseksi IP-osoitteen vuokrausmarkkinaksi. Alusta tukee miljoonia IP-osoitteita maailmanlaajuisesti, vahvassa yhteistyössä alueellisten internet-rekisterien kanssa ja tehtävänään on rakentaa yhtenäinen, tehokas IP-ekosysteemi.

Keskustelemme siitä, miten IPXO käyttää käyttäytymiseen perustuvaa riskiprofilointia ja koneoppimista erottamaan hyväksyttävän AI-automatisoinnin ja pahantahtoisen bottitoiminnan. Keskustelu käy läpi AI-välikäsien nousua internet-liikenteessä, ISP:n kyberTurvallisuushaasteita ja strategioita turvallisuuden ja operatiivisen tehokkuuden tasapainottamiseksi.

Mitä trendejä johtivat siihen, että AI-välikädet – eivät pelkästään skräppibotit – hallitsevat nyt liikenteen malleja monissa organisaatioissa?

Botit ovat joka paikassa, ylittäen merkittävästi ihmisten liikenteen. Yli kolmannes bottiliikenteestä koostuu niin sanotuista “pahasta” bottiosuudesta, joka osallistuu paljolti pahantahtoiseen toimintaan. Trendi on selvä erilaisissa tapahtumaraporteissa: kun yritykset tutkivat epätavallista tai vahingollista liikennettä, outoja piikkejä API-käytössä tai muita epäsäännöllisyyksiä, todisteet osoittavat, että monista näistä automaattisista järjestelmistä käyttäytyy enemmän kuin AI-välikädet, koska ne esittävät eri selaimia tai laitteita (user-agent-väärinkäyttö), vaihtavat nopeasti IP-osoitteita (nopea IP-kierto), ovat epäjohdonmukaisia verrattuna tyypilliseen skräppibottitoimintaan, ja niin edelleen. Periaatteessa, liikenteen valtava määrä sekä toiminnan lisääntynyt monimutkaisuus osoittavat AI-välikädet, eivät pelkästään yksinkertaisia botteja.

Mitä käyttäytymisen signaaleja käytetään IP-riskiprofiilien rakentamiseen – kuten pyynnön tiheyttä, otsikkoja tai maantieteellisiä malleja?

On mahdollista arvioida IP-osoitteen “maineindeksi” ilman, että tarkastellaan itse pyyntöjen sisältöä, vaan vain havainnoimalla, miten se käyttäytyy verkossa. Nämä epäsäännölliset mallit ovat “sisältöägnostisia”, mikä tarkoittaa, että et tarvitse itse dataa. Metatietoja ja tiettyä käyttäytymistä riittää arvioimaan IP-osoitteen riskiprofiilia. Tämä toimii myös suuressa mittakaavassa, koska epäilyttävä käyttäytyminen ei piiloudu modernin salaamisen, kuten TLS 1.3 tai ECH, takana. On edelleen melko paljon havaittavissa olevaa dataa, jota ei salata.

Miten järjestelmänne erottaa hyväksyttävän AI-automatisoinnin ja pahantahtoisen toiminnan, kuten skräppibotit, botnetit tai tunnistetietojen täyttäminen – erityisesti ilman pyynnön sisällön tarkastelua?
Se on tärkeää tarkastella, miten automaatio käyttäytyy tietyn ajanjakson aikana, ei vain mitä sisältöä se pyytää. “Hyvät” botit ovat yleensä erittäin ennustettavissa, niillä on tietty rakenne ja askel, joita seuraa. Pahantahtoiset botit taas usein hyppäävät epävakaiden, käyttävät yksinkertaisia tunnisteita, pitävät jäykän “koneenomaisen” vauhtia ja jakavat pyynnöt useille palvelimille välttääkseen havaitsemisen. Se kiteytyy laajennettuun käyttäytymismalliin, arvioimaan, miten se liikkuu sivustolla ajan myötä.

Voitko selittää, miten nykyiset ISP:t kamppailevat kasvavan proxy-liikenteen kanssa ylläpitäen vahvoja puolustuksia kyberhyökkäyksiä vastaan?

Modernit protokollat piilottavat enemmän yhteysyksityiskohtia lisäämällä yksityisyyttä, joten on vaikeampaa ja kalliimpaa ISP:lle arvioida liikenteen tyyppiä ja luokitella sitä oikein. Koska on vaikeampaa nähdä, mitä sisällä on, ISP:t luottavat enemmän liikenteen käyttäytymiseen, ei sisältöön. Kamppailu piilee pakotetuissa muutoksissa, joissa ne muuttavat tapojaan luopumalla liikenteen tarkastelusta, mikä on nostanut operatiivisia kustannuksia, ja integroimalla uusia uhkatietojärjestelmiä sopeutumaan uuteen lähestymistapaan.

Mitkä ovat kyberTurvallisuuden vastakaupat, joita ISP:t kohtaavat, jos ne löysäävät rajoituksia AI-välikäden liikenteen sallimiseksi?

Löysäämällä suodattimia voidaan vähentää vääräpositiivisia ja kitkaa, jotta agentit voivat suorittaa tehtäviä sujuvasti. Mutta tämä voi myös potentiaalisesti lisätä uhkia ja hyökkäyksiä, koska “pahasta” bottiosuudesta jo muodostuu merkittävä osa liikenteestä. Löysämmät suodattimet tarkoittavat suurempia riskejä. Yksi tapa löytää kompromissi näiden kahden välillä voisi olla riskipainotettu portti. Esimerkiksi, jos on epäilyttävää liikennettä, ensimmäinen askel voisi olla hidastaa sitä, sen sijaan, että estetään se kokonaan. Monitahoisempia ohjaustoimia on asennettava.

Mitkä ydinTeknologiat voimaavat reaaliaikaisen riskiarvostelun – käytättekö koneoppimista, uhkatietojärjestelmiä tai poikkeavanomaliadetektointia?

Käytämme terveen sekoitusta live-dataa seuraamisesta ja arvioimisesta, koneoppimisesta ja erilaisista uhkatietojärjestelmistä. Tavoitteena on nopeasti havaita mitkä tahansa epäsäännöllisyydet käyttäytymisessä, ymmärtää liikenteen tarkoitus ja onko syitä uskoa, että se on vahingollista; jos on, merkitä korkeat riskitapaukset ja toimia sen mukaan.

Miten järjestelmänne integroituu olemassa oleviin ISP- tai yrityksen SOC-työkulkuihin – voi se laukaista hälytyksiä tai toimenpiteitä automaattisesti?

Kyllä, järjestelmämme sekä lähettää hälytyksiä olemassa oleviin työkulkuun että estää tiettyjä uhkia verkkotasolla. Se voi toimia eri tiloissa, riippuen riskitoleranssista.

Onko tämä profilointijärjestelmä paljastanut yllättäviä hyökkäysmalleja tai väärinkäytön tapauksia varhaisessa testauksessa tai käyttöönotossa?

Kyllä, on ollut useita. Yksi esimerkki alanlaajuisesti voisi olla “hallusinaatiokräppäykset”, kun LLM:t keksivät olemattomia URL-osoitteita ja yrittävät hakea niitä. Tai äkillisiä pyyntöjen nousuja, toistuvia tarkalleen samassa aikavälissä, kuten 15 minuutin tai tunnin välein. Kaikki nämä mallit ovat meille hyödyllisiä jatkaaksemme käyttäytymisen seuraamista ja vähentääksiemme vääräpositiivisia.

Mitkä ovat yksityisyyden ja turvallisuuden seuraukset rakentamisesta käyttäytymiseen perustuvia profiileja ilman salattujen sisältöjen tarkastelua – erityisesti globaaleissa tietosuojalaeissa?

Käyttäytymiseen perustuva metadata voidaan pitää henkilökohtaisena datana, mutta on poikkeuksia, esimerkiksi, jos etu on legitiminen, voidaan sen perustella ja on välttämätöntä turvallisuuden valvontaa varten. Sanottakoon, että etuun pääsyyn ja säilytettävän datan määrä on oltava suhteessa arvioiduille riskeille.

Miten estätte vääräpositiivisia havaintoja, joissa hyväksikäyttöä aiheuttavat automaatiot, kuten tutkimuskräppärit tai valkoiset AI-välikädet, merkitään kyberuhkiksi?

Testaamme uusia suojaustoimia ja sääntöjä ennen niiden käyttöönottoa, arvioimme useita signaaleja ennen toimintaa, käytämme myös pehmeitä haasteita ensin testataksemme liikenteen legitimiyttä, sen sijaan, että estäisimme sen kokonaan. Se on monikerroksinen tarkastuslista, jota jatkuvasti hienosäädetään.

Kiitos haastattelusta, lukijoille, jotka haluavat oppia lisää, kannattaa vierailla IPXO:ssa.