Przyszłość cyberbezpieczeństwa: AI, automatyzacja i czynnik ludzki

W ciągu ostatniej dekady, wraz z eksplozywnym rozwojem technologii informacyjnych, ciemna rzeczywistość zagrożeń cyberbezpieczeństwa również ewoluowała dramatycznie. Ataki cybernetyczne, które wcześniej były napędzane głównie przez hakujących, szukających sławy lub zysku finansowego, stały się o wiele bardziej złożone i ukierunkowane. Od szpiegostwa sponsorowanego przez państwo po kradzież korporacyjną i tożsamości, motywy za cyberprzestępczością stają się coraz bardziej złowieszcze i niebezpieczne. Chociaż zysk finansowy nadal pozostaje ważnym powodem cyberprzestępczości, został on przysłonięty przez bardziej nikczemne cele, takie jak kradzież krytycznych danych i aktywów. Atakujący cybernetycznie wykorzystują najnowocześniejsze technologie, w tym sztuczną inteligencję, do infiltracji systemów i przeprowadzania działań malwersatywnych. W Stanach Zjednoczonych Federalne Biuro Śledcze (FBI) zgłosiło ponad 800 000 skarg związanych z cyberprzestępczością w 2022 roku, z łącznymi stratami przekraczającymi 10 miliardów dolarów, bijąc rekord z 2021 roku, który wynosił 6,9 miliarda dolarów, według Internet Crime Complaint Center biura.

Ze względu na szybko ewoluujący krajobraz zagrożeń, czas dla organizacji, aby przyjąć wieloaspektowy podejście do cyberbezpieczeństwa. Podejście powinno obejmować sposób, w jaki atakujący uzyskują dostęp; zapobieganie początkowemu naruszeniu; szybkie wykrywanie incydentów; oraz umożliwienie szybkiej reakcji i likwidacji. Ochrona aktywów cyfrowych wymaga wykorzystania mocy sztucznej inteligencji i automatyzacji, jednocześnie zapewniając, że doświadczeni analitycy ludzcy pozostają integralną częścią postawy bezpieczeństwa.

Ochrona organizacji wymaga wielowarstwowej strategii, która uwzględnia różne punkty wejścia i wektory ataku wykorzystywane przez przeciwników. Ogólnie, są one podzielone na cztery główne kategorie: 1) Ataki na sieć i web; 2) Zachowania użytkowników i ataki oparte na tożsamości; 3) Ataki na jednostki, ukierunkowane na środowiska chmury i hybrydowe; oraz 4) Oprogramowanie szkodliwe, w tym oprogramowanie ransomware, zaawansowane i trwałe zagrożenia, oraz inne szkodliwe kod.

Wykorzystanie AI i automatyzacji

Wdrożenie modeli sztucznej inteligencji i uczenia maszynowego (ML) dostosowanych do każdej z tych klas ataków jest kluczowe dla proaktywnego wykrywania i prewencji zagrożeń. Dla ataków na sieć i web, modele muszą identyfikować zagrożenia, takie jak phishing, eksploatacja przeglądarki i ataki typu Distributed Denial-of-Service (DDoS) w czasie rzeczywistym. Analiza zachowania użytkowników i jednostek z wykorzystaniem sztucznej inteligencji może wykryć nietypowe działania wskazujące na naruszenie konta lub nadużycie zasobów systemowych i danych. Wreszcie, analiza oprogramowania szkodliwego z wykorzystaniem sztucznej inteligencji może szybko rozpoznać nowe szczepy, wskazać zachowania malwersatywne i złagodzić wpływ zagrożeń opartych na plikach. Poprzez wdrożenie modeli sztucznej inteligencji i uczenia maszynowego w całym spektrum powierzchni ataku, organizacje mogą znacznie poprawić swoją zdolność do samodzielnego identyfikowania ataków na najwcześniejszych etapach, zanim eskalują w pełnowymiarowe incydenty.

Gdy modele sztucznej inteligencji i uczenia maszynowego zidentyfikują potencjalną działalność zagrożenia w różnych wektorach ataku, organizacje stają przed kolejnym kluczowym wyzwaniem – zrozumieniem częstych alertów i rozróżnieniem krytycznych incydentów od szumu. Z tak wieloma punktami danych i wykryciami, zastosowanie kolejnej warstwy sztucznej inteligencji i uczenia maszynowego do skorelowania i priorytetyzacji najpilniejszych alertów, które wymagają dalszego zbadania i reakcji, staje się kluczowe. Zmęczenie alertami jest coraz bardziej krytycznym problemem, który wymaga rozwiązania.

Sztuczna inteligencja może odegrać kluczową rolę w tym procesie triage alertów, konsumując i analizując duże ilości danych telemetrycznych, łącząc spostrzeżenia z wielu źródeł wykrywania, w tym wywiadu zagrożeń, i prezentując tylko incydenty o najwyższej wierności do reakcji. To redukuje obciążenie analityków ludzkich, którzy w przeciwnym razie byliby zalewani powszechnymi fałszywymi pozytywami i alertami o niskiej wierności, pozbawionymi adekwatnego kontekstu, aby określić ciężkość i następne kroki.

Chociaż aktorzy zagrożeń aktywnie wdrożyli sztuczną inteligencję, aby napędzać ataki, takie jak DDoS, ukierunkowane phishing i oprogramowanie ransomware, strona obronna pozostawała w tyle w adopcji sztucznej inteligencji. Jednakże sytuacja ta zmienia się szybko, ponieważ dostawcy bezpieczeństwa wyścigają się, aby rozwijać zaawansowane modele sztucznej inteligencji i uczenia maszynowego, które mogą wykryć i zablokować te zagrożenia napędzane przez sztuczną inteligencję.

Przyszłość dla obronnej sztucznej inteligencji leży w wdrożeniu specjalistycznych, małych modeli językowych dostosowanych do konkretnych typów ataków i przypadków użycia, zamiast polegania wyłącznie na dużych, generatywnych modelach sztucznej inteligencji. Duże modele językowe, z drugiej strony, pokazują więcej obietnic dla operacji bezpieczeństwa, takich jak automatyzacja funkcji help desk, pobieranie standardowych procedur operacyjnych i wspieranie analityków ludzkich. Ciężka praca precyzyjnego wykrywania zagrożeń i prewencji będzie najlepiej obsługiwana przez wyspecjalizowane, małe modele sztucznej inteligencji i uczenia maszynowego.

Rola ekspertyzy ludzkiej

Jest kluczowe, aby wykorzystywać sztuczną inteligencję i uczenie maszynowe wraz z automatyzacją procesów, aby umożliwić szybką likwidację i zawężenie zweryfikowanych zagrożeń. Na tym etapie, wyposażone w incydenty o wysokiej pewności, systemy sztucznej inteligencji mogą uruchomić automatyczne odpowiedzi zgodnie z każdym konkretnym typem ataku – blokując adresy IP, izolując skompromitowane hosty, egzekwując adaptacyjne polityki i więcej. Jednakże, ekspertyza ludzka pozostaje integralną częścią, walidując dane wyjściowe sztucznej inteligencji, stosując myślenie krytyczne i nadzorując autonomiczne działania odpowiedzi, aby zapewnić ochronę bez zakłóceń biznesowych.

Zrozumienie nuansów jest tym, co ludzie przynoszą do stołu. Ponadto, analiza nowych i złożonych zagrożeń oprogramowania szkodliwego wymaga kreatywności i umiejętności rozwiązywania problemów, które mogą być poza zasięgiem maszyn.

Ekspertyza ludzka jest niezbędna w kilku kluczowych obszarach:

• Walidacja i kontekstualizacja: Systemy sztucznej inteligencji, pomimo ich zaawansowania, mogą czasem generować fałszywe pozytywy lub błędnie interpretować dane. Analitycy ludzcy są potrzebni do walidacji danych wyjściowych sztucznej inteligencji i dostarczania niezbędnego kontekstu, który sztuczna inteligencja mogłaby zignorować. To zapewnia, że reakcje są odpowiednie i proporcjonalne do rzeczywistego zagrożenia.
• Złożone śledztwo w sprawie zagrożeń: Niektóre zagrożenia są zbyt złożone, aby sztuczna inteligencja mogła je obsłużyć sama. Eksperci ludzcy mogą zagłębić się w te incydenty, wykorzystując swoje doświadczenie i intuicję, aby odkryć ukryte aspekty zagrożenia, które sztuczna inteligencja mogłaby pominąć. To ludzkie spostrzeżenie jest kluczowe dla zrozumienia pełnego zakresu złożonych ataków i opracowania skutecznych kontrataków.
• Strategiczne podejmowanie decyzji: Podczas gdy sztuczna inteligencja może obsłużyć rutynowe zadania i przetwarzanie danych, strategiczne decyzje dotyczące ogólnej postawy bezpieczeństwa i długoterminowych strategii obronnych wymagają ludzkiej oceny. Eksperci mogą interpretować dane wyjściowe sztucznej inteligencji, aby podejmować świadome decyzje dotyczące alokacji zasobów, zmian polityki i inicjatyw strategicznych.
• Ciągłe doskonalenie: Analitycy ludzcy przyczyniają się do ciągłego doskonalenia systemów sztucznej inteligencji, dostarczając informacje zwrotne i dane szkoleniowe. Ich spostrzeżenia pomagają udoskonalić algorytmy sztucznej inteligencji, czyniąc je bardziej dokładnymi i skutecznymi w czasie.

Optymalne współpracowanie człowieka i maszyny

Podstawą tej transformacji jest potrzeba systemów sztucznej inteligencji, które mogą uczyć się z danych historycznych (uczenie nadzorowane) i ciągle adaptować się, aby wykryć nowe ataki za pomocą podejść unsupervised/reinforcement learning. Połączenie tych metod będzie kluczowe do pozostania przed aktorami zagrożeń, którzy ewoluują swoje możliwości sztucznej inteligencji.

W ogóle, sztuczna inteligencja będzie kluczowa dla obrońców, aby zwiększyć swoje możliwości wykrywania i reagowania. Ekspertyza ludzka musi pozostać ściśle zintegrowana, aby śledzić złożone zagrożenia, audytować dane wyjściowe systemów sztucznej inteligencji i kierować strategicznymi strategiami obronnymi. Optymalny model współpracy człowieka i maszyny jest idealny dla przyszłości.

Podczas gdy ogromne ilości danych bezpieczeństwa gromadzą się w czasie, organizacje mogą stosować analizy sztucznej inteligencji do tego zbioru danych telemetrycznych, aby wywnioskować spostrzeżenia dla proaktywnego polowania na zagrożenia i wzmocnienia obrony. Ciągłe uczenie się z poprzednich incydentów pozwala na modelowanie predykcyjne nowych wzorców ataków. W miarę postępu sztucznej inteligencji, rola małych i specjalistycznych modeli językowych dostosowanych do konkretnych przypadków użycia bezpieczeństwa będzie rosła. Te modele mogą pomóc dalej zmniejszyć “zmęczenie alertami”, dokładnie triage najważniejszych alertów do analizy ludzkiej. Autonomiczna reakcja, napędzana przez sztuczną inteligencję, może również rozszerzyć się, aby obsłużyć więcej zadań bezpieczeństwa poziomu 1.

Jednakże, ocena ludzka i myślenie krytyczne pozostaną niezastąpione, zwłaszcza w przypadku incydentów o wysokiej wadze. Niezaprzeczalnie, przyszłość jest taka, że optymalne współpracowanie człowieka i maszyny, gdzie sztuczna inteligencja obsługuje ogromne ilości danych i rutynowe zadania, umożliwiając ekspertom ludzkim skoncentrowanie się na śledzeniu złożonych zagrożeń i strategii bezpieczeństwa na wysokim poziomie.