AI ไม่สามารถแก้ไขรากฐานความปลอดภัยที่พังทลายได้

AI ช่วยให้เห็นภาพ วิเคราะห์ และตัดสินใจได้ดีขึ้น แต่ประสิทธิภาพของมันถูกจำกัดโดยคุณภาพของสภาพแวดล้อมที่อยู่ภายใต้

“มันใช้ AI หรือไม่” ได้กลายเป็นคำถามโดย mặc địnhในเรื่องของผลิตภัณฑ์ความปลอดภัยที่ถูก提่โดยผู้นำด้านความปลอดภัยและซ้ำซ้อนใน几乎ทุกๆ การนำเสนอของ_VENDOR

ปัญหา คือ มันคือคำถามที่ไม่ถูกต้อง ไม่ว่าผลิตภัณฑ์จะใช้ AI หรือไม่ก็ตามไม่ได้หมายความว่ามันจะช่วยเสริมสร้างท่าทางด้านความปลอดภัยขององค์กร AI ไม่ใช่วิธีแก้ปัญหาทั้งหมดสำหรับปัญหาด้านความปลอดภัยทางไซเบอร์ คุณค่าของมันขึ้นอยู่กับวิธีการใช้งาน ซึ่งเริ่มต้นด้วยการกำหนดปัญหาที่ต้องการแก้ไขอย่างชัดเจน

คำถามที่ดีกว่าคือ “ช่องว่างด้านความปลอดภัยเฉพาะที่เรากำลังพยายามปิดคืออะไร และเทคโนโลยี AI ที่มีพลังงานนี้ช่วยปิดมันจริงหรือไม่”

สิ่งที่ AI ทำได้ดี

AI ส่งมอบคุณค่าในด้านความปลอดภัยในสามพื้นที่หลัก首先 มันเติมช่องว่างของข้อมูล Security ทีมดึงข้อมูลจากแหล่งต่างๆ รวมถึงสินค้าเก่า asset inventories, ระบบอัตลักษณ์ที่ไม่ได้บันทึกความสัมพันธ์ทั้งหมด และ network telemetry ที่ไม่ครอบคลุมการจราจรบางส่วน AI สามารถสร้าง контекстจากชุดข้อมูลที่ไม่สมบูรณ์เพื่อสร้างภาพที่สมบูรณ์ยิ่งขึ้นของสินทรัพย์, อัตลักษณ์, การเชื่อมต่อ และพฤติกรรมของงาน

AI ยังปรับปรุงการวิเคราะห์ที่มีขนาดใหญ่ ปัญหา signal-to-noise ในการดำเนินการด้านความปลอดภัยรุนแรงและแย่ลง AI สามารถสอดคล้องกับเหตุการณ์ข้ามแหล่งข้อมูลต่างๆ ซึ่ง surface แสดง alert ที่ควรได้รับการสนใจและ push low-priority noise ออกจาก field of view ของนักวิเคราะห์ นี่คือที่ที่ผู้ให้บริการด้านความปลอดภัยส่วนใหญ่ลงทุน AI SOC ทีมใช้เวลา less ในการ triaging low-value alerts และใช้เวลา more ในกิจกรรมที่ต้องการการตัดสินใจของมนุษย์

ที่สาม เมื่อ AI ได้เพิ่มคุณค่าของข้อมูลและวิเคราะห์สัญญาณแล้ว มันสามารถชี้แนะการดำเนินการโดยการแนะนำขั้นตอนต่อไป เช่น การเปลี่ยนแปลงนโยบายที่จะลดความเสี่ยง การตอบสนองที่เหมาะสมกับรูปแบบพฤติกรรม หรือที่ที่การเปลี่ยนแปลงการกำหนดค่าจำเป็นต้องเปลี่ยนแปลง

AI ส่งมอบคุณค่าสูงสุดเมื่อมันปรับปรุง kontek, การวิเคราะห์ และการตัดสินใจ มันเพิ่มความแข็งแกร่งของการปฏิบัติด้านความปลอดภัยที่ดี แต่ไม่สามารถชดเชยการปฏิบัติที่ไม่สมบูรณ์

ทำไมรากฐานที่อ่อนแอจึงยังคงล้มเหลว

AI ถูกจำกัดโดยข้อมูลที่องค์กรป้อนเข้าไป ข้อมูลเหล่านั้น (เช่น telemetry, สถาปัตยกรรม, นโยบาย, การควบคุม และเครื่องมือที่มีอยู่) กำหนดขอบเขตของสิ่งที่ AI สามารถทำได้ การทำให้ข้อมูลเหล่านั้นแหลมคม และ AI จะผลิตผลลัพธ์ที่แหลมคมยิ่งขึ้น การทำให้ข้อมูลเหล่านั้นอ่อนแอ และผลลัพธ์จะยิ่งแย่ลง

ไม่มี kontek เพื่อระบุการไม่มีอยู่ AI ไม่มีทางที่จะรายงานการไม่มีอยู่ มันจะไม่ตรวจสอบสภาพแวดล้อมและแจ้งเตือนสิ่งที่ไม่มีอยู่ มันจะไม่บอกทีมด้านความปลอดภัยว่าเครือข่ายไม่มีการแบ่งส่วนเพียงพอ ว่าการควบคุมการเข้าถึงมีความผ่อนคลายเกินไป หรือว่าช่องว่างในการมองเห็นทำให้เซ็กเมนต์บางส่วนของสภาพแวดล้อมไม่ได้รับการตรวจสอบ

AI ไม่สามารถหลบหลีกหลักการคุณภาพของข้อมูล “garbage in, garbage out” มันเสริมสร้างมัน Telemetry ที่อ่อนแอจะทำให้การวิเคราะห์อ่อนแอ การควบคุมที่มีข้อบกพร่องจะทำให้ AI มีอะไรที่จะปรับให้เหมาะสมในทิศทางที่ไม่ถูกต้อง การมองเห็นที่ไม่สมบูรณ์หมายความว่าการตัดสินใจจะทำจากภาพที่ไม่สมบูรณ์ และ AI จะทำให้การตัดสินใจเหล่านั้นเร็วขึ้น ไม่ใช่แม่นยำยิ่งขึ้น ความเร็วไม่ใช่การปรับปรุงเมื่อข้อมูลที่อยู่ภายใต้ไม่น่าเชื่อถือ

ดังนั้น คุณภาพของรากฐานจึงมีความสำคัญก่อนที่ความสามารถ AI ใดๆ จะมีผล รากฐานที่แข็งแกร่งรวมถึงการควบคุมอัตลักษณ์และการเข้าถึงที่บังคับใช้ขอบเขตที่มีความหมาย การใช้สิทธิขั้นต่ำที่สุดในการใช้งาน users, workloads, applications, data, microsegmentation เพื่อจำกัดการเคลื่อนไหวทางด้านข้าง และการมองเห็น/การตรวจสอบที่ครอบคลุมทั่วทั้งสภาพแวดล้อม มัน đòi hỏiการตรวจสอบที่เชื่อถือได้และความเข้าใจที่ชัดเจนเกี่ยวกับวิธีการเชื่อมต่อและพึ่งพากันของระบบ

ไม่มีสิ่งใดที่ใหม่เหล่านี้ คือสิ่งที่ทีมด้านความปลอดภัยได้พูดถึงมาหลายปี ตั้งแต่การเปลี่ยนไปใช้ mobile ไปยังการย้ายไปที่ cloud สิ่งที่เปลี่ยนไปคือต้นทุนของการละเลยพวกมัน AI สามารถเพิ่มรากฐานด้านความปลอดภัยที่แข็งแกร่ง แต่ไม่สามารถแทนที่มันได้

AI ที่มีพลังงานเปลี่ยนแปลงสมการความเสี่ยง

การเปลี่ยนแปลงไม่ใช่จากไม่มี AI ไปเป็น AI แต่เป็นจาก AI ที่ช่วยเหลือไปเป็น AI ที่ดำเนินการ AI แบบดั้งเดิมวิเคราะห์ข้อมูล surface ข้อมูลเชิงลึกและแนะนำขั้นตอนต่อไป AI ที่มีพลังงานดำเนินการข้ามระบบ ข้อมูล และ 워์กโฟลว์โดยไม่ต้องรอการตัดสินใจของมนุษย์

ลองนึกภาพดูว่ามันเป็นอย่างไร การติดตั้งเอเย่นต์ AI 100 ตัวในคืนเดียวเทียบเท่ากับการจ้างพนักงานใหม่ 100 คนซึ่งไม่เคยล็อกออฟ ทำงานด้วยความเร็วของเครื่องจักรและมีสิทธิ์เข้าถึงระบบใดๆ ที่อนุญาตให้พวกเขาเข้าถึง แต่ไม่เหมือนกับพนักงานมนุษย์ เหล่านี้ไม่หยุดพัก ไม่ตั้งคำถามหรือใช้การตัดสินใจเกี่ยวกับว่าเมื่อใดที่ควรใช้สิทธิ์เข้าถึง พวกเขาดำเนินการอย่างต่อเนื่อง โดยเคลื่อนย้ายข้ามระบบและสัมผัสกับหลายแอปพลิเคชันตามที่อนุญาตให้พวกเขาเข้าถึง

นั่นคือช่องว่าง รูปแบบการเข้าถึงของคุณสมมติว่าพฤติกรรมของมนุษย์ (เช่น การกระทำที่ไม่ซ้ำกัน ความเร็วที่ช้าลง และการตัดสินใจบางอย่าง) AI เอเย่นต์เอาช่องว่างเหล่านั้นออกไป ดังนั้นหากสิทธิ์เข้าถึงมีขนาดใหญ่เกินไป (หรือไม่ถูกต้อง) พวกมันจะไม่เพียงแต่ไม่ได้ใช้หรือใช้ในทางที่ผิดเป็นครั้งคราว แต่จะใช้อย่างต่อเนื่อง มีขนาดใหญ่ และครอบคลุมทุกๆ ระบบที่พวกมันสัมผัส

ความเสี่ยงจะเพิ่มขึ้นเมื่อองค์กรกำหนดให้เอเย่นต์มีสิทธิ์เข้าถึงเหมือนกับผู้ใช้เฉพาะ พวกเขาจะสร้างโคลน ไม่ใช่พร็อกซี่ที่มีประโยชน์ โคลนนี้จะมีสิทธิ์เข้าถึงที่กว้างขวางเหมือนกับต้นฉบับ และอาจทำให้องค์กรมีความเสี่ยงต่อความเสี่ยงเดียวกันไม่ว่าจะเป็นพฤติกรรมที่เป็นอันตรายหรือเพียงแค่ผิดคอนฟิก

ในยุคของ AI อัตลักษณ์ การควบคุมการเข้าถึง สิทธิขั้นต่ำ การแบ่งส่วน และการตรวจสอบไม่ใช่แค่แนวทางปฏิบัติที่ดีที่สุด แต่เป็นข้อกำหนดด้านความปลอดภัยที่จำเป็น รายงานล่าสุดของ Cloud Security Alliance briefing ที่พัฒนาโดย SANS, OWASP Gen AI Security Project และชุมชนของผู้ปฏิบัติงานย้ำว่า AI ที่มีพลังงานไม่ทำให้ข้อกำหนดเหล่านี้ล้าสมัย แต่ทำให้พวกมันไม่สามารถต่อรองได้

ความปลอดภัยที่พร้อมสำหรับ AI ดูเหมือนอย่างไร

การรักษาความปลอดภัยที่พร้อมสำหรับ AI เป็นปัญหาเกี่ยวกับการจัดสรร สถาปัตยกรรม และการควบคุม ไม่ใช่เรื่องของเครื่องมือที่จะซื้อ คำถามไม่ใช่ว่าจะซื้อเครื่องมืออะไร แต่ว่าสภาพแวดล้อมจะรองรับการดำเนินการของ AI ได้อย่างปลอดภัยหรือไม่

เริ่มต้นด้วยการมองเห็น ก่อนที่จะใช้ความสามารถ AI ใดๆ ทีมด้านความปลอดภัยต้องการภาพที่ชัดเจนเกี่ยวกับสิ่งที่มีอยู่ในสภาพแวดล้อม สินทรัพย์ workloads อัตลักษณ์ แอปพลิเคชัน ข้อมูล โมเดล AI เอเย่นต์ และการเชื่อมต่อของบุคคลที่สาม สินค้าคลังนี้ไม่ใช่สิ่งที่ AI สามารถสร้างให้คุณได้ มันเป็นจุดเริ่มต้นที่ AI ต้องการเพื่อที่จะทำอะไรที่มีประโยชน์

จาก那里 กำหนดปัญหา ระบุช่องว่างการควบคุมหรือความเสี่ยงที่เฉพาะเจาะจง Decide ว่าผลลัพธ์ใดที่ต้องการปรับปรุง จากนั้นถามว่า AI สามารถช่วยปิดช่องว่างนั้นได้ดีกว่าวิธีอื่นหรือไม่ องค์กรที่กลับลำดับนี้โดยเริ่มต้นด้วยเครื่องมือ AI แล้วค้นหาปัญหาในการใช้งานมักจะสร้างกิจกรรมโดยไม่ปรับปรุงความปลอดภัย

การนำหลักการ zero trust ไปใช้กับเอเย่นต์ AI คือที่ที่สิ่งนี้กลายเป็นปฏิบัติการ สัญชาตญาณมักจะถูกกำหนดให้ระบุสิ่งที่เอเย่นต์ไม่ควรทำ แต่รายการนั้นจะไม่สมบูรณ์เสมอ วิธีการที่เชื่อถือได้มากกว่าคือการระบุอย่างชัดเจนว่าแต่ละเอเย่นต์สามารถทำอะไรได้บ้าง ให้พวกมันเข้าถึงเฉพาะสิ่งที่จำเป็นต่อการทำงานที่กำหนด และบังคับใช้ขอบเขตเหล่านั้นทั่วทั้ง stack แบ่งส่วนระบบที่เอเย่นต์สามารถเข้าถึงได้ เพื่อให้หากมันพฤติกรรมนอกเหนือจากขอบเขตที่กำหนดหรือถูกโจมตี ความเสียหายจะถูกจำกัดไว้

สุดท้าย การเพิ่มขึ้นของกิจกรรมไม่ใช่ตัวชี้วัดความสำเร็จ AI จะเพิ่มปริมาณการดำเนินการของทีมด้านความปลอดภัย แต่นั่นไม่ได้หมายความว่ามันจะปรับปรุงความปลอดภัยได้ แดชบอร์ดที่แสดงกิจกรรมจำนวนมากไม่ได้บ่งบอกว่า AI ส่งมอบคุณค่า

วัดผลลัพธ์ เช่น ปริมาณการแจ้งเตือนลดลงในลักษณะที่สะท้อนถึงสัญญาณที่แท้จริง และระดับความเสี่ยงลดลงเร็วขึ้นในพื้นที่ที่สำคัญที่สุด ตรวจสอบให้แน่ใจว่าข้อเสนอแนะนโยบายเสริมสร้างการควบคุม ช่วยให้ทีมด้านความปลอดภัยสามารถจำกัดเหตุการณ์ได้เร็วขึ้น และช่วยให้ SOC วิเคราะห์สามารถใช้เวลามากขึ้นในการทำงานที่ต้องการการตัดสินใจของมนุษย์

รากฐานมาเป็นอันดับแรก

AI ไม่ใช่รากฐานของท่าทางด้านความปลอดภัยที่แข็งแกร่ง มันเป็นตัวคูณ และเช่นเดียวกับตัวคูณใดๆ คุณค่าของมันขึ้นอยู่กับสิ่งที่คุณใช้มัน

องค์กรที่สร้างสถาปัตยกรรมที่มีความชัดเจน มีการมองเห็นที่ชัดเจน การบังคับใช้สิทธิขั้นต่ำ การแบ่งส่วน และการควบคุมอัตลักษณ์ที่แข็งแกร่งสามารถใช้ AI เพื่อเพิ่ม kontek, การวิเคราะห์ และการตัดสินใจได้ แต่สำหรับผู้ที่ไม่ได้ AI จะทำให้พวกเขาเคลื่อนที่เร็วขึ้นในทิศทางที่ไม่ถูกต้อง โดยการปรับให้เหมาะสมกับการควบคุมที่มีข้อบกพร่องและพื้นผิวข้อมูลที่ไม่สมบูรณ์

คำถามที่ต้องถามก่อนที่จะลงทุน AI คือคำถามเดียวกับที่ควรเป็นแนวทางในการตัดสินใจด้านความปลอดภัยทั้งหมด คือ “ปัญหาใดที่เราพยายามแก้ไข” หากคำตอบชัดเจน และสถาปัตยกรรมที่รองรับมันถูกสร้างขึ้น AI สามารถทำให้คำตอบมีประสิทธิภาพมากขึ้น หากคำตอบไม่ชัดเจน หรือรากฐานอ่อนแอ การเพิ่ม AI จะไม่เปลี่ยนแปลงสิ่งนั้น มันจะทำให้ช่องว่างนั้นยากที่จะเห็นมากขึ้น

AI ไม่สามารถแก้ไขรากฐานที่พังทลายได้ มันจะทำให้ความเสียหายปรากฏเร็วขึ้น