Штучна інтелект не виправить пошкоджені основи безпеки

Штучна інтелект посилює видимість, аналіз та прийняття рішень, але її ефективність обмежена якістю навколишнього середовища

“Чи використовує штучний інтелект?” стало стандартним запитанням у розмовах про продукти безпеки, яке піднімають лідери безпеки та повторюють майже всі постачальники.

Проблема полягає в тому, що це неправильне запитання. Використання штучного інтелекту не означає, що продукт допоможе посилити позицію безпеки організації. Штучний інтелект не є універсальним засобом для всіх проблем кібербезпеки. Його цінність залежить від того, як його застосовують, що починається з чіткого визначення проблеми, яку потрібно вирішити.

Краще запитання: “Яка конкретна проблема безпеки нам потрібно вирішити, і чи допоможе ця технологія, заснована на штучному інтелекті, вирішити її?”

Що робить штучний інтелект добре

Штучний інтелект забезпечує цінність у сфері безпеки в трьох ключових областях. По-перше, він заповнює прогалини в даних. Команди безпеки витягують дані з десятків джерел, включаючи застарілі інвентаризації активів, системи ідентифікації, які не реєструють усі відносини доступу, та мережеві телекомунікації, які пропускають певний трафік. Штучний інтелект може витягувати контекст з неповних наборів даних, щоб створити більш повну картину активів, ідентифікаторів, з’єднань та поведінки робочих процесів.

Штучний інтелект також покращує аналіз у масштабі. Проблема сигналу та шуму в операціях безпеки дуже серйозна та погіршується. Штучний інтелект може корелювати події з кількох джерел даних, виділяти сповіщення, які заслуговують на увагу, та виштовхувати низькопріоритетний шум з поля зору аналітика. Це саме те, на чому більшість постачальників безпеки зосередили свої інвестиції в штучний інтелект. Команди SOC витрачають менше часу на тріаж низьковажливих сповіщень та більше часу на діяльність, яка вимагає людського судження.

Третє, після того, як штучний інтелект збагатив дані та проаналізував сигнали, він може спрямовувати дії, рекомендуючи наступний крок, такий як зміна політики, яка мінімізує ризик, відповідна дія, яка відповідає поведінці, або де потрібно змінити конфігурацію.

Штучний інтелект забезпечує найбільшу цінність, коли він покращує контекст, аналіз та прийняття рішень. Він посилює сильні практики безпеки, але не може компенсувати відсутність інших.

Чому слабкі основи все одно терплять невдачу

Штучний інтелект обмежений вхідними даними, які організація йому надає. Ці дані (наприклад, телекомунікації, архітектура, політики, засоби контролю та існуючі інструменти) визначають межі того, що штучний інтелект може зробити. Покращення цих даних призводить до покращення результатів штучного інтелекту. Ослаблення їх призводить до погіршення виходу.

Без контексту для визначення відсутності штучний інтелект не має можливості повідомити про неї. Він не почне самостійно вивчати середовище та виділяти те, що відсутнє. Він не скаже команді безпеки, що мережа не має належної сегментації, що засоби контролю доступу надто широкі, або що прогалини видимості залишають цілі сегменти середовища без нагляду.

Штучний інтелект не виходить за межі старого принципу якості даних, “сміття у сміття”, він посилює його. Слабка телекомунікація призводить до слабкого аналізу. Помилкові засоби контролю дають штучному інтелекту можливість оптимізувати все у неправильному напрямку. Неповна видимість означає, що рішення приймаються на основі неповної картини, а штучний інтелект приймає ці рішення швидше, а не точніше. Швидкість не є покращенням, коли основна інформація ненадійна.

Тому якість основи має значення до того, як штучний інтелект буде застосований. Сильна основа включає засоби контролю ідентифікації та доступу, які забезпечують значущі межі, мінімальні привілеї для користувачів, сегментацію для обмеження руху, та повну видимість/спостереження всього середовища. Це також вимагає надійної телекомунікації та чіткого розуміння того, як системи взаємодіють та залежать одна від одної.

Нічого нового в цьому немає. Це ті самі дисципліни, про які команди безпеки говорили роками, від переходу на мобільні пристрої до переходу у хмару. Що змінилося, так це вартість недбальства щодо цих питань. Штучний інтелект може посилити сильну основу безпеки, але не може її замінити.

Агентний штучний інтелект змінює рівняння ризику

Зміна не полягає у переході від відсутності штучного інтелекту до його наявності; це перехід від штучного інтелекту, який допомагає, до штучного інтелекту, який діє. Традиційний штучний інтелект аналізує дані, виділяє інсайти та рекомендує наступні кроки. Агентний штучний інтелект виконує дії у системах, даних та робочих процесах без очікування рішення людини.

Подумайте про це так: розгортання 100 агентів штучного інтелекту за одну ніч фактично еквівалентне прийому на роботу 100 нових працівників, які ніколи не виходять з системи, працюють з швидкістю машини та мають доступ до будь-яких систем, дозволених їхніми привілеями. Але на відміну від людських працівників, ці агенти не роблять перерв, не ставлять під сумнів та не застосовують судження щодо того, коли цей доступ повинен бути використаний. Вони виконують дії безперервно, рухаючись через системи та торкаючись кількох застосунків точно так, як їм дозволено.

Це саме та прогалина. Ваша модель доступу припускає людську поведінку (наприклад, дискретні дії, повільніший темп та певний рівень судження). Агенти штучного інтелекту усувають ці обмеження. Тому якщо привілеї надто широкі (або неточні), вони не просто залишаються неактивними або зловживаються час від часу; вони постійно використовуються, у масштабі, у всіх системах, до яких вони мають доступ.

Ризик посилюється, коли організація призначає агенту той самий профіль доступу, що й певному користувачеві, вони створюють клон, а не корисного представника. Цей клон має ті самі широкі привілеї, що й оригінал, працює безперервно та може піддати організацію тим самим ризикам, незалежно від того, чи є поведінка агента злої або тільки неправильно сконфігурованої.

У добу штучного інтелекту ідентифікація, контроль доступу, мінімальні привілеї, сегментація та спостереження вже не просто кращі практики – вони є фундаментальними вимогами безпеки. Нещодавнє дослідження Cloud Security Alliance доповідь, розроблена спільно з SANS, проектом Gen AI Security Project та спільнотою фахівців, підкреслює той факт, що агентний штучний інтелект не робить ці основи застарілими. Він робить їх невід’ємними.

Як виглядає безпека, готова до штучного інтелекту

Розгляд штучного інтелекту як питання закупівлі та зосередження на тому, які інструменти з штучним інтелектом потрібно реалізувати, ігнорує той факт, що готовність до штучного інтелекту є питання архітектури, управління та контролю. Питання полягає не в тому, які інструменти купувати, а в тому, чи підтримуватиме середовище безпечну роботу штучного інтелекту.

Почніть з видимості. Перед розгортанням будь-якої можливості штучного інтелекту команди безпеки повинні мати чітке уявлення про те, що існує в середовищі: активи, робочі процеси, ідентифікатори, застосунки, дані, моделі штучного інтелекту, агенти та з’єднання третіх сторін. Цей інвентариз не є тим, що штучний інтелект може створити для вас. Це початкова точка, необхідна штучному інтелекту для виконання будь-якої корисної дії.

Далі визначте проблему. Визначте прогалину контролю або конкретний ризик. Вирішіть, який результат потрібно покращити. Потім запитайте, чи може штучний інтелект допомогти закрити цю прогалину краще, ніж інші підходи. Організації, які змінюють цей порядок, починаючи з інструменту штучного інтелекту, а потім шукаючи проблему для його застосування, схильні генерувати діяльність без покращення безпеки.

Застосування принципів нульового довіри до агентів штучного інтелекту робить це оперативним. Інстинкт часто полягає в тому, щоб визначити, чого агенти не повинні робити, але цей список завжди буде неповним. Більш надійний підхід полягає в тому, щоб бути описовим щодо того, що кожен агент може робити, надати йому лише той доступ, який необхідний для визначеної задачі, та забезпечити ці обмеження на всіх рівнях стека. Сегментуйте системи, до яких агенти можуть звернутися, так, щоб якщо один агент поводиться поза своїми визначеними межами або атакувальник його використовує, шкода залишається обмеженою.

Нарешті, збільшення активності не є показником успіху. Штучний інтелект збільшить кількість дій, які команда безпеки здійснює, але це не означає, що він покращує безпеку. Панель, яка демонструє велику кількість активності, не сигналізує про те, що штучний інтелект забезпечує цінність.

Виміряйте результати, такі як зменшення кількості сповіщень у спосіб, який відображає справжній сигнал, та зниження рівня ризику в тих областях, які мають найбільше значення. Забезпечте, щоб рекомендації політики зміцнювали засоби контролю, дозволяли команді безпеки швидше локалізувати інциденти та дозволяли аналітикам SOC витрачати більше часу на роботу, яка вимагає людського судження.

Основи спочатку

Штучний інтелект не є основою сильної позиції безпеки. Це множник сили, і як будь-який множник, його цінність залежить повністю від того, до чого його застосовують.

Організації, які побудували сильну архітектуру з чіткою видимістю, забезпечили мінімальні привілеї, сегментацію та сильні засоби контролю ідентифікації, можуть використовувати штучний інтелект для посилення контексту, прискорення аналізу та дії на основі кращої інформації. Ті, хто цього не зробив, виявлять, що штучний інтелект рухається швидше у неправильному напрямку, оптимізуючи помилкові засоби контролю та виділяючи інсайти з неповної картини.

Питання, яке потрібно поставити перед будь-якими інвестиціями в штучний інтелект, є тим самим, яке повинно керувати кожним рішенням щодо безпеки: Яку проблему нам потрібно вирішити? Якщо відповідь чітка, а архітектура для її підтримки існує, тоді штучний інтелект може зробити рішення більш ефективним. Якщо відповідь нечітка або основи слабкі, додавання штучного інтелекту не змінить цього. Це тільки зробить прогалину складнішою для виявлення.

Штучний інтелект не виправить пошкоджену основу. Він тільки зробить тріщини видимішими швидше.