Рамуте Варнелите, генеральний директор IPXO – Серія інтерв’ю

Рамуте Варнелите, генеральний директор IPXO, має понад 15 років досвіду комерційного лідерства і був призначений керівником компанії на початку 2025 року. На своїй посаді вона забезпечує стратегічний розвиток, оперативну ефективність і позиціонування на ринку, щоб IPXO залишався на чолі інновацій в оренді та управлінні IP-адресами.

IPXO, скорочення від Internet Protocol Exchange Organization, було засновано в 2021 році для вирішення глобальної нестачі IPv4 шляхом створення динамічної платформи оренди та монетизації. Воно виросло у найбільшу повністю автоматизовану ринкову платформу для оренди IP-адрес. Платформа підтримує мільйони IP-адрес у світі, маючи сильні відносини з регіональними інтернет-реєстраторами та місією побудови єдиного, ефективного IP-екосистеми.

Ми обговоримо, як IPXO використовує поведінкове ризикове профайлінг та машинне навчання для розрізнення між безпечною автоматизацією AI та шкідливою діяльністю ботів. Розмова буде досліджувати зростання агентів AI в інтернет-трафіку, проблеми кібербезпеки провайдерів інтернет-послуг та стратегії балансування безпеки з оперативною ефективністю.

Які тенденції привели вас до висновку, що агенти AI, а не просто боти для збору даних, тепер домінують у трафіку багатьох організацій?

Боти є всюди тепер, значно перевищуючи трафік людей. Більше третини трафіку ботів складається з так званих “поганих ботів”, які сприяють багатьом шкідливим діям. Тенденція очевидна у різних звітах про інциденти: коли компанії розслідують незвичайний або шкідливий трафік, дивні сплески використання API або інші нерегулярності, докази показують, що багато цих автоматизованих систем поводяться більш як агенти AI, оскільки вони видають себе за різні браузери або пристрої (спуфінг користувача), швидко змінюють свої IP-адреси (швидка ротація IP), є несумісними порівняно з типовою діяльністю ботів для збору даних, і т. д. Основно, величезний обсяг трафіку, а також збільшена складність їхніх дій, вказують на агентів AI, а не просто боти.

Які поведінкові сигнали використовуються для побудови профілів ризику IP-адрес, таких як частота запитів, заголовки або географічні моделі?

Возможно оцінити “рейтинг репутації” IP-адреси без навіть розгляду фактичного вмісту запитів, а лише спостерігаючи, як вона поводиться у мережі. Ці нерегулярні моделі є “незалежними від вмісту”, що означає, що вам не потрібно фактичних даних. Метадані та конкретна поведінка достатні для оцінки профілю ризику IP-адреси. Це також працює у масштабі, оскільки підозріла поведінка не приховується сучасним шифруванням, таким як TLS 1.3 або ECH. Все ще є багато спостережуваних даних, які просто не шифруються.

Як ваша система розрізняє між безпечною автоматизацією AI та шкідливими діями, такими як збор даних, ботнетами або атаками на облікові дані, особливо без інспекції вмісту вантажу?

Важливо розглянути, як автоматизація поводиться протягом певного періоду часу, а не тільки який вміст вона запитує. “Хороші” боти зазвичай дуже передбачувані, мають певну структуру та кроки, яких вони слідують. Шкідливі боти, з іншого боку, часто стрибають навколо непередбачувано, використовують одноразові ідентифікатори, зберігають жорстку “машинну” швидкість та розподіляють запити по багатьом серверам, щоб уникнути виявлення. Все зводиться до розширеної моделі поведінки, оцінки того, як вона рухається по сайті протягом часу.

Чи можете ви пояснити, як існуючі провайдери інтернет-послуг борються з зростаючим трафіком проксі, зберігаючи при цьому сильні захисти проти кібератак?

Сучасні протоколи приховують більше деталей з’єднання для підвищення приватності, тому для провайдерів інтернет-послуг стає складніше оцінювати тип трафіку та класифікувати його правильно. Оскільки тепер важче побачити, що всередині, провайдери інтернет-послуг більше покладаються на поведінку трафіку, а не на вміст. Боротьба полягає у примусовому зміні їхніх методів з залежності в основному від інспекції трафіку, що підвищує оперативні витрати, та інтеграції нових інструментів загроз для відповідності новому підходу.

Які є компроміси щодо кібербезпеки, з якими провайдери інтернет-послуг стикаються, якщо вони послаблюють обмеження, щоб розмістити трафік агентів AI?

Послаблення фільтрів може зменшити кількість помилкових позитивних результатів та тертя, щоб тримати агентів, що виконують завдання, гладко. Але це також потенційно збільшує кількість загроз та атак, оскільки “поганий” бот вже складає значну частку трафіку. Більш вільні фільтри означають вищі ризики. Одним із способів компромісу між цими двома вимогами міг би бути підхід з ваговим ризиком. Наприклад, якщо є підозрілий трафік, першим кроком міг би бути сповільнення його, а не блокування повністю. Потрібно встановити більш нюансовані контролю.

Які основні технології забезпечують вашу оцінку ризику в режимі реального часу – чи використовуєте ви машинне навчання, джерела загроз або виявлення аномалій поведінки?

Ми використовуємо здорову суміш живого моніторингу та оцінки даних, машинного навчання та різних інструментів загроз. Метою є швидко виявити будь-які нерегулярності у поведінці, зрозуміти намір трафіку та чи є підстави вважати, що це шкідливо; якщо так – позначити високі ризики та вжити заходів відповідно.

Як ваша система інтегрується з існуючими робочими процесами провайдерів інтернет-послуг або підприємств SOC – чи може вона автоматично викликати попередження або мінімізувати загрози?

Так, наша система як надсилає попередження до існуючих робочих процесів, так і блокує певні загрози на рівні мережі. Вона може працювати у різних режимах, залежно від толерантності до ризику.

Чи виявила ця система будь-які несподівані моделі атак або випадки порушення під час ранніх тестів або розгортань?

Так, було декілька випадків. Одним із прикладів у галузі могла бути “галюцинаційна крипля”, коли великі мови моделі (LLM) вигадують неіснуючі URL-адреси, а потім намагаються їх отримати. Або раптові сплески запитів, що повторюються точно через однакові інтервали часу, наприклад, 15 хвилин або годину. Все ці моделі корисні для нас, щоб додатково уточнити відстежування поведінки та зменшити помилкові позитиви.

Які є наслідки щодо приватності та безпеки побудови профілів ризику на основі поведінки без інспекції зашифрованого вмісту, особливо під глобальними законами про захист даних?

Метадані поведінки можуть вважатися особистими даними, але існують винятки, наприклад, якщо інтерес є легітимним, може бути виправданим і є необхідним для моніторингу безпеки. Тоді інтерес до доступу та обсяг збережених даних повинні бути пропорційними до оцінюваних ризиків.

Як ви запобігаєте помилковим позитивам, які позначають безпечну автоматизацію, наприклад, дослідницьких ботів або білих агентів AI, як кіберзагрози?

Ми тестуємо нові заходи безпеки та правила перед їхнім розгортанням, оцінюємо декілька сигналів перед будь-якими діями, також використовуємо м’які виклики спочатку, щоб перевірити легітимність трафіку, а не блокувати його одразу. Це багатошаровий список, який постійно дофінується.

Дякуємо за велике інтерв’ю, читачам, які бажають дізнатися більше, слід відвідати IPXO.