Майбутнє кібербезпеки: штучний інтелект, автоматизація та людський фактор

За останні десять років, разом з експоненційним зростанням інформаційних технологій, темна реальність загроз кібербезпеки також суттєво еволюціонувала. Кібератаки, які раніше здійснювалися в основному хакерами, що шукають слави або фінансової вигоди, стали значно більш складними та цілеспрямованими. Від державно-спонсорованої шпигунської діяльності до корпоративної та крадіжки особистих даних, мотиви кіберзлочинності стають дедалі більш зловісними та небезпечними. Хоча фінансовий вигід залишається важливим мотивом для кіберзлочинності, він був затінений більш зловісними цілями – викраденням критичної інформації та активів. Кібератакери широко використовують передові технології, включаючи штучний інтелект, для проникнення в системи та здійснення шкідливих дій. У США Федеральний бюро розслідувань (ФБР) повідомило про понад 800 000 скарг, пов’язаних з кіберзлочинністю, поданих у 2022 році, із загальними втратами понад 10 мільярдів доларів, що перевищує 6,9 мільярда доларів у 2021 році, згідно з даними Центру звинувачень у кіберзлочинності Інтернету бюро.

З огляду на те, що ландшафт загроз швидко еволюціонує, організації повинні вдатися до багаторівневого підходу до кібербезпеки. Підхід повинен полягати у тому, щоб розглянути, як нападники проникають у системи; запобігти первинному компромісу; швидко виявляти вторгнення; та забезпечувати швидку реакцію та ліквідацію. Захист цифрових активів вимагає використання можливостей штучного інтелекту та автоматизації, а також забезпечення того, щоб кваліфіковані людські аналітики залишилися невід’ємною частиною безпекової позиції.

Захист організації вимагає багаторівневої стратегії, яка враховує різні точки входу та вектори атак, які застосовують противники. Загалом, ці вектори можна розділити на чотири основні категорії: 1) Веб- та мережеві атаки; 2) Атаки, засновані на поведінці користувачів та ідентифікації; 3) Атаки на об’єкти, спрямовані проти хмарних та гібридних середовищ; та 4) Зловмисне програмне забезпечення, включаючи програмне забезпечення для викупу, передові постійні загрози та інші види зловмисного коду.

Використання штучного інтелекту та автоматизації

Розгортання моделей штучного інтелекту та машинного навчання (МЛ), адаптованих до кожної з цих класів атак, є критично важливим для проактивного виявлення та запобігання загроз. Для веб- та мережевих атак моделі повинні виявляти загрози, такі як фішинг, експлуатація браузерів та атаки типу “відмова у обслуговуванні” (DDoS) в режимі реального часу. Аналітика поведінки користувачів та об’єктів, що використовує штучний інтелект, може виявити аномальну діяльність, яка свідчить про компрометацію облікових записів або зловживання системними ресурсами та даними. Нарешті, аналіз зловмисного програмного забезпечення, що використовує штучний інтелект, може швидко розібрати нові види зловмисного програмного забезпечення, визначити шкідливу поведінку та мінімізувати вплив файлових загроз. Реалізуючи моделі штучного інтелекту та МЛ по всьому спектру поверхонь атак, організації можуть суттєво підвищити свою здатність автономно виявляти атаки на ранніх стадіях, перш ніж вони переростуть у повномасштабні інциденти.

Як тільки моделі штучного інтелекту/МЛ виявили потенційну загрозливу діяльність по різних векторах атак, організації стикаються з іншою ключовою проблемою – наданням сенсу частим сигналам та розділенням критичних інцидентів від шуму. З великою кількістю даних та виявлень, згенерованих штучним інтелектом, застосування ще одного рівня штучного інтелекту/МЛ для кореляції та пріоритезації найбільш серйозних сигналів, які вимагають подальшого розслідування та реагування, стає критично важливим. Втома від сигналів стає дедалі більш критичною проблемою, яка потребує вирішення.

Штучний інтелект може відігравати ключову роль у цьому процесі тріажу сигналів, споживаючи та аналізуючи великі об’єми даних про безпеку, об’єднуючи знання з多 джерел виявлення загроз, включаючи розвідку загроз, та висунення лише інцидентів найвищої достовірності для реагування. Це зменшує навантаження на людських аналітиків, які інакше були б завалені широкими помилковими сигналами та сигналами низької достовірності, що не мають достатнього контексту для визначення серйозності та подальших дій.

Хоча зловмисники активно використовували штучний інтелект для підтримки атак, таких як DDoS, цільовий фішинг та програмне забезпечення для викупу, оборонна сторона відстала у впровадженні штучного інтелекту. Однак ця ситуація швидко змінюється, оскільки постачальники безпеки конкурують у розробці передових моделей штучного інтелекту/МЛ, здатних виявляти та блокувати ці штучно інтелект-підтримувані загрози.

Майбутнє захисного штучного інтелекту полягає у розгортанні спеціалізованих малих мовних моделей, адаптованих до конкретних типів атак та випадків використання, а не залежності лише від великих генеративних моделей штучного інтелекту. Великі мовні моделі, навпаки, показують більше перспектив для операцій з кібербезпекою, таких як автоматизація функцій служби підтримки, отримання стандартних операційних процедур та допомога людським аналітикам. Точне виявлення загроз та запобігання буде найкраще оброблено високоспеціалізованими малими моделями штучного інтелекту/МЛ.

Роль людського експертного знання

Важливо використовувати штучний інтелект/МЛ поряд з автоматизацією процесу для забезпечення швидкої ліквідації та ізоляції підтверджених загроз. На цій стадії, забезпечені високодостовірними інцидентами, системи штучного інтелекту можуть запустити автоматику реакції на основі попередньо визначених сценаріїв – блокування зловмисних IP-адрес, ізоляцію скомпрометованих хостів, забезпечення адаптивних політик та інше. Однак людське експертне знання залишається невід’ємним, підтверджуючи висновки штучного інтелекту, застосовуючи критичне мислення та наглядаючи за автономними діями реагування, щоб забезпечити захист без порушення бізнесу.

Нюансироване розуміння – це те, що люди приносять до столу. Також аналіз нових та складних загроз програмного забезпечення вимагає творчості та вміння розв’язувати проблеми, які можуть бути поза можливостями машин.

Лудське експертне знання є важливим у кількох ключових областях:

• Валідация та контекстуалізація: Системи штучного інтелекту, незважаючи на свою складність, іноді можуть генерувати помилкові сигнали або неправильно інтерпретувати дані. Людські аналітики потрібні для валідации висновків штучного інтелекту та надання необхідного контексту, який штучний інтелект міг би пропустити. Це забезпечує, що реакції є відповідними та пропорційними до реальної загрози.
• Складне розслідування загроз: Деякі загрози надто складні для того, щоб штучний інтелект міг з ними впоратися самостійно. Людські експерти можуть глибше вивчити ці інциденти, використовуючи свій досвід та інтуїцію для виявлення прихованих аспектів загрози, яких штучний інтелект міг би не помітити. Це людське розуміння є критично важливим для розуміння повного масштабу складних атак та розробки ефективних контрзаходів.
• Стратегічне прийняття рішень: Хоча штучний інтелект може обробляти рутинні завдання та обробку даних, стратегічні рішення щодо загальної позиції безпеки та довгострокових оборонних стратегій вимагають людської уваги. Експерти можуть інтерпретувати висновки штучного інтелекту для прийняття обґрунтованих рішень про розподіл ресурсів, зміни політики та стратегічні ініціативи.
• Постійне вдосконалення: Людські аналітики внесок у постійне вдосконалення систем штучного інтелекту шляхом надання зворотного зв’язку та навчальних даних. Їхні знання допомагають уточнювати алгоритми штучного інтелекту, роблячи їх більш точними та ефективними з часом. Це симбіотичні відносини між людським експертним знанням та штучним інтелектом забезпечують, що обидва розвиваються разом для боротьби з новими загрозами.

Оптимізоване співробітництво людини та машини

Під цим переходом лежить потреба у системах штучного інтелекту, які можуть вивчати з історичних даних (監督оване навчання) та продовжувати адаптуватися для виявлення нових атак через підходи навчання без нагороди/з підкріпленням. Об’єднання цих методів буде ключовим для того, щоб залишатися попереду еволюціонуючих можливостей штучного інтелекту нападників.

Загалом, штучний інтелект буде критично важливим для захисників, щоб масштабувати свої можливості виявлення та реагування. Людське експертне знання повинно залишатися тісно інтегрованим для розслідування складних загроз, аудиту висновків систем штучного інтелекту та керівництва стратегічними оборонними стратегіями. Оптимізована модель співробітництва людини та машини є ідеальною для майбутнього.

Якщо великі об’єми даних про безпеку накопичуються з часом, організації можуть застосовувати аналіз штучного інтелекту до цього сховища телеметрії для отримання знань для проактивного полювання на загрози та зміцнення захисту. Постійне навчання з попередніх інцидентів дозволяє передбачати моделі нових шаблонів атак. Якщо можливості штучного інтелекту продовжують розвиватися, роль малих та спеціалізованих мовних моделей, адаптованих до конкретних випадків використання безпеки, зростатиме. Ці моделі можуть допомогти ще більше зменшити “втому від сигналів”, точно розбираючи найбільш важливі сигнали для людського аналізу. Автономна реакція, підтримувана штучним інтелектом, також може розширитися для обробки більшої кількості завдань безпеки рівня 1.

Однак, людська увага та критичне мислення залишатимуться незамінними, особливо для інцидентів високої серйозності. Безумовно, майбутнє – це майбутнє оптимізованого співробітництва людини та машини, де штучний інтелект обробляє великі об’єми даних та рутинні завдання, дозволяючи людським експертам зосередитися на розслідуванні складних загроз та високорівневої стратегії безпеки.