Kuidas AI muudab küberturvalisust?

Küberturvalisus on alati olnud võidujooks ründajate ja kaitsjate vahel. AI muudab seda võidujooksu, tehes mõned ülesanded kiiremaks, odavamaks ja lihtsamini korratavaks. See puudutab phishingut, pahavara analüüsi, haavatavuste uurimist, identiteediründeid, seiret ja intsidentidele reageerimist.

Kaitsjatele võib AI aidata analüüsida häireid, kokku võtta intsidente, tuvastada anomaaliaid, genereerida päringuid, prioriseerida riske ja toetada turvatiime, kes on andmetest üle koormatud. Ründajatele võib AI aidata kirjutada veenvaid sõnumeid, tõlkida pettusi, automatiseerida luuret või kohandada social engineeringut.

Tulemus ei ole lihtne eelis ühele poolele. Organisatsioonid peavad oma AI-süsteeme turvama, kasutama AI-d kaitses ettevaatlikult ja valmistuma vastasteks, kellel on samuti ligipääs üha võimekamatele tööriistadele.

Turvatiimid kasutavad juba automatiseerimist ja masinõpet näiteks rämpsposti filtreerimises, pettuste tuvastamises, endpoint-kaitses, identiteediriski hindamises ja anomaaliate tuvastamises. Generatiivne AI lisab uusi võimalusi tõendite kokkuvõtmiseks, häirete selgitamiseks ja analüütikute abistamiseks keerukate süsteemide päringutes.

Security operations centeris võib AI vähendada hõõrdumist. See võib rühmitada seotud häireid, tõlkida logid loetavateks kokkuvõteteks, soovitada uurimissamme, koostada intsidendi ajajooni ja aidata noorematel analüütikutel tundmatuid signaale mõista.

Tugevaimad kaitsekasutused hoiavad inimesed siiski kontrollis. AI võib triage'i kiirendada, kuid suure mõjuga toimingud, nagu kontode keelamine, tootmissüsteemide blokeerimine või intsidendi väljakuulutamine, peaksid jääma poliitikate, heakskiiduvoogude ja auditilogide juhitavaks.

AI võib vähendada veenvate phishing-sõnumite, võltsitud tugivestluste, tõlgitud pettuste ja personaliseeritud peibutiste tootmise kulu. See võib aidata ka vähem oskuslikel ründajatel skripte kirjutada, veateateid mõista või korduvat luuret automatiseerida.

See ei tähenda, et AI looks automaatselt eliitründajaid. Paljud küberründed sõltuvad endiselt varastatud kasutajatunnustest, paikamata süsteemidest, avatud teenustest, nõrkadest identiteedikontrollidest ja kehvast operatiivsest turbest. AI võimendab sageli olemasolevaid nõrkusi, mitte ei asenda kogu ründeahelat.

Kaitse seisukohalt on järeldus praktiline: organisatsioonid peaksid ootama suuremat mahtu, paremat keelekvaliteeti ja kiiremat kohanemist social engineeringu kampaaniates. Tugev identiteet, phishingukindel autentimine, detection engineering ja kasutajate raporteerimine jäävad keskseks.

AI kasutamine ettevõttes loob uusi kaitstavaid varasid: promptid, mudeli endpointid, treeningandmed, retrieval-indeksid, tööriistaintegratsioonid, logid, hindamisandmestikud ja agentide õigused. Need süsteemid võivad sisaldada tundlikku ärikonteksti isegi siis, kui alusmudeli pakub kolmas osapool.

AI-spetsiifilised riskid hõlmavad prompt injectionit, andmeleket, ebaturvalisi tööriistakutseid, mudeli manipuleerimist, mürgitatud andmeid, ebaturvalisi väljundeid ja liigseid õigusi. Need riskid on eriti olulised siis, kui AI agendid saavad lugeda faile, pärida andmebaase, saata sõnumeid või käivitada töövootoiminguid.

AI-süsteemide turvamine näeb seetõttu välja nagu klassikalise küberturvalisuse ja AI-juhtimise segu: ligipääsukontroll, andmete klassifitseerimine, sisendi valideerimine, väljundi valideerimine, seire, red teaming, intsidendireageerimine ja selged piirid sellele, mida süsteem teha tohib.

AI võib muuta turbeoperatsioonid tõhusamaks, vähendades aega, mille analüütikud kulutavad mürarikaste häirete lugemisele ja tööriistade vahel otsimisele. See võib muuta logid, piletid ja ohuluure uurimise jaoks selgemaks lähtepunktiks.

Kuid AI võib luua ka uusi operatiivseid riske. Enesekindel kokkuvõte võib olulise detaili välja jätta. Automatiseeritud playbook võib tegutseda liiga agressiivselt. Mudel võib sündmuse tõsidust valesti hinnata. Turvatiimid vajavad hindamist ja tagasisideahelaid, mitte pimedat usaldust.

Parim muster on võimendamine. AI aitab analüütikutel kiiremini liikuda, kuid analüütikud määravad uurimisstandardi, valideerivad tõendid ja otsustavad, millised tegevused sobivad ärikonteksti.

Küberturvalisuse keskne küsimus ei ole ainult see, kas AI suudab ohte tuvastada. Küsimus on selles, milliseid andmeid AI näeb, milliseid tööriistu ta saab kutsuda, milliseid toiminguid teha ja kuidas neid otsuseid üle vaadatakse.

Logidega ühendatud AI-assistent võib olla madala riskiga, kui ta ainult teeb kokkuvõtteid read-only-andmetest. Identiteedisüsteemide, piletisüsteemide, pilvekonsoolide või koodirepository'ga ühendatud agent vajab tugevamaid kontrolle, sest vead võivad tuua päris operatiivseid tagajärgi.

Seetõttu rõhutavad näiteks NISTi raamistikud AI-süsteemide turvamist, AI abil kaitsmist ja AI-toega rünneteks valmistumist koos. Kui neid käsitleda eraldi probleemidena, jäävad lüngad.

Küberturvalisus muutub tõenäoliselt mõlemal poolel rohkem AI-toeliseks. Kaitsjad kasutavad AI agente triage'iks, detection engineeringuks, pahavara analüüsiks, poliitikakontrolliks ja reageerimise koordineerimiseks. Ründajad kasutavad AI-d mahu, personaliseerimise ja kiiruse suurendamiseks.

Samal ajal muutuvad põhitõed olulisemaks, mitte vähem oluliseks: varade inventuur, paikamine, identiteet, vähimad õigused, logimine, varundus, segmentimine, turvaline tarkvaraarendus ja intsidendireageerimise valmisolek.

Tõenäoline tulevik ei ole autonoomne turve ilma inimesteta. See on turbetöö, kus inimesed juhendavad kiiremaid süsteeme, määravad piirid, auditeerivad tegevusi ja keskenduvad otsustamisele, samal ajal kui AI võtab enda peale rohkem korduvat analüüsi.