Saturs
Īsā atbilde: MI maina ātrumu, mērogu un nenoteiktību
Kiberdrošība vienmēr ir bijusi sacensība starp uzbrucējiem un aizstāvjiem. MI maina šo sacensību, padarot dažus uzdevumus ātrākus, lētākus un vieglāk atkārtojamus. Tas ir svarīgi pikšķerēšanai, ļaunatūras analīzei, ievainojamību pētniecībai, identitātes uzbrukumiem, uzraudzībai un reaģēšanai uz incidentiem.
Aizstāvjiem MI var palīdzēt analizēt brīdinājumus, apkopot incidentus, atklāt anomālijas, ģenerēt vaicājumus, prioritizēt riskus un atbalstīt drošības komandas, kuras ir pārslogotas ar datiem. Uzbrucējiem MI var palīdzēt rakstīt pārliecinošus ziņojumus, tulkot krāpšanas tekstus, automatizēt izlūkošanu vai pielāgot sociālo inženieriju.
Rezultāts nav vienkārša priekšrocība vienai pusei. Organizācijām jāaizsargā savas MI sistēmas, uzmanīgi jāizmanto MI aizsardzībā un jāgatavojas pretiniekiem, kuriem arī ir piekļuve arvien jaudīgākiem rīkiem.
Aizstāvji izmanto MI, lai atklātu un reaģētu ātrāk
Drošības komandas jau paļaujas uz automatizāciju un mašīnmācīšanos tādās jomās kā surogātpasta filtrēšana, krāpšanas atklāšana, galiekārtu aizsardzība, identitātes riska vērtēšana un anomāliju atklāšana. Ģeneratīvais MI pievieno jaunas spējas pierādījumu apkopošanai, brīdinājumu skaidrošanai un palīdzībai analītiķiem vaicāt sarežģītām sistēmām.
Drošības operāciju centrā MI var samazināt berzi. Tas var grupēt saistītus brīdinājumus, pārvērst žurnālus lasāmos kopsavilkumos, ieteikt izmeklēšanas soļus, sagatavot incidentu laika līnijas un palīdzēt jaunākiem analītiķiem saprast nepazīstamus signālus.
Spēcīgākie aizsardzības lietojumi tomēr saglabā cilvēkus kontrolē. MI var paātrināt šķirošanu, bet augstas ietekmes darbībām, piemēram, kontu atspējošanai, ražošanas sistēmu bloķēšanai vai incidenta paziņošanai, jāpaliek politiku, apstiprināšanas plūsmu un audita žurnālu pārvaldībā.
Uzbrucēji var izmantot MI sociālās inženierijas un automatizācijas mērogošanai
MI var samazināt pārliecinošu pikšķerēšanas ziņojumu, viltotu atbalsta sarunu, tulkotu krāpšanas tekstu un personalizētu ēsmu veidošanas izmaksas. Tas var arī palīdzēt mazāk prasmīgiem uzbrucējiem rakstīt skriptus, saprast kļūdu ziņojumus vai automatizēt atkārtotu izlūkošanu.
Tas nenozīmē, ka MI automātiski rada elites uzbrucējus. Daudzi kiberuzbrukumi joprojām ir atkarīgi no nozagtiem akreditācijas datiem, neatjauninātām sistēmām, atklātiem servisiem, vājām identitātes kontrolēm un sliktas operacionālās drošības. MI bieži pastiprina esošās vājās vietas, nevis aizstāj visu uzbrukuma ķēdi.
Aizsardzības secinājums ir praktisks: organizācijām jāgaida lielāks apjoms, labāka valodas kvalitāte un ātrāka pielāgošanās sociālās inženierijas kampaņās. Spēcīga identitāte, pret pikšķerēšanu noturīga autentifikācija, atklāšanas inženierija un lietotāju ziņošana joprojām ir centrālas.
Arī MI sistēmas ir jāaizsargā
MI izmantošana uzņēmumā rada jaunus aizsargājamus aktīvus: promptus, modeļu galapunktus, trenēšanas datus, izguves indeksus, rīku integrācijas, žurnālus, izvērtēšanas datu kopas un aģentu atļaujas. Šīs sistēmas var saturēt sensitīvu biznesa kontekstu pat tad, ja pamatmodeli nodrošina trešā puse.
MI specifiskie riski ietver prompt injection, datu noplūdi, nedrošus rīku izsaukumus, modeļa manipulāciju, saindētus datus, nedrošas izvades un pārmērīgas atļaujas. Šie riski ir īpaši svarīgi, ja MI aģenti var lasīt failus, vaicāt datubāzes, sūtīt ziņojumus vai izraisīt darbplūsmu darbības.
Tāpēc MI sistēmu aizsardzība izskatās kā klasiskās kiberdrošības un MI pārvaldības apvienojums: piekļuves kontrole, datu klasifikācija, ievades validācija, izvades validācija, uzraudzība, red teaming, reaģēšana uz incidentiem un skaidras robežas tam, ko sistēmai ir atļauts darīt.
MI maina drošības operāciju darbu
MI var padarīt drošības operācijas efektīvākas, samazinot laiku, ko analītiķi pavada, lasot trokšņainus brīdinājumus un meklējot dažādos rīkos. Tas var pārvērst žurnālus, pieteikumus un draudu izlūkošanu skaidrākā izmeklēšanas sākumpunktā.
Taču MI var radīt arī jaunus operacionālos riskus. Pārliecinošs kopsavilkums var izlaist svarīgu detaļu. Automatizēts playbook var rīkoties pārāk agresīvi. Modelis var kļūdīties par notikuma smagumu. Drošības komandām ir vajadzīgi izvērtēšanas un atgriezeniskās saites cikli, nevis akla uzticēšanās.
Labākais modelis ir papildināšana. MI palīdz analītiķiem strādāt ātrāk, bet analītiķi nosaka izmeklēšanas standartu, pārbauda pierādījumus un lemj, kādas darbības ir piemērotas biznesa kontekstam.
Galvenie riski ir uzticēšanās, atļaujas un datu atklāšana
Galvenais kiberdrošības jautājums nav tikai tas, vai MI var atklāt draudus. Tas ir arī jautājums, kādus datus MI var redzēt, kādus rīkus tas var izsaukt, kādas darbības tas var veikt un kā šie lēmumi tiek pārskatīti.
MI asistents, kas savienots ar žurnāliem, var būt zema riska, ja tas tikai apkopo tikai lasāmus datus. Aģentam, kas savienots ar identitātes sistēmām, pieteikumu sistēmām, mākoņa konsolēm vai koda repozitorijiem, vajadzīgas stingrākas kontroles, jo kļūdām var būt reālas operacionālas sekas.
Tāpēc tādu organizāciju kā NIST ietvari uzsver, ka MI sistēmu aizsardzība, aizsardzība ar MI un gatavošanās MI iespējotiem uzbrukumiem jārisina kopā. Uztverot tos kā atsevišķas problēmas, rodas plaisas.
Kas tālāk MI un kiberdrošībai
Kiberdrošība, visticamāk, kļūs vairāk MI atbalstīta abās pusēs. Aizstāvji izmantos MI aģentus šķirošanai, atklāšanas inženierijai, ļaunatūras analīzei, politiku pārbaudēm un reaģēšanas koordinēšanai. Uzbrucēji izmantos MI apjoma, personalizācijas un ātruma palielināšanai.
Vienlaikus pamati kļūs svarīgāki, nevis mazāk svarīgi: aktīvu inventarizācija, ielāpi, identitāte, mazākās privilēģijas, žurnāli, rezerves kopijas, segmentēšana, droša programmatūras izstrāde un gatavība reaģēt uz incidentiem.
Iespējamā nākotne nav autonoma drošība bez cilvēkiem. Tā ir drošības darba forma, kur cilvēki pārrauga ātrākas sistēmas, nosaka robežas, auditē darbības un koncentrējas uz spriedumu, kamēr MI pārņem vairāk atkārtotās analīzes.