AI CyberLab: Čo je realistické o AI v kybernetickej obrane dnes

Zverejnený zámer AI CyberLab opisuje plán národného laboratória umelej inteligencie pre kybernetickú bezpečnosť. Je to podklad k projektu, nie dôkaz, že konkrétna detekcia už funguje v produkcii. Pri podobnom nástroji treba oddeliť plánované schopnosti od výsledkov overeného pilotu.

Čo AI v kyberbezpečnosti reálne dokáže

AI nie je magické riešenie. V niektorých oblastiach však prináša hodnotu, ktorú viete zmerať.

Detekcia anomálií v sieťovej prevádzke

Toto je oblasť, kde AI vyniká. Tradičný systém pracuje s pravidlami. Ak sa stane X, spusti alarm. Model sa namiesto toho naučí, ako v sieti vyzerá normálne správanie, a všimne si odchýlku, ktorú by ľudský analytik prehliadol. Odchýlka môže upozorniť aj na doteraz neznámu hrozbu, no sama osebe nepotvrdzuje útok. Výsledok závisí od dát a nastavenia detekcie.

Rovnako fungujú systémy UEBA (User and Entity Behavior Analytics). Zachytia zamestnanca, ktorý siahne na dáta v nezvyčajnom čase alebo nezvyčajnou cestou, hoci má na ne právo.

Automatické triedenie alertov

Pri veľkom objeme alertov potrebuje SOC (Security Operations Center) odlíšiť incidenty od falošných poplachov. AI ich prioritizuje a koreluje podľa závažnosti aj kontextu, takže do jedného prípadu spojí aj udalosti, ktoré na prvý pohľad nesúvisia.

Analytik potom nestrávi celú zmenu odklikávaním planých poplachov.

Analýza malvéru

Novú vzorku vie AI zaradiť podľa podobnosti so známymi rodinami skôr, než ju človek vôbec otvorí. Nasleduje statická a dynamická analýza v sandboxe a predikcia správania zo štruktúry kódu.

Analytik tak dostane hypotézu, nie prázdny súbor.

Threat intelligence

Threat intelligence dát je viac, než stihne ktokoľvek prečítať. AI z reportov automaticky vytiahne IoC (Indicators of Compromise) a skoreluje hrozby naprieč zdrojmi.

Odhad pravdepodobných útočných vektorov je až ďalší krok.

Kde je AI stále hype

Nie všetko, čo sa predáva ako "AI-powered security", je také revolučné, ako tvrdí marketing.

Plne autonómna obrana

Automatickú reakciu obmedzte na vopred schválené akcie s jasnými podmienkami a možnosťou zastavenia. Rizikový zásah do produkcie potrebuje zodpovedného človeka. Rozsah autonómie sa má odvíjať od následkov chyby, nie od označenia nástroja ako AI.

Predikcia útokov

AI dokáže identifikovať trendy a vzorce, ale nedokáže spoľahlivo predpovedať konkrétny útok. Kyberbezpečnosť zostáva reaktívna disciplína s proaktívnymi prvkami, nie naopak.

Práca analytika po zavedení nástroja

Automatické triedenie môže uvoľniť čas analytika. Pilot má ukázať, koľko práce zostáva pri kontrole nálezov a koľko pribudne pri nastavovaní detekcie. Počet automaticky spracovaných alertov sám osebe nepreukazuje zníženie záťaže.

Čo AI CyberLab môže Slovensku priniesť

Ak bude iniciatíva správne nastavená, dá sa z nej vyťažiť niekoľko vecí naraz.

Zdieľanie threat intelligence

Centrálna platforma, kde si organizácie bezpečne vymieňajú informácie o hrozbách. AI spracúva a koreluje dáta z rôznych zdrojov.

Výskum a vývoj

Spolupráca univerzít a firiem na výskume AI aplikácií v bezpečnosti. Slovensko má silnú tradíciu v informatike, treba ju využiť.

Okrem toho môže iniciatíva priniesť AI-powered cyber range pre tréning bezpečnostných tímov, teda simulované útoky, ktoré sa adaptujú na obranu. Druhá vec je prepojenie bezpečnostných profesionálov naprieč sektormi.

Ako taký pilot overiť

Pilot detekcie anomálií má pracovať s označenou vzorkou logov a s metrikami, na ktorých sa obe strany dohodli vopred. Každý nález potvrdzuje človek.

Sledujte štyri čísla.

• zachytené incidenty
• falošné poplachy
• čas analytika
• či sa alarm dá spätne vysvetliť

Bez týchto údajov nie je tvrdenie o prínose overiteľné.

Prínos posudzujte podľa overených nálezov a práce analytika. Pri AI CyberLab rovnako rozlišujte zverejnený zámer od doložených výsledkov.

Chcete integrovať AI do bezpečnostných procesov Vašej firmy? Porozprávajme sa o tom, čo dáva zmysel pre Vašu situáciu.