Kibernetinis saugumas per pastaruosius kelerius metus pasikeitė labiau nei per ankstesnį dešimtmetį. Anksčiau pakakdavo geros ugniasienės, atnaujintos antivirusinės ir atsargaus administratoriaus, kuris stebi žurnalus. Šiandien atakų kiekis ir sudėtingumas išaugo tiek, kad žmogaus akis fiziškai nebespėja apdoroti visos informacijos. Būtent čia į žaidimą įžengia dirbtinis intelektas – ne kaip madingas žodis rinkodaros pristatymuose, o kaip realus įrankis, kuris jau dabar veikia SOC centruose, tinklo stebėjimo sistemose ir el. pašto filtruose.
Kodėl tradiciniai metodai nebeišsiverčia be AI pagalbos
Klasikinės saugumo sistemos remiasi parašais (signatures) ir taisyklėmis. Jei kenkėjiška programa jau žinoma, jos „pirštų atspaudas“ įtraukiamas į duomenų bazę ir sistema ją atpažįsta. Problema ta, kad šiuolaikiniai užpuolikai kasdien generuoja tūkstančius naujų kenkėjiškų kodo variantų, dažnai automatiškai, naudodami tuos pačius AI įrankius. Vadinasi, parašais grįstos sistemos tiesiog nespėja.
Mašininio mokymosi modeliai veikia kitaip – jie neieško konkretaus parašo, o analizuoja elgseną. Jei procesas staiga pradeda šifruoti didelius failų kiekius arba bandymai prisijungti prie sistemos vyksta iš neįprastos geografinės vietos neįprastu laiku, algoritmas tai pažymi kaip anomaliją, net jei niekada anksčiau nematė tokio konkretaus atakos scenarijaus. Tai iš esmės keičia žaidimo taisykles – gynyba tampa proaktyvi, o ne reaktyvi.
SIEM ir SOAR sistemos su integruotu intelektu
Bet kuri didesnė organizacija turi SIEM (Security Information and Event Management) sistemą, kuri renka žurnalus iš serverių, tinklo įrenginių, darbo stočių. Problema visada buvo ta pati – duomenų per daug, o žmonių, kurie juos analizuoja, per mažai. Vienas vidutinio dydžio įmonės tinklas per dieną gali sugeneruoti milijonus įvykių, iš kurių tikri saugumo incidentai sudaro vos kelias dešimtis.
Šiuolaikinės SIEM platformos (Splunk, Microsoft Sentinel, IBM QRadar) integruoja mašininio mokymosi modulius, kurie automatiškai koreguoja triukšmo lygį ir iškelia į paviršių tik tuos įvykius, kurie iš tikrųjų verti dėmesio. SOAR (Security Orchestration, Automation and Response) sistemos eina dar toliau – jos ne tik aptinka grėsmę, bet ir automatiškai imasi veiksmų: izoliuoja įrenginį nuo tinklo, blokuoja IP adresą, atšaukia vartotojo sesiją. Žmogus lieka sprendimo priėmimo grandinėje sudėtingesniais atvejais, bet rutininiai veiksmai vyksta be jo įsikišimo per kelias sekundes, o ne per valandas, kurių paprastai reikia rankiniam reagavimui.
Elgsenos analizė ir anomalijų aptikimas
UEBA (User and Entity Behavior Analytics) – viena iš sričių, kur AI panaudojimas duoda akivaizdžiausią naudą. Sistema sukuria kiekvieno vartotojo ir įrenginio „normalaus elgesio“ profilį: kada jis paprastai prisijungia, iš kokių įrenginių, prie kokių resursų kreipiasi, kokį duomenų kiekį parsisiunčia. Kai kas nors nukrypsta nuo šio modelio – pavyzdžiui, buhalterės paskyra staiga bando pasiekti serverio konfigūracijos failus 3 valandą nakties – sistema iškart signalizuoja.
Toks požiūris ypač efektyvus prieš vidines grėsmes (insider threats) ir kompromituotas paskyras, kurias sunku aptikti tradiciniais metodais, nes užpuolikas naudoja teisėtus prisijungimo duomenis. Parašais grįsta sistema tiesiog nemato nieko blogo – juk vartotojas prisijungė teisingu slaptažodžiu. Elgsenos analizė gi pastebi, kad kažkas neatitinka įprasto rašto.
Phishing ir socialinės inžinerijos atpažinimas
Sukčiavimo el. laiškai (phishing) tebėra vienas populiariausių įsilaužimo į organizaciją būdų – net 90 procentų sėkmingų atakų prasideda būtent nuo tokio laiško. AI modeliai, apmokyti natūralios kalbos apdorojimo (NLP) metodais, analizuoja ne tik el. laiško nuorodas ar priedus, bet ir patį teksto toną, gramatines konstrukcijas, siuntėjo domeno panašumą į tikrą įmonės domeną.
Įdomu tai, kad ta pati technologija naudojama abiejose barikadų pusėse. Užpuolikai jau seniai naudoja didelius kalbos modelius, kad generuotų įtikinamesnius, gramatiškai taisyklingus phishing laiškus, pritaikytus konkrečiai auditorijai (spear phishing). Anksčiau lietuviška phishing kampanija būdavo lengvai atpažįstama iš prastos kalbos ar keistų vertimų – dabar generatyvinis AI leidžia sukurti tekstą, kuris neatrodo įtartinai net atidžiam skaitytojui. Todėl gynybos pusėje AI turi tapti dar tikslesnis, analizuodamas ne tik tekstą, bet ir metaduomenis, siuntimo elgseną, nuorodų reputaciją realiu laiku.
Grėsmių žvalgyba ir prognozavimas
Threat intelligence platformos naudoja mašininį mokymąsi, kad apdorotų milžiniškus kiekius duomenų iš tamsiojo žiniatinklio, forumų, kur prekiaujama pavogtais duomenimis, ir techninių ataskaitų apie naujus pažeidžiamumus. Vietoj to, kad analitikas rankiniu būdu skaitytų šimtus šaltinių, algoritmas suranda sąsajas – pavyzdžiui, pastebi, kad tam tikra kenkėjiška kampanija naudoja tuos pačius infrastruktūros elementus kaip ankstesnė ataka prieš panašaus tipo organizaciją.
Prognozuojamoji analitika eina dar toliau – bando numatyti, kokios atakos tikėtinos artimiausiu metu, remiantis pažeidžiamumų paviešinimo tendencijomis, konkrečios pramonės šakos taikinių statistika ir organizacijos infrastruktūros ypatumais. Tai leidžia saugumo komandoms prioritetizuoti, kuriuos pažeidžiamumus lopyti pirmiausia, nes realybėje niekas negali užlopyti visko vienu metu – ištekliai visada riboti.
Kai algoritmas klysta: klaidingi teigiami ir modelio nuodijimas
Būtų nesąžininga vaizduoti AI kaip stebuklingą sprendimą be trūkumų. Klaidingų teigiamų (false positive) skaičius – reali problema. Jei sistema per dažnai klaidingai signalizuoja apie grėsmę, saugumo komanda pradeda ignoruoti perspėjimus – tai vadinama „alert fatigue“ ir yra viena pavojingiausių situacijų, nes tikra ataka gali paprasčiausiai pasiskęsti tarp šimtų netikslių pranešimų.
Dar rimtesnė problema – adversarial machine learning, arba modelio nuodijimas. Užpuolikai, žinodami, kad organizacija naudoja tam tikrą AI modelį, gali sąmoningai siųsti duomenis, sukurtus taip, kad apgautų algoritmą – pavyzdžiui, palaipsniui „mokydami“ sistemą, kad tam tikras elgesio modelis yra normalus, kol galiausiai atlieka tikrą ataką lieka nepastebėti. Būtent todėl gynybos modeliai turi būti nuolat perkalibruojami, o ne paleisti ir pamiršti.
Praktiniai patarimai organizacijoms, kurios diegia AI saugumo sprendimus
Prieš perkant brangią platformą su „AI powered“ užrašu ant dėžutės, verta atsakyti į kelis klausimus:
- Ar sistema integruojasi su jau turima infrastruktūra, ar teks perstatyti visą stebėjimo procesą iš naujo?
- Kiek laiko reikia modeliui „apmokyti“ jūsų organizacijos konkrečiam elgesio profiliui? Dažnai pirmosios kelios savaitės po diegimo bus pilnos klaidingų signalų, kol sistema „išmoksta“ normą.
- Ar tiekėjas leidžia patikrinti modelio sprendimų logiką (explainability), ar tai visiškai „juoda dėžė“? Auditui ir atitikčiai (compliance) tai svarbu.
- Kokie duomenys siunčiami į tiekėjo debesį analizei – ar tai neprieštarauja duomenų apsaugos reikalavimams (BDAR)?
Verta pradėti ne nuo visos infrastruktūros automatizavimo, o nuo vieno konkretaus proceso – pavyzdžiui, el. pašto filtravimo ar prisijungimų anomalijos aptikimo. Palaipsnis diegimas leidžia komandai suprasti, kaip sistema veikia realybėje, o ne teorijoje iš pardavėjo pristatymo.
Ką pasiimti su savimi eiti toliau
Dirbtinis intelektas kibernetinėje gynyboje nėra ateities technologija – tai jau šiandienos darbo įrankis, be kurio didesnės organizacijos tiesiog nebeišgyventų prieš dabartinio masto atakas. Bet svarbu suprasti vieną dalyką: AI nepakeičia saugumo specialisto, jis pakeičia rutiną. Algoritmas gali per sekundę peržiūrėti milijonus žurnalo įrašų, tačiau sprendimą, ar iškelti didelio masto incidentą ir informuoti vadovybę, vis dar priima žmogus, turintis kontekstą, kurio mašina neturi.
Jei dirbate saugumo srityje ar tik pradedate galvoti apie AI diegimą savo organizacijoje, geriausia pradžia – ne didžiausia rinkoje platforma, o aiškus supratimas, kokią konkrečią problemą norite išspręsti. Ar tai el. pašto grėsmės, ar vidinės anomalijos, ar pažeidžiamumų prioritetizavimas – kiekvienam atvejui tinka skirtingi įrankiai. Ir nepamirškite: kadangi tie patys algoritmai naudojami ir puolimo, ir gynybos pusėje, lenktynės niekada nesibaigs – tai tiesiog naujas etapas amžiname katės ir pelės žaidime, kuriame šįkart abi pusės turi tuos pačius matematinius įrankius rankose.
