Репортаж с PHDays Fest 2: эксперт УЦСБ рассказал об ограничениях и возможностях использования искусственного интеллекта в сфере ИБ

«Если мы что-то упрощаем, то не исключено, что теряем какие-то важные моменты, что недопустимо для организации процессов мониторинга защищенности информационных систем. Также не подходит вариант, когда система слишком часто кричит «Волки!» и выдает дополнительные, ложные данные для обработки. Необходимо упростить решение задач для оператора центра мониторинга безопасности, а не усложнить их», — отметил Николай в своем выступлении.

«Мы можем попробовать снизить количество ложных оповещений для оператора центра мониторинга безопасности, если построим классификатор для этих оповещений на основе предварительно размеченных данных. Но для этого надо, чтобы операторы корректно закрывали любое оповещение, указывая было оно ложным или истинным. Используя такой подход, мы смогли построить модель с точностью свыше 90% — это уже реальное подспорье для оператора центра мониторинга защищенности. И в нашем SOC эта модель уже применяется. Оператор видит, что с очень высокой вероятностью, полученное оповещение является ложной сработкой — значит можно на него не тратить много времени и сосредоточиться на обработке гораздо более подозрительных событий.
Или мы можем внести в модель понимание того, что она анализирует: описать состав и структуру информационной системы, от которой модель получает события безопасности или сетевой трафик, применить некоторые полуформальные модули классификации действий злоумышленника (например, широко известная MITRE ATT&CK) – такой подход может резко повысить точность классификатора или объяснимость выявленных аномалий», — поделился одним из способов использовании ИИ Николай Домуховский.