Главная / О Центре / Новости / Репортаж с PHDays Fest 2: эксперт УЦСБ рассказал об ограничениях и возможностях использования искусственного интеллекта в сфере ИБ






Репортаж с PHDays Fest 2: эксперт УЦСБ рассказал об ограничениях и возможностях использования искусственного интеллекта в сфере ИБ

24 мая 2024

23 мая на международном киберфестивателе Positive Hack Days в Москве заместитель генерального директора по научно-технической работе УЦСБ Николай Домуховский выступил с докладом «Почему ИИ победно шествует во всех сферах, кроме ИБ». Тема оказалось настолько актуальной для специалистов по кибербезопасности, что в зале почти не было свободных мест.
В начале выступления Николай рассказал об основных успехах искусственного интеллекта за последние 10 лет. Достижения ИИ перешли из разряда фундаментальных исследований в статус востребованных прикладных решений, без которых мы уже не представляем свою жизнь. Сейчас на пике прогресса большие языковые модели, которые также становятся мультимодальными — нейросети могут построить изображение по вашему описанию, откорректировать его, написать текст и т.д. Очень многие пользуются этими возможностями и, к сожалению, эти технологии уже освоили и используют кибермошенники. Но почему до сих пор нет широкого применения ИИ в сфере защиты информации?

Достижения ИИ за последние 10 лет

Основной причиной, которая является ограничением для широкого применения ИИ в процессах обеспечения ИБ, можно отметить проблему «ложных сработок» из-за неточности и упрощений, заложенных в самой математической модели нейросетей. Если рассматривать выявление инцидента ИБ как задачу классификации, то здесь как раз будут мешать такие ограничения, как «неуверенность классификатора» в ИИ, а также серьезная проблема размерности, которую в общем виде тоже пока никто не решил. Подход с выявлением аномалий также себя не оправдывает – так как аномалии создают еще больше оповещений, требующих реакции со стороны операторов центров мониторинга безопасности. Как следствие, методы выявления аномалий усугубляют актуальную проблему нехватки квалифицированного персонала в сфере ИБ, а не решают ее: больше оповещений, требующих обработки, – больше потребность в людях, кто будет эту обработку производить.
«Если мы что-то упрощаем, то не исключено, что теряем какие-то важные моменты, что недопустимо для организации процессов мониторинга защищенности информационных систем. Также не подходит вариант, когда система слишком часто кричит «Волки!» и выдает дополнительные, ложные данные для обработки. Необходимо упростить решение задач для оператора центра мониторинга безопасности, а не усложнить их», — отметил Николай в своем выступлении.

Николай Домуховский, заместитель генерального директора по научно-технической работе УЦСБ

При всех этих ограничениях возможности для применения ИИ в ИБ все-таки есть — важно правильно поставить нейросети задачу и использовать ее там, где она эффективно работает.

«Мы можем попробовать снизить количество ложных оповещений для оператора центра мониторинга безопасности, если построим классификатор для этих оповещений на основе предварительно размеченных данных. Но для этого надо, чтобы операторы корректно закрывали любое оповещение, указывая было оно ложным или истинным. Используя такой подход, мы смогли построить модель с точностью свыше 90% — это уже реальное подспорье для оператора центра мониторинга защищенности. И в нашем SOC эта модель уже применяется. Оператор видит, что с очень высокой вероятностью, полученное оповещение является ложной сработкой — значит можно на него не тратить много времени и сосредоточиться на обработке гораздо более подозрительных событий.
Или мы можем внести в модель понимание того, что она анализирует: описать состав и структуру информационной системы, от которой модель получает события безопасности или сетевой трафик, применить некоторые полуформальные модули классификации действий злоумышленника (например, широко известная MITRE ATT&CK) – такой подход может резко повысить точность классификатора или объяснимость выявленных аномалий», — поделился одним из способов использовании ИИ Николай Домуховский.
Николай Домуховский, заместитель генерального директора по научно-технической работе УЦСБ

«Наполнение смыслами» — семантика событий

Время обнаружения и нейтрализации инцидентов играет ключевую роль в обеспечении ИБ.

Ущерб от инцидента безопасности можно свести к минимуму, если оперативно его выявить и устранить

Тема применения искусственного интеллекта в информационной безопасности также будет обсуждаться на предстоящей конференции о трендах в ИТ и ИБ IT IS conf, где Николай Домуховский выступит одним из экспертов. Регистрация на мероприятие открыта, все подробности на сайте.

Нажимая кнопку «Подписаться», я даю свое согласие на обработку моих персональных данных, в соответствии с Федеральным законом от 27.07.2006 года №152-ФЗ «О персональных данных», на условиях и для целей, определенных в Согласии на обработку персональных данных
Подпишитесь на нашу рассылку
Вы будете получать только полезную информацию о кибербезопасности — никакого спама и рекламы