Эксперт УЦСБ рассказал о возможностях использования ИИ в ИБ

23 мая на международном киберфестивателе Positive Hack Days в Москве заместитель генерального директора по научно-технической работе УЦСБ Николай Домуховский выступил с докладом «Почему ИИ победно шествует во всех сферах, кроме ИБ». 

Достижения ИИ перешли из разряда фундаментальных исследований в статус востребованных прикладных решений, без которых мы уже не представляем свою жизнь. Сейчас на пике прогресса большие языковые модели, которые также становятся мультимодальными — нейросети могут построить изображение по вашему описанию, откорректировать его, написать текст и т.д. Очень многие пользуются этими возможностями и, к сожалению, эти технологии уже освоили и используют кибермошенники. Но почему до сих пор нет широкого применения ИИ в сфере защиты информации?

Основной причиной, которая является ограничением для широкого применения ИИ в процессах обеспечения ИБ, можно отметить проблему «ложных сработок» из-за неточности и упрощений, заложенных в самой математической модели нейросетей. Если рассматривать выявление инцидента ИБ как задачу классификации, то здесь как раз будут мешать такие ограничения, как «неуверенность классификатора» в ИИ, а также серьезная проблема размерности, которую в общем виде тоже пока никто не решил. Подход с выявлением аномалий также себя не оправдывает — так как аномалии создают еще больше оповещений, требующих реакции со стороны операторов центров мониторинга безопасности. Как следствие, методы выявления аномалий усугубляют актуальную проблему нехватки квалифицированного персонала в сфере ИБ, а не решают ее: больше оповещений, требующих обработки, — больше потребность в людях, кто будет эту обработку производить.

«Если мы что-то упрощаем, то не исключено, что теряем какие-то важные моменты, что недопустимо для организации процессов мониторинга защищенности информационных систем. Также не подходит вариант, когда система слишком часто кричит «Волки!» и выдает дополнительные, ложные данные для обработки. Необходимо упростить решение задач для оператора центра мониторинга безопасности, а не усложнить их», — отметил Николай Домуховский в своем выступлении.

При всех этих ограничениях возможности для применения ИИ в ИБ все-таки есть — важно правильно поставить нейросети задачу и использовать ее там, где она эффективно работает.

«Мы можем попробовать снизить количество ложных оповещений для оператора центра мониторинга безопасности, если построим классификатор для этих оповещений на основе предварительно размеченных данных. Но для этого надо, чтобы операторы корректно закрывали любое оповещение, указывая было оно ложным или истинным. Используя такой подход, мы смогли построить модель с точностью свыше 90% — это уже реальное подспорье для оператора центра мониторинга защищенности. И в нашем SOC эта модель уже применяется. Оператор видит, что с очень высокой вероятностью, полученное оповещение является ложной сработкой — значит можно на него не тратить много времени и сосредоточиться на обработке гораздо более подозрительных событий.

Или мы можем внести в модель понимание того, что она анализирует: описать состав и структуру информационной системы, от которой модель получает события безопасности или сетевой трафик, применить некоторые полуформальные модули классификации действий злоумышленника (например, широко известная MITREATT&CK) — такой подход может резко повысить точность классификатора или объяснимость выявленных аномалий», — поделился одним из способов использовании ИИ Николай Домуховский.

Тема применения искусственного интеллекта в информационной безопасности также будет обсуждаться на предстоящей конференции о трендах в ИТ и ИБ ITIS conf, где Николай Домуховский выступит одним из экспертов.