Uczenie maszynowe i inteligentne systemy w ochronie przed cyberprze-stępczością
Eksperci ds. cyberbezpieczeństwa zrobią wszystko, co w ich mocy, aby zapobiec skutecznemu włamaniu, ale wiedzą też, że ograniczanie dostępu do zasobów organizacji jest zupełnie niepraktyczne. Największym przeło-mem ostatnich lat jest wykorzystanie uczenia maszynowego do wykrywania, kiedy próba naruszenia zabezpieczeń zakończyła się sukcesem.

 REKLAMA 
 ERP-VIEW.PL- STREAMSOFT 
 
Wykrywanie anomalii w ruchu sieciowym

Czy ruch sieciowy generowany przez złośliwe oprogramowanie powoduje urucho-mienie alarmów w momencie jego wykrycia? Okazuje się, że niekoniecznie. Jak wyja-śnia Christian Putz, dzieje się tak z kilku powodów.

Przyjęcie normy bazowego działania zwykłych użyt-kowników jest wysoce problematyczne. Atakujący wiedzą, jak obejść wykrywanie anomalii. Będą maskować swoje działania, aby wyglądały, jakby były częścią normalnych operacji. Na przykład, ataki w rodzaju command and control będą wyglądały jak próba nagłośnienia danej kwestii (beaconing) — w sieci widoczne będą okresowe wzrosty ruchu. I to jest krok pierwszy. Ale krok pierwszy obejmie również każdą aplikację mobilną, która kiedykolwiek istniała, ponieważ powiadomienia push wyglądają dokładnie tak samo – mówi.


W pierwszej kolejności należy zająć się konkretnym problemem bezpieczeństwa, któ-ry należy rozwiązać – pozwala to uniknąć problemu z nadzorowanym lub nienadzorowanym wstępnym uczeniem maszynowym.

Jeśli próbujemy sprostać wyzwaniu związanemu z bezpieczeństwem, musimy zrozumieć najpierw, jaki problem rozwiązujemy. Należy rozpocząć od zidentyfikowania problemu z analitykami bezpieczeństwa. Na przykład, chcę znaleźć atak typu command and control w ruchu sieciowym HTTPS. Współpracu-jemy, aby zrozumieć najlepszą metodę rozwiązania problemu. Czy problem dotyczy klasyfikacji? Czy jest to może problem wskazania anomalii? – tłumaczy przedstawiciel Vectra AI.


Hakerzy też mają słabe punkty


Hakerzy mają jedną zaletę. Postępują zgodnie z tym samym typem procedury, nieza-leżnie od konkretnej topologii sieci. Okazuje się, że dla atakujących nie ma rozróżnie-nia między wewnętrzną siecią LAN, lokalnym centrum danych lub dowolną liczbą zdalnych chmur — dla nich to tylko jedna sieć. Ich cele są takie same, a zatem podej-ście w zakresie infiltracji, samopropagacji i przemieszczania się, ataku command and control, zbierania danych poświadczających, eksfiltracji danych czy szyfrowania jest bardzo mocno ustandaryzowane. Poprzez nauczenie się typowych działań atakujących, odpowiednio stworzone algorytmy mogą ustalić wzorce i odpowiednio zareagować.

Tym bardziej, że praca zdalna sprawiła, że zmieniła się powierzchnia ataku —zwiększone wykorzystanie usług w chmurze, większa liczba usług wymaganych do wykonania codziennej pracy i inne czynniki, takie jak rosnąca obecność IIoT i IoT w Sieci TCP/IP. Rozszerzony obszar ataku jest jednym z tematów dokładnie zbadanych przez Gartner Security Operations Hype Cycle.

Niezależnie od tego, skąd pochodzi atak i za pomocą którego mechanizmu atakujący zdobywają punkt zaczepienia, istnieją oczywiście wskazówki dotyczące obecności złośliwych aktorów.

Relacja między atakującym a punktem końcowym, który znajduje się w środku sieci, zawsze wygląda na odwróconą w sto-sunku do przypadku normalnego użytkownika końcowego i serwera po drugiej stronie. Aby atak command and control mógł zadziałać, relacja jest odwrócona, inicjatywa zawsze jest po stronie atakującego, klient odpowiada z wewnątrz sieci – mówi Putz.


Inteligentne narzędzia wymagają eksperckiej wiedzy

Narzędzia mogą być inteligentne, ale organizacje nie powinny zakładać, że personel ds. cyberbezpieczeństwa może być przez to mniej wykwalifikowany. Każde narzędzie cyberbezpieczeństwa nadal wymaga wiedzy fachowej, bez niej nie da się wyciągnąć klarownych wniosków z bardzo dynamicznego zestawu wyników.

Narzędzia pomagają wykwalifikowanemu personelowi wykonywać swoją pracę bardziej efektywnie, a w krytycznej sytuacji nieuniknionego naruszenia reagować o wiele szybciej. Jako Vectra AI zapewniamy dużą ilość informacji w formie czystego sygnału. Nie wskazujemy masy detekcji rozproszo-nych po całej infrastrukturze. Nasze narzędzia zaprojektowaliśmy tak, aby wyłapać najbardziej krytyczne elementy sieci i wyciągnąć je na górę kolejki, pomagając ustalić firmie priorytety, co stanowi dla niej największe zagrożenie – wyjaśnia ekspert Vectra AI.


Jego zdaniem, obecnie nowoczesne narzędzia są niezbędne, ponieważ natura sieci bardzo się zmieniła i będzie nadal ewoluować. Definicja sieci musi się zmienić, ponieważ większość ludzi postrzega ją jako centrum danych, ale to znacznie więcej.

Obecnie niezwykle ważne jest zapewnienie naprawdę czystego sygnału sieciowego, przyglądamy się również technologiom chmurowym. Niezależnie od tego, czy jest to infrastruktura jako usługa, platforma jako usługa, oprogramowanie, czy jako centrum danych; należy zapewnić widoczność całej powierzchni ataku, aby móc śledzić napastników, gdy się przemieszczają – podsumowuje Christian Putz.


Źródło: Vectra AI

PRZECZYTAJ RÓWNIEŻ:


Back to top