Mesterséges intelligencia a kibervédelemben: hol segít az AI

Korábbi cikkeinkben arról írtunk, mire használják a támadók a mesterséges intelligenciát: adathalászatra, deepfake-re, nyilvános adatok gyűjtésére és sérülékenységek felderítésére. Ez a kép azonban féloldalas.

Az AI a kibervédelemben legalább annyit számít, mint a támadó oldalon. Eszköz. A védők kezében javítja a kiberbiztonságot: kiszűri a gyanús üzenetet, átrágja magát az adathegyen, lerövidíti a reagálási időt, és leveszi a csapat válláról a kézi munka egy részét.

A támadói oldalt két írásunk mutatja be: AI-alapú kibertámadások és LLM-integrációk penetrációs tesztelése.

A social engineering (pszichológiai manipuláció) oldaláról három cikkünk szól: AI-adathalászat, hangalapú deepfake-csalás és vishing, valamint OSINT és a nyilvános adatok.

Miért nem győzi kézzel a biztonsági csapat?

Egy mai cég folyamatosan digitális nyomot hagy: levelezés, bejelentkezések, felhőesemények, hálózati forgalom, alkalmazás- és végpontnaplók, jogosultságváltozások, sikertelen belépési kísérletek, a biztonsági eszközök riasztásai.

Egy kisebb cégnél naponta több ezer esemény keletkezik, egy nagyobb szervezetnél több millió. Ezt kézzel senki nem nézi át. Itt kezdődik az AI szerepe a kiberbiztonságban: mintázatokat, eltéréseket és összefüggéseket talál olyan adatmennyiségben, amelyet ember már nem lát át.

Hogyan szűri az AI az adathalász leveleket?

A phishing (adathalászat) az egyik olyan terület, ahol a védekező oldalon az AI a legtöbbet hozza. Egy mai adathalász szűrő már nem csak ismert kártékony linkeket keres. Nézi az üzenet nyelvezetét, a feladó reputációját, a domain hasonlóságát, a csatolmány típusát, a link viselkedését és több tucat további jelet.

Így olyan levelet is megjelöl, amelyben nincs ismert kártevő, mégsem stimmel valami: sürget, belépési adatot kér, szokatlan linkre mutat, vagy belső levelezésnek adja ki magát.

Egy szűrő sem fog ki mindent. A technológia akkor ér valamit, ha képzett emberek állnak mögötte: a szűrő lefaragja a támadások tömegét, a maradékot pedig már embernek kell felismernie.

Mit vesz észre az AI a monitorozásban?

A biztonsági monitorozás azt figyeli, mi történik a rendszerekben. Az AI itt a szokatlan viselkedést emeli ki, és segít a fenyegetések felismerésében.

Néhány tipikus jel:

• egy felhasználó olyan országból lép be, ahonnan korábban soha,
• egy fiók hirtelen szokatlanul sok adatot tölt le,
• egy munkatárs olyan rendszerhez próbál hozzáférni, amelyet a munkájához nem használ,
• egy eszköz gyanús domainnel kommunikál,
• éjszaka sorozatban futnak be a sikertelen belépések,
• egy rendszergazdai fiók szokatlan módosításokat végez.

Egyetlen esemény önmagában még nem incidens. Az AI viszont összeköti a jeleket, és megmutatja, hogy együtt már összeáll a kép. A gyakorlatban ez a SIEM-mel, az EDR-rel és a felhőbiztonsági eszközökkel együtt működik.

Hogyan gyorsítja az AI az incidenskezelést?

Incidensnél az idő számít. A csapatnak gyorsan kell látnia, mi történt, kit érint, mely rendszereket kell lezárni, és mi a következő lépés.

Az AI összefoglalja az események menetét, javaslatot tesz a folytatásra, sorrendbe rakja a teendőket, és rövid összegzést készít a döntéshozóknak. Ebben egy nagy nyelvi modell (LLM) segít a legtöbbet: az elemzőnek nem kell órákig túrnia a naplókat és a riasztásokat.

Egy ilyen összefoglaló nagyjából így néz ki: „A felhasználói fiókot átvették. Először szokatlan helyről érkezett belépés, utána új levéltovábbítási szabály jött létre, végül megosztott dokumentumokhoz próbáltak hozzáférni.”

Ez valóban időt spórol. Az eredményt viszont embernek kell ellenőriznie.

Hogyan segíti az AI a fejlesztőket?

Az AI a fejlesztésben is hasznos. Átnézi a kódot, kiemeli a kockázatos mintákat, biztonságosabb megoldást javasol, és egyszerűbb nyelven elmagyarázza a problémát.

Ez azért számít, mert biztonsági szakemberből kevés van. A fejlesztő határidőre dolgozik, a biztonság pedig gyakran csak féknek tűnik. Azt a hibát, amelyet az AI még kódolás közben elkap, olcsóbban és gyorsabban lehet javítani, mint ugyanazt egy incidens után.

Az AI viszont nem mentség a gyenge folyamatra. Kódellenőrzés, tesztelés, biztonsági szabályok és világos felelősség nélkül nem megy.

Mire jó az AI az oktatásban?

Egy jó biztonságtudatossági oktatás nem évi egy unalmas prezentáció. Az AI segít élethű, mégis biztonságos gyakorlószituációkat összeállítani.

A szimulált adathalász leveleket szerepre lehet szabni: mást kap a pénzügy, mást az értékesítés, és mást a HR. Így a munkatárs olyan helyzeten tanul, amilyennel tényleg találkozik.

Hol vannak az AI korlátai?

Az AI téved. Elveszíti a kontextust, incidensnek minősíti a hétköznapi munkát, vagy alábecsüli a valódi kockázatot.

A védelmi oldalon ezek a legnagyobb kockázatok:

• vakon megbíznak a javaslatban,
• rosszul állítják be az eszközt,
• hiányzik az emberi felügyelet,
• érzékeny adat szivárog ki egy nem megfelelő AI-eszközbe,
• sok a téves riasztás,
• nem tiszta, ki a felelős.

A szabály egyszerű: az AI javasol és segít, az ember dönt.

Mit érdemes bevezetni?

1. Döntse el, milyen adat mehet AI-eszközbe.

Érzékeny információnak semmi keresnivalója egy találomra kiválasztott nyilvános eszközben.

2. Fektesse le az AI-használat szabályait.

A munkatársnak tudnia kell, mi fér bele és mi nem.

3. Ott vessen be AI-t, ahol csökkenti a kockázatot.

Adathalász szűrő, monitorozás, incidensek összefoglalása, kódellenőrzés és SOC-automatizálás.

4. Az utolsó szó maradjon az emberé.

Főleg incidensnél, fiók zárolásánál és üzletmenetet érintő döntésnél.

5. Mérje az eredményt.

Nézze meg, tényleg kevesebb lett-e az incidens, vagy csak több lett a riasztás.

6. Az AI mellett a klasszikus védelem is maradjon.

Az MFA, a mentés, a frissítés, a legkisebb jogosultság elve és a zero trust továbbra is az alap.

Pótolja-e az AI a biztonsági kultúrát?

Hiába kiválóak az eszközök, ha senki nem tudja, kinek kell jelentenie a gyanús levelet, ha a kifizetéseket kapkodva hagyják jóvá, és ha a fiókokon nincs MFA. Ilyenkor az AI sem segít.

A kiberbiztonság emberből, folyamatból és technológiából áll össze. Az AI a technológiához tartozik, de amíg nem épül be a folyamatba, és amíg nem értik meg az emberek, keveset változtat.

Miért nem robotpilóta az AI?

A legnagyobb tévedés az, hogy az AI majd mindent elintéz. A biztonsághoz kontextus kell: mely rendszer kritikus, ki fér hozzá, mi a normál működés, és mi a kivétel.

Ezért számít a human-in-the-loop elv: a döntési láncban ott marad az ember. Az AI javaslatot tesz, riaszt, rangsorol vagy magyaráz – az ember jóváhagy, elutasít vagy kiegészít.

Összegzés

A mesterséges intelligencia egyre nagyobb szerepet kap a védelemben: kiszűri az adathalász leveleket, észreveszi az eltéréseket, összefoglalja az incidenseket, hibákat talál a kódban, és élethűbbé teszi az oktatást.

Nem varázspajzs, hanem erősítő. A jó biztonsági folyamatot felgyorsítja és jobbá teszi. A káoszt ugyanolyan hatékonyan gyorsítja fel.

A tanulság rövid: használja az AI-t, de ne hagyja egyedül dönteni. Asszisztens, nem robotpilóta.

Gyakori kérdések az AI-alapú védelemről

Kapcsolódó Haxoris-szolgáltatások: AI- és LLM-integrációk penetrációs tesztelése