Generativna umetna inteligenca v podporo varnostnim analitikom
Umetna inteligenca (AI) spreminja področje kibernetske varnosti. Med najobetavnejšimi novostmi je uporaba generativnih modelov AI v podporo varnostnim analitikom. V moji zadnji raziskavi z naslovom »Using Generative AI Models to Support Cybersecurity Analysts« smo preučili, kako je mogoče velike jezikovne modele (LLM) vključiti v delovne procese kibernetske varnosti ter z njimi izboljšati zaznavanje groženj, ocenjevanje ranljivosti in analizo dnevniških zapisov.
Zakaj generativna umetna inteligenca v kibernetski varnosti?
Varnostni analitiki se spopadajo z ogromno količino podatkov – od dnevniških zapisov dogodkov in varnostnih nastavitev do poročil o ranljivostih in analiz zlonamerne programske opreme. Običajna orodja te podatke pomagajo zbirati in obdelovati, analitiki pa še vedno porabijo ure za ročno prepoznavanje groženj in ocenjevanje tveganj.
Generativna umetna inteligenca lahko to spremeni tako, da:
- avtomatizira analizo varnostnih dnevniških zapisov in hitreje zazna anomalije
- učinkoviteje odkriva ranljivosti v aplikacijah
- z analizo možnih exploitov podpre penetracijsko testiranje
- ponudi kontekst na podlagi uveljavljenih varnostnih okvirov, kot sta OWASP Mobile Top 10 in MITRE ATT&CK
Naša raziskava: dve ključni študiji primera
Raziskava se je osredotočila na dva primera uporabe iz prakse, pri katerih lahko modeli LLM pomagajo strokovnjakom za kibernetsko varnost:
1. Odkrivanje ranljivosti v aplikacijah za Android
Razvili smo sistem, ki modele LLM povezuje z varnostnimi orodji, kot sta MobSF (Mobile Security Framework) in Semgrep, ter v aplikacijah za Android išče ranljivosti. Nismo se zanašali le na orodja za statično analizo, temveč smo uporabili kontekstno analizo z AI, s katero smo:
- pregledali izvorno kodo aplikacije
- z vnaprej določenimi pravili za ranljivosti odkrili varnostne pomanjkljivosti
- težave razvrstili po okviru OWASP Mobile Top 10
Ključna ugotovitev: modeli LLM so izboljšali hitrost in natančnost odkrivanja ranljivosti, vendar so prinesli tudi lažno pozitivne rezultate, ki jih je moral preveriti človek.
2. Analiza varnostnih dnevniških zapisov za zaznavanje incidentov
Preizkusili smo, kako lahko modeli LLM pomagajo pri analizi omrežnih varnostnih dnevniških zapisov iz orodij, kot sta Suricata (IDS/IPS) in Sysmon (orodje za spremljanje sistemov Windows). Naš cilj je bil varnostna opozorila povezati z resničnimi grožnjami, izločiti lažno pozitivne rezultate in incidente preslikati v okvir MITRE ATT&CK.
Ključna ugotovitev: analiza s podporo AI je občutno skrajšala čas, potreben za prepoznavanje in razvrščanje groženj, modeli pa so imeli težave z močno zamegljenimi ali zapletenimi napadi.
Omejitve in izzivi
Raziskava je pokazala velik potencial, vendar uporaba modelov LLM v kibernetski varnosti ni brez tveganj:
- Lažno pozitivni rezultati: modeli AI lahko dnevniške zapise ali kodo razložijo napačno, kar sproži nepotrebna opozorila.
- Stroški: obdelava velikih količin podatkov z modeli LLM je lahko draga.
- Varnostni pomisleki: analiza s podporo AI odpira vprašanja o zasebnosti podatkov in o napadih na same modele LLM (adversarial attacks).
Prihodnost AI v kibernetski varnosti
Kljub tem izzivom se kibernetska varnost s podporo AI hitro razvija. Prihodnji napredek pri dodatno učenih (fine-tuned) modelih LLM, namenskih varnostnih modelih AI in prilagodljivem učenju v realnem času bi lahko korenito spremenil način, kako grožnje zaznavamo, analiziramo in se nanje odzivamo.
Če vas zanimajo vse podrobnosti naše raziskave, preberite celoten članek:
Znanstveni članek o raziskavi (v angleščini)
AI postaja ključno orodje strokovnjakov za kibernetsko varnost, zato bo ravnovesje med avtomatizacijo in človeškim strokovnim znanjem odločilno za učinkovito in natančno obrambo pred kibernetskimi grožnjami.
Ostanite varni, bodite obveščeni in izkoristite AI v kibernetski varnosti.
