網絡AI：真正的防御
寫在前面：麥肯錫、埃森哲、普華永道、德勤、畢馬威、安永都是全球著名的咨詢公司，對信息技術和網絡安全的未來發展，進行了大量的研究，很有自己的洞見。本文是德勤對AI在網絡安全的發展情況做的分析。
網絡AI：真正的防御
使用數據和機器智能武裝安全團隊
組織正在努力和安全入侵做斗爭，網絡AI成為一個力量放大器，不僅幫助安全團隊比網絡攻擊者更快地響應，還能預測行為，提前行動。
盡管安全技術進行大量投資，組織仍在不斷地和安全入侵做斗爭：他們的敵人正在快速發展戰術，在技術曲線上保持領先。人類也許很快被檢測攻擊的數量、復雜度和難度所壓垮。
人們面臨著有效分析從多個安全技術棧進入安全運維中心（SOC）數據流的挑戰。還不包括從網絡設備、應用數據和高級攻擊者尋找新的載荷或使用新的惡意軟件攻擊目標的其他廣泛技術棧的數據源。隨著企業日益擴展到防火墻之外，安全分析人員負責保護持續增長的攻擊面。
當前網絡犯罪成本持續攀升，估計從2015年的3萬億美元到2021年6萬億美元，至2025年10.5萬億美元。2021年單次數據入侵的平均成本是424萬美元，相比2019增長了10%。據AIG保險公司統計，從2018年以來，勒索軟件已經增長150%。
是時候呼叫AI的支援了，網絡AI能夠變成力量放大器，不僅幫助安全團隊比黑客更快地響應，而且能預測行為，提前行動。網絡AI技術和工具還在采用的早期階段，在2021年和2025年之間，全球市場期望增長190億美元。
AI自適應學習和檢測特征的能力可以加速檢測、遏制和響應，減輕SOC分析人員的負擔，允許他們更主動。好處：它能幫助組織對最終發展為AI驅動的網絡犯罪做好準備。
擴大企業攻擊面
組織的攻擊面呈指數級擴大，正如技術棧走向實體中所討論的，5G網絡的采用和網絡互聯的增加，加上分布式工作員工和不斷擴展的合作伙伴生態系統，都可能帶來新的風險。把企業暴露在防火墻外面，推入到客戶設備、員工家庭和合作伙伴網絡中。
更多遠程工作人員
新冠疫情之前，只有6%的員工在家工作。2020年5月，達到35%。2020最初的六個星期封鎖時期，對居家工作人員的攻擊增長5倍，從12%到60%。一個調查發現，轉變成遠程工作模式之后，51%的受訪者目睹了釣魚郵件的增加。
對許多員工來說，遠程工作將會成為常態，而不是偶爾為之，給網絡罪犯提供許多新的機會。例如，在公司防火墻和Web安全網關安全范圍之外，遠程工作人員很容易成為目標。他們依賴家庭網絡和VPN連接，常常使用不安全設備去訪問云應用和數據，傳統的本地安全設備常常設計成支持企業級的網絡，不是家庭互聯網訪問。
隨著企業擴展到員工家中，用戶行為和數據活動變得更加多樣性，偏離以往的規范。當員工在不常見的時間和地點登錄，識別異常行為更具有挑戰性，可能導致誤報率的增加。
增加的網絡互聯設備
5G、IoT、Wi-Fi6，網絡技術進步正在推動互聯設備的增加。當尋找一個軟攻擊載體，網絡罪犯能夠從越來越多的互聯網絡資產中選擇，據估計2023年將達到293億臺設備。
難以計算的設備連接到這些網絡上，產生大量需要處理和保護的數據，導致了SOC中的數據積壓。管理和跟蹤活躍資產、他們的目的和預期行為，非常具有挑戰性，特別使用被服務編排程序管理時。
不再是集中放置和控制，許多設備散布到各種遠程地點，在多種邊緣環境中運行，收集數據送回到企業。如果沒有正確的安全措施，設備就會被入侵，在網絡上表現得正常運行，實際變成入侵者控制的機器人，散播惡意代碼，發動集群攻擊。
更廣泛的第三方合作伙伴生態系統
日益全球化的供應鏈和托管數據、基礎設施及服務帶來大量第三方風險。隨著越來越多的組織把數據集成到第三方應用，API安全讓人難以放心。Gartner預料，2022年，API濫用會變成企業最頻繁的攻擊形式。
第三方入侵在復雜性方面也在增加，五年之前，入侵者可能使用大量已有的惡意軟件攻擊特定計算機系統，獲得聯系人憑證，偷取客戶數據-混亂但可以確定，源頭很清楚，有能力監控和修復破壞。
這樣的攻擊，和今天的復雜入侵相比，不值一提。從一個公司偷取的信息可用來入侵上千個它的客戶和供應商。供應鏈攻擊通過利用復雜供應鏈網絡中最不安全的組件漏洞，一個沒有邊界的入侵很難監控和修復，很多年都會保持活躍偷取數據。
采用5G網絡
5G將以新的連接、功能和服務完全轉變企業網絡。但是向5G的轉移中，包括硬件、分布式、軟件定義網絡、開放架構和虛擬化基礎設施，都將產生新的漏洞和更大的攻擊面，會要求更多的動態網絡防護。
5G網絡能支持高達每平方公里上百萬個互聯設備，和4G網絡10萬個設備對比，能實現更高的擴展性和更大密度的設備互聯環境。市場觀察者預料，到2025年， 5G移動連接（不算IoT），從2021年5億臺設備會增加到18億臺；蜂窩IoT連接，從2020年170萬臺到大約37億臺。
隨著公共5G網絡擴展，政府、汽車、制造業、采礦業，能源行業等其他行業開始投資于5G專網，滿足企業低延時、數據隱私和安全無線連接的要求。從自動駕駛車輛和無人機到智能工廠設備和移動電話，整個公共5G和5G專網的生態系統-互聯設備、應用和服務將為黑客創造更多潛在入侵點，每個資產都需要配置成符合特定的安全需求，增加的設備日益多樣性，網絡異構性越來越強，對于網絡的監控和防護變得更加富有挑戰性。
用AI防御今天的網絡威脅
擴展的網絡攻擊面和網絡威脅日趨嚴重和復雜，正在由于缺少網絡安全人才而變得更加危急。幾乎89%的增加，才能滿足全球大約3百萬網絡安全專業人員的需求。AI能幫助彌補這個差距。
加速威脅檢測
威脅檢測是網絡AI最早應用之一。加強現有的攻擊面管理技術，減少噪音和允許稀缺的網絡安全專業人員集中于明顯的入侵信號和攻陷指標。快速做出決策和采取行動，聚焦于更有戰略性的活動。
高級分析和機器學習平臺能快速篩選安全工具產生的大量數據。識別偏離常態的行為，評估上千個涌入網絡的新連接資產的數據，被訓練區分合法和惡意文件、連接、設備和用戶。
AI驅動的網絡、資產映射、虛擬化平臺能對正在擴大的企業攻擊面提供實時了解。他們能識別和分類活躍資產，包括容器化資產，提供流氓資產行為的可見性。供應鏈風險管理軟件合并了機器學習和AI，能自動監控實體和數字供應鏈環境，跟蹤資產組成和鏈接的方式。
在抑制和響應方面的力量放大器
AI也可以作為力量放大器，幫助安全團隊對一些耗費時間的活動自動化，理順抑制和響應活動。考慮到機器學習、深度學習，自然語言處理、強化學習、知識表示等其他AI方法，當與自動化評估和決策相結合時，AI能幫助分析人員管理一個越來越復雜的安全威脅，實現規模化。
例如，像前幾代產品一樣，5G很容易受到干擾（jamming）攻擊，攻擊者故意干擾信號傳輸。來自弗吉尼亞理工大學和德勤的研究者在英聯邦網絡倡議項目中，一起合作了解5G網絡安全設計和實施，在低級信號干擾癱瘓網絡之前識別出它。借助實施基于AI的干擾模式和機器學習模型，開發實時的漏洞評估系統，能夠檢測低水平干擾信號的存在，并對干擾模式分類。
自動化有助于最大化AI的效果，縮短檢測和修復之間的時間。集成AI和機器學習的SOC自動化平臺，能實現自主的、預防性行為-例如，禁止對特定數據的訪問-并將問題升級到SOC，進一步評估。基于控制API訪問的API管理方案，在用戶訪問特征方面得到訓練的機器學習模型能檢查所有API流量，實時發現和報告異常行為。
主動安全態勢
正確訓練的AI能實現更主動的安全態勢和提高網絡彈性，即使遭到攻擊，也能保證組織維持運維，減少攻擊者在環境中的時間。
例如，上下文關聯的用戶分析能夠和無監督機器學習算法結合，自動化檢查用戶活動；發現網絡活動和數據訪問中的典型特征；識別、評估和標記異常行為（忽略誤報）；決定是否需要響應或干擾。AI把情報導入人類安全專家，幫助他們主動追捕攻擊者，實現主動威脅狩獵。
組織能利用AI和機器學習，實現安全策略配置、合規監控、威脅和漏洞檢測及響應的自動化。例如，機器學習驅動的特權訪問管理平臺能自動開發和維護安全策略，幫助強化零信任安全模型。通過分析網絡流量特征，這些模型能區分合法和惡意連接，推薦如何隔離網絡，保護應用和工作負載。
輔以漏洞分析和強化學習，安全專家能生成攻擊圖譜，對復雜網絡結構建模，發現最佳攻擊路徑。更好地理解網絡漏洞和減少測試人員。同樣，網絡攻擊模擬工具能持續模擬高級威脅技巧和步驟，暴露基礎設施漏洞和潛在攻擊路徑。
發展人類安全分析人員角色
在一次安全分析人員的調查中，40%的人說他們最大的痛點是警報過多；47%說很難知道優先處理哪個事件響應。其他的調查發現分析人員越來越相信他們的角色就是減少報警調查時間和報警數量，而不是分析和修復安全威脅。超過四分之三的受訪者稱分析人員離職率超過10%，接近一半受訪者說離職率在10%和25%之間。
AI無法替代安全專家，但能加強他們的工作，實現更高的工作滿意度。在一般的SOC中，AI和自動化能消除第一層和第二層分析人員的瑣碎工作。（第一層分析人員評估進入數據，決定升級問題，第二層分析人員響應問題故障單，評估每種威脅范圍，決定響應和修復，并在需要時升級。）這些分析人員可以接受培訓，從事更有戰略性的工作，更具有挑戰性。如高級第二層分析人員和第三層分析人員，處理最棘手的安全挑戰和聚焦主動發現和監控威脅及漏洞。
對抗未來AI驅動網絡犯罪的武器籌碼
加快數據分析、事件處理、異常檢測、持續學習和預測情報，這些功能把AI變成有價值的對抗安全威脅武器，也同樣能被網絡罪犯用來開發新的或更有效的攻擊和檢測系統弱點的手段。
例如，研究人員已經使用生成式對抗網絡-兩個互相競爭性神經網絡，生成類似訓練數據數據集-成功地破解了百萬個密碼。同樣，一個名為GPT-3的開源深度學習語言模型，能學習行為和語言的細微差別。可以被網絡罪犯用來冒充可信用戶，幾乎難以區別真實和欺騙電子郵件及其他通訊。釣魚攻擊變得更加符合語境和可信。
高級攻擊者能潛入網絡，長時間存在而不被發現，針對特定目標，常常緩慢和隱蔽地移動。加上AI惡意軟件的混淆，這些入侵者能入侵用戶，快速識別有價值數據，學會快速偽裝自己，逃脫檢測。
組織可以采用以毒攻毒的方法，幫助阻止這樣的入侵：利用足夠的數據，AI驅動的安全工具能實時有效地預料和對抗AI驅動的威脅。例如，安全專業人員能使用研究人員破解密碼的工具來衡量密碼強度或生成誘餌口令，幫助檢測入侵。上下文關聯的機器學習能用來理解電子郵件的用戶行為、關系、和時間特征，從而動態地檢測異常行為或有風險的用戶行為。
未來之路
一段時間以來，人類和AI一直在合作，檢測和阻止入侵，雖然許多組織仍然處在使用網絡AI的早期階段，但隨著攻擊面和暴露在外部的傳統企業網絡持續增加，AI能提供更多。
例如機器學習、自然語言處理、神經網絡等方法能幫助安全分析人員從噪音中分離信號。使用特征識別、有監督和無監督機器學習算法，預測和行為分析，AI能幫助識別和擊退攻擊，自動檢測異常用戶行為、網絡資源分配或其他異常。AI能用來保護本地架構和企業云服務，雖然保護云中的負載和資源比保護傳統本地環境的挑戰要小。
AI（或任何其他技術）本身不會解決現在或未來復雜的安全挑戰。AI的功能是發現特征，自適應實時學習，能加速檢測、抑制和響應；幫助減少SOC分析人員的負擔；幫助他們更主動。這些人員的需求仍然很高，但AI將改變他們的角色。組織可能需要重新培訓分析人員，幫助改變他們的重點，從分析報警和其他低水平技能到更戰略性、主動的活動。最后，隨著AI和機器學習驅動的安全威脅開始出現，AI能幫助安全團隊為打擊AI驅動的網絡犯罪最終做好準備。
來自前線的教訓
Sapper實驗室，用軟件對抗軟件
為幫助加拿大和美國軍方、政府和關鍵基礎設施運維人員解決安全挑戰，Sapper實驗室網絡方案提供網絡安全思想領導、情報、研發、實施、運維安全平臺和培訓支持來解決復雜問題，在Sapper實驗室的技術工具箱中，AI日益重要。
這家來自渥太華的網絡防御公司，名字來自軍隊術語，指通過監視、偵察、防御工程和其他的主動防御活動來支持地面部隊的戰斗工程師。公司啟動項目的目的是，假設每個網絡、系統和功能都已遭到入侵，組織沒有人力資源去防御或抵御。Sapper實驗室共同創始人和CEO，AL Dillon說：“人員儲備的增加跟不上攻擊面的增長，也跟不上業務和政府創新議程的增長，我們無法培養出足夠的人才保護我們的機構和資產，這正好是AI能有所幫助的地方。”
為了實現這一目標，Sapper實驗室和好幾個加拿大及美國安全、防御和情報組織合作，生成為了靈活對抗實時變化的威脅戰術和程序的AI系統。這些系統不只是提醒決策；他們能學習如何保護自己抵御威脅，不管人類是否介入。Dillon說：“今天，使用機器學習、AI和自動化的網絡防御主要集中在人類領導的網絡參與上，因為今天創新的速度及網絡和設備的變化，主要發生在組織之外，我們需要嵌入式自動化系統功能。”
Dillon說國家安全和國防組織及其他公共和私營部門組織的共同目標應該是向軍事級別、軟件領導的參與來轉變。他解釋說：“AI驅動的軟件防御反擊AI驅動的對手，我們都處在來自國家資助的攻擊者和其他壞人攻擊的威脅之下，他們具有同樣的意圖、專業知識和工具。”
例如，Sapper實驗室和政府機構正在開發多層威脅檢測系統，從多個數據源導入數據，稱之為全數據源情報-從衛星、陸地、海洋的探頭到社交媒體其他公開和私有網絡信息數據源。按照傳統的方式檢查這些數據浪費成年上月的人力資源。使用算法自動化處理這些數據和情報，做出評估和決策比傳統的方法快上10到15倍。Dillon希望三年之內，網絡AI和自動化技術快速前進，能夠比過去快上50倍地評估情報，得出結論。
因此，這是網絡AI最難的問題之一。Dillon說：“克服網絡AI對人、社會和文化方面的挑戰，比解決技術問題更困難，最難的一關是即使要多花費50倍的時間，人們還是對人類領袖做出的決定更放心，如何讓他們信任AI做出的決策。”
教育是建立這種信任的關鍵，通過和其他私營公司、公共部門組織、學術機構的合作，Sapper實驗室正在幫助打造更廣泛的自動化網絡安全意識。Dillon說：“我們處在令人激動的技術采用和創新的過渡時期，需要注意，我們沒有完全理解保護國家安全、個人數據、知識產權和其他重要事項的社會影響，我們必須承認，AI安全平臺也許變成我們領先攻擊者的唯一方式。”
個人觀點
Mike Chapple，圣母大學信息安全領導人，IT、分析和運營教學教授
過去的一年，網絡安全攻擊的本質已經發生變化。以前一個組織主要的擔心之一是勒索軟件攻擊，攻擊者通過釣魚或互聯網惡意軟件訪問企業的數據，然后加密數據，要求贖金。這樣的攻擊是機會主義的，因為罪犯利用任何掉入惡意軟件陷阱的人，如果組織準備了數據備份，他們不會總是成功。
現在的風險更高，因為攻擊者都是由國家組織的有組織犯罪。我們已經看到在新冠疫情期間，醫院成為目標、管道無法輸油和其他高度針對性攻擊。攻擊者新的范式是使用兩種威脅來偷取企業數據：以數據為人質，威脅泄露敏感信息，包括客戶記錄和知識產權。這樣的威脅對大企業非常致命，他們擁有犯罪分子喜歡的錢和數據。此外，隨著采用5G移動網絡和在家辦公策略，推動企業的技術超越傳統的邊界，犯罪攻擊面日漸擴大。
對這樣惡化的風險環境，企業該如何面對？他們有兩種選擇：雇用更多的人，但這很難，因為在人力市場上，有足夠技能的人非常缺乏；或依靠AI、自動化和分析來實時檢測和響應威脅。由于最近科技的進步，第二項選擇，網絡AI，變得越來越有效。
AI和網絡安全的結合已經談論近十年了。直到現在，關于他們的對話都圍繞著最新的時髦用語和基于規則的產品。幸虧在算力和存儲能力方面的進步，我們看見網絡安全廠商開始真正地把機器學習和AI集成到他們產品中。今天，大型企業能依賴這樣的廠商推動威脅情報。
主要的安全廠商已經在很多企業部署了產品，作為探頭來采集數據。通過使用AI處理每個客戶匿名數據，廠商能使用一個組織的威脅數據尋找其他客戶類似的入侵跡象。網絡效應是指數級的：數據集更大和更多樣，廠商的檢測能力越高，保護能力就越強。因為這個原因，大中企業都能從托管服務商中受益，或者他們讓自己的數據科學和網絡安全團隊合作，在他們自己的網絡安全倉庫中訓練AI模型。
今天的算力允許開發復雜用戶和實體行為分析（UEBA），檢測攻擊者特征或偏離正常的行為。UEBA也許會標記檢測到的用戶，在周六早晨下載TB級數據-顯然不是一個正常習慣。借助關聯這些概況和特征，能夠以更細粒度方式檢測威脅。
雖然這些信號一直存在，以前分析他們、做出有意義的畫像很不實際。現在，這些AI標記過的威脅能被導入安全編排、自動化和響應（SOAR）平臺，能關閉訪問或馬上采取其他行動。
網絡安全的歷史，以及任何類型的安全，都是一個古老的貓鼠游戲。就像我們開發AI工具，保護我們自己一樣，攻擊者們也在開發AI，進一步復雜化他們的攻擊，國家也進入這個領域。接下來18到24個月內，我們可以看見更多私人網絡犯罪行為。如果組織不想成為目標，他們希望借助AI支持的機會，現在就采取行動，保護未來的用戶、系統和數據。當網絡安全本質上無可避免的再一次轉變時，他們一切就緒。
Adam Nucci，美國陸軍戰略行動副主任
美國陸軍處于現代化的進程中，要求我們采用數據驅動的思維方式，擁抱數字化轉型。目標是不僅開發武器系統和平臺，還包括流程、勞動力和文化。
隨著我們不斷現代化，已經非常復雜的技術環境正在變得更加動態。我們從各個方面面臨著多種復雜對手的挑戰。要想實現我們雄心勃勃的現代化目標，評價我們的安全態勢非常關鍵。幸運的是，未來已在眼前：有效實現這一目標所需的工具就在手邊。但不僅在安全中使用他們，還要改變功能、網絡和人才交付的方式，打造自適應安全非常重要。技術系統和探頭正在產生巨大數量的數據，使用高級分析技術和平臺能快速分析和處理這些數據。大量采用云計算實現實時數據共享和全譜數據及網絡管理、控制和可見性。
我們有現成的組裝模塊。把數據、分析、云計算的強大組合作為基于零信任安全方法的基礎，更關心數據而不是網絡。特別從基于網絡的身份和憑證管理到以數據和設備為中心的身份訪問管理和最小權限訪問原則。這為網絡AI大規模使用奠定了基礎。
借助機器學習、深度學習和其他AI技術，組織能跨多種硬件和軟件環境，理解網絡安全環境；了解數據在哪里，行為如何，誰和他們交互；打造攻擊者輪廓特征并在整個網絡環境中傳播。AI和主動分析也能幫助我們更好理解網絡安全中和人相關的一些方面。在整個運營環境和更廣泛的社會中，信息維度不可避免的和每件事交織在一起；高級機器學習和AI有潛力幫助我們了解新領域如何影響用戶、我們如何做出決策、攻擊者的行為特征。
今天的AI不是通用的，它主要適用于狹窄特定的領域。但網絡安全不是一個只靠技術就能解決的狹窄問題，主要是人的問題。我們的敵人多種多樣，極具創新。他們的動力是什么？為了推動網絡AI，我們需要給網絡勞動力帶來同樣的多樣性和想象力。加強傳統STEM（科學-Science，技術-Technology，工程-Engineering，數學-Mathematics的總稱）教育下、線性思維的網絡工作者和能根據模糊聯系、得出推論的標新立異者和多形思考者互相交流。這樣做不僅對模型構建和培訓增加了人的維度，還生成了網絡安全力量放大器。
在數據、分析和云的驅動下，一個AI驅動的戰略能夠讓組織以自動化的方式預測、檢測和應對入侵。在移動和低帶寬環境，出現了新興的挑戰和機遇，但技術基礎已經就緒。
為進一步實現網絡AI，我們也需要公共和私營部門之間更強的合作。網絡安全是國家安全，我們作為社會，需要把安全從附屬的補充功能提高到嵌入所有商業和政府系統的核心。但公共部門自己無法成功，只有在公共-私營達成強力合作伙伴和跨行業、學術和國際合作伙伴之間的碰撞，基于嵌入式探頭系統、數據和AI驅動預測分析，建立一個不可動搖的網絡安全基礎。
你準備好了嗎？
- 由于遠程工作人員、網絡連接設備、第三方風險的增加，您企業的攻擊面擴大了嗎？您采取哪些步驟去保護他們？
- 您目前如何使用AI工具去檢測、阻止和響應網絡風險？在哪個領域能擴大AI的使用，生成更主動的安全態勢？
- 當前你有符合你的網絡安全目標所需的技能和組織機構嗎？兩年內可以嗎？你計劃如何獲得這些技能？
