Spis treści
Autonomiczna cyberobrona przypomina obecnie pilnowanie budynku w ciemności. Strażnik nie widzi intruza i nie słyszy kroków, a jednak na drugim piętrze jest uchylone okno, a gdzieś na końcu korytarza miga czujnik ruchu. Na podstawie tych nielicznych sygnałów system musi mimo wszystko ustalić, kto się włamał i dokąd zmierza.
Można by to uznać za niemożliwe, choć tak właśnie wygląda zwykła noc dla każdego, kto zajmuje się ochroną sieci. Niedawny artykuł Badacze zajmujący się neurosymbolicznymi cyberagentami podjęli się rozwiązania właśnie tej zagadki.
Walczysz z cieniem
W rzeczywistej sieci niebieski agent odpowiedzialny za obronę nie ma wglądu w konsolę atakującego. Nie jest w stanie stwierdzić, jaka technika została zastosowana ani na jakim etapie łańcucha ataku znajduje się już włamanie.
Naukowcy nazywają to środowiskiem częściowo obserwowalnym, co jest grzecznym sposobem na powiedzenie, że obrońca musi radzić sobie na podstawie skąpych informacji. Trochę nietypowego ruchu tu, a reszta logiki pozostaje zamknięta w czarnej skrzynce.
Większość narzędzi obronnych uruchamia się dopiero wtedy, gdy szkoda już wystąpiła. Alarm uruchamia się dopiero po włamaniu, więc cała strategia
sprowadza się raczej do gaszenia pożarów niż do zapobiegania im; należy szkolić w zakresie autonomicznej cyberobrony, aby przewidywać następny ruch, zamiast likwidować skutki poprzedniego.
Dlaczego większość podejść zawodzi
Najstarsza metoda opiera się na sztywnych regułach, takich jak np. sygnatura lub stały próg. Jej słabość ujawnia się w momencie, gdy atakujący przestaje postępować zgodnie z twoim scenariuszem. Zmienia taktykę i czeka, aż wczorajsza sprytna reguła przestanie działać.
Czyste sieci neuronowe oferują coś zupełnie przeciwnego do sztywnych reguł, ponieważ wystarczy wprowadzić do nich dane, a model sam rozpoznaje wzorce. Ta moc wiąże się jednak z pewnym problemem, ponieważ model staje się „czarną skrzynką”, która nie potrafi wyjaśnić
własne rozumowanie oraz niewytłumaczalny efekt.
Koncepcja hybrydowa stanowi kompromis: człowiek może faktycznie analizować i weryfikować dane, a uczenie maszynowe wychwytuje sygnały, które umknęłyby ludzkiemu oku. To właśnie na tym połączeniu opiera się neurosymboliczna, autonomiczna cyberobrona.
Jak to właściwie działa
Sercem tego autonomicznego systemu cyberobrony jest mechanizm działający podobnie do schematu podejmowania decyzji przez strażaka, który przechodzi od sprawdzenia obecności dymu do oceny zagrożenia, zanim podejmie działanie. Struktura pozostaje przejrzysta i modułowa, dzięki czemu człowiek może śledzić tę logikę i ufać jej wynikom.
W wybranych węzłach tego drzewa umieszczono komponenty zdolne do uczenia się. Są to oczy systemu, elementy
które analizują fragmenty danych sieciowych i uzupełniają luki.
Sam proces uczenia się opiera się na zwykłym naśladowaniu, a nie na jakimkolwiek wyraźnym zbiorze reguł. Zamiast szczegółowo określać zasady, zespół przedstawia modelowi ogromną liczbę zachowań czerwonych agentów i pozwala mu odtworzyć tę strategię, podobnie jak uczeń przyswaja rzemiosło, obserwując mistrza przy stole warsztatowym. Na podstawie własnych obserwacji i reakcji obrońca odtwarza strategię atakującego, nie odczytując ani jednego polecenia, które ten wpisał. Autorzy informują, że system radzi sobie z
kilka różnych strategii opartych na czynniku czerwonym oraz ich zastosowanie w szerokim zakresie symulowanych scenariuszy.
Co to oznacza dla Ciebie
Ta zasadnicza zmiana sprawia, że obrona przechodzi od trybu reaktywnego do predykcyjnego – jest to różnica między zatrzymaniem włamywacza przy drzwiach a świadomością, że jest on w drodze, zanim jeszcze dotrze do skrętu. Gdy autonomiczna cyberobrona nauczy się rozpoznawać strategię atakującego, ten zdaje sobie sprawę, że jest obserwowany, a rywalizacja wkracza na nowy poziom, na którym atakujący podsuwa czujnikom fałszywe dane, aby model celowo przyswoił sobie fałszywy wzorzec.
Zaufanie to cicha korzyść, ponieważ hybryda neurosymboliczna pozostawia ślad decyzji, czego czysta sieć neuronowa nigdy nie byłaby w stanie zrobić, co pozwala sprawdzić, dlaczego agent doszedł do wniosku, że trwa atak. W miarę jak autonomiczne centra operacyjne (SOC) przechodzą od etapu spekulacji do standardowego wyposażenia, tego rodzaju możliwość weryfikacji będzie
Nic z tego nie wykracza poza swoje ograniczenia. Praca nadal odbywa się w środowisku symulacyjnym, w którym występują dyskretne stany i działania, podczas gdy sieć produkcyjna działa w sposób chaotyczny i ciągły. Przejście od etapu testów do wdrożenia trwa zazwyczaj dłużej, niż sugerują to dane podawane w nagłówkach.
Podsumowanie
Autonomiczna cyberprzestrzeń jutra obrona ma na celu coś więcej niż tylko samą prędkość, ponieważ będzie próbowała przewidzieć twój następny ruch, zanim go wykonasz. Trudniejsze pytanie brzmi: kto nauczy maszynę przekonująco oszukiwać czujniki wroga i kto zrobi to jako pierwszy.
Dodaj komentarz