Vaš novi cso je morda učni računalnik, ki obožuje mačke

Varnost IT je nevarna in draga luknja. Za zaščito podatkov in omrežij podjetja se porabi veliko denarja. Horde slabih fantov so motivirane za vdor, posledice neuspeha pa so bolj boleče kot stroški zaščite.

Še huje je, da so trenutni načini, kako se glavni varnostni uradniki ukvarjajo z varnostjo, vsiljivi. Medtem ko bodo osnovna varnostna orodja, kot je zaščita upravljane končne točke, vedno potrebna, se je vsakdo od nas spoprijel s težavami pri upravljanju gesel, se dogovarjal o pravicah dostopa do potrebne programske opreme in se pritoževal nad ovirami med nami in delom, ki ga moramo opraviti.. Če bi varnostni postopki delovali 100 odstotkov časa, bi bili morda v redu s tem - ampak hej, ali ste opazili, koliko kršitev je še prijavljenih? Jaz tudi. Oglejte si, kako je na tej sliki spodaj (v analitiki podatkov in vizualizacijskem blogu Sparkling Data) razširilo število kršitev podatkov na leto. Grafika prikazuje kršitve podatkov od leta 2009, razčlenjene po vrsti industrije in koliko milijonov zapisov je bilo ogroženih:

Vir: 24. julij 2016 ; Analiza podatkov o kršitvah HIPAA ; Peneči podatki

Toda tudi dobre novice so Iste tehnologije strojnega učenja in napovedni analitični algoritmi, ki vam dajejo uporabna priporočila za knjige in napajajo vašo najnaprednejšo poslovno inteligenco (BI) za samooskrbo in vizualizacijo podatkov orodja so vključena v orodja za varnost IT. Strokovnjaki poročajo, da verjetno ne boste zaradi tega porabili manj denarja za varnost IT v svojem podjetju, vendar bo vsaj vaše osebje delovalo bolj učinkovito in bo imelo več možnosti za iskanje hekerjev in zlonamerne programske opreme, preden bo škoda storjena.

Kombinacijo ML in IT varnosti lahko zagotovo označimo kot "nastajajočo tehnologijo", toda kar je kul, je to, da ne govorimo samo o eni tehnologiji. ML je sestavljen iz več vrst tehnologije, od katerih se vsaka uporablja na različne načine. In ker na tem področju deluje toliko prodajalcev, si lahko ogledamo povsem novo tehnološko kategorijo, ki tekmuje, se razvija in upa, da bo vsem nam koristila.

Kaj je torej strojno učenje?

ML omogoča, da se računalnik sam nauči, ne da bi bilo treba izrecno programirati. To stori z dostopom do velikih naborov podatkov - pogosto ogromnih.

"S strojnim učenjem lahko računalniku damo 10.000 slik mačk in mu povemo:" Tako izgleda mačka. " In potem lahko računalniku daste 10.000 neoznačenih slik in ga prosite, da ugotovi, katere so mačke, "razlaga Adam Porter-Price, višji sodelavec pri Booz Allen. Model se izboljšuje, ko posredujete povratne informacije o sistemu, ne glede na to, ali je ugibanje pravilno ali napačno. Sčasoma sistem postane bolj natančen pri ugotavljanju, ali fotografija vključuje mačko (kot seveda vse fotografije).

To ni povsem nova tehnologija, čeprav so nedavni napredki hitrejših računalnikov, boljših algoritmov in orodij Big Data zagotovo izboljšali stvari. "Strojno učenje (zlasti kot to velja za modeliranje človeškega vedenja) že dolgo obstaja, " je dejal Idan Tendler, izvršni direktor Fortscale. "To je osnovna sestavina količinskih strani mnogih disciplin, od cen letalskih vozovnic do političnih anket do trženja s hitro hrano vse do šestdesetih let."

Najbolj očitne in prepoznavne sodobne uporabe so v marketinških prizadevanjih. Ko na primer kupite knjigo na Amazonu, njena priporočila spodbudijo prejšnjo prodajo in predlagajo dodatne knjige, ki jih boste verjetno uživali (npr. Ljudem, ki jim je bil všeč Steven Brust's Yendi, bodo morda všeč tudi romani Jima Butcherja), kar pomeni več prodaje knjig. To je uporabljen ML prav tam. Drug primer je lahko podjetje, ki uporablja podatke o upravljanju odnosov s strankami (CRM) za analizo kupcev, ali letalska družba, ki uporabi ML za analizo, koliko nagradnih točk spodbudi pogoste letake, da sprejmejo določeno ponudbo.

Več podatkov, kot jih računalniški sistem zbira in analizira, boljši so njegovi vpogledi (in njegova identifikacija fotografij mačk). Poleg tega lahko ML-sistemi s pojavom velikih podatkov združijo informacije iz več virov. Spletni trgovec lahko presega lastne nabore podatkov, na primer vključi analizo kupčevih podatkov v spletnem brskalniku in informacije s partnerskih spletnih mest.

ML jemlje podatke, ki jih ljudje preveč razumejo (na primer milijone vrstic mrežnih dnevniških datotek ali ogromno število transakcij e-trgovine) in jih spremeni v nekaj lažjega razumevanja, je dejal Balázs Scheidler, CTO prodajalec orodja za varnost IT Balabit.

"Sistemi strojnega učenja prepoznavajo vzorce in poudarjajo anomalije, ki ljudem pomagajo dojeti situacijo in, kadar je to primerno, ukrepati na njej, " je dejal Scheidler. "In strojno učenje to analizo opravi samodejno; istih stvari se ne bi mogli naučiti samo, če bi gledali samo dnevnike transakcij."

Kjer ML popravlja varnostne pomanjkljivosti

Na srečo lahko ista načela ML, ki vam bodo pomagala pri odločanju o nakupih novih knjig, omrežje vašega podjetja postanejo bolj varna. Dejansko prodajalci informacijske tehnologije Fortscale pravijo, da se prodajalci IT malo zavlečejo na stranko ML. Oddelki za trženje so lahko že pred začetkom sprejetja ML videli finančne koristi, zlasti zato, ker so bili stroški napake minimalni. Priporočanje napačne knjige ne bo uničilo nikogaršnjega omrežja. Varnostni strokovnjaki so potrebovali več gotovosti glede tehnologije in zdi se, da jo končno imajo.

Iskreno, čas je. Ker so trenutni načini za reševanje varnosti vsiljivi in ​​reaktivni. Še huje: zaradi velikega števila novih varnostnih orodij in z različnimi orodji za zbiranje podatkov je bil gledalcem preveč vložek.

"Večina podjetij je preplavljena s tisočimi opozorili na dan, v veliki meri prevladujejo lažni pozitivni rezultati, " je dejal David Thompson, višji direktor za upravljanje izdelkov v podjetju za varnost IT LightCyber. "Tudi če se opozorilo vidi, bo to verjetno videti kot edini dogodek in ne bi ga razumeli kot del večjega, orkestriranega napada."

Thompson navaja poročilo Gartnerja, ki pravi, da je večina napadalcev v povprečju pet mesecev neodkritih. Tisti lažni pozitivni rezultati lahko povzročijo tudi jezne uporabnike, je poudarila Ting-Fang Yen, raziskovalka pri DataVisorju, kadarkoli so zaposleni blokirani ali označeni z napako, da ne omenjam časa, ki ga je IT-ekipa porabila za reševanje težav.

Torej, prva zaščita IT-varnosti z uporabo ML je analiza mrežne aktivnosti. Algoritmi ocenjujejo vzorce aktivnosti in jih primerjajo s preteklim vedenjem ter ugotovijo, ali trenutna dejavnost predstavlja grožnjo. V pomoč, da prodajalci, kot je Core Security, ocenijo omrežne podatke, kot so vedenje pri iskanju DNS in komunikacijski protokoli znotraj zahtev

Nekatere analize se zgodijo v realnem času, druge rešitve ML pa pregledajo zapise o transakcijah in druge datoteke dnevnika. Na primer, izdelki Fortscale opazijo grožnje z notranjimi informacijami, vključno z grožnjami, ki vključujejo ukradene poverilnice. "Osredotočamo se na dnevnike dostopa in overjanja, vendar lahko dnevniki prihajajo iz skoraj vsepovsod: Active Directory, Salesforce, Kerberos, lastne aplikacije za kronske dragulje, " je povedal prodajalca Fortscale. "Več ko je raznolikosti, tem bolje." Kjer je ML pomembna tukaj, je to, da lahko skromne in pogosto prezrte dnevnike organizacije vodijo v dragocene, zelo učinkovite in poceni obveščevalne vire.

In te strategije so pomembne. Italijanska banka z manj kot 100.000 uporabniki je doživela notranjo nevarnost, ki je vključevala obsežno razkroj občutljivih podatkov v skupino neznanih računalnikov. Konkretno, zakonite uporabniške poverilnice so bile uporabljene za pošiljanje velikih količin podatkov zunaj organizacije prek Facebooka. Banka je namestila ML-sistem Darktrace Enterprise Immune System, ki je v treh minutah, ko se je strežnik podjetja povezal na Facebook, zaznaval nepravilno vedenje - neznačilno dejavnost, je povedal Dave Palmer, direktor tehnologije pri Darktraceu.

Sistem je takoj objavil opozorilo o grožnji, ki je bančni varnostni skupini omogočilo odziv. Sčasoma je preiskava pripeljala do sistemskega administratorja, ki je nenamerno prenesel zlonamerno programsko opremo, ki je strežnik banke ujela v botnet za rudarjenje bitcoinov - skupino strojev, ki jih nadzorujejo hekerji. V manj kot treh minutah je podjetje sprožilo, preiskalo v realnem času in začelo svoj odziv - brez izgube korporativnih podatkov ali škode pri operativnih storitvah strank, je dejal Palmer.

Spremljanje uporabnikov, ne nadzor dostopa ali naprav

Toda računalniški sistemi lahko raziščejo kakršen koli digitalni odtis. In prav tu se danes posveča veliko pozornosti prodajalcev: k ustvarjanju izhodišč "znanega dobrega" vedenja uporabnikov organizacije, imenovanih User Behavior Analytics (UBA). Nadzor dostopa in nadzor naprav greta le tako daleč. Veliko bolje je, pravijo številni strokovnjaki in prodajalci, da se uporabniki osredotočijo na varnost, kar je tisto, za kar vse velja UBA.

"UBA je način, kako opazovati, kaj ljudje počnejo, in opaziti, če delajo kaj nenavadnega, " je dejal Balabitov Scheidler. Izdelek (v tem primeru Balabit's Blindspotter in Shell Control Box) gradi digitalno bazo podatkov o značilnem vedenju vsakega uporabnika, ki traja približno tri mesece. Potem programska oprema prepozna napake od te osnovne vrednosti. Sistem ML ustvari oceno, kako se obnaša uporabniški račun, in kritičnost težave. Opozorila se ustvarijo vsakič, ko rezultat preseže prag.

"Analytics se poskusite odločiti, ali ste sami, " je dejal Scheidler. Na primer, analitik baze podatkov redno uporablja določena orodja. Če se torej prijavi z nenavadne lokacije ob nenavadnem času in dostopa do nenavadnih aplikacij, potem sistem zaključi, da je morda njen račun ogrožen.

Značilnosti UBA, ki jih spremlja Balabit, vključujejo zgodovinske navade uporabnika (čas prijave, pogosto uporabljene aplikacije in ukazi), imetje (ločljivost zaslona, ​​uporaba sledilne ploščice, različica operacijskega sistema), kontekst (ISP, podatki GPS, lokacija, števci omrežnega prometa), in neskladnost (nekaj, kar ste). V slednji kategoriji sta analiza gibanja miške in dinamika pritiska na tipko, pri čemer sistem preslika, kako trdo in hitro uporabnikov prst udarja po tipkovnici.

Scheidler sicer ob naravnost navdušuje, meritve miške in tipkovnice še niso varne. Na primer, je dejal, da je prepoznavanje nekoga pritiska tipk približno 90 odstotkov zanesljivo, zato se orodja podjetja na tem področju ne zanašajo večinoma na anomalijo. Poleg tega je vedenje uporabnikov ves čas nekoliko drugačno; če imate stresen dan ali bolečine v roki, so gibi miške različni.

"Ker delamo z mnogimi vidiki vedenja uporabnikov in je združena vrednost primerljiva z osnovnim profilom, ima skupaj zelo visoko zanesljivost, ki doseže 100 odstotkov, " je dejal Scheidler.

Balabit zagotovo ni edini prodajalec, katerega izdelki uporabljajo UBA za prepoznavanje varnostnih dogodkov. Kiberezona, na primer, uporablja podobno metodologijo za prepoznavanje vedenja, zaradi katerega pozorni ljudje pravijo: "Hmm, to je smešno."

Pojasni CTO Cyberasonjevega direktorja Jonatana Streim Amit: "Ko naša platforma zazna nepravilnost - James dela pozno - lahko to povežemo z drugimi znanimi vedenji in ustreznimi podatki. Ali uporablja iste aplikacije in vzorce dostopa? Ali pošilja podatke nekomu, ki nikoli ne komunicira. z ali gre vsa komunikacija do njegovega upravitelja, ki se odzove nazaj? " Cybereason analizira anomalijo, da James deluje nenormalno pozno, z dolgim ​​seznamom drugih opazovanih podatkov, da zagotovi kontekst za ugotavljanje, ali je opozorilo napačno pozitivno ali upravičeno.

Naloga IT je, da poišče odgovore, vendar zagotovo pomaga imeti programsko opremo, ki lahko sproži prava vprašanja. Na primer, dva uporabnika zdravstvene organizacije sta imela dostop do evidenc o umrlih bolnikih. "Zakaj bi nekdo gledal na paciente, ki so umrli pred dvema ali tremi leti, razen če ne želite storiti neke identitete ali medicinske prevare?" sprašuje Amit Kulkarni, izvršni direktor Cognetyxa. Pri prepoznavanju tega varnostnega tveganja je sistem Cognetyx ugotovil neprimeren dostop na podlagi običajnih dejavnosti tega oddelka in primerjal vedenje obeh uporabnikov z vzorci dostopa vrstnikov in z običajnim vedenjem.

"Sistemi strojnega učenja so po definiciji iterativni in avtomatizirani, " je dejal Fortscaleov Tendler. "Zdi se, da" nove podatke "ujemajo s tistimi, ki so jih že videli, vendar ne bodo ničesar" diskvalificirali "iz rok ali samodejno" vrgli "nepričakovanih ali izven meja."

Tako algoritmi Fortscale iščejo skrite strukture v naboru podatkov, tudi če ne vedo, kako izgleda struktura. "Tudi če se nam zdi nepričakovano, ponuja krmo, na kateri bo mogoče sestaviti nov zemljevid vzorcev. Zaradi tega je strojno učenje toliko močnejše od določenih pravil: Sistemi strojnega učenja lahko najdejo varnostne težave, ki jih še nikoli nismo videli."

Kaj se zgodi, ko sistem ML najde anomalijo? Na splošno ta orodja pošiljajo opozorila človeku, da na nek način pokliče končni klic, saj stranski učinki lažnega pozitivnega učinka škodijo podjetju in njegovim strankam. "Odpravljanje težav in forenzika potrebuje človeško strokovno znanje, " zatrjuje Balabitov Scheidler. Ideal je, da so ustvarjena opozorila natančna in avtomatizirana, armaturne plošče pa uporaben pregled nad sistemskim stanjem z možnostjo vrtanja v "hej, to je čudno" vedenje.

Vir: Balabit.com (Za ogled celotne slike kliknite na zgornjo grafiko.)

To je samo začetek

Ne predpostavljajte, da se varnost ML in IT odlično ujemata, kot sta čokolada in arašidovo maslo ali mačke in internet. To delo je v teku, čeprav bo pridobilo več moči in uporabnosti, saj bodo izdelki pridobili več funkcij, integracijo aplikacij in izboljšave tehnologije.

Kratkoročno poiščite napredek za avtomatizacijo, tako da bodo varnostne in operativne ekipe hitreje in z manj človeškimi posegi pridobile nove vpoglede v podatke. V naslednjih dveh ali treh letih, Mike Paquette, podpredsednik izdelkov pri Prelertu, "pričakujemo, da bodo napredovanja prišla v dveh oblikah: razširjena knjižnica vnaprej konfiguriranih primerov uporabe, ki prepoznavajo vedenja napadov, in napredek pri samodejnem izbiranju in konfiguraciji funkcij, zmanjšanje potreba po posvetovalnih poslih."

Naslednji koraki so sistemi samostojnega učenja, ki se lahko sami borijo proti napadom, je dejal Darkmerčev Palmer. "Odzivali se bodo na nevarnosti zlonamerne programske opreme, hekerjev ali nezadovoljnih zaposlenih na način, ki razume celoten kontekst normalnega vedenja posameznih naprav in celotnih poslovnih procesov, namesto da bi sprejemali posamezne binarne odločitve, kot so tradicionalne zaščite. To bo ključno da se odzovejo na hitrejše napade, kot so napadi, ki temeljijo na izsiljevanju, ki bodo spremenili napade na katero koli dragoceno premoženje (ne le datotečne sisteme) in bodo zasnovani tako, da reagirajo hitreje, kot je možno."

To je vznemirljivo območje z veliko obljub. Kombinacija ML in naprednih varnostnih orodij ne samo, da IT strokovnjakom prinašajo nova orodja za uporabo, ampak, kar je še pomembneje, daje jim orodja, ki jim omogočajo bolj natančno, a še hitreje kot kdaj koli prej. Čeprav ni srebrna krogla, je pomemben korak naprej v scenariju, v katerem so slabi fantje že predolgo imeli vse prednosti.