безопасностью защитники часто оказываются на шаг назад, поскольку атакующие используют новые методы и инструменты, чтобы обойти защитные механизмы. Бесконечная гонка
обнаружения атак Золотое правило: “Данные, с которыми вы собираетесь работать, должны быть примерно такими же, что и данные, на которых вы тренируетесь.” (с)Thomas Dullien Zeronights Moscow, 2017 Атакующие постоянно разрабатывают новые методы, техники, инструменты, а также находят и эксплуатируют новые уязвимости, что затрудняет обучение моделей ИИ на новых данных, так как их постоянно будет не хватать.
который используется для фильтрации ложных срабатываний. Дата-сет для обучения являются обработанные аналитиками алерты. Цели: • Научиться “предсказывать” решение аналитика • Разгрузить работу аналитика операционной линии Что такое автоаналитик (a.k.a. SkyNet)?
алерте должны иметь одинаковый вес. Не все детектирующие правила должны быть обработаны роботом. Важно заниматься перепроверкой кейсов (дата-сет для ML), обработанных аналитиком. Доверяй, но проверяй за роботом! Не забывать про важность интерпретируемости. 1 2 3 4 5 Важные моменты:
SkyNet закрывает только FP-алерты, его можно натренировать, чтобы он делал фильтр под каждое детектирующие правило. Если ML закрыл 20+ одинаковых алертов от одного клиента Если у этих алертов один и тот же паттерн ML делает валидный запрос на фильтрацию данных алертов и отправляет его на проверку аналитику
приходом LLM-моделей в открытый доступ, стали создаваться множество отдельных моделей под определенные задачи: • Pentest • Reverse Engineering • Network Analysis • Incident Response • etc https://huggingface.co/segolilylabs/Lily-Cybersecurity-7B-v0.2 https://github.com/JusticeRage/Gepetto
развития ИИ на данный момент намного опережает темпы развития безопасности данных технологий. MITRE и OWASP уже сейчас начали собирать самые опасные и популярные TTPs, которые были замечены в различных атаках. https://www.llmtop10.com/ https://atlas.mitre.org/
вендоров уже стали внедрять ИИ в свои продукты для выявления разного рода угроз, в том числе угроз от самого ИИ: • Детектирование фишинга • Поиск информации об угрозах (TI) • Вирусный анализ • Оценка уязвимостей
На данный момент лучшее применение LLM показывает себя именно в качестве ассистентов, чтобы спихнуть на них какую- либо рутину или найти/подсказать какую-либо информацию. Для аналитиков ИБ могут выступать следующие кейсы с использованием языковых моделей: • Вывод дополнительной информации по процессу, Event ID, командной строчки • Заполнение карточки инцидента на основе найденных аналитиком событий • Заполнение базовых рекомендаций
для улучшения процессов, а не их замены. Лучшее применение ML – давать необходимый контекст аналитику, но не принимать за него решение. Не везде необходим ML, важно находить ему верное применение. Использование ИИ не заменит людей, но даст большое преимущество перед теми, кто его не использует. 1 2 3 4 Выводы
blurel
andyhume
lauravandoore
mlcsv
palkan
dugsong
addyosmani
tamaranovitovic
kneath
trishagee
davidcarrasco
pedronauck
skipperchong
