AI is geweldig, maar er zijn nog steeds mensen voor nodig om cyberbeveiliging af te dwingen

Als het gaat om het beschermen van computers en informatiesystemen tegen cyberaanvallen, kunnen kunstmatige intelligentie en machine learning helpen, maar ze zijn geen oplossing voor een groeiend probleem.

Ondanks de huidige opwinding over AI en het toenemende vermogen om mensen op tal van fronten te verbeteren, is het geen wondermiddel om cyberbeveiliging te versterken, zegt Randy Watkins, chief technology officer bij Critical Start, Inc.

AI blinkt uit in het beheren van enorme hoeveelheden gegevens, inclusief waarschuwingen over mogelijke beveiligingsinbreuken. Het probleem ligt in hoe het die informatie interpreteert.

Waarschuwingen worden behandeld in de volgorde waarin ze binnenkomen. Vervolgens worden ze geprioriteerd en beoordeeld op het juiste dreigingsniveau. Menselijke analisten, met diepgaande kennis en ervaring van het bedrijf, zijn goed in het plaatsen van elke waarschuwing in de juiste context. Machines, niet zozeer. Een AI-gestuurd systeem kan afwijkende gebruikersactiviteit detecteren, maar het is minder effectief om te bepalen of de gebeurtenis kwaadwillend is.

"Ik ben geen tegenstander van alles wat AI is", zegt Watkins, "maar AI en machine learning hebben niet het vermogen om een ​​overvloed aan redenen toe te passen op wat ze doen."

Machines zijn niet bijzonder goed in het minimaliseren van valse positieven. Neem Microsoft's PowerShell, een populair raamwerk voor taakautomatisering. Een machine kan niet nauwkeurig bepalen of een bepaalde gebruiker van die tool een opdracht op een bepaald moment moet uitvoeren. De afwijking kan al dan niet het gevolg zijn van een kwaadaardige aanval.

De term 'machine learning' houdt in dat het systeem beter wordt met ervaring, maar Watkins zegt dat de mogelijkheden beperkt zijn. Om het algoritme te trainen om op de juiste manier te reageren, moet u een groot aantal eerdere voorbeelden invoeren, zowel goede als slechte. En het lost nog steeds niet het probleem van valse negatieven op - daadwerkelijke aanvallen die het systeem mist. "Je moet in staat zijn om de uitbijters te verwijderen die je gegevens gaan vertekenen", zegt Watkins.

Uitzoeken of een gebeurtenis kwaadaardig is, komt niet altijd neer op een ja-of-nee-antwoord. Om te beginnen moeten bedrijven bepalen hoe gevoelig ze willen dat het systeem is. Moet het alarm slaan voor 100% van de schijnbaar afwijkende gebeurtenissen? Wat dacht je van 80%? Te veel, en je wordt overspoeld met waarschuwingen en mogelijke systeemafsluitingen. Te weinig, en inbreuken glippen waarschijnlijk onopgemerkt voorbij.

"Als je meer variabelen introduceert, heb je extra datasets nodig, meer context over het onderwerp en het gedrag [van het systeem]", merkt Watkins op. "Zodra je die vragen begint te introduceren, valt de machine uit elkaar."

Effectieve detectie van cyberaanvallen hangt af van cumulatieve risicoscores, iets waar mensen goed in zijn. "Elke keer dat we naar een evenement kijken, beslissen we of het verdacht is", zegt Watkins. "Maar je kunt ook reden en eerdere kennis over beveiliging toepassen die algoritmen niet hebben.

“Een machine kan snel door enorme hoeveelheden data kruipen”, vervolgt hij. "Maar geef het een abstract concept zoals minste privilege en pas het toe op de waarschuwingsset - gaat het een privilege-escalatie herkennen? Er is veel goedaardige activiteit die er kwaadaardig uitziet.”

Het lijdt geen twijfel dat machine learning zal evolueren, zelfs als cyberdieven nieuwe manieren bedenken om detectie te vermijden. Microsoft heeft vooruitgang geboekt bij het verbeteren van de verfijning van geautomatiseerde detectiesystemen, net als Palo Alto Networks, een wereldleider op het gebied van cyberbeveiliging. "Maar aan het eind van de dag", zegt Watkins, "heb je nog steeds een mens nodig om te zeggen:'Ja, schakel deze domeincontroller offline.'" Bedrijven streven er voortdurend naar om de kosten van systeemuitval als gevolg van foutieve waarschuwingen tot een minimum te beperken.

Dat gezegd hebbende, er zijn niet genoeg menselijke experts om in alle sectoren te voorzien in de behoefte aan cyberbeveiliging. "Er is absoluut een gebrek aan talent in de branche", zegt Watkins. Vandaar de wending naar ondersteuning van buitenaf, in de vorm van beheerde detectie en respons.

Het talenttekort is niet nieuw. "Het bestaat al sinds de beveiliging bestaat", zegt Watkins. Pas in de afgelopen 10 jaar zijn bedrijven en universiteiten zich bewust geworden van de noodzaak van betere training en opleiding van toekomstige cyberbeveiligingsexperts.

Zowel mensen als machines hebben nog een lange weg te gaan als ze willen samenwerken om vitale systemen te beveiligen tegen de steeds groter wordende dreiging van cyberaanvallen. "We begonnen bij nul toen we op 60 moesten zijn", zegt Watkins. "Nu moeten we op 90 zitten, en we zijn op 60."