AI verbetert cyberbeveiliging, maar menselijk toezicht blijft essentieel

Als het gaat om het beschermen van computers en informatiesystemen tegen cyberaanvallen, kunnen kunstmatige intelligentie en machine learning helpen — maar ze zijn geen panacee voor een groeiend probleem.

AI: geen magische kogel

Niettegenstaande de huidige opwinding over AI en de toenemende vaardigheid om mensen op tal van fronten te overtreffen, is het geen magische kogel voor het versterken van cyberbeveiliging, zegt Randy Watkins, chief technology officer bij Critical Start, Inc.

AI uitblinkt in het beheren van massive hoeveelheden data, inclusief alertes over mogelijke beveiligingsschendingen. Het probleem ligt in hoe het die informatie interpreteert.

Alertes worden adresseeerd in de volgorde waarin ze arriveren. Dan worden ze geprioriteerd en beoordeeld op het passende bedreigingsniveau. Humane analisten, met diepe kennis en ervaring van het bedrijf, zijn goed in het plaatsen van elke alert in zijn juiste context. Machines, niet zoveel. Een AI-gedreven systeem kan anomale gebruikersactiviteit detecteren, maar is minder effectief in het bepalen of het evenement betrekking heeft op kwaadwillende intentie.

“Ik ben geen naysayer van alles wat AI is,” zegt Watkins, “maar AI en machine learning hebben niet de capaciteit om een overvloed aan redenatie toe te passen op wat ze doen.”

False positives en negatieve gevallen

Machines zijn niet bijzonder goed in het minimaliseren van false positives. Neem Microsoft’s PowerShell, een populair framework voor taakautomatisering. Een machine kan niet nauwkeurig bepalen of een gegeven gebruiker van dat tool een commando op een bepaald moment zou moeten uitvoeren. De anomalie kan of kan niet het resultaat zijn van een kwaadwillende aanval.

De term “machine learning” impliceert dat het systeem beter wordt met ervaring, maar Watkins zegt die capaciteit is beperkt. Het trainen van het algoritme om op de juiste manier te reageren vereist het invoeren van grote aantallen eerdere voorbeelden, zowel goede als slechte. En het lost nog steeds niet het probleem van false negatives op — echte aanvallen die het systeem mist. “Je moet in staat zijn om de outliers die je data gaan scheven weg te strippen,” zegt Watkins.

Gevoeligheid en context

Uitvinden of een evenement kwaadwillend is of niet, bedraagt niet altijd een ja-of-nee antwoord. Voor één ding, moeten bedrijven bepalen hoe gevoelig ze het systeem willen. Moet het alarm slaan voor 100% van schijnbaar anomale evenementen? Hoe om met 80%? Te veel, en je wordt overstroomd met alertes en potentiële systeemsluiten. Te weinig, en inbraken zijn waarschijnlijk onopgemerkt blijven glijden.

“Wanneer je meer variabelen introduceert, vereis je additionele datasets, meer context over het onderwerp en het gedrag [van het systeem],” merkt Watkins op. “Eenmaal je begint die vragen te introduceren, valt de machine uiteen.”

Menselijke risicoscore vs machine

Effectieve detectie van cyberaanvallen hangt af van cumulatieve risicoscoring, iets wat mensen goed doen. “Elke keer dat we naar een evenement kijken, beslissen we of het verdacht is,” zegt Watkins. “Maar je kunt ook redeneren, en eerdere kennis over beveiliging toepassen die algoritmes niet hebben.

“Een machine kan door enorme hoeveelheden data kruipen snel,” vervolgt hij. “Maar geef het een abstract concept zoals least privilege en pas het toe op de alert set — gaat het een privilege escalation herkennen? Er is veel benigne activiteit die er kwaadwillend uitziet.”

Evolutie en talententekort

Er is geen twijfel dat machine learning zal evolueren, zelfs als cyberdiefste nieuwe manieren bedenken om detectie te ontlopen. Microsoft heeft stappen gezet naar verbetering van de sophistication van geautomatiseerde detectiesystemen, alsook Palo Alto Networks, een wereldwijde leider in cyberbeveiliging. “Maar aan het einde van de dag,” zegt Watkins, “heb je nog steeds een mens nodig die zegt, ‘Ja, zet deze domeincontroller offline.’” Bedrijven streven constant ernaar de kosten van systeemdowntime veroorzaakt door foutieve alertes te minimaliseren.

Dat gezegd hebbend, zijn er niet genoeg menselijke experts om de behoefte aan cyberbeveiliging over alle sectoren te vullen. “Er is zeker een tekort aan talent in de industrie,” zegt Watkins. Daarom de omslag naar buitenste ondersteuning, in de vorm van managed detection and response.

Het talententekort is niet nieuw. “Het bestaat sinds beveiliging bestaat,” zegt Watkins. Alleen in de laatste 10 jaar hebben bedrijven en universiteiten begonnen te ontwaken tot de behoefte aan betere training en opleiding van toekomstige cyberbeveiligingsexperts.

Zowel mensen als machines hebben nog een weg te gaan, als ze gaan collaboreren in het beveiligen van vitale systemen tegen de ooit groeiende dreiging van cyberaanval. “We begonnen op nul toen we op 60 moest zijn,” zegt Watkins. “Nu moeten we op 90 zijn, en we zijn op 60.”