Uczenie maszynowe, a w przyszłości sztuczna inteligencja mają do odegrania kluczową rolę w wykrywaniu nowych, nieznanych zagrożeń. Pomogą w ujawnieniu groźnych sytuacji, które nie były wcześniej zaobserwowane. Pierwsze rozwiązania wykorzystujące „samouczące się” technologie są już dostępne.

Technologie uczenia maszynowego (ML – machine learning) uznawane są za kolejny etap rozwoju maszyn. Najpierw człowiek mógł przekazać maszynom zadania, do których potrzebna była siła mięśni. Następnie komputery przejęły relatywnie proste, powtarzalne zadania umysłowe. Teraz postęp w obszarze uczenia maszynowego sprawił, że są w stanie rozwiązać złożone problemy dzięki samodzielnemu uczeniu się. Korzysta na tym również bezpieczeństwo.

Tradycyjne schematy nie sprawdzają się w przypadku wykrywania zagrożeń APT. Uczenie maszynowe stanowi klucz pozwalający analizować nieznany ruch sieciowy. Tylko w ten sposób można skutecznie analizować rozmaite scenariusze, bazować na posiadanej wiedzy i wnioskować o tym, czego jeszcze nie wiadomo, a zarazem szybko dostarczać wyniki.

Trening na wzorcach

Firma Verint postawiła na uczenie maszynowe, poszukując alternatywnego podejścia do wykrywania zaawansowanych ataków w kanałach command and control. „Tradycyjne schematy nie sprawdzają się w przypadku wykrywania zagrożeń APT. Uczenie maszynowe stanowi klucz pozwalający analizować nieznany ruch sieciowy. Dlaczego? Dlatego że tylko w ten sposób można skutecznie analizować rozmaite scenariusze, bazować na posiadanej wiedzy i wnioskować o tym, czego jeszcze nie wiadomo, a zarazem szybko dostarczać wyniki” – mówił podczas „Advanced Threat Summit 2017” Moshe Zioni, Security Research Manager, Cyber Division w Verint.

Uczenie maszynowe wyewoluowało z badań nad rozpoznawaniem wzorów oraz ze studiów nad sztuczną inteligencją. To dziedzina nauki, która koncentruje się na umożliwieniu komputerom „uczenia się” na przykładach oraz samodzielnego doskonalenia w wykrywaniu wzorów. Model uczy się, opierając się na znanych, sklasyfikowanych danych, a następnie dokonuje ekstrapolacji w celu osiągnięcia nietrywialnych z ludzkiego punktu widzenia rezultatów.

W obrębie samego uczenia maszynowego istnieje wiele metod. Każda z nich ma pewne zalety i wady. Firma Verint zdecydowała się wykorzystać Supervised Learing, typ uczenia maszynowego, które opiera się na oznaczonych danych treningowych. Ich wybór jest kluczowy dla optymalizacji modeli i ograniczenia błędów.

„Kluczem do sukcesu jest odpowiedni wybór danych. To najważniejszy element całej operacji. Jeśli na początku popełnione zostaną błędy, cały model będzie obarczony błędami” – tłumaczył Moshe Zioni. Stworzenie efektywnego modelu jest zależne od wyboru odpowiedniego zbioru danych oraz analizowanych cech. Próbka powinna składać się z różnorodnych, istotnych danych. „Przy zastosowaniu algorytmu Decision Tree Random Forest, Verint, udało się nam uzyskać niski False Positive Rate” – dodawał Moshe Zioni.

Rezultaty uczenia maszynowego są trudne do zinterpretowania. W większości przypadków nie można udzielić odpowiedzi na pytanie, w jaki sposób maszyna zdecydowała, że analizowane zdarzenie ma charakter ataku.

Bez wstępnych reguł

Z kolei rozwiązanie firmy Darktrace, prezentowane przez Mateusza Flaka pełniącego rolę Cyber Security Regional Manager CEE, opiera się na zaawansowanym uczeniu maszynowym nienadzorowanym (Unsupervised). Pozwala na wykrywanie zagrożeń w czasie rzeczywistym w sieciach biznesowych i przemysłowych. Technologia Darktrace jest w stanie po krótkim okresie nauki odróżniać to, co jest normalne w sieci, od tego, co nie jest. W ten sposób system może wykrywać cyberataki, które nie zostały nigdzie wcześniej zaobserwowane.

Oferta Darktrace to specjalne urządzenie, które lokalnie (bez przesyłania danych na zewnątrz organizacji), działając na kopii ruchu z przełącznika, przeprowadza głęboką inspekcję na pakietach sieciowych. Algorytmy mogą działać, mając do dyspozycji 360 wymiarów ruchu. Dla porównania, w przypadku rozwiązań klasy SIEM dokonywana jest analiza przepływów sieciowych oparta na kilkunastu zmiennych.

„Nie ma żadnych sygnatur ani żadnych reguł, żadnej wiedzy a priori o tym, co jest ‚złe’, a co ‚dobre’. Urządzenie buduje cykle życia dla każdego obiektu w firmie. Uczy się, jak się zachowują poszczególne komputery i ich użytkownicy. Po wstępnym okresie nauki, około 7–10 dni, system jest już w stanie samodzielnie wykrywać anomalie. Oczywiście nauka kontynuowana jest także później, po tym wstępnym okresie. System na bieżąco ewoluuje wraz ze środowiskiem” – mówił Mateusz Flak.

Maszyna autonomicznie wykrywa anomalne obszary w obrębie dużych zbiorów danych i podejmuje na tej podstawie „inteligentne decyzje”. Co ważne, choć system od pierwszego dnia może obserwować zagrożenia jako coś normalnego, to dzięki możliwości porównania z zachowaniami innych podobnych obiektów jest w stanie wykryć, że ma do czynienia z anomalią.

Problemem jest możliwość modyfikowania działania algorytmu przez atakującego poprzez oswajanie go ze wzorcem ataku. W ten sposób w chwili ataku algorytm uznaje niebezpieczne działanie za coś normalnego.

Trudności w interpretacji

Na otwierające się nowe możliwości, ale także słabe punkty uczenia maszynowego zwracał uwagę Leszek Tasiemski, VP, Rapid Detection Center, R&D Radar & RDS w F-Secure. „Uczenie maszynowe świetnie sprawdza się w wykrywaniu anomalii i grupowaniu poszczególnych zasobów sieci lub użytkowników pod kątem ich wzorców zachowań. Natomiast jeszcze nie jesteśmy na tym etapie, żeby uczenie maszynowe było nam w stanie odpowiedzieć na pytanie, dlaczego coś jest niebezpieczne. To jedna z dwóch największych słabości tej technologii” – mówił Leszek Tasiemski.

Na ten problem wskazywali także inni eksperci uczestniczący w konferencji. Rezultaty uczenia maszynowego są trudne do zinterpretowania. W większości przypadków nie można udzielić odpowiedzi na pytanie, w jaki sposób maszyna zdecydowała, że analizowane zdarzenie ma charakter ataku.

„Drugi problem to możliwość modyfikowania działania algorytmu przez atakującego poprzez oswajanie go ze wzorcem ataku. W ten sposób – dzięki takiemu poisoningowi, czyli podtruwaniu – w chwili ataku algorytm uznaje niebezpieczne działanie za coś normalnego” – dodawał Leszek Tasiemski.

Zdaniem Leszka Tasiemskiego, obecnie uczenie maszynowe sprawdza się przede wszystkim jako wsparcie dla człowieka, doświadczonego specjalisty z zakresu bezpieczeństwa systemów IT. Przykładem są usługi pozwalające na wykrywanie ataków w czasie zbliżonym do rzeczywistego. Początek pracy należy do maszyny. Dopiero w ostatnim etapie człowiek dokonuje ostatecznej selekcji oraz potwierdza, że mamy do czynienia z atakiem.

Bazując na doświadczeniach F-Secure, można przedstawić, jak to wygląda w praktyce. Zakładając, że mamy do czynienia z organizacją, w której wykorzystywanych jest ok. 1300 stanowisk komputerowych, miesięcznie trzeba zmierzyć się z blisko 2 mld zdarzeń. Po wstępnej selekcji przy wykorzystaniu technologii uczenia maszynowego udaje się ograniczyć liczbę podejrzanych sytuacji do 900 tys., a następnie przy użyciu sita w postaci systemu eksperckiego zmniejszyć do 25. W tym momencie musi wkroczyć człowiek. Dysponując wiedzą i doświadczeniem oraz znając kontekst działań, jest w stanie potwierdzić, że kilka, kilkanaście zdarzeń to prawdziwe ataki, na które należy zareagować.