Rzadka forma uczenia maszynowego, która może wykryć hakerów, którzy już się włamali

Obraz interfejsu platformy komputerowej Darktrace. Ciemny ślad

W 2013 roku grupa brytyjskich agentów wywiadu zauważyła coś dziwnego. Podczas gdy większość wysiłków zmierzających do zabezpieczenia infrastruktury cyfrowej skupiała się na blokowaniu dostępu złych ludzi, niewielu skupiało się na odwrotnej sytuacji: powstrzymywaniu ich przed wyciekiem informacji. W oparciu o ten pomysł grupa założyła nową firmę zajmującą się cyberbezpieczeństwem o nazwie Darktrace.

Firma nawiązała współpracę z matematykami z Uniwersytetu Cambridge, aby opracować narzędzie, które wykorzystywałoby uczenie maszynowe do przechwytywania wewnętrznych naruszeń. Zamiast trenować algorytmy na historycznych przykładach ataków, potrzebowali sposobu, aby system rozpoznawał nowe przypadki nietypowego zachowania. Zwrócili się do nienadzorowanego uczenia się, techniki opartej na rzadkim typie algorytmu uczenia maszynowego, który nie wymaga od ludzi określania, czego szukać.

Darktrace wycelował w zainfekowane urządzenie wykazujące nietypowe zachowanie. Ciemny ślad

„Jest bardzo podobny do układu odpornościowego ludzkiego organizmu” – mówi Nicole Eagan, współdyrektorka generalna firmy. „Tak złożona, jak to jest, ma to wrodzone poczucie tego, co jest jaźnią, a nie jaźnią. A kiedy znajdzie coś, co nie należy – to nie jest „ja” – ma niezwykle precyzyjną i szybką reakcję.

Zdecydowana większość aplikacji uczenia maszynowego opiera się na uczeniu nadzorowanym. Wiąże się to z podawaniem maszynie ogromnych ilości starannie oznaczonych danych, aby nauczyć ją rozpoznawania wąsko zdefiniowanego wzorca. Powiedzmy, że chcesz, aby Twoja maszyna rozpoznawała golden retrievery. Karmisz go setkami lub tysiącami obrazów golden retrieverów i rzeczy, które nie są, cały czas wyraźnie mówiąc, które z nich są które. W końcu otrzymujesz całkiem przyzwoitą maszynę do wykrywania golden retrieverów.

W cyberbezpieczeństwie uczenie nadzorowane sprawdza się całkiem nieźle. Szkolisz maszynę w zakresie różnego rodzaju zagrożeń, z którymi wcześniej zmagał się Twój system, a ona bezlitośnie je ściga.

Ale są dwa główne problemy. Po pierwsze, działa tylko ze znanymi zagrożeniami; nieznane zagrożenia wciąż wkradają się pod radar. Po drugie, algorytmy uczenia nadzorowanego działają najlepiej ze zrównoważonymi zestawami danych — innymi słowy, takimi, które mają taką samą liczbę przykładów tego, czego szuka, a co może zignorować. Dane dotyczące cyberbezpieczeństwa są bardzo niezrównoważone: istnieje bardzo niewiele przykładów groźnych zachowań ukrytych w przytłaczającej ilości normalnych zachowań.

Wizualizacja wszystkich połączeń w ramach określonej podsieci. Ciemny ślad

Na szczęście tam, gdzie nadzorowane uczenie się słabnie, nienadzorowane uczenie się przoduje. Ten ostatni może przyjrzeć się ogromnym ilościom nieoznakowanych danych i znaleźć fragmenty, które nie pasują do typowego wzorca. W rezultacie może wykrywać zagrożenia, których system nigdy wcześniej nie widział i potrzebuje do tego kilku anomalnych punktów danych.

Kiedy Darktrace wdraża swoje oprogramowanie, ustawia fizyczne i cyfrowe czujniki w sieci klienta, aby zmapować jego aktywność. Te surowe dane są przesyłane do ponad 60 różnych algorytmów nienadzorowanego uczenia się, które konkurują ze sobą w poszukiwaniu nietypowego zachowania.

PRZESTRZEŃ NIENADZOROWANA

• Kilka innych firm również zdecydowało się na wykorzystanie uczenia nienadzorowanego w celu udoskonalenia cyfrowych systemów bezpieczeństwa.

• Bezpieczeństwo kształtu

  Założona w 2011 r. przez byłych ekspertów Pentagonu ds. Obrony, koncentruje się na zapobieganiu fałszywemu generowaniu kont lub oszustwom związanym z aplikacjami kredytowymi, między innymi nikczemnymi działaniami. Shape Security łączy w sobie uzupełniające się mocne strony zarówno nadzorowanych, jak i nienadzorowanych technik.

  
  
  

• DataVisor

  Założona w 2013 roku przez absolwentów Microsoftu, współpracuje z bankami, firmami z branży mediów społecznościowych i handlu elektronicznego w celu zwalczania oszustw transakcyjnych, prania pieniędzy i innych nadużyć na dużą skalę. DataVisor twierdzi, że używa głównie nienadzorowanych technik.

Algorytmy te następnie przerzucają swoje dane wyjściowe na kolejny algorytm główny, który wykorzystuje różne metody statystyczne, aby określić, którego z 60 należy słuchać, a którego zignorować. Cała ta złożoność jest zawarta w końcowej wizualizacji, która pozwala operatorom szybko dostrzec prawdopodobne naruszenia i zareagować na nie. Gdy ludzie zastanawiają się, co dalej, system poddaje kwarantannie naruszenie do czasu jego rozwiązania — na przykład odcinając wszelką komunikację zewnętrzną z zainfekowanego urządzenia.

Jednak nauka nienadzorowana nie jest srebrną kulą. W miarę jak napastnicy stają się coraz bardziej wyrafinowani, stają się coraz lepsi w oszukiwaniu maszyn, bez względu na rodzaj uczenia maszynowego, z którego korzystają. „Istnieje taka gra w kotka i myszkę, w której napastnicy mogą próbować zmienić swoje zachowanie” – mówi Dawn Song, ekspert ds. cyberbezpieczeństwa i uczenia maszynowego z Uniwersytetu Kalifornijskiego w Berkeley.

W odpowiedzi społeczność zajmująca się cyberbezpieczeństwem zwróciła się ku proaktywnym podejściom — „lepsze architektury i zasady bezpieczeństwa, dzięki którym system jest bezpieczniejszy w konstrukcji” — mówi. Ale wciąż jest długa droga do całkowitego wyeliminowania wszystkich naruszeń i nieuczciwych praktyk. W końcu dodaje: „cały system jest tak bezpieczny, jak jego najsłabsze ogniwo”.

ukryć