通俗講,機(jī)器學(xué)習(xí)就是“(計(jì)算機(jī))無(wú)需顯式編程即可學(xué)習(xí)的能力”。跨海量數(shù)據(jù)集應(yīng)用數(shù)學(xué)技術(shù),機(jī)器學(xué)習(xí)算法可建立起行為模型,并基于新輸入的數(shù)據(jù),用這些模型做出對(duì)未來(lái)的預(yù)測(cè)。視頻網(wǎng)站根據(jù)用戶的歷史觀看記錄推出新劇集,自動(dòng)駕駛汽車從擦肩而過的行人學(xué)習(xí)路況,都是機(jī)器學(xué)習(xí)的例子。
那么,信息安全中的機(jī)器學(xué)習(xí)應(yīng)用又是什么呢?
大體上,機(jī)器學(xué)習(xí)可幫助公司企業(yè)更好地分析威脅,響應(yīng)攻擊及安全事件;還有助于自動(dòng)化更瑣碎更低級(jí)的工作,也就是之前工作量巨大或技術(shù)欠缺的安全團(tuán)隊(duì)所做的那些。
安全方面,機(jī)器學(xué)習(xí)是個(gè)快速發(fā)展的趨勢(shì)。ABI Research 的分析師估測(cè),在網(wǎng)絡(luò)安全界,機(jī)器學(xué)習(xí)將推動(dòng)大數(shù)據(jù)、人工智能(AI)及分析的投資,有望在2021年達(dá)到960億美元,同時(shí),世界科技巨頭已經(jīng)在采取措施更好地保護(hù)自己的客戶。
谷歌用機(jī)器學(xué)習(xí)來(lái)分析安卓移動(dòng)終端上的威脅——從被感染手機(jī)上識(shí)別并清除惡意軟件。云基礎(chǔ)設(shè)施巨頭亞馬遜收購(gòu)了初創(chuàng)公司 harvest.AI,并發(fā)布了Macie——用機(jī)器學(xué)習(xí)來(lái)發(fā)現(xiàn)、梳理并分類S3云存儲(chǔ)上數(shù)據(jù)的一項(xiàng)服務(wù)。
與此同時(shí),企業(yè)安全供應(yīng)商一直努力將機(jī)器學(xué)習(xí)集成進(jìn)新舊產(chǎn)品線中,希望能改善惡意軟檢測(cè)率。大多數(shù)主流安全公司已從純“基于特征碼”的系統(tǒng),轉(zhuǎn)向了試圖解釋行為及事件,并從各種源學(xué)習(xí)判斷安全與風(fēng)險(xiǎn)的機(jī)器學(xué)習(xí)系統(tǒng)。這仍是個(gè)新興領(lǐng)域,但明顯是未來(lái)發(fā)展方向。
AI和機(jī)器學(xué)習(xí)將極大改變安全運(yùn)作方式,雖然目前正處在驅(qū)動(dòng)網(wǎng)絡(luò)防御的早期階段,但已經(jīng)在終端、網(wǎng)絡(luò)、欺詐或SIEM中,起到了識(shí)別惡意活動(dòng)模式的明顯作用。未來(lái),在防御服務(wù)中斷、屬性及用戶行為修改等領(lǐng)域,我們將看到越來(lái)越多的用例。
機(jī)器學(xué)習(xí)在安全領(lǐng)域的頂級(jí)用例有哪些呢?我們不妨來(lái)看看以下5個(gè)。
1. 用機(jī)器學(xué)習(xí)檢測(cè)惡意活動(dòng)并阻止攻擊
機(jī)器學(xué)習(xí)算法可幫助公司企業(yè)更快速檢測(cè)惡意活動(dòng),并在攻擊開始前就予以阻止。英國(guó)初創(chuàng)公司Darktrace于2013年成立,其基于機(jī)器學(xué)習(xí)的企業(yè)免疫解決方案( Enterprise Immune Solution ),在這方面已取得了很多成功。作為這家公司的技術(shù)總監(jiān),大衛(wèi)·帕爾瑪見證了機(jī)器學(xué)習(xí)對(duì)惡意活動(dòng)及攻擊的影響。
帕爾瑪稱,利用機(jī)器學(xué)習(xí)算法,Darktrace最近幫助北美一家賭場(chǎng)檢測(cè)出了數(shù)據(jù)泄露攻擊。該攻擊將聯(lián)網(wǎng)魚缸用作了進(jìn)入賭場(chǎng)網(wǎng)絡(luò)的切入點(diǎn)。該公司還宣稱,去年夏天的WannaCry勒索軟件大肆虐中,其算法也防止了類似的一起攻擊。
針對(duì)感染了150個(gè)國(guó)家20多萬(wàn)受害者的WannaCry勒索軟件,帕爾瑪稱:“在數(shù)秒內(nèi),我們的算法就檢測(cè)出了一家國(guó)民醫(yī)療服務(wù)(NHS)機(jī)構(gòu)網(wǎng)絡(luò)中的攻擊,在尚未對(duì)該機(jī)構(gòu)造成任何破壞前,此威脅就被緩解掉了。事實(shí)上,我們的客戶沒有任何一家受到WannaCry攻擊的傷害,包括那些沒打補(bǔ)丁的。”
2. 用機(jī)器學(xué)習(xí)分析移動(dòng)終端
移動(dòng)設(shè)備上,機(jī)器學(xué)習(xí)已成主流;但到目前為止,絕大部分活動(dòng)集中在驅(qū)動(dòng)基于語(yǔ)音的體驗(yàn)上,比如 Google Now、蘋果的Siri和亞馬遜的Alexa。不過,機(jī)器學(xué)習(xí)在安全方面確實(shí)有應(yīng)用。如上文提及的,谷歌采用機(jī)器學(xué)習(xí)來(lái)分析移動(dòng)終端威脅,而企業(yè)則在防護(hù)自帶及自選移動(dòng)設(shè)備上看到了機(jī)會(huì)。
10月,MobileIron和Zimperium宣布合作,幫助企業(yè)將機(jī)器學(xué)習(xí)集成進(jìn)移動(dòng)殺軟解決方案中。MobileIron將在自己的安全及合規(guī)引擎中,集成Zimperium基于機(jī)器學(xué)習(xí)的威脅檢測(cè),并作為聯(lián)合解決方案售出,解決設(shè)備、網(wǎng)絡(luò)及應(yīng)用威脅檢測(cè),快速自動(dòng)化動(dòng)作防護(hù)公司數(shù)據(jù)之類的難題。
其他供應(yīng)商也在計(jì)劃改善自己的移動(dòng)解決方案。LookOut、被賽門鐵克收購(gòu)的Skycure,還有Wandera,是移動(dòng)威脅檢測(cè)及防御市場(chǎng)中的佼佼者,每家都用自有機(jī)器學(xué)習(xí)算法檢測(cè)潛在威脅。拿Wandera舉個(gè)例子。這家公司最近剛公開發(fā)布了其威脅檢測(cè)引擎 MI:RIAM,據(jù)稱檢測(cè)出了超過400種針對(duì)企業(yè)移動(dòng)設(shè)備的SLocker勒索軟件變種。
3. 用機(jī)器學(xué)習(xí)增強(qiáng)人類分析
機(jī)器學(xué)習(xí)在安全領(lǐng)域的核心應(yīng)用,有人認(rèn)為是幫助人類分析師處理安全方面的各項(xiàng)工作,包括惡意攻擊檢測(cè)、網(wǎng)絡(luò)分析、終端防護(hù)及漏洞評(píng)估。但在威脅情報(bào)方面,才是最令人興奮的。
比如說,2016年,麻省理工學(xué)院計(jì)算機(jī)科學(xué)和人工智能實(shí)驗(yàn)室(CSAIL),開發(fā)出了名AI2的系統(tǒng)。這是一個(gè)自適應(yīng)機(jī)器學(xué)習(xí)安全平臺(tái),可幫助分析師從海量數(shù)據(jù)中找出真正有用的東西。該系統(tǒng)每天審查數(shù)百萬(wàn)登錄,過濾數(shù)據(jù),并將濾出內(nèi)容傳給人類分析師,可將警報(bào)數(shù)量大幅降低至每天100個(gè)左右。由CSAIL和初創(chuàng)公司PatternEx共同進(jìn)行的實(shí)驗(yàn)表明,攻擊檢測(cè)率被提升到了85%,而誤報(bào)率降低至原先的1/5。
4. 用機(jī)器學(xué)習(xí)自動(dòng)化重復(fù)性安全工作
機(jī)器學(xué)習(xí)的真正價(jià)值,在于可以自動(dòng)化重復(fù)性勞動(dòng),讓員工可以專注在更重要的工作上。帕爾瑪稱,機(jī)器學(xué)習(xí)最終應(yīng)旨在“消除重復(fù)性低價(jià)值決策活動(dòng)對(duì)人力的需求”上,比如歸類威脅情報(bào)等活動(dòng)。讓機(jī)器處理重復(fù)性工作和阻止勒索軟件之類戰(zhàn)術(shù)性救火工作,這樣人類就能解放雙手去搞定戰(zhàn)略性問題了,比如現(xiàn)代化 Windows XP 系統(tǒng)等等。
博思艾倫咨詢公司也在走這個(gè)路線。據(jù)報(bào)道,該公司用AI工具更高效地分配人類安全資源,分類威脅,讓員工可以專注最關(guān)鍵的攻擊。
5. 用機(jī)器學(xué)習(xí)堵上零日漏洞
有人認(rèn)為,機(jī)器學(xué)習(xí)有助堵上漏洞,尤其是零日威脅和主要針對(duì)不安全I(xiàn)oT設(shè)備的那些威脅。該領(lǐng)域里已出現(xiàn)了先驅(qū)者:《福布斯》報(bào)道,亞利桑那州立大學(xué)的一支團(tuán)隊(duì),采用機(jī)器學(xué)習(xí)監(jiān)視暗網(wǎng)流量,以識(shí)別與零日漏洞利用相關(guān)的數(shù)據(jù)。有了此類洞見的加持,公司企業(yè)就可堵上漏洞,在漏洞造成數(shù)據(jù)泄露前就斷掉漏洞利用的機(jī)會(huì)。
炒作和誤解
然而,機(jī)器學(xué)習(xí)并非萬(wàn)靈丹,至少對(duì)一個(gè)仍在對(duì)這些技術(shù)進(jìn)行概念驗(yàn)證實(shí)驗(yàn)的行業(yè)來(lái)說不是。前路艱難,困難與隱患從來(lái)不少。機(jī)器學(xué)習(xí)系統(tǒng)有時(shí)候會(huì)有誤報(bào)(無(wú)監(jiān)督學(xué)習(xí)系統(tǒng)的算法會(huì)基于數(shù)據(jù)推測(cè)類型),而有分析師也坦率承認(rèn),用在安全領(lǐng)域的機(jī)器學(xué)習(xí)可能是“黑箱”解決方案——CISO不能完全確定其內(nèi)部機(jī)制。他們只能將自己的信任與責(zé)任放到供應(yīng)商及機(jī)器身上。
在某些安全解決方案可能壓根兒沒用機(jī)器學(xué)習(xí),盲目的信任可不是什么好主意。
市面上炒作的機(jī)器學(xué)習(xí)產(chǎn)品,大多數(shù)都不會(huì)在客戶環(huán)境中真正學(xué)習(xí)。它們不過是在供應(yīng)商自己的云上,用惡意軟件樣本訓(xùn)練出模型,再下載到客戶公司,就跟病毒特征碼似的。對(duì)客戶安全來(lái)說,這可不是什么進(jìn)步,基本上是在倒退。
而且,算法投入實(shí)際使用前學(xué)習(xí)模型所需的訓(xùn)練數(shù)據(jù)樣本,也有糟糕數(shù)據(jù)和實(shí)現(xiàn)會(huì)產(chǎn)出更糟糕結(jié)果的問題。機(jī)器學(xué)習(xí)的效果,取決于你輸入的信息。垃圾進(jìn),垃圾出。所以,如果你的機(jī)器學(xué)習(xí)算法設(shè)計(jì)不佳,結(jié)果也就不會(huì)太有用。算法在實(shí)驗(yàn)室訓(xùn)練數(shù)據(jù)上有用是一回事,但最大的挑戰(zhàn),還在于讓機(jī)器學(xué)習(xí)網(wǎng)絡(luò)防御在現(xiàn)實(shí)復(fù)雜網(wǎng)絡(luò)中起效。