在經(jīng)歷了一輪又一輪的跌宕起伏后，人工智能在2017年再一次站到了浪潮之巔。在國外，國際知名咨詢機(jī)構(gòu)Gartner于2017年7月發(fā)布了本年度新興技術(shù)成熟度曲線，人工智能的兩個(gè)分支——深度學(xué)習(xí)和機(jī)器學(xué)習(xí)，均處于曲線的最頂端(見圖1)。在國內(nèi)，國務(wù)院同樣于2017年7月印發(fā)了《新一代人工智能發(fā)展規(guī)劃》，提出要推動(dòng)人工智能與各行業(yè)融合創(chuàng)新，推動(dòng)人工智能規(guī)模化應(yīng)用，全面提升產(chǎn)業(yè)發(fā)展智能化水平。作為IT領(lǐng)域的傳統(tǒng)行業(yè)，網(wǎng)絡(luò)安全如何與人工智能相結(jié)合，產(chǎn)生化學(xué)反應(yīng)，成為業(yè)界關(guān)注的焦點(diǎn)。本文展望了人工智能在網(wǎng)絡(luò)安全行業(yè)的應(yīng)用價(jià)值和存在的挑戰(zhàn)，希望能夠?qū)Υ蠹矣兴鶈l(fā)。
圖12017 Gartner新興技術(shù)成熟度曲線
1.防范高級威脅的需求和安全人員的短缺，是推動(dòng)人工智能技術(shù)在網(wǎng)絡(luò)安全行業(yè)應(yīng)用的內(nèi)在動(dòng)力。
眾所周知，近年來APT攻擊已成為企業(yè)級用戶所面臨的最主要的安全威脅。由于安全廠商既不能先于用戶獲取到攻擊樣本，又不能在每個(gè)用戶的網(wǎng)絡(luò)環(huán)境中都安排安全人員進(jìn)行應(yīng)急防范，可行的解決方案是通過技術(shù)手段將安全廠商自身的分析能力前置到用戶的網(wǎng)絡(luò)環(huán)境中。對于高級威脅檢測而言，當(dāng)前主流檢測技術(shù)是虛擬執(zhí)行，即通過在沙箱、虛擬機(jī)等環(huán)境中運(yùn)行可疑文件，判斷其是否包含惡意代碼。這種技術(shù)固然具備一定的未知威脅檢測能力，但也存在計(jì)算資源耗費(fèi)大、檢測時(shí)間長等缺點(diǎn)，一般單個(gè)沙箱處理一個(gè)可疑文件需要幾分鐘的時(shí)間，這在高速網(wǎng)絡(luò)環(huán)境中會(huì)造成較大的處理延遲。為此大家都在積極探索其它更有效的解決方案，人工智能就是替代方案之一。通過人工智能算法模擬人的分析能力，在一定程度上相當(dāng)于把廠商的分析能力前置到了用戶環(huán)境中，這是解決未知威脅檢測的有效途徑。
隨著網(wǎng)絡(luò)環(huán)境越來越復(fù)雜、攻擊手段越來越隱蔽，安全運(yùn)維的難度也越來越大。在大數(shù)據(jù)時(shí)代，安全分析人員要處理的數(shù)據(jù)規(guī)模與其處理能力嚴(yán)重不匹配，許多攻擊報(bào)警得不到及時(shí)響應(yīng)，這是造成用戶雖部署了安全設(shè)備仍然被入侵、且一次入侵行為的MTTR(平均修復(fù)時(shí)間)過長的主要原因。據(jù)統(tǒng)計(jì)，當(dāng)前國內(nèi)安全人員的缺口達(dá)數(shù)十萬，通過提高分析人員數(shù)量來應(yīng)對大數(shù)據(jù)的思路顯然不可行，比較可行的方法就是運(yùn)用人工智能，通過智能算法對原始數(shù)據(jù)進(jìn)行預(yù)處理，降低分析人員數(shù)據(jù)處理壓力，輔助分析人員做出正確判斷。
2.惡意代碼檢測和智能安全運(yùn)維，是人工智能在網(wǎng)絡(luò)安全領(lǐng)域應(yīng)用的主戰(zhàn)場
了解了網(wǎng)絡(luò)安全行業(yè)所面臨的主要問題，我們不難推測人工智能在網(wǎng)絡(luò)安全領(lǐng)域的用武之地。
在惡意代碼檢測方面，我們需要利用人工智能提升對未知惡意代碼的檢測能力，提升對可疑樣本的研判速度。目前可行的方法是采用監(jiān)督學(xué)習(xí)方法，首先積累一定體量的標(biāo)注數(shù)據(jù)作為訓(xùn)練樣本和測試樣本，然后利用深度學(xué)習(xí)算法訓(xùn)練產(chǎn)生分類器，最后在用戶側(cè)利用實(shí)際數(shù)據(jù)進(jìn)行模型的增量更新，從而在用戶側(cè)形成檢測-處置-響應(yīng)的閉環(huán)。具體方案如圖2所示：
圖2基于深度學(xué)習(xí)的惡意代碼檢測框架
目前國內(nèi)外已有安全廠商進(jìn)行了基于深度學(xué)習(xí)算法進(jìn)行惡意代碼檢測的嘗試，啟明星辰也利用自身的數(shù)據(jù)和算法積累進(jìn)行了驗(yàn)證，我們對這種檢測方案的前景還是比較樂觀的。
在安全運(yùn)維方面，我們需要利用人工智能技術(shù)提升對安全大數(shù)據(jù)的處理能力，提升對安全事件的響應(yīng)速度。一名有經(jīng)驗(yàn)的安全分析師，在長期的安全運(yùn)維實(shí)踐中會(huì)摸索出有效的安全事件分析和處置流程，如果能夠通過人工智能把這些流程固化成可自動(dòng)運(yùn)行的分析模型，將大大提升運(yùn)維人員的工作效率。
在安全運(yùn)維平臺中增加智能分析算法，已成為了國內(nèi)外SIME類廠商的關(guān)注焦點(diǎn)。啟明星辰在其SOC平臺中也提供了一系列的智能分析模型和算法，包括基于統(tǒng)計(jì)學(xué)習(xí)的異常檢測方法、基于規(guī)則推理的關(guān)聯(lián)分析算法、基于淺層學(xué)習(xí)的分類聚類算法等。此外，啟明星辰還進(jìn)行了基于本體建模和知識圖譜的事件自動(dòng)化處置方案驗(yàn)證，取得了積極的效果。
3.有價(jià)值數(shù)據(jù)的缺失和結(jié)果可解釋性不足，是人工智能技術(shù)應(yīng)用所面臨的主要挑戰(zhàn)
雖然人工智能算法在網(wǎng)絡(luò)安全領(lǐng)域的應(yīng)用前景樂觀，但在成為安全領(lǐng)域的主流技術(shù)前，還面臨著一系列的挑戰(zhàn)。
首先是數(shù)據(jù)缺失帶來的挑戰(zhàn)。我們知道人工智能、機(jī)器學(xué)習(xí)算法需要大量的標(biāo)注數(shù)據(jù)來訓(xùn)練模型，可以說數(shù)據(jù)決定了模型最終能夠達(dá)到的高度，算法只是逼近這個(gè)高度的手段而已。但在實(shí)際環(huán)境中，由于安全廠商的用戶大都對自身數(shù)據(jù)比較敏感，廠商在將設(shè)備部署到用戶環(huán)境后很難通過用戶的反饋獲取有價(jià)值的數(shù)據(jù)，比如在實(shí)際環(huán)境中的攻擊報(bào)警及原始數(shù)據(jù)、對漏報(bào)或誤報(bào)的分析結(jié)果等，這就導(dǎo)致廠商無法利用真實(shí)數(shù)據(jù)提升模型的檢測準(zhǔn)確率。
其次是結(jié)果的可解釋性帶來的挑戰(zhàn)。對于傳統(tǒng)基于特征匹配的攻擊檢測而言，檢測設(shè)備對其所產(chǎn)生的報(bào)警可以給予充分的證據(jù)，用于解釋其報(bào)警的有效性;但對于人工智能、尤其是深度學(xué)習(xí)算法而言，檢測設(shè)備的判斷依據(jù)對用戶而言是一個(gè)黑盒子，用戶無法知曉某個(gè)報(bào)警產(chǎn)生的具體原因。事實(shí)上目前已經(jīng)出現(xiàn)了攻擊特定機(jī)器學(xué)習(xí)算法使其產(chǎn)生誤報(bào)的技術(shù)。如何提高人工智能算法的魯棒性和結(jié)果可解釋性，也是學(xué)術(shù)界研究的熱點(diǎn)。
雖然人工智能在網(wǎng)絡(luò)安全領(lǐng)域的應(yīng)用還面臨著各種各樣的挑戰(zhàn)，我們依然看好其應(yīng)用前景。這是因?yàn)閿?shù)據(jù)時(shí)代和智能時(shí)代已經(jīng)來臨，利用數(shù)據(jù)改變傳統(tǒng)的業(yè)務(wù)模式、利用人工智能提升數(shù)據(jù)的利用價(jià)值，已成為大勢所趨。我們期待著人工智能在未來的網(wǎng)絡(luò)安全產(chǎn)業(yè)發(fā)揮更大的價(jià)值!(周濤博士)
數(shù)字化要一盤棋更要各自為戰(zhàn)
分享到微信 ×
打開微信，點(diǎn)擊底部的“發(fā)現(xiàn)”，
使用“掃一掃”即可將網(wǎng)頁分享至朋友圈。