Киберугрозы не подчиняются предсказуемым закономерностям, что вынуждает команды безопасности переосмыслить подходы к защите в масштабах всей системы. В качестве практического решения появляется защитный ИИ, сочетающий машинное обучение с человеческим контролем. Как отмечается в аналитическом исследовании компании Positive Technologies, которая является одним из лидеров в российской сегменте систем кибербезопасности, «ИИ-технологии позволяют решать множество задач на всех этапах подготовки к отражению атаки, а также во время обнаружения, реагирования и ликвидации последствий инцидента».

Кибербезопасность редко терпит неудачу из-за отсутствия инструментов у команд. Она терпит неудачу, потому что угрозы распространяются быстрее, чем системы обнаружения успевают за ними. По мере расширения цифровых систем злоумышленники адаптируются в режиме реального времени, в то время как статичные средства защиты отстают

Современные методы атак постоянно меняются. Фишинговые сообщения меняют формулировки за считанные часы. Вредоносное ПО изменяет свое поведение, чтобы избежать обнаружения. В таких условиях системы безопасности, основанные на правилах, испытывают трудности.

Машинное обучение заполняет этот пробел, изучая ожидаемое поведение систем. Другими словами, оно не ждет распознанного шаблона, а ищет то, что, по-видимому, ему не соответствует. Это важно, когда угроза новая или замаскированная.

Для команд, занимающихся вопросами безопасности, это изменение уменьшает «слепые зоны». Машинное обучение обрабатывает огромные объемы данных, которые ни одна команда людей не смогла бы просмотреть вручную. Оно связывает тонкие сигналы в сетях, конечных устройствах и облачных сервисах.

О том, как ИИ выявляет угрозы в режиме реального времени рассказывает доцент кафедры искусственного интеллекта Финансового университета при Правительстве Российской Федерации Емельянова Наталия Юрьевна:

Модели машинного обучения интересуются поведением, а не предположениями. Модели обучаются, наблюдая за взаимодействием пользователей и приложений. Когда активность отклоняется от ожидаемых шаблонов, появляются оповещения. Этот подход работает даже тогда, когда угроза никогда раньше не проявлялась. Атаки нулевого дня становятся действительно видимыми, потому что беспокойство вызывает поведение, а не история. К распространенным методам обнаружения относятся определение исходных показателей поведения для выявления необычной активности, выявление аномалий в сетевом и прикладном трафике, классификационные модели, обученные на различных типах угроз.

Анализ в реальном времени имеет решающее значение. Современные атаки быстро распространяются во взаимосвязанных системах. Машинное обучение непрерывно оценивает потоковые данные, позволяя группам безопасности реагировать до того, как ущерб возрастет. Эта возможность оказывается особенно ценной в облачных средах. Ресурсы постоянно меняются. Традиционные методы защиты периметра теряют свою актуальность. Мониторинг на основе анализа поведения адаптируется по мере развития систем.

О внедрении средств защиты на всех этапах жизненного цикла безопасности ИИ рассказывает профессор кафедры искусственного интеллекта Финансового университета при Правительстве Российской Федерации Емельянов Виталий Александрович:

Эффективная киберзащита начинается не на этапе развертывания. Она начинается раньше и продолжается на протяжении всего жизненного цикла системы. Высокорискованные элементы конфигурации и уязвимые сервисы выявляются до развертывания в производственной среде. Это делает их менее уязвимыми в долгосрочной перспективе. После запуска систем мониторинг переключается на отслеживание поведения в реальном времени. Запросы доступа, активность вывода информации и потоки данных находятся под постоянным вниманием. Необычные закономерности требуют расследования. Контроль после развертывания остается критически важным. Модели использования меняются. Модели устаревают. Защитный ИИ обнаруживает отклонения, которые могут сигнализировать о неправильном использовании или появлении уязвимостей. Представление жизненного цикла уменьшает фрагментацию. Безопасность обеспечивается поэтапно, а не реактивно после возникновения инцидентов. Со временем эта согласованность укрепляет операционную уверенность.

Кибербезопасность существует в реальности, определяемой скоростью, масштабом и непрерывными изменениями. Статичный характер киберзащиты делает ее неэффективной в этой реальности, поскольку векторы атак меняются быстрее, чем статические меры киберзащиты могут за ними угнаться. Машинное обучение позволяет улучшить обнаружение угроз и атак, сокращает время реакции и помогает создавать сопротивление в сложных системах, распознавая тонкие закономерности поведения человека.