Искусственный интеллект в кибербезопасности: что он реально делает

Служба безопасности тонет в сигналах. Система защиты выдаёт тысячи предупреждений в сутки, и человек физически не может разобрать их все. Искусственный интеллект применяют здесь не для того, чтобы «поймать хакера» одним нажатием кнопки, а чтобы отделить важное от шума — и это уже измеримая, а не гипотетическая польза.

Разберём, что искусственный интеллект в защите данных реально делает, чего он не делает никогда, и как та же технология работает против компаний, а не только на них.

Что именно он делает

Отсеивает ложные тревоги. Это главная и самая измеримая задача. Большинство предупреждений — не атака, а обычная работа, которая выглядит непривычно: сотрудник в командировке вошёл с нового города, бухгалтерия в конце квартала выгружает больше отчётов, чем обычно. Система, обученная на истории компании, отличает такие ситуации от реальной угрозы лучше, чем жёсткие правила «если — то».

Замечает отклонения от привычного. Бухгалтер, который годами заходил с одного компьютера в рабочее время, вдруг выгружает всю базу ночью. Заранее правилом такое не опишешь — оно появляется только по факту сравнения с обычным поведением этого конкретного человека.

Связывает разрозненные события. По отдельности неудачный вход, запуск незнакомой программы и обращение к серверу выглядят безобидно. Вместе и в таком порядке — это цепочка атаки, и увидеть её можно только сопоставив события из разных систем сразу.

Пишет понятную сводку. Вместо ста строк технического журнала — три предложения о том, что произошло и с чем это связано. Это экономит время дежурного больше, чем любая другая функция подобных систем.

Чего он не делает никогда

Не заменяет людей. Решение о блокировке учётной записи руководителя в разгар рабочего дня всё равно принимает человек — цена ошибки слишком высока, чтобы отдавать её автоматике.

Не защищает от известных дыр. Непоставленное обновление остаётся непоставленным, сколько бы систем анализа поведения вы ни купили сверху.

Не работает без данных. Модели нужен журнал событий хотя бы за несколько месяцев, чтобы понять, что для конкретной компании нормально, а что нет. Без истории у неё просто нет базы для сравнения.

Обратная сторона: те же инструменты у нападающих

Те же технологии доступны и тем, кто атакует. Письма, написанные под конкретного человека, стали грамотными и убедительными — старый признак «мошенники пишут с ошибками» больше не работает почти никогда.

Появилась и подделка голоса: звонок «от директора» с просьбой срочно оплатить счёт может звучать буквально его голосом, хотя звонил не он.

Что делать компании без большого бюджета

Порядок мер по соотношению эффекта к цене, от самого дешёвого и полезного к самому дорогому:

1. Двухфакторный вход везде, где есть чувствительные данные.

   Самая дешёвая и самая эффективная мера. Закрывает большинство попыток входа украденным паролем без всякого искусственного интеллекта.

2. Своевременные обновления систем.

   Непоставленное обновление — одна из частых причин успешных атак на малый и средний бизнес, наравне с фишингом. Закрыть её проще и дешевле, чем купить любую систему анализа.

3. Резервные копии с проверкой восстановления.

   Копия, которую ни разу не пробовали восстановить, может оказаться нерабочей именно тогда, когда понадобится.

4. Разделение сети на зоны.

   Ограничивает распространение заражения одним компьютером вместо всей компании. Подробный разбор — в статье про сегментацию сети простыми словами.

5. Обучение сотрудников распознавать подделки.

   Особенно важно с учётом того, что письма и звонки мошенников больше не выдают себя ошибками и неестественной речью.

Как выбирать, если дошли до выбора

Спрашивайте у поставщика не про технологии внутри, а про три конкретные вещи.

Последний пункт — не формальность. Журналы событий содержат чувствительные сведения о работе компании, и они не должны уходить за пределы контура, который вы контролируете, особенно если речь о финансовой или медицинской организации.

Система, которая говорит «опасно» без объяснения причины, бесполезна на практике: доверять ей вслепую нельзя, а проверять каждый сигнал вручную — то же самое, что вообще не иметь такой системы, только с лишними расходами. Если вы уже задумались о разделении сети как первом шаге к порядку в защите, разбор устройства данных компании — с чего вообще начинается порядок — есть в статье про репозиторий данных простыми словами.

Аудит безопасности сайтаПроверим сайт и его окружение на дыры, которыми реально пользуются злоумышленники, а не на бумажный чек-лист