ИБ-компания InfoWatch опубликовала отчет по результатам изучения мировых тенденций в сфере влияния искусственного интеллекта на безопасность сетевой инфраструктуры. Анализировалось применение ИИ для защиты и для атак.

Отчет опирается на данные, полученные при изучении инцидентов в России и мире, на профильную аналитику и опросы экспертов. Авторы анализировали применение ИИ атакующими на всех семи этапах: от разведки (Reconnaissance) до реализации целевой задачи (Actions on Objectives), определили четыре возможности в защите сетевой инфраструктуры с помощью искусственного интеллекта и выявили преимущества защищающихся и атакующих.

Способы применения ИИ на всех стадиях атаки:

• атакующие используют ИИ в разведке (Reconnaissance) для сканирования сетевых периметров, сбора открытых данных и определения активных хостов. Автоматически сопоставляются версии ПО с базами уязвимостей, чтобы выявить слабые места;
• на этапе сканирования и анализа связей (Mapping) ИИ строит карту внутренней сети, анализируя взаимосвязи между узлами, учетными записями и сервисами;
• на стадии Weaponization ИИ подбирает готовые эксплойты под конкретную конфигурацию целевой системы или динамически генерирует и модифицирует их;
• во время фазы доставки и первичного доступа (Delivery & Exploitation) ИИ проводит точечные атаки для получения начального доступа в ИТ-инфраструктуру, например перебор паролей, эксплуатацию уязвимостей в API или ПО. Параллельно может использоваться генеративный фишинг для компрометации учетных записей сотрудников;
• на этапе закрепления и повышения привилегий (Persistence & Privilege Escalation) ИИ ищет локальные уязвимости для повышения прав до административных;
• во время стадии бокового перемещения (Lateral Movement) ИИ перемещается между соседними системами внутри сети, минимизируя аномалии в трафике;
• при реализации целевой задачи (Actions on Objectives) выполняется кража данных, нарушение работы сервисов или подготовка к шифрованию инфраструктуры.

Возможности ИИ в защите сетевой инфраструктуры:

• обнаружение поведенческих аномалий. Модели машинного обучения изучают базовый «нормальный» сетевой трафик и выявляют незначительные отклонения;
• автоматическое реагирование на инциденты. Управляемые ИИ системы автономно изолируют скомпрометированные конечные точки, блокируют вредоносные IP-адреса и прерывают аварийные соединения;
• уменьшение количества ложных срабатываний. Интеллектуальная корреляция данных из нескольких журналов снижает утомляемость аналитиков-людей;
• масштабируемая система поиска угроз. Интеллектуальная аналитика осуществляет упреждающий поиск путей перемещения, несанкционированного доступа и утечки данных до того, как атака принесет существенный ущерб.

Ключевые выводы:

• преимущество в гонке ИИ удерживают ИИ-защищающиеся, но ИИ-атакующие сокращают этот разрыв за счет децентрализации и генеративных технологий;
• при интеграции ИИ во все уровни отслеживания угроз защитные системы на данный момент показывают более стабильные результаты;
• у защитного ИИ три фундаментальных преимущества, которые хакерам сложно нивелировать. Первый — это асимметрия владения инфраструктурой: защитный ИИ развернут внутри сети и имеет легитимный и непрерывный доступ к внутренним данным. Второе преимущество — это аппаратное превосходство, например, защитные ИИ-модели в NGFW работают на специализированных чипах на аппаратной скорости сети. Третье преимущество — это технологии киберобмана: защитный ИИ может перестроить топологию или дать атакующему ИИ-рою тысячи фальшивых программируемых логических контроллеров;
• аналитики также фиксируют высокий рост эффективности атакующих ИИ-систем в специфических сценариях. Так, они могут сканировать внешние периметры сотен объектов компании одновременно, мгновенно модифицировать код известных эксплойтов под новые уязвимости и проводить фишинговые кампании с контекстным подбором текста под конкретного инженера.

Расскажите знакомым: