Hvordan AI-Augmented Threat Intelligence løser sikkerhedsmangler

Genudgivet af Platon

Abonnenter: 0

How AI-Augmented Threat Intelligence Solves Security Shortfalls PlatoBlockchain Data Intelligence. Vertical Search. Ai.

Sikkerhedsoperationer og trusselsefterretningsteams er kronisk mangelfulde, overvældet med data og håndterer konkurrerende krav - alle problemer, som systemer med store sprogmodeller (LLM) kan hjælpe med at afhjælpe. Men manglende erfaring med systemerne holder mange virksomheder tilbage fra at tage teknologien i brug.

Organisationer, der implementerer LLM'er, vil være i stand til bedre at syntetisere intelligens fra rå data og uddybe deres trusselsefterretningskapacitet, men sådanne programmer har brug for støtte fra sikkerhedsledelsen for at være fokuseret korrekt. Teams bør implementere LLM'er for løselige problemer, og før de kan gøre det, skal de evaluere nytten af LLM'er i en organisations miljø, siger John Miller, leder af Mandiants intelligensanalysegruppe.

"Det, vi sigter efter, er at hjælpe organisationer med at navigere i usikkerheden, for der er ikke mange hverken succeshistorier eller fiaskoer endnu," siger Miller. "Der er ikke rigtig svar endnu, som er baseret på rutinemæssigt tilgængelige erfaringer, og vi ønsker at give en ramme for at tænke over, hvordan man bedst ser frem til den slags spørgsmål om virkningen."

I et oplæg kl Black Hat USA i begyndelsen af august, med titlen "Hvordan ser et LLM-drevet Threat Intelligence-program ud?,” Miller og Ron Graf, en dataforsker på intelligens-analytikteamet hos Mandiant's Google Cloud, vil demonstrere de områder, hvor LLM'er kan øge sikkerhedsmedarbejdere for at fremskynde og uddybe cybersikkerhedsanalysen.

Tre ingredienser i trusselsintelligens

Sikkerhedsprofessionelle, der ønsker at skabe en stærk trusselsintelligence-kapacitet til deres organisation, har brug for tre komponenter for at kunne skabe en intern trusselsintelligensfunktion, siger Miller til Dark Reading. De har brug for data om de trusler, der er relevante; evnen til at behandle og standardisere disse data, så de er nyttige; og evnen til at fortolke, hvordan disse data relaterer sig til sikkerhedsproblemer.

Det er lettere sagt end gjort, fordi trusselsefterretningshold – eller personer med ansvar for trusselsefterretninger – ofte overvældes med data eller anmodninger fra interessenter. Men LLM'er kan hjælpe med at bygge bro over kløften, hvilket giver andre grupper i organisationen mulighed for at anmode om data med naturlige sprogforespørgsler og få oplysningerne på et ikke-teknisk sprog, siger han. Almindelige spørgsmål omfatter tendenser inden for specifikke områder af trusler, såsom ransomware, eller når virksomheder ønsker at vide om trusler på specifikke markeder.

"Ledere, der lykkes med at øge deres trusselsintelligens med LLM-drevne kapaciteter, kan grundlæggende planlægge et højere investeringsafkast fra deres trusselsintelligensfunktion," siger Miller. "Hvad en leder kan forvente, når de tænker fremad, og hvad deres nuværende intelligensfunktion kan gøre, er at skabe højere kapacitet med de samme ressourcer til at kunne besvare disse spørgsmål."

AI kan ikke erstatte menneskelige analytikere

Organisationer, der omfavner LLM'er og AI-augmented trusselintelligens, vil have en forbedret evne til at transformere og gøre brug af virksomhedssikkerhedsdatasæt, som ellers ville forblive uudnyttet. Alligevel er der faldgruber. At stole på LLM'er til at producere sammenhængende trusselsanalyse kan spare tid, men kan også f.eks. potentielle "hallucinationer" - en mangel ved LLM'er hvor systemet vil skabe forbindelser, hvor der ikke er nogen eller fremstille svar helt, takket være at være trænet i forkerte eller manglende data.

"Hvis du stoler på outputtet fra en model for at træffe en beslutning om sikkerheden i din virksomhed, så vil du gerne være i stand til at bekræfte, at nogen har set på den, med evnen til at genkende, om der er nogle grundlæggende fejl, ” siger Google Clouds Miller. "Du skal være i stand til at sikre dig, at du har eksperter, der er kvalificerede, som kan tale for nytten af indsigten til at besvare disse spørgsmål eller træffe de beslutninger."

Sådanne problemer er ikke uoverstigelige, siger Google Clouds Graf. Organisationer kunne have konkurrerende modeller kædet sammen for i det væsentlige at udføre integritetstjek og reducere antallet af hallucinationer. Derudover kan det at stille spørgsmål på en optimeret måde - såkaldt "prompt engineering" - føre til bedre svar, eller i det mindste dem, der er mest i overensstemmelse med virkeligheden.

At holde en AI parret med et menneske er dog den bedste måde, siger Graf.

"Det er vores opfattelse, at den bedste tilgang bare er at inkludere mennesker i løkken," siger han. "Og det vil alligevel give downstream-præstationsforbedringer, så organisationerne høster stadig fordelene."

Denne augmentation tilgang har vundet indpas, som cybersikkerhedsfirmaer har tilsluttet sig andre virksomheder i at udforske måder at transformere deres kernekapaciteter med store LLM'er. I marts for eksempel Microsoft lancerede Security Copilot at hjælpe cybersikkerhedshold med at undersøge brud og jage efter trusler. Og i april debuterede trusselsefterretningsfirmaet Recorded Future en LLM-forbedret kapacitet og fandt ud af, at systemets evne til at omdanne store data eller dyb søgning til en simpel to- eller tre-sætningssammendragsrapport for analytikeren har sparet en betydelig mængde tid for sine sikkerhedseksperter.

"Grundlæggende tror jeg, at trusselsintelligens er et 'Big Data'-problem, og du skal have omfattende synlighed i alle niveauer af angrebet ind i angriberen, ind i infrastrukturen og ind i de mennesker, de er målrettet mod," siger Jamie Zajac, vicepræsident for produkt hos Recorded Future, som siger, at AI tillader mennesker simpelthen at være mere effektive i det miljø. "Når du har alle disse data, har du problemet med 'hvordan syntetiserer du egentlig dette til noget nyttigt?', og vi fandt ud af, at brug af vores intelligens og brug af store sprogmodeller … begyndte at spare [vores analytikere] timer og timer af tid."