Hoe AI-Augmented Threat Intelligence beveiligingstekortkomingen oplost

Heruitgegeven door Plato

volgers: 0

Hoe AI-augmented threat intelligence beveiligingstekortkomingen oplost PlatoBlockchain Data Intelligence. Verticaal zoeken. Ai.

Beveiligingsoperaties en bedreigingsinformatieteams hebben een chronisch personeelstekort, worden overweldigd door gegevens en hebben te maken met concurrerende eisen - allemaal problemen die LLM-systemen (large-language-model) kunnen verhelpen. Maar een gebrek aan ervaring met de systemen weerhoudt veel bedrijven ervan om de technologie over te nemen.

Organisaties die LLM's implementeren, zullen in staat zijn om intelligentie beter te synthetiseren uit onbewerkte gegevens en hun capaciteiten op het gebied van dreigingsintelligentie te verdiepen, maar dergelijke programma's hebben steun van beveiligingsleiders nodig om op de juiste manier gericht te zijn. Teams moeten LLM's implementeren voor oplosbare problemen, en voordat ze dat kunnen doen, moeten ze het nut van LLM's in de omgeving van een organisatie evalueren, zegt John Miller, hoofd van de inlichtingenanalysegroep van Mandiant.

"We willen organisaties helpen door de onzekerheid heen te navigeren, want er zijn nog niet veel succes- of faalverhalen", zegt Miller. "Er zijn nog niet echt antwoorden die gebaseerd zijn op routinematig beschikbare ervaring, en we willen een raamwerk bieden om na te denken over hoe we het beste kunnen uitkijken naar dat soort vragen over de impact."

In een presentatie op Black Hat VS begin augustus, getiteld “Hoe ziet een LLM-Powered Threat Intelligence-programma eruit?”, zullen Miller en Ron Graf, een datawetenschapper in het inlichtingenanalyseteam van Mandiant's Google Cloud, demonstreren op welke gebieden LLM's beveiligingsmedewerkers kunnen versterken om cyberbeveiligingsanalyses te versnellen en te verdiepen.

Drie ingrediënten van bedreigingsinformatie

Beveiligingsprofessionals die een sterke dreigingsinformatie voor hun organisatie willen creëren, hebben drie componenten nodig om met succes een interne dreigingsinformatiefunctie te creëren, vertelt Miller aan Dark Reading. Ze hebben gegevens nodig over de dreigingen die relevant zijn; de mogelijkheid om die gegevens te verwerken en te standaardiseren zodat ze bruikbaar zijn; en het vermogen om te interpreteren hoe die gegevens verband houden met beveiligingsproblemen.

Dat is gemakkelijker gezegd dan gedaan, omdat dreigingsinformatieteams — of personen die verantwoordelijk zijn voor dreigingsinformatie — vaak worden overstelpt met gegevens of verzoeken van belanghebbenden. LLM's kunnen echter helpen de kloof te overbruggen, waardoor andere groepen in de organisatie gegevens kunnen opvragen met vragen in natuurlijke taal en de informatie in niet-technische taal kunnen krijgen, zegt hij. Veel voorkomende vragen zijn trends op specifieke gebieden van bedreigingen, zoals ransomware, of wanneer bedrijven meer willen weten over bedreigingen in specifieke markten.

"Leiders die erin slagen hun dreigingsinformatie uit te breiden met LLM-gestuurde capaciteiten, kunnen in feite plannen voor een hoger investeringsrendement van hun dreigingsinformatiefunctie", zegt Miller. "Wat een leider kan verwachten terwijl hij vooruitdenkt, en wat zijn huidige inlichtingenfunctie kan doen, is een hogere capaciteit creëren met dezelfde middelen om die vragen te kunnen beantwoorden."

AI kan menselijke analisten niet vervangen

Organisaties die LLM's en AI-augmented threat intelligence omarmen, zullen beter in staat zijn om datasets voor bedrijfsbeveiliging te transformeren en te gebruiken die anders onbenut zouden blijven. Toch zijn er valkuilen. Vertrouwen op LLM's om een coherente dreigingsanalyse te maken kan tijd besparen, maar kan bijvoorbeeld ook leiden tot potentiële "hallucinaties" - een tekortkoming van LLM's waar het systeem verbindingen zal maken waar er geen zijn of volledig antwoorden zal verzinnen, dankzij training op onjuiste of ontbrekende gegevens.

“Als je vertrouwt op de output van een model om een beslissing te nemen over de beveiliging van je bedrijf, dan wil je kunnen bevestigen dat iemand ernaar heeft gekeken, met de mogelijkheid om te herkennen of er fundamentele fouten zijn. ', zegt Miller van Google Cloud. "Je moet ervoor kunnen zorgen dat je experts hebt die gekwalificeerd zijn, die kunnen spreken voor het nut van het inzicht bij het beantwoorden van die vragen of het nemen van die beslissingen."

Dergelijke problemen zijn niet onoverkomelijk, zegt Graf van Google Cloud. Organisaties kunnen concurrerende modellen aan elkaar geketend hebben om in wezen integriteitscontroles uit te voeren en het aantal hallucinaties te verminderen. Bovendien kan het stellen van vragen op een geoptimaliseerde manier - de zogenaamde "prompt engineering" - leiden tot betere antwoorden, of in ieder geval antwoorden die het meest overeenkomen met de werkelijkheid.

Een AI gekoppeld houden aan een mens is echter de beste manier, zegt Graf.

"Wij zijn van mening dat de beste aanpak is om mensen erbij te betrekken", zegt hij. "En dat gaat hoe dan ook prestatieverbeteringen opleveren, dus de organisatie plukt er nog steeds de vruchten van."

Deze augmentatiebenadering wint aan kracht, zoals cybersecurity-bedrijven hebben zich aangesloten andere bedrijven bij het verkennen van manieren om hun kerncapaciteiten te transformeren met grote LLM's. In maart bijvoorbeeld Microsoft lanceerde Security Copilot om cyberbeveiligingsteams te helpen inbreuken te onderzoeken en bedreigingen op te sporen. En in april debuteerde het bedreigingsinformatiebureau Recorded Future met een LLM-verbeterde mogelijkheid, en ontdekte dat het vermogen van het systeem om enorme gegevens of diepgaand zoeken om te zetten in een eenvoudig samenvattend rapport van twee of drie zinnen voor de analist, een aanzienlijke hoeveelheid tijd heeft bespaard voor zijn beveiligingsprofessionals.

"In wezen is bedreigingsinformatie, denk ik, een 'Big Data'-probleem, en je moet uitgebreid inzicht hebben in alle niveaus van de aanval, in de aanvaller, in de infrastructuur en in de mensen die ze targeten", zegt Jamie Zajac, vice-president van product bij Recorded Future, die zegt dat AI mensen in staat stelt om simpelweg effectiever te zijn in die omgeving. "Als je eenmaal al deze gegevens hebt, heb je het probleem van 'hoe synthetiseer je dit eigenlijk tot iets nuttigs?', en we ontdekten dat het gebruik van onze intelligentie en het gebruik van grote taalmodellen … begon [onze analisten] uren en uren te besparen tijd."