Hvordan AI-Augmented Threat Intelligence løser sikkerhetsmangler

Publisert av Platon

Følgere: 0

Hvordan AI-Augmented Threat Intelligence løser sikkerhetsmangler PlatoBlockchain Data Intelligence. Vertikalt søk. Ai.

Sikkerhetsoperasjoner og trusseletterretningsteam er kronisk mangelfulle, overveldet med data og håndterer konkurrerende krav – alle problemer som systemer med store språkmodeller (LLM) kan hjelpe med å avhjelpe. Men mangel på erfaring med systemene holder mange bedrifter tilbake fra å ta i bruk teknologien.

Organisasjoner som implementerer LLM-er vil bedre kunne syntetisere intelligens fra rådata og utdype sine trusseletterretningsevner, men slike programmer trenger støtte fra sikkerhetsledelsen for å være riktig fokusert. Lag bør implementere LLM-er for løsbare problemer, og før de kan gjøre det, må de evaluere nytten av LLM-er i en organisasjons miljø, sier John Miller, leder for Mandiants etterretningsanalysegruppe.

"Det vi sikter mot er å hjelpe organisasjoner med å navigere i usikkerheten, fordi det ikke er mange verken suksesshistorier eller fiaskohistorier ennå," sier Miller. "Det finnes egentlig ikke svar ennå som er basert på rutinemessig tilgjengelig erfaring, og vi ønsker å gi et rammeverk for å tenke på hvordan vi best kan se frem til den typen spørsmål om virkningen."

I en presentasjon kl Black Hat USA i begynnelsen av august, med tittelen "Hvordan ser et LLM-drevet trusselintelligensprogram ut?,” Miller og Ron Graf, en dataforsker i etterretningsanalyseteamet ved Mandiants Google Cloud, vil demonstrere områdene der LLM-er kan øke sikkerhetsarbeidere for å øke hastigheten på og utdype cybersikkerhetsanalysen.

Tre ingredienser i trusselintelligens

Sikkerhetseksperter som ønsker å skape en sterk trusselintelligens-evne for organisasjonen deres, trenger tre komponenter for å kunne skape en intern trusselintelligensfunksjon, sier Miller til Dark Reading. De trenger data om truslene som er relevante; evnen til å behandle og standardisere disse dataene slik at de er nyttige; og muligheten til å tolke hvordan disse dataene er relatert til sikkerhetshensyn.

Det er lettere sagt enn gjort, fordi trusseletterretningsteam – eller personer med ansvar for trusseletterretning – ofte blir overveldet med data eller forespørsler fra interessenter. Imidlertid kan LLM-er bidra til å bygge bro over gapet, slik at andre grupper i organisasjonen kan be om data med naturlige språkspørsmål og få informasjonen på et ikke-teknisk språk, sier han. Vanlige spørsmål inkluderer trender i spesifikke områder av trusler, for eksempel løsepengevare, eller når selskaper ønsker å vite om trusler i bestemte markeder.

"Ledere som lykkes med å forsterke sin trusselintelligens med LLM-drevne evner kan i utgangspunktet planlegge for en høyere avkastning på investeringen fra sin trusselintelligensfunksjon," sier Miller. "Det en leder kan forvente når de tenker fremover, og hva deres nåværende etterretningsfunksjon kan gjøre, er å skape høyere kapasitet med samme ressurs for å kunne svare på disse spørsmålene."

AI kan ikke erstatte menneskelige analytikere

Organisasjoner som omfavner LLM-er og AI-augmented trusselintelligens vil ha en forbedret evne til å transformere og gjøre bruk av bedriftssikkerhetsdatasett som ellers ville forbli uutnyttet. Likevel er det fallgruver. Å stole på LLM-er for å produsere sammenhengende trusselanalyse kan spare tid, men kan for eksempel også føre til potensielle "hallusinasjoner" - en mangel ved LLM-er hvor systemet vil opprette koblinger der det ikke er noen eller fabrikkere svar helt, takket være å være opplært på feil eller manglende data.

"Hvis du stoler på resultatet fra en modell for å ta en beslutning om sikkerheten til virksomheten din, vil du kunne bekrefte at noen har sett på den, med muligheten til å gjenkjenne om det er noen grunnleggende feil, " sier Miller fra Google Cloud. "Du må være i stand til å forsikre deg om at du har eksperter som er kvalifiserte, som kan snakke for nytten av innsikten når det gjelder å svare på disse spørsmålene eller ta disse avgjørelsene."

Slike problemer er ikke uoverkommelige, sier Google Clouds Graf. Organisasjoner kan ha konkurrerende modeller lenket sammen for i hovedsak å utføre integritetssjekker og redusere frekvensen av hallusinasjoner. I tillegg kan det å stille spørsmål på en optimalisert måte - såkalt "prompt engineering" - føre til bedre svar, eller i det minste de som er mest i tråd med virkeligheten.

Å holde en AI sammenkoblet med et menneske er imidlertid den beste måten, sier Graf.

"Det er vår mening at den beste tilnærmingen er bare å inkludere mennesker i loopen," sier han. "Og det kommer til å gi nedstrøms ytelsesforbedringer uansett, så organisasjonene høster fortsatt fordelene."

Denne utvidelsestilnærmingen har fått gjennomslag, som cybersikkerhetsfirmaer har sluttet seg til andre selskaper i å utforske måter å transformere sine kjerneevner med store LLM-er. I mars, for eksempel, Microsoft lanserte Security Copilot for å hjelpe cybersikkerhetsteam med å undersøke brudd og jakte på trusler. Og i april lanserte trusseletterretningsfirmaet Recorded Future en LLM-utvidet funksjon, og fant ut at systemets evne til å gjøre store data eller dype søk til en enkel to- eller tre-setnings sammendragsrapport for analytikeren har spart en betydelig mengde tid for sine sikkerhetseksperter.

"I utgangspunktet tror jeg, trusseletterretning er et 'Big Data'-problem, og du må ha omfattende innsyn i alle nivåer av angrepet inn i angriperen, inn i infrastrukturen og inn i menneskene de retter seg mot," sier Jamie Zajac, visepresident for produkt hos Recorded Future, som sier at AI lar mennesker ganske enkelt være mer effektive i det miljøet. "Når du har alle disse dataene, har du problemet med 'hvordan syntetiserer du dette til noe nyttig?', og vi fant ut at å bruke vår intelligens og bruke store språkmodeller … begynte å spare [analytikerne våre] timer og timer med tid."