6种在网络安全中应用AI的创新方法

AI正在改变一切，包括网络安全。以下是六种创新的AI方法，可帮助保护企业安全。

1. 在攻击发生前进行预测

预测性AI让防御者能够在事件发生前做出防御决策，甚至自动化响应。BforeAI的安全策略师Andre Piazza表示：“以高准确率运行的预测技术可以提高安全团队的生产力，这些团队面临着警报数量、误报和处理负担的挑战。”

预测性AI依赖于从互联网摄入大量数据和元数据。为了创建预测，一组专门用于评分和预测的机器学习技术（称为随机森林）会分析这些数据。Piazza解释说：“该算法依赖于经过验证的良好和不良基础设施数据库，这些数据库作为进行预测的黄金标准。“预测性AI还可以利用包含恶意意图的已知行为集数据库。

预测需要高度准确性才能提供价值。Piazza说：“为了应对攻击面的动态变化，如IP或DNS记录的变化，以及犯罪分子开发的新攻击技术，该算法会不断更新基础事实。这使得预测在长期内保持准确，从而实现自动化操作，如果需要的话可以移除人工干预。”

2. 机器学习生成对抗网络

网络安全技术公司NopalCyber的首席解决方案架构师Michel Sahyoun建议使用生成对抗网络（GANs）来创建和防御高度复杂的、以前未见过的网络攻击。他说：“这种技术使网络安全系统能够通过对抗大量模拟威胁进行训练来学习和适应。”

Sahyoun表示，GANs允许系统从数百万个新颖的攻击场景中学习并制定有效的防御措施。“通过模拟尚未发生的攻击，对抗性AI有助于主动为新兴威胁做准备，缩小攻击创新和防御准备之间的差距。”

GAN由两个核心组件组成：生成器和判别器。Sahyoun解释说：“生成器通过模仿真实世界的攻击者策略，产生现实的网络攻击场景——如新型恶意软件变体、网络钓鱼邮件或网络入侵模式。判别器评估这些场景，学习区分恶意活动和合法行为。它们共同形成一个动态反馈循环。生成器根据判别器的评估改进其攻击模拟，而判别器则不断提高其检测日益复杂威胁的能力。”

3. AI分析师助手

Hughes Network Systems正在利用生成式AI自动化威胁分类的劳动密集型过程，从而提升初级分析师的作用。

Hughes Enterprise的网络安全产品负责人Ajith Edakandi表示：“我们的AI引擎主动监控安全警报，关联来自多个来源的数据，并生成上下文叙述，否则这些工作需要大量手动工作。这种方法将AI定位为人类分析师的智能助手，而不是替代品，它执行大部分初步调查基础工作。”

Edakandi表示，这种方法通过让分析师更快、更精确地处理警报，显著提高了安全运营中心（SOC）的效率。“单个警报通常会触发一系列后续行动——检查日志、交叉引用威胁情报、评估业务影响等等。我们的AI通过并行执行这些步骤并以机器速度运行来简化这一过程，最终让人类分析师专注于验证和响应威胁，而不是花费宝贵的时间收集上下文。”

Edakandi说，AI引擎基于已建立的分析师剧本和运行手册进行训练，学习在各种调查类型中通常采取的步骤。“当收到警报时，AI会启动与人类相同的调查行动，从可信来源提取数据，关联发现并综合威胁故事。“最终输出是分析师就绪的摘要，有效地将调查时间从近一小时减少到仅几分钟。“它还使分析师能够处理更多的警报量。”

4. 检测微偏差的AI模型

AI模型可用于基线系统行为，检测人类或传统的基于规则或阈值的系统会遗漏的微偏差。安全服务和产品公司XYPRO Technology的CEO Steve Tcherchian表示：“AI不是追逐已知的不良行为，而是持续学习在系统、用户、网络和流程级别上’正常’是什么样的，然后标记任何偏离该规范的情况，即使以前从未见过这种情况。”

AI模型被输入实时数据、过程日志、身份验证模式和网络流，持续训练正常行为以检测异常活动。Tcherchian说：“当某些事情偏离时——比如用户在异常时间从新位置登录——就会触发风险信号。随着时间的推移，随着越来越多的信号被识别，模型变得更智能、更精确。”

5. 自动化警报分类调查和响应

拥有1000名员工的公司一天很容易收到200个警报。托管检测和响应公司AirMDR的CEO Kumar Saurabh观察到：“要彻底调查一个警报，人类分析师至少需要20分钟。“这意味着你需要至少九名分析师来调查每一个警报。“因此，大多数警报被忽略或未彻底调查。”

AI分析技术检查每个警报，然后确定需要收集哪些其他数据片段，以准确判断警报是良性的还是严重的。AI分析师与企业安全堆栈中的其他工具对话，收集所需数据，以决定警报是否需要采取行动或可以安全忽略。Saurabh说：“如果是恶意的，该技术会找出需要采取哪些行动来修复和/或从威胁中恢复，并立即通知安全团队。”

6. 主动生成式欺骗

网络安全培训公司Kontra的CEO Gyan Chawdhary表示，在动态威胁环境中使用主动生成式欺骗是网络安全中真正新颖的AI方法。

“不仅仅是检测威胁，我们可以训练AI持续创建和部署高度逼真但虚假的网络段、数据和用户行为。可以将其视为为攻击者建造一个不断发展的数字游乐宫。”

Chawdhary补充说，这种方法超越了传统的蜜罐，使欺骗更加普遍、智能和自适应，旨在在攻击者到达合法资产之前耗尽和迷惑他们。

Chawdhary表示，这种方法非常有用，因为它完全改变了权力动态。“我们不是不断对新威胁做出反应，而是迫使攻击者对我们AI生成的幻觉做出反应。它显著增加了攻击者的成本和时间，因为他们浪费资源探索诱饵系统、外泄虚假数据和分析虚构的网络流量。“该技术不仅为防御者赢得了宝贵时间，还提供了关于攻击者在与欺骗环境交互时的战术、技术和程序（TTPs）的丰富威胁情报来源。

不利的一面是，开发主动生成式欺骗环境需要跨越多个领域的显著资源。Chawdhary警告说：“你需要强大的基于云的基础设施来托管动态诱饵环境，强大的GPU资源用于训练和运行生成式AI模型，以及一支高技能的AI/ML工程师、网络安全架构师和网络专家团队。此外，访问多样化和广泛的无恶意和恶意网络流量数据集对于训练AI生成真正令人信服的欺骗至关重要。”