Может ли ИИ заменить кибербезопасность?

Может ли ИИ заменить кибербезопасность?

Краткий ответ: ИИ не заменит кибербезопасность полностью, но возьмет на себя значительную часть повторяющейся работы в центрах оперативного реагирования и инженерных подразделениях по безопасности. Используемый в качестве средства снижения шума и обобщения информации — с возможностью вмешательства человека — он ускоряет сортировку и расстановку приоритетов; если же рассматривать его как оракула, он может вносить рискованную ложную уверенность.

Основные выводы:

Область применения : ИИ заменяет задачи и рабочие процессы, а не саму профессию или ответственность.

Сокращение трудозатрат : используйте ИИ для кластеризации оповещений, составления кратких сводок и сортировки шаблонов логов.

Ответственность за принятие решений : привлекайте людей для управления рисками, реагирования на инциденты и принятия сложных компромиссных решений.

Устойчивость к неправильному применению : конструкция, рассчитанная на быстрое введение, отравление и попытки уклонения от применения.

Управление : Обеспечение соблюдения границ данных, возможности аудита и возможности оспаривания решений, принимаемых человеком, в инструментах.

Может ли ИИ заменить кибербезопасность? Инфографика

Статьи, которые могут вас заинтересовать после этой:

🔗 Как генеративный ИИ используется в кибербезопасности
Практические способы, с помощью которых ИИ повышает эффективность обнаружения, реагирования и предотвращения угроз.

🔗 Инструменты тестирования на проникновение с использованием ИИ для кибербезопасности
Лучшие решения на основе искусственного интеллекта для автоматизации тестирования и поиска уязвимостей.

🔗 Опасен ли искусственный интеллект? Риски и реальность
Подробный обзор угроз, мифов и ответственных мер защиты ИИ.

🔗 Руководство по лучшим инструментам обеспечения безопасности ИИ
Лучшие инструменты безопасности, использующие ИИ для защиты систем и данных.

«Замена» — это ловушка 😅

Когда люди говорят: «Может ли ИИ заменить кибербезопасность?» , они, как правило, подразумевают одно из трех:

  • Замените аналитиков (люди не требуются)

  • Замените инструменты (одна платформа ИИ делает все)

  • Замена негативных последствий (меньше нарушений, меньше рисков)

Искусственный интеллект наиболее эффективен в замене повторяющихся действий и сокращении времени принятия решений. Он наименее эффективен в замене ответственности, контекста и здравого суждения. Безопасность — это не только обнаружение, но и сложные компромиссы, бизнес-ограничения, политика (фу!) и человеческое поведение.

Вы же знаете, как это бывает — утечка произошла не из-за «отсутствия оповещений». Дело было в том, что кто-то не поверил, что оповещения имеют значение. 🙃

Там, где ИИ уже «заменяет» работу в сфере кибербезопасности (на практике) ⚙️

Искусственный интеллект уже берет на себя выполнение определенных категорий работ, даже если организационная структура по-прежнему выглядит так же, как и раньше.

1) Сортировка и кластеризация оповещений

  • Объединение похожих оповещений в один инцидент

  • Удаление дубликатов зашумленных сигналов

  • Ранжирование по вероятному воздействию

Это важно, потому что именно в приемном отделении люди теряют волю к жизни. Если ИИ хоть немного уменьшит уровень шума, это будет всё равно что приглушить пожарную сигнализацию, которая воет уже несколько недель 🔥🔕

2) Анализ журналов и выявление аномалий

  • Выявление подозрительных закономерностей на машинной скорости

  • Отмечается как «это необычно по сравнению с базовым уровнем»

Это не идеально, но может быть полезно. Искусственный интеллект похож на металлоискатель на пляже — он много пищит, и иногда это крышка от бутылки, а иногда — кольцо 💍… или взломанный токен администратора.

3) Классификация вредоносных программ и фишинга

  • Классификация вложений, URL-адресов, доменов

  • Выявление похожих брендов и схем подделки

  • Автоматизация составления сводных отчетов по результатам тестирования в песочнице

4) Приоритизация управления уязвимостями

Речь идёт не о том, «какие уязвимости CVE существуют» — мы все знаем, что их слишком много. Искусственный интеллект помогает ответить на этот вопрос:

Да, люди тоже могли бы это делать — если бы время было бесконечным и никто никогда не брал отпуск.

Что делает версию ИИ хорошей в сфере кибербезопасности 🧠

Люди пропускают этот момент, а затем начинают обвинять «искусственный интеллект», как будто это всего лишь один продукт, обладающий чувствами.

Успешная версия ИИ в сфере кибербезопасности, как правило, обладает следующими характеристиками:

  • Дисциплина высокого отношения сигнал/шум

    • Оно должно снижать уровень шума, а не создавать лишний шум с помощью вычурных формулировок.

  • Объяснимость, которая помогает на практике

    • Это не роман. Это не просто ощущения. Это реальные подсказки: что оно увидело, почему ему это важно, что изменилось.

  • Тесная интеграция с вашей средой

    • IAM, телеметрия конечных устройств, облачная проверка состояния, система обработки заявок, инвентаризация активов… все эти не самые привлекательные вещи.

  • Встроенная функция предотвращения вмешательства человека

    • Аналитикам нужно исправлять ошибки, корректировать подход, а иногда и игнорировать их. Как начинающий аналитик, который никогда не спит, но иногда паникует.

  • Безопасная обработка данных

    • Чёткие границы того, что хранится, обучается или сохраняется. NIST AI RMF 1.0

  • Устойчивость к манипуляциям

Давайте будем откровенны — многие системы «безопасности на основе ИИ» терпят неудачу, потому что их обучают казаться уверенными, а не быть правыми. Уверенность — это не контроль. 😵💫

Части, которые ИИ с трудом может заменить, — и это важнее, чем кажется 🧩

Вот неприятная правда: кибербезопасность — это не только технические аспекты. Это социально-технические аспекты. Это сочетание людей, систем и стимулов.

Искусственный интеллект испытывает трудности со следующими задачами:

1) Контекст бизнеса и склонность к риску

Решения в сфере безопасности редко принимаются по принципу «плохо ли это». Скорее, они сводятся к следующему:

  • Достаточно ли серьезна ситуация, чтобы остановить поступление доходов

  • Стоит ли нарушать конвейер развертывания?

  • Согласится ли команда руководителей на простой оборудования ради этого?

Искусственный интеллект может помочь, но он не может взять это на себя. Кто-то подписывает решение. Кто-то получает звонок в 2 часа ночи 📞

2) Управление инцидентом и межкомандная координация

В реальных ситуациях «работа» заключается в следующем:

Искусственный интеллект, конечно, может составить хронологию или обобщить протоколы. Но смена руководства в условиях стресса — это… слишком оптимистично. Это как просить калькулятор провести тренировку по пожарной безопасности.

3) Моделирование угроз и архитектура

Моделирование угроз – это отчасти логика, отчасти творчество, отчасти паранойя (в основном, здоровая паранойя).

  • Перечисление возможных проблем

  • Предвидение действий нападающего

  • Выбор самого дешевого элемента управления, который меняет расчеты злоумышленника

Искусственный интеллект может подсказывать закономерности, но настоящая ценность заключается в знании ваших систем, ваших сотрудников, ваших упрощенных подходов, ваших специфических зависимостей от устаревших систем.

4) Человеческий фактор и культура

Фишинг, повторное использование учетных данных, теневые ИТ, небрежная проверка доступа — это человеческие проблемы, замаскированные под технические 🎭
Искусственный интеллект может их обнаружить, но он не может исправить причины такого поведения организации.

Злоумышленники тоже используют ИИ, поэтому правила игры смещаются вбок 😈🤖

Любое обсуждение замены средств кибербезопасности должно включать в себя очевидное: злоумышленники не стоят на месте.

Искусственный интеллект помогает злоумышленникам:

Так что внедрение ИИ защитниками в долгосрочной перспективе — это не просто желательный шаг. Это скорее похоже на… вы берете с собой фонарик, потому что у противника появились приборы ночного видения. Неуклюжая метафора. Но все же отчасти верна.

Кроме того, злоумышленники будут атаковать сами системы искусственного интеллекта:

В сфере безопасности всегда царила игра в кошки-мышки. Искусственный интеллект просто делает кошек быстрее, а мышей — изобретательнее 🐭

Настоящий ответ: ИИ заменяет задачи, а не ответственность ✅

Это та «неудобная середина», в которой оказывается большинство команд:

  • Искусственный интеллект справляется с масштабированием.

  • Люди работают с кольями.

  • Вместе они сочетают скорость и рассудительность.

В ходе моих собственных тестов в различных средах обеспечения безопасности я обнаружил, что ИИ наиболее эффективен, когда к нему относятся следующим образом:

  • Помощник в приемном отделении

  • Резюмирующий текст

  • Механизм корреляции

  • Помощник по вопросам политики

  • Помощник при проверке кода для работы с рискованными шаблонами

Искусственный интеллект хуже всего работает, когда к нему относятся следующим образом:

  • Оракул

  • Единая точка истины

  • Система защиты по принципу «настроил и забыл»

  • Причина для нехватки персонала (это потом аукнется… сильно)

Это как нанять сторожевую собаку, которая ещё и пишет электронные письма. Отлично. Но иногда она лает на пылесос и не замечает человека, перепрыгивающего через забор. 🐶🧹

Сравнительная таблица (лучшие варианты, которые команды используют ежедневно) 📊

Ниже представлена ​​практичная сравнительная таблица — не идеальная, немного неравномерная, как в реальной жизни.

Инструмент / Платформа Лучше всего подходит для (аудитории) Ценовой настрой Почему это работает (и какие у этого есть особенности)
Microsoft Sentinel Microsoft Learn Команды SOC, работающие в экосистеме Microsoft $$ - $$$ Надежные шаблоны облачных SIEM-систем; множество коннекторов, могут создавать помехи, если их не настроить должным образом…
Splunk Splunk Enterprise Security Крупные организации с интенсивным лесозаготовительным бизнесом и индивидуальными потребностями $$$ (часто откровенно $$$$) Мощный поиск и панели мониторинга; великолепны, когда данные тщательно отобраны, но вызывают проблемы, когда никто не отвечает за их чистоту
Операции по обеспечению безопасности Google, Google Cloud Команды, желающие получить телеметрию в управляемом масштабе $$ - $$$ Подходит для обработки больших объемов данных; как и во многих других случаях, зависит от уровня зрелости интеграции
CrowdStrike Falcon CrowdStrike Организации с большим количеством конечных устройств, группы реагирования на инциденты $$$ Отличная видимость конечных точек; высокая глубина обнаружения, но для реагирования по-прежнему необходимы люди
Microsoft Defender для конечных точек Microsoft Learn M365-тяжелые организации $$ - $$$ Тесная интеграция с Microsoft; может быть отличной, но при неправильной настройке может привести к «700 оповещениям в очереди»
Palo Alto Cortex XSOAR Palo Alto Networks SOC-системы, ориентированные на автоматизацию $$$ Схемы действий упрощают работу, но требуют внимания, иначе вы автоматизируете беспорядок (да, такое бывает)
Платформа Wiz команды по обеспечению безопасности облачных вычислений $$$ Высокая прозрачность облачных процессов; помогает быстро определять приоритеты рисков, но требует наличия системы управления
Платформа Snyk Организации, ориентированные на разработчиков, безопасность приложений $$ - $$$ Удобные для разработчиков рабочие процессы; успех зависит от внедрения разработчиками, а не только от сканирования

Небольшое замечание: ни один инструмент не «побеждает» сам по себе. Лучший инструмент — тот, который ваша команда использует ежедневно, не испытывая к нему неприязни. Это не наука, это выживание 😅

Реалистичная модель работы: как команды побеждают с помощью ИИ 🤝

Если вы хотите, чтобы ИИ существенно повысил безопасность, обычно используется следующий алгоритм действий:

Шаг 1: Используйте ИИ для уменьшения трудозатрат

  • Сводные данные об оповещениях

  • Оформление билетов

  • Контрольные списки для сбора доказательств

  • Предложения по запросам к логам

  • Изменения в конфигурациях (см. сравнение "Что изменилось")

Шаг 2: Используйте людей для проверки и принятия решения

  • Подтвердите воздействие и масштабы

  • Выберите меры по сдерживанию распространения инфекции

  • Координировать исправления между командами

Шаг 3: Автоматизируйте безопасные процессы

Хорошие цели автоматизации:

  • Изолирование заведомо вредоносных файлов с высокой степенью достоверности

  • Сброс учетных данных после подтвержденного взлома

  • Блокировка заведомо вредоносных доменов

  • Внедрение мер по корректировке отклонений в политике (с осторожностью)

Рискованные цели автоматизации:

  • Автоматическая изоляция производственных серверов без мер защиты

  • Удаление ресурсов на основе неопределенных сигналов

  • Блокировка больших диапазонов IP-адресов, потому что «так захотелось» 😬

Шаг 4: Передайте результаты уроков обратно в элементы управления

  • Настройка после инцидента

  • Улучшенное обнаружение

  • Улучшение учета активов (вечная проблема)

  • Более узкие привилегии

Именно здесь ИИ оказывает огромную помощь: подведение итогов анализа причин сбоев, выявление пробелов в обнаружении проблем, превращение хаоса в повторяемые улучшения.

Скрытые риски безопасности, основанной на искусственном интеллекте (да, их немало) ⚠️

Если вы активно внедряете ИИ, вам необходимо подготовиться к возможным подводным камням:

  • Выдуманная уверенность

    • Командам по обеспечению безопасности нужны доказательства, а не рассказы. Искусственный интеллект любит рассказывать истории. NIST AI RMF 1.0

  • Утечка данных

  • Чрезмерная зависимость

    • Люди перестают изучать основы, потому что второй пилот «всегда все знает»… до тех пор, пока это не перестает быть правдой.

  • Модель дрейфа

    • Окружающая среда меняется. Модели атак меняются. Обнаруженные угрозы незаметно исчезают. NIST AI RMF 1.0

  • враждебное злоупотребление

Это как построить очень умный замок, а потом оставить ключ под ковриком. Проблема не только в замке.

Итак… Может ли ИИ заменить кибербезопасность: простой и понятный ответ 🧼

Может ли ИИ заменить кибербезопасность?
Он может заменить большую часть рутинной работы в сфере кибербезопасности. Он может ускорить обнаружение, сортировку, анализ и даже часть реагирования. Но он не может полностью заменить эту дисциплину, потому что кибербезопасность — это не единая задача, а управление, архитектура, поведение человека, управление инцидентами и непрерывная адаптация.

Если вам нужна максимально откровенная (немного прямолинейная, извините):

  • Искусственный интеллект заменяет рутинную работу.

  • Искусственный интеллект повышает эффективность команд.

  • Искусственный интеллект выявляет неэффективные процессы.

  • Люди по-прежнему несут ответственность за риски и реальность.

Да, некоторые роли изменятся. Задачи начального уровня изменятся быстрее всего. Но появятся и новые задачи: безопасные рабочие процессы, проверка моделей, разработка автоматизированных систем безопасности, разработка систем обнаружения с использованием инструментов на основе ИИ… работа не исчезает, она мутирует 🧬

Заключительные замечания и краткий обзор 🧾✨

Если вы решаете, что делать с ИИ в сфере безопасности, вот что можно извлечь из практического опыта:

  • Используйте ИИ для сокращения времени — более быстрая сортировка, более быстрые сводки, более быстрая корреляция.

  • Пусть эксперты будут принимать решения — с учетом контекста, компромиссов, лидерства и ответственности.

  • Предположим, что злоумышленники тоже используют ИИ — проектируйте системы с учетом возможности обмана и манипуляций. MITRE ATLAS по безопасной разработке систем ИИ (NSA/CISA/NCSC-UK)

  • Не покупайте «магию» — покупайте рабочие процессы, которые ощутимо снижают риски и трудозатраты.

Да, ИИ может заменить значительную часть работы, и зачастую это происходит способами, которые поначалу кажутся незаметными. Победный ход — использовать ИИ в качестве рычага, а не в качестве замены.

А если вас беспокоит ваша карьера, сосредоточьтесь на тех аспектах, с которыми ИИ испытывает трудности: системное мышление, управление инцидентами, архитектура и умение отличать «интересное оповещение» от «нас ждет очень плохой день». 😄🔐

Часто задаваемые вопросы

Может ли ИИ полностью заменить команды специалистов по кибербезопасности?

Искусственный интеллект может взять на себя значительную часть работы в сфере кибербезопасности, но не всю дисциплину целиком. Он отлично справляется с повторяющимися задачами, такими как кластеризация оповещений, обнаружение аномалий и составление предварительных сводок. Однако он не заменяет ответственность, понимание бизнес-контекста и способность принимать взвешенные решения в критических ситуациях. На практике команды оказываются в «неудобном промежуточном положении», где ИИ обеспечивает масштабируемость и скорость, в то время как люди сохраняют за собой право принимать важные решения.

Где ИИ уже заменяет повседневную работу в центрах оперативного управления безопасностью (SOC)?

Во многих центрах мониторинга безопасности (SOC) ИИ уже берет на себя трудоемкую работу, такую ​​как сортировка, удаление дубликатов и ранжирование оповещений по вероятному воздействию. Он также может ускорить анализ журналов, выявляя закономерности, отклоняющиеся от базового поведения. В результате количество инцидентов уменьшается не по волшебству, а сокращается время, затрачиваемое на обработку информационного шума, позволяя аналитикам сосредоточиться на действительно важных расследованиях.

Как инструменты искусственного интеллекта помогают в управлении уязвимостями и определении приоритетов для установки исправлений?

Искусственный интеллект помогает перевести управление уязвимостями с подхода «слишком много CVE» на подход «что следует исправить в первую очередь». Распространенный подход сочетает в себе сигналы вероятности эксплуатации (например, EPSS), списки известных эксплойтов (например, каталог KEV от CISA) и контекст вашей среды (доступность из интернета и критичность активов). При правильном подходе это уменьшает количество догадок и позволяет проводить патчи без ущерба для бизнеса.

Чем отличается «хороший» ИИ в сфере кибербезопасности от «шумного» ИИ?

Эффективный ИИ в кибербезопасности уменьшает информационный шум, а не создает самоуверенно звучащий беспорядок. Он предлагает практическую объяснимость — конкретные подсказки, такие как что изменилось, что было замечено и почему это важно, — вместо длинных, расплывчатых описаний. Он также интегрируется с основными системами (управление идентификацией и доступом, конечные точки, облачные сервисы, системы обработки заявок) и поддерживает возможность внесения изменений человеком, позволяя аналитикам корректировать, настраивать или игнорировать его при необходимости.

Какие аспекты кибербезопасности ИИ с трудом может заменить?

Искусственный интеллект испытывает наибольшие трудности в социально-технической работе: принятие рисков, управление инцидентами и координация действий между командами. Во время инцидентов работа часто сводится к коммуникации, обработке доказательств, юридическим вопросам и принятию решений в условиях неопределенности — областям, где лидерство важнее сопоставления шаблонов. ИИ может помочь обобщить журналы или составить хронологию событий, но он не может надежно заменить ответственность в условиях давления.

Как злоумышленники используют ИИ, и меняет ли это работу защитников?

Злоумышленники используют ИИ для масштабирования фишинга, создания более убедительных методов социальной инженерии и более быстрого совершенствования вариантов вредоносного ПО. Это меняет правила игры: внедрение ИИ в системы защиты со временем становится не просто желательным, а необходимым. Это также добавляет новые риски, поскольку злоумышленники могут атаковать рабочие процессы ИИ с помощью быстрого внедрения вредоносного ПО, попыток отравления или обхода защиты — это означает, что системам ИИ тоже нужны средства контроля безопасности, а не слепое доверие.

Каковы основные риски, связанные с использованием ИИ для принятия решений в сфере безопасности?

Основная опасность заключается в искусственной уверенности: ИИ может казаться уверенным, даже когда ошибается, а уверенность не является контролем. Утечка данных — еще одна распространенная ловушка: подсказки безопасности могут непреднамеренно содержать конфиденциальные данные, а журналы часто содержат секретную информацию. Чрезмерная зависимость также может подорвать фундаментальные принципы, а дрейф модели незаметно ухудшает обнаружение угроз по мере изменения среды и поведения злоумышленников.

Какова реалистичная модель работы с использованием ИИ в кибербезопасности?

Практическая модель выглядит следующим образом: использовать ИИ для сокращения трудозатрат, оставлять людей для проверки и принятия решений, а автоматизировать только безопасные задачи. ИИ хорошо подходит для создания сводных данных, составления заявок, контрольных списков доказательств и анализа изменений. Автоматизация лучше всего подходит для действий с высокой степенью достоверности, таких как блокировка известных вредоносных доменов или сброс учетных данных после подтвержденного взлома, с мерами предосторожности для предотвращения злоупотреблений.

Заменит ли ИИ должности начального уровня в сфере кибербезопасности, и какие навыки станут более ценными?

Наиболее быстро, вероятно, будут меняться задачи начального уровня, поскольку ИИ способен взять на себя повторяющуюся работу по сортировке, обобщению и классификации информации. Но появляются и новые задачи, такие как создание безопасных рабочих процессов, проверка результатов работы моделей и разработка автоматизации безопасности. Устойчивость карьеры, как правило, обеспечивается навыками, с которыми ИИ испытывает трудности: системное мышление, архитектура, управление инцидентами и преобразование технических сигналов в бизнес-решения.

Ссылки

  1. FIRST - EPSS (FIRST) - first.org

  2. Агентство по кибербезопасности и защите инфраструктуры (CISA) - Каталог известных эксплуатируемых уязвимостей - cisa.gov

  3. Национальный институт стандартов и технологий (NIST) - SP 800-40 Rev. 4 (Управление обновлениями для предприятий) - csrc.nist.gov

  4. Национальный институт стандартов и технологий (NIST) - AI RMF 1.0 - nvlpubs.nist.gov

  5. OWASP - LLM01: Быстрая инъекция - genai.owasp.org

  6. Правительство Великобритании - Кодекс практических рекомендаций по кибербезопасности ИИ - gov.uk

  7. Национальный институт стандартов и технологий (NIST) - SP 800-61 (Руководство по обработке инцидентов) - csrc.nist.gov

  8. Федеральное бюро расследований (ФБР) - ФБР предупреждает о растущей угрозе киберпреступников, использующих искусственный интеллект - fbi.gov

  9. Центр по рассмотрению жалоб на интернет-преступления ФБР (IC3) - Социальная реклама IC3 о мошенничестве/фишинге с использованием генеративного ИИ - ic3.gov

  10. OpenAI — Отчеты OpenAI об угрозах (примеры вредоносного использования) — openai.com

  11. Европол - Отчет Европола «ChatGPT» (обзор злоупотреблений) - europol.europa.eu

  12. MITRE - MITRE ATLAS - mitre.org

  13. OWASP - OWASP Топ-10 для поступления на магистерские программы (LLM) - owasp.org

  14. Агентство национальной безопасности (АНБ) — Руководство по обеспечению безопасности при разработке систем искусственного интеллекта (АНБ/CISA/NCSC-UK и партнеры) — nsa.gov

  15. Microsoft Learn — Обзор Microsoft Sentinel — learn.microsoft.com

  16. Splunk - Splunk Enterprise Security - splunk.com

  17. Google Cloud - Операции по обеспечению безопасности Google - cloud.google.com

  18. CrowdStrike - платформа CrowdStrike Falcon - crowdstrike.com

  19. Microsoft Learn - Microsoft Defender for Endpoint - learn.microsoft.com

  20. Palo Alto Networks - Cortex XSOAR - paloaltonetworks.com

  21. Wiz - Платформа Wiz - wiz.io

  22. Сник - Платформа Сник - snyk.io

Найдите новейшие разработки в области ИИ в официальном магазине ИИ-помощников

О нас

Вернуться в блог