機(jī)器學(xué)習(xí)作用于信息安全的五大案例

譚軍

通俗講，機(jī)器學(xué)習(xí)就是“（計(jì)算機(jī)）無(wú)需顯式編程即可學(xué)習(xí)的能力”?？绾Ａ繑?shù)據(jù)集應(yīng)用數(shù)學(xué)技術(shù)，機(jī)器學(xué)習(xí)算法可建立起行為模型，并基于新輸入的數(shù)據(jù)，用這些模型做出對(duì)未來(lái)的預(yù)測(cè)。視頻網(wǎng)站根據(jù)用戶的歷史觀看記錄推出新劇集，自動(dòng)駕駛汽車從擦肩而過的行人學(xué)習(xí)路況，都是機(jī)器學(xué)習(xí)的例子。

那么，信息安全中的機(jī)器學(xué)習(xí)應(yīng)用又是什么呢？

大體上，機(jī)器學(xué)習(xí)可幫助公司企業(yè)更好地分析威脅，響應(yīng)攻擊及安全事件；還有助于自動(dòng)化更瑣碎更低級(jí)的工作，也就是之前工作量巨大或技術(shù)欠缺的安全團(tuán)隊(duì)所做的那些。

安全方面，機(jī)器學(xué)習(xí)是個(gè)快速發(fā)展的趨勢(shì)。ABI Research的分析師估測(cè)，在網(wǎng)絡(luò)安全界，機(jī)器學(xué)習(xí)將推動(dòng)大數(shù)據(jù)、人工智能（AI）及分析的投資，有望在2021年達(dá)到960億美元，同時(shí)，世界科技巨頭已經(jīng)在采取措施更好地保護(hù)自己的客戶。

谷歌用機(jī)器學(xué)習(xí)來(lái)分析安卓移動(dòng)終端上的威脅———從被感染手機(jī)上識(shí)別并清除惡意軟件。云基礎(chǔ)設(shè)施巨頭亞馬遜收購(gòu)了初創(chuàng)公司harvest.AI，并發(fā)布了Macie———用機(jī)器學(xué)習(xí)來(lái)發(fā)現(xiàn)、梳理并分類S3云存儲(chǔ)上數(shù)據(jù)的一項(xiàng)服務(wù)。

與此同時(shí)，企業(yè)安全供應(yīng)商一直努力將機(jī)器學(xué)習(xí)集成進(jìn)新舊產(chǎn)品線中，希望能改善惡意軟件檢測(cè)率。大多數(shù)主流安全公司已從純“基于特征碼”的系統(tǒng)，轉(zhuǎn)向了試圖解釋行為及事件，并從各種源學(xué)習(xí)判斷安全與風(fēng)險(xiǎn)的機(jī)器學(xué)習(xí)系統(tǒng)。這仍是個(gè)新興領(lǐng)域，但明顯是未來(lái)發(fā)展方向。

AI和機(jī)器學(xué)習(xí)將極大改變安全運(yùn)作方式，雖然目前正處在驅(qū)動(dòng)網(wǎng)絡(luò)防御的早期階段，但已經(jīng)在終端、網(wǎng)絡(luò)、欺詐或SIEM中，起到了識(shí)別惡意活動(dòng)模式的明顯作用。未來(lái)，在防御服務(wù)中斷、屬性及用戶行為修改等領(lǐng)域，我們將看到越來(lái)越多的用例。

機(jī)器學(xué)習(xí)在安全領(lǐng)域的頂級(jí)用例有哪些呢？我們不妨來(lái)看看以下5個(gè)。

1.用機(jī)器學(xué)習(xí)檢測(cè)惡意活動(dòng)并阻止攻擊

機(jī)器學(xué)習(xí)算法可幫助公司企業(yè)更快速檢測(cè)惡意活動(dòng)，并在攻擊開始前就予以阻止。英國(guó)初創(chuàng)公司Darktrace于2013年成立，其基于機(jī)器學(xué)習(xí)的企業(yè)免疫解決方案（Enterprise Immune Solution），在這方面已取得了很多成功。作為這家公司的技術(shù)總監(jiān)，大衛(wèi)·帕爾瑪見證了機(jī)器學(xué)習(xí)對(duì)惡意活動(dòng)及攻擊的影響。

帕爾瑪稱，利用機(jī)器學(xué)習(xí)算法，Darktrace最近幫助北美一家賭場(chǎng)檢測(cè)出了數(shù)據(jù)泄露攻擊。該攻擊將聯(lián)網(wǎng)魚缸用作了進(jìn)入賭場(chǎng)網(wǎng)絡(luò)的切入點(diǎn)。該公司還宣稱，2017年夏天的WannaCry勒索軟件大肆虐中，其算法也防止了類似的一起攻擊。

針對(duì)感染了150個(gè)國(guó)家20多萬(wàn)受害者的WannaCry勒索軟件，帕爾瑪稱：“在數(shù)秒內(nèi)，我們的算法就檢測(cè)出了一家國(guó)民醫(yī)療服務(wù)（NHS）機(jī)構(gòu)網(wǎng)絡(luò)中的攻擊，在尚未對(duì)該機(jī)構(gòu)造成任何破壞前，此威脅就被緩解掉了。事實(shí)上，我們的客戶沒有任何一家受到WannaCry攻擊的傷害，包括那些沒打補(bǔ)丁的?！?/p>

2.用機(jī)器學(xué)習(xí)分析移動(dòng)終端

移動(dòng)設(shè)備上，機(jī)器學(xué)習(xí)已成主流；但到目前為止，絕大部分活動(dòng)集中在驅(qū)動(dòng)基于語(yǔ)音的體驗(yàn)上，比如Google Now、蘋果的Siri和亞馬遜的Alexa。不過，機(jī)器學(xué)習(xí)在安全方面確實(shí)有應(yīng)用。如上文提及的，谷歌采用機(jī)器學(xué)習(xí)來(lái)分析移動(dòng)終端威脅，而企業(yè)則在防護(hù)自帶及自選移動(dòng)設(shè)備上看到了機(jī)會(huì)。

10月，MobileIron和Zimperium宣布合作，幫助企業(yè)將機(jī)器學(xué)習(xí)集成進(jìn)移動(dòng)殺軟解決方案中。MobileIron將在自己的安全及合規(guī)引擎中，集成Zimperium基于機(jī)器學(xué)習(xí)的威脅檢測(cè)，并作為聯(lián)合解決方案售出，解決設(shè)備、網(wǎng)絡(luò)及應(yīng)用威脅檢測(cè)，快速自動(dòng)化動(dòng)作防護(hù)公司數(shù)據(jù)之類的難題。

其他供應(yīng)商也在計(jì)劃改善自己的移動(dòng)解決方案。LookOut、被賽門鐵克收購(gòu)的Skycure，還有Wandera，是移動(dòng)威脅檢測(cè)及防御市場(chǎng)中的佼佼者，每家都用自有機(jī)器學(xué)習(xí)算法檢測(cè)潛在威脅。拿Wandera舉個(gè)例子。這家公司最近剛公開發(fā)布了其威脅檢測(cè)引擎MI：RIAM，據(jù)稱檢測(cè)出了超過400種針對(duì)企業(yè)移動(dòng)設(shè)備的SLocker勒索軟件變種。

3.用機(jī)器學(xué)習(xí)增強(qiáng)人類分析

機(jī)器學(xué)習(xí)在安全領(lǐng)域的核心應(yīng)用，有人認(rèn)為是幫助人類分析師處理安全方面的各項(xiàng)工作，包括惡意攻擊檢測(cè)、網(wǎng)絡(luò)分析、終端防護(hù)及漏洞評(píng)估。但在威脅情報(bào)方面，才是最令人興奮的。

比如說(shuō)，2016年，麻省理工學(xué)院計(jì)算機(jī)科學(xué)和人工智能實(shí)驗(yàn)室（CSAIL），開發(fā)出了名AI2的系統(tǒng)。這是一個(gè)自適應(yīng)機(jī)器學(xué)習(xí)安全平臺(tái)，可幫助分析師從海量數(shù)據(jù)中找出真正有用的東西。該系統(tǒng)每天審查數(shù)百萬(wàn)登錄，過濾數(shù)據(jù)，并將濾出內(nèi)容傳給人類分析師，可將警報(bào)數(shù)量大幅降低至每天100個(gè)左右。由CSAIL和初創(chuàng)公司PatternEx共同進(jìn)行的實(shí)驗(yàn)表明，攻擊檢測(cè)率被提升到了85%，而誤報(bào)率降低至原先的1/5。

4.用機(jī)器學(xué)習(xí)自動(dòng)化重復(fù)性安全工作

機(jī)器學(xué)習(xí)的真正價(jià)值，在于可以自動(dòng)化重復(fù)性勞動(dòng)，讓員工可以專注在更重要的工作上。帕爾瑪稱，機(jī)器學(xué)習(xí)最終應(yīng)旨在“消除重復(fù)性低價(jià)值決策活動(dòng)對(duì)人力的需求”上，比如歸類威脅情報(bào)等活動(dòng)。讓機(jī)器處理重復(fù)性工作和阻止勒索軟件之類戰(zhàn)術(shù)性救火工作，這樣人類就能解放雙手去搞定戰(zhàn)略性問題了，比如現(xiàn)代化Windows XP系統(tǒng)等等。

博思艾倫咨詢公司也在走這個(gè)路線。據(jù)報(bào)道，該公司用AI工具更高效地分配人類安全資源，分類威脅，讓員工可以專注最關(guān)鍵的攻擊。

5.用機(jī)器學(xué)習(xí)堵上零日漏洞

有人認(rèn)為，機(jī)器學(xué)習(xí)有助堵上漏洞，尤其是零日威脅和主要針對(duì)不安全I(xiàn)oT設(shè)備的那些威脅。該領(lǐng)域里已出現(xiàn)了先驅(qū)者：《福布斯》報(bào)道，亞利桑那州立大學(xué)的一支團(tuán)隊(duì)，采用機(jī)器學(xué)習(xí)監(jiān)視暗網(wǎng)流量，以識(shí)別與零日漏洞利用相關(guān)的數(shù)據(jù)。有了此類洞見的加持，公司企業(yè)就可堵上漏洞，在漏洞造成數(shù)據(jù)泄露前就斷掉漏洞利用的機(jī)會(huì)。

然而，機(jī)器學(xué)習(xí)并非萬(wàn)靈丹，至少對(duì)一個(gè)仍在對(duì)這些技術(shù)進(jìn)行概念驗(yàn)證實(shí)驗(yàn)的行業(yè)來(lái)說(shuō)不是。前路艱難，困難與隱患從來(lái)不少。機(jī)器學(xué)習(xí)系統(tǒng)有時(shí)候會(huì)有誤報(bào)（無(wú)監(jiān)督學(xué)習(xí)系統(tǒng)的算法會(huì)基于數(shù)據(jù)推測(cè)類型），而有分析師也坦率承認(rèn)，用在安全領(lǐng)域的機(jī)器學(xué)習(xí)可能是“黑箱”解決方案———CISO不能完全確定其內(nèi)部機(jī)制。他們只能將自己的信任與責(zé)任放到供應(yīng)商及機(jī)器身上。