摘要:
在紛繁復雜、光怪陸離的數(shù)字世界,漏洞的必然存在和入侵的不可避免,使網(wǎng)絡安全成為永恒的話題。無論在入侵者還是防御者眼里,都在尋求有力的武器。AI技術的出現(xiàn),在自動化助力上,能顯著提升攻防雙方的能力基線。
未來已來,機器智能對抗是新網(wǎng)絡安全時代的選擇。本文詳細闡述了,AI在網(wǎng)絡安全應用的必要性、可行性、應用實踐,以及經(jīng)驗總結。從專家知識經(jīng)驗到安全數(shù)據(jù)利用,從安全左右腦的雙輪驅動,到多方知識協(xié)同,打造抵御多方位立體化攻擊的安全長城。
網(wǎng)絡安全的問題源自何方?
安全問題的本源:系統(tǒng)中蘊含超出設計意圖的輸入、中間過程和輸出。一個簡單的函數(shù)設計,功能點是:特定的輸入下的特定的輸出。實現(xiàn)時候,可以采用不同的內部邏輯,都能實現(xiàn)此功能點。良好的設計,會充分考慮例外的輸入,不同中間過程中的異常處理,以及非預期輸出的處理。但實際開發(fā)過程,由于開發(fā)能力、進度壓力、邏輯復雜度大等各方因素下,會有各種設計意圖外的副效應,而這些副效應會成為系統(tǒng)的漏洞,并被利用產(chǎn)生非預期的行為。
對于需要大量人員參與、大量邏輯迭代構建的系統(tǒng),其復雜度呈指數(shù)上升,就會在某種程度上超出設計者的能力控制范圍。
系統(tǒng)的漏洞不可避免,不可杜絕。任何的系統(tǒng)都必然存在漏洞,有漏洞就可能會被入侵。
不夸張,不粉飾,如何客觀看待當下網(wǎng)絡安全的真實存在?
傳統(tǒng)基于靜態(tài)規(guī)則和簽名、簡單行為識別武裝起來的防御系統(tǒng),可以抵御常規(guī)攻擊,但在有計劃投入的黑客組織的持續(xù)攻擊下,基本是透明的。近年來國際安全行業(yè)針對“assume breach”形成共識,是否被入侵成功,只取決于自身的商業(yè)和政治價值以及入侵的成本。在高價值目標里,入侵是已經(jīng)客觀的存在,并將長期存在。所以,從危害程度看,內網(wǎng)安全防護會是未來的重中之重。
同時隨著萬物互聯(lián)的智能世界的到來,網(wǎng)絡攻擊日益增多且越來越自動化、智能化。復雜的攻擊可以自動檢測環(huán)境,從而混淆、躲避和變種;高度自動化的工具使攻擊變得更加聰明,傳統(tǒng)防御策略是無法處理這些問題。安全團隊的人力會淹沒在大量的告警事件中,產(chǎn)生告警疲勞,從而難以及時識別和應對真正的威脅。
網(wǎng)絡安全的現(xiàn)實困局是:
1、組織內安全專家人力和知識不對等,
2、專業(yè)安全設備的應用復雜度高,導致對網(wǎng)絡威脅根本視而不見或者即使見也無力處置,干脆當個腦袋埋入沙堆的鴕鳥,麻木不仁、聽天由命,直到產(chǎn)生巨大危害的那一天。
漏洞的必然存在,和威脅入侵的不可避免,如何保衛(wèi)數(shù)字世界的安全呢?
如果把網(wǎng)絡世界的安全看做是一場攻防戰(zhàn)爭,攻防各方首先都要有強大的軍備。在這個軍備清單里AI會是關鍵武器。作為新時代的電力,它將發(fā)光并照耀整個真實及虛擬的世界。
在網(wǎng)絡安全領域,傳統(tǒng)防御模式的假設是:所有攻擊場景都是已知的,每種攻擊場景和應對策略一一對應,那么基于規(guī)則的系統(tǒng)便可高效地運行。類似于中國武術的散打表演,按照固定套路來。
但現(xiàn)實是殘酷的。
隨著大數(shù)據(jù)時代的到來,黑客的攻擊手段日趨復雜與多樣,新型病毒和病毒變種層出不窮。例如2017年勒索病毒W(wǎng)annaCry席卷全球,150多個國家遭遇攻擊。WannaCry爆發(fā)后,依然不斷有黑客修改該病毒,新型病毒及變種不斷涌現(xiàn),勒索病毒已成為威脅互聯(lián)網(wǎng)安全的一大毒瘤。
AI作為信息世界的最新技術,也已經(jīng)被具有創(chuàng)新精神的黑客組織采用來武裝自己。面對這些瘋狂且極具創(chuàng)新顛覆意識的對手,傳統(tǒng)防御技術已無法跟上快速演進的攻擊和威脅。不要說新型未知威脅,即使對于已有的安全漏洞的攻擊變種,也很難及時發(fā)現(xiàn)并有效處置。
同時,國內網(wǎng)絡安全市場正在經(jīng)歷一場場轉變。從注重安全合規(guī),向注重效果轉變;從原來的流于表面的安全設備購置和部署匹配,向注重實戰(zhàn)的攻防演練、調查問責轉變。網(wǎng)絡安全的建設模式,也從被動防御轉為主動能力建設。整個網(wǎng)絡安全行業(yè)最終進入基于AI的機器智能對抗時代:誰擁有更多的AI能力和攻防知識,誰的獲勝面就更大。
AI是一種機器展現(xiàn)的智能。理想的智能機器能夠感知周圍環(huán)境,并采取行動以最大可能達成特定目標。教科書對AI的經(jīng)典定義是:
1、象人一樣行動、象人一樣思考;
2、合理地思考、合理地行動。
在網(wǎng)絡安全領域的AI應用可以定義為替代安全專家能力的自動化技術
當前,促成AI在網(wǎng)絡安全領域應用的要素都已經(jīng)集齊:
1、高性能計算AI芯片;
2、大量可采集的數(shù)據(jù)、日志和安全事件;
3、AI算法近年來的突飛猛進,聚集這個時代大量最優(yōu)秀的大腦。無論傳統(tǒng)機器學習、貝葉斯網(wǎng)絡、知識圖譜,還是深度學習、圖計算,在各行各業(yè)都得到充分的實踐。
即使上述條件成立,人們還是會有疑惑:在極具個人英雄主義色彩的安全攻防領域,面對新型威脅的創(chuàng)新不斷和靈活多變的網(wǎng)絡攻擊套路,在攻防雙方成本嚴重不均衡的博弈場景下:
AI是否具備解決網(wǎng)絡安全問題的條件并真能成為關鍵武器呢?
首先,判斷待解決問題的背后,解是否存在。世界是稀疏的,世界萬事萬物背后都會有一定規(guī)則在起著作用,包括大自然的作品和人類的所有作品都一樣。物理世界,從量子力學看,微觀上是由不確定性原理和薛定諤方程的概率波統(tǒng)治的;而宏觀上,則是由廣義相對論、麥克斯韋方程組統(tǒng)治的充滿確定性的世界。
理論上,圍棋有超越宇宙中所有原子數(shù)量的變化。而實際上,AlphaZero經(jīng)過450萬盤的強化學習,就已經(jīng)可以戰(zhàn)勝AlphaGo Lee了,這表明每個局面可選擇的有效下法其實是有限的。所以,在特定場景和具體設計下,事物的存在和發(fā)展在可量化描述的維度上是稀疏的,有大概率的趨同性。
網(wǎng)絡攻擊也是基于一定的樣本和攻防理論,而非完全孤立和隨機離散,也就內含了某個模式或者規(guī)律,是可解的。
其次,探討和提取模式和規(guī)律,有很多成熟的科學方法。
在簡單的系統(tǒng)中,通過歸納總結,人類專家就可以提取出規(guī)律,用在網(wǎng)絡安全領域就是一系列的安全規(guī)則、簽名以及情報。在復雜的系統(tǒng)中,模式和定律需要通過大量數(shù)據(jù)分析才能得到。
AI是超越人工的利器,可以從數(shù)據(jù)中找到特定的模式并刻畫事物的特征,總結出定律和定理,并抽象為可以用符號推理表達的知識。比如,引爆此次AI技術浪潮的是基于深度學習的神經(jīng)網(wǎng)絡,它之所以有如此大的作用,正是因為它較好地模擬了人腦這“分層”和“抽象”的認知和思考方式。其實質,是通過構建隱層的神經(jīng)網(wǎng)絡模型和獲取海量的訓練數(shù)據(jù),來學習到更有用的本質特征,從而最終提升信息分類或預測的準確性。圖像識別通過應用深度神經(jīng)網(wǎng)絡,已經(jīng)擁有超越人的識別能力?,F(xiàn)實中,人臉識別應用非常廣泛,也已經(jīng)顯示出高于人工識別的優(yōu)越性。在數(shù)據(jù)中心的AIops中,AI同樣發(fā)揮著重要作用。
AI本身擅長的就是,從大量紛繁復雜、但含有有效信息的數(shù)據(jù)中尋找本質的模式或規(guī)律,對于網(wǎng)絡安全領域也一樣。
AI如何有效的應用于網(wǎng)絡安全領域?
網(wǎng)絡安全AI應用的目標是替代人類安全分析專家在特定場景下的工作,實現(xiàn)自動化。
我們先看看人腦的決策機制:
右腦,感性,非計算模式,從已存儲的模式中啟發(fā)式匹配檢索。即通常意義上的直覺,可以快速匹配、快速反應,根據(jù)歷史經(jīng)驗來提取關鍵事物特征和行為模式,從而第一時間做出決策。
左腦,理性分析,通過一定的邏輯計算,從普世定理和領域知識出發(fā)進行演繹推理。從知識概念中來,到現(xiàn)實證據(jù)中去,通過推理模型預測和證據(jù)對照來判斷真?zhèn)?,指導做出決策。
理性可避免錯誤,但也可能會受限于舊知識而因循守舊。感性激發(fā)創(chuàng)造力和快速反應,但會陷入被設計的陷阱,誤判較大。
人的決策,很多時候是左右腦互博而達到協(xié)調統(tǒng)一,才能給出更合理的結論。
AI在網(wǎng)絡安全中的應用模式,也大概如此。安全AI右腦需要有類似老刑警“看一眼即懂”的能力,不放過任何一個可疑分子;安全AI左腦需要用攻防知識庫和推理引擎來武裝自己,從多維關聯(lián)、攻擊鏈、圖計算到知識圖譜,推導得出一個更合理的最終決策。
AI在網(wǎng)絡安全中的應用模式如下:
第一、安全數(shù)據(jù)的加工中AI的應用。安全數(shù)據(jù)加工目的是自動或者半自動產(chǎn)生安全情報、規(guī)則或者簽名。一般來講,這個加工過程需要安全專家參與最后的確認與調整。通過利用AI工具,可以過濾掉大部分無用的數(shù)據(jù),并給出更精確的情報、規(guī)則和簽名的建議,減少安全專家的分析工作量,提高工作效率,減少重復的勞動。
第二、有監(jiān)督學習的安全AI檢測:通過對海量黑白樣本的學習,建立分類模型,識別威脅的真實性,是最常見的應用。有別于靜態(tài)固定的簽名和規(guī)則,AI模型比人類專家更能在海量數(shù)據(jù)中找到最接近本質的特征表達,因而有更強的泛化能力,適應于各種變種。變種很多有家族屬性和惡意代碼的重用度,這些是監(jiān)督學習算法最擅于捕捉到的關鍵特征,但需要注意的前提是大數(shù)據(jù)量和高質量的黑白樣本,以及場景問題在可以用的安全數(shù)據(jù)中的信息含量多少。
構建AI模型的門檻即低又高。低,是因為數(shù)據(jù)驅動的機器學習和深度學習,無腦擬合,容易過擬合得到高精度得分,可以在局部數(shù)據(jù)很到漂亮的結果;高,是因為要替代或者超越人類安全專家,首先需要的數(shù)據(jù)不僅有量還要有質,同時在算法上有深入研究。到模型構建的最后時刻,每前進1個百分點都非常困難,需要“煉丹師”般高深的功底才能取得一個實戰(zhàn)環(huán)境基本可用的AI模型。而這只一個開始,AI模型還要根據(jù)不同客戶具體環(huán)境下的安全數(shù)據(jù)的分布差異,不斷的迭代優(yōu)化,反復打磨才能實戰(zhàn)可用。
第三、無監(jiān)督學習的安全AI檢測:無監(jiān)督學習不需要事先標記好數(shù)據(jù),而是可以通過數(shù)據(jù)本身在時空維度上的內在聯(lián)系,建立行為基線;或者通過聚類算法,來表達數(shù)據(jù)本身的分布屬性,從而獲得安全數(shù)據(jù)的分布模型。通過數(shù)據(jù)空間的分布模型可以發(fā)現(xiàn)異常,分類不同的數(shù)據(jù)集合,從而自學習、自適應地識別0 Day攻擊或基于已知漏洞變種的攻擊。無監(jiān)督模式是很好的未知威脅檢測方式。
第四、基于安全AI的認知能力構建,從安全攻防知識、資產(chǎn)的脆弱性/重要性、情報,通過各種知識推導給出最終結論,可用于最終決策,高級威脅識別,同時給出威脅自動處置腳本,加快響應速度,減少系統(tǒng)受損程度和增加對APT組織的攻擊預判。
AI在網(wǎng)絡安全中的具體實踐舉例:
(1)基于DNN的惡意文件檢測
惡意文件數(shù)據(jù)量巨大,大部分會有有家族性,有較好的AI檢測基礎。
惡意文件檢測基于深度學習DNN模型,用以識別文件是否為惡意文件。其優(yōu)點是檢測算法使用了靜態(tài)檢測技術,無需惡意文件的運行時行為,常用于本地檢測。此外,模型小于1MB,運行內存小,適合防火墻做輕量化檢測。
惡意文件的本地檢測流程
惡意文件檢測建模
(2)C&C檢測——DGA和DNS隱蔽通道檢測
C&C是內網(wǎng)防護的重點,同時也積累這大量的流量行為數(shù)據(jù),有較好的AI應用基礎。DGA(域名生成算法)是一種利用隨機字符來生成C&C域名,從而逃避域名黑名單檢測的技術手段。DGA檢測使用了卷積神經(jīng)網(wǎng)絡(CNN)的模型,識別準確率高達99.9%以上。
DGA檢測惡意域名
DNS隱蔽通道是指黑客利用DNS協(xié)議實現(xiàn)諸如遠程控制、文件傳輸?shù)炔僮?。例?017年著名的XShell DNS通道攻擊,黑客在XShell中植入惡意代碼,通過DNS隱蔽通道外發(fā)用戶敏感數(shù)據(jù)。一個典型的DNS隱蔽通道攻擊過程如下圖所示。
DNS隱蔽通道攻擊
①被控端發(fā)起包含“數(shù)據(jù)上傳”的域名請求
②域名請求DNS服務器進行遞歸查詢
③控制端服務器返回含C&C data的DNS應答
④C&C data到達被控端
使用深度學習卷積神經(jīng)網(wǎng)絡(CNN)識別DNS隱蔽通道。通過batch normalization、word embedding、dropout等技術優(yōu)化CNN模型,使得DNS隱蔽通道識別準確率高達97%以上。
(3)惡意加密流量識別
互聯(lián)網(wǎng)上的加密流量呈現(xiàn)增多趨勢。同時,為繞過傳統(tǒng)的流量檢測技術,也有很多惡意軟件通過TLS加密流量進行通信。如何識別惡意和正常流量,從而有效及時阻斷,需要用到基于AI技術的方法。
加密流量識別過程
整個工作分為3大部分:
1、首先安全研究人員通過獲取的黑白樣本集,結合查詢開源情報,域名、IP、SSL等的情報信息,進行特征信息提??;通過對黑白樣本的客戶端簽名和服務器證書的簽名進行分析;基于上述分析取證的特征向量,采用機器學習的方法,利用樣本數(shù)據(jù)進行訓練,從而生成分類器模型。這就形成CIS安全態(tài)勢感知系統(tǒng)最核心的ECA檢測分類模型。
2、流探針提取網(wǎng)絡流量中加密流量的特征數(shù)據(jù),包括TLS握手信息、TCP統(tǒng)計信息、DNS/HTTP相關信息以及3/4層協(xié)議統(tǒng)計信息,統(tǒng)一上報給AI分析系統(tǒng)。
3、AI分析系統(tǒng)結合自身的大數(shù)據(jù)關聯(lián)分析能力,對探針上送的各類特征數(shù)據(jù)進行處理,利用檢測分類模型識別加密流量中的異常C&C連接,從而發(fā)現(xiàn)僵尸主機或者APT攻擊在命令控制階段的異常行為。
AI在網(wǎng)絡安全應用總結
①借助AI技術的自動化數(shù)據(jù)加工可提升數(shù)據(jù)處理效率,讓安全專家更專注于價值信息,從中提取更有效的規(guī)則、簽名、情報。內嵌入靜態(tài)規(guī)則引擎,簡單高效,是安全防御的重要手段,實際在廣泛應用。
②在威脅手段不斷變化和漏洞日益增加,常規(guī)防御手段失效的情況下,更能適應變化的AI檢測模型成為最后的兜底、最后的防線。建立成百上千的AI檢測模型的集群,可以從各個方位形成天羅地網(wǎng),構筑最強力的防線。
③我們還必須從組織的安全管理的視角出發(fā),從網(wǎng)絡虛擬空間走向物理實體空間,實現(xiàn)用戶友好的AI安全檢測和威脅閉環(huán),協(xié)同業(yè)界頂尖的安全專家能力,賦能給單個組織,抵御外部的持續(xù)攻擊,實現(xiàn)威脅的預防和根治。安全能力來自對網(wǎng)絡安全空間的認知理解,包括:實體(用戶、主機、系統(tǒng)、應用等),威脅(情報、漏洞),APT組織和其攻擊技術。知識決定命運,安全知識多的一方會獲得更大優(yōu)勢,構建多層次的AI推理引擎是知識應用的關鍵。
人工智能技術能夠解決靜態(tài)規(guī)則引擎的弊端,從而加強威脅檢測能力,并通過知識智能推理來解決安全運維面臨的挑戰(zhàn)。目前硬件生態(tài)的繁榮、AI芯片的涌現(xiàn)為人工智能技術在網(wǎng)絡安全領域的落地提供了堅實保障。此外,AI能夠助力設備間以及云間協(xié)同,促進安全互動生態(tài)的發(fā)展,通過多方聯(lián)動打造越發(fā)牢固的安全平臺,為企業(yè)筑起安全防護的鋼鐵長城。
(免責聲明:本網(wǎng)站內容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿,凡在本網(wǎng)站出現(xiàn)的信息,均僅供參考。本網(wǎng)站將盡力確保所提供信息的準確性及可靠性,但不保證有關資料的準確性及可靠性,讀者在使用前請進一步核實,并對任何自主決定的行為負責。本網(wǎng)站對有關資料所引致的錯誤、不確或遺漏,概不負任何法律責任。
任何單位或個人認為本網(wǎng)站中的網(wǎng)頁或鏈接內容可能涉嫌侵犯其知識產(chǎn)權或存在不實內容時,應及時向本網(wǎng)站提出書面權利通知或不實情況說明,并提供身份證明、權屬證明及詳細侵權或不實情況證明。本網(wǎng)站在收到上述法律文件后,將會依法盡快聯(lián)系相關文章源頭核實,溝通刪除相關內容或斷開相關鏈接。 )