建站
咨詢(xún)
售后
建站咨詢(xún)
新聞中心
在不太適用的用例上過(guò)度依賴(lài)人工智能(AI)和機(jī)器學(xué)習(xí)，可能遭致不必要的危險(xiǎn)。
讓客戶(hù)滿(mǎn)意是我們工作的目標(biāo)，不斷超越客戶(hù)的期望值來(lái)自于我們對(duì)這個(gè)行業(yè)的熱愛(ài)。我們立志把好的技術(shù)通過(guò)有效、簡(jiǎn)單的方式提供給客戶(hù)，將通過(guò)不懈努力成為客戶(hù)在信息化領(lǐng)域值得信任、有價(jià)值的長(zhǎng)期合作伙伴，公司提供的服務(wù)項(xiàng)目有：申請(qǐng)域名、網(wǎng)頁(yè)空間、營(yíng)銷(xiāo)軟件、網(wǎng)站建設(shè)、海南州網(wǎng)站維護(hù)、網(wǎng)站推廣。
網(wǎng)絡(luò)安全行業(yè)的短板之一，是過(guò)多關(guān)注方法學(xué)本身，錯(cuò)把方法當(dāng)成解決方案，而沒(méi)有認(rèn)真考慮怎么發(fā)揮這些方法的最大效能。當(dāng)下網(wǎng)絡(luò)安全行業(yè)對(duì)AI和機(jī)器學(xué)習(xí)(ML)的大肆吹捧，恰恰反映出了這一現(xiàn)象，令人不由得回想起2003年時(shí)的防火墻。
2003年，模式匹配是威脅檢測(cè)的主要方法。當(dāng)硬件級(jí)模式匹配得以實(shí)現(xiàn)的時(shí)候，硬件驅(qū)動(dòng)的解決方案(比如防火墻)和基于軟件的解決方案(如入侵檢測(cè)系統(tǒng))之間的分界線，就已經(jīng)受到了侵蝕。
迷失在這一演變中的，是入侵檢測(cè)系統(tǒng)已經(jīng)納入了模式匹配之外的其他方法的事實(shí)，比如異常檢測(cè)和事件關(guān)聯(lián)。但這些方法根本沒(méi)能引入到防火墻中。因此，基于防火墻的模式匹配，成為了威脅檢測(cè)的默認(rèn)解決方案，而不僅僅是該方案的一個(gè)重要部分。
這段歷史我們需要加以關(guān)注，因?yàn)锳I，或者說(shuō)，ML，也是工具發(fā)展中用以解決信息安全工作流中特定方面的一種方法，其本身并不能完全撐起信息安全。
找到AI和ML在安全上的應(yīng)用價(jià)值
人工智能被定義成讓機(jī)器在無(wú)人監(jiān)管的情況下自行從事“智慧性”工作。機(jī)器學(xué)習(xí)則是讓機(jī)器通過(guò)人類(lèi)提供的數(shù)據(jù)自行“學(xué)習(xí)”。從定義上看，AI并不真正存在于信息安全領(lǐng)域，未來(lái)很長(zhǎng)時(shí)間內(nèi)都不會(huì)。
ML能比現(xiàn)有方法更高效地解決部分定義明確的安全難題。
大多數(shù)情況下，市場(chǎng)營(yíng)銷(xiāo)材料中提到AI/ML的時(shí)候，一般描述的都是啟發(fā)式方法，而不是計(jì)算統(tǒng)計(jì)方法。啟發(fā)法雖然比AI簡(jiǎn)單得多，卻非常適用于多種安全行為，且比基于數(shù)據(jù)科學(xué)的方法在算力上節(jié)省得多。
ML基本上就是異常行為識(shí)別工具箱中的一種工具，處理起邊界明確的已知問(wèn)題來(lái)得心應(yīng)手。
ML在惡意軟件檢測(cè)方面的驚人成功毋庸置疑，但這一技術(shù)上的成功根植于所解決問(wèn)題的有界性，尤其是以下幾個(gè)方面的有界性：
- 結(jié)構(gòu)有界性：數(shù)據(jù)類(lèi)型和結(jié)構(gòu)要么不變，要么變化非常緩慢。這種情況下，數(shù)據(jù)結(jié)構(gòu)由文件格式規(guī)范定義。
- 行為有界性：ML的良好用例中，被建模數(shù)據(jù)將僅作為有限行為集的結(jié)果出現(xiàn)，讓數(shù)據(jù)點(diǎn)可預(yù)見(jiàn)地映射到已知行為上。
- 沒(méi)有顛覆性影響：這是信息安全領(lǐng)域特有的一個(gè)重要因素。想要找出并利用ML模型弱點(diǎn)的惡人從來(lái)不少。話雖如此，想要對(duì)文件作出足夠修改，對(duì)文件進(jìn)行足夠的模糊化處理，讓文件既能免于被統(tǒng)計(jì)分析，又能被操作系統(tǒng)有效加載，其中難度常人難以想象。
惡意軟件分析與終端檢測(cè)及響應(yīng)，正是符合以上3條限制的信息安全挑戰(zhàn)之一，所以機(jī)器學(xué)習(xí)在該領(lǐng)域相當(dāng)有效。
但將同樣的思維過(guò)程應(yīng)用到網(wǎng)絡(luò)上就很危險(xiǎn)了，因?yàn)榫W(wǎng)絡(luò)數(shù)據(jù)的結(jié)構(gòu)和行為都不受限制，攻擊者可以在網(wǎng)絡(luò)上發(fā)送任意0/1序列。那么，AI和ML就真的遭遇了網(wǎng)絡(luò)數(shù)據(jù)分析的死胡同了嗎?
這個(gè)問(wèn)題還真不好回答。說(shuō)是也是，說(shuō)不是也不是。如果所用方法就是簡(jiǎn)單地用這些強(qiáng)大的技術(shù)來(lái)識(shí)別每個(gè)用戶(hù)每臺(tái)設(shè)備偏離正常行為基線的奇點(diǎn)，那我們會(huì)失敗得很徹底。這些“智能”方法產(chǎn)生的誤報(bào)和漏報(bào)仍需由人來(lái)分析之后才可以采取行動(dòng)。
比如說(shuō)，基于網(wǎng)絡(luò)異常來(lái)發(fā)出警報(bào)的流量分析方法可能會(huì)告訴你某個(gè)IP地址突然發(fā)出了大量異常流量，但很多情況下這不過(guò)是啟動(dòng)了新的備份進(jìn)程而已。是否加以緩解仍需人類(lèi)分析師來(lái)判定。這便又將我們帶回了AI旨在解決的人才短缺危機(jī)問(wèn)題。
相反，如果我們用AI和ML通過(guò)環(huán)境內(nèi)全面比較，尤其是通過(guò)與相似實(shí)體的行為進(jìn)行比較，來(lái)確定良性與惡意行為，那么系統(tǒng)將能自動(dòng)學(xué)習(xí)諸如新備份進(jìn)程啟動(dòng)之類(lèi)的合理變化。
無(wú)論從技術(shù)層面看，還是從哲學(xué)層面看，信息安全領(lǐng)域的ML用例都是生而不平等的。正如2003年的防火墻，機(jī)器學(xué)習(xí)確實(shí)擁有某些能夠大幅推進(jìn)企業(yè)防護(hù)狀態(tài)的良好用例。
但在不太適用的用例上過(guò)于依賴(lài)機(jī)器學(xué)習(xí)，反而會(huì)給企業(yè)帶來(lái)不必要的額外風(fēng)險(xiǎn)與開(kāi)銷(xiāo)，還會(huì)造成其他持續(xù)性的負(fù)面影響，比如妨礙了能夠彌補(bǔ)ML弱點(diǎn)的其他方法的發(fā)展。
【本文是專(zhuān)欄作者“”李少鵬“”的原創(chuàng)文章，轉(zhuǎn)載請(qǐng)通過(guò)安全牛（微信公眾號(hào)id:gooann-sectv）獲取授權(quán)】
網(wǎng)頁(yè)標(biāo)題：小心AI成為2003年時(shí)的防火墻
分享地址：http://www.5511xx.com/article/cohgcod.html
