AI kibernetinės gynybos srityje
Kaip "AI" keičia kibernetinę gynybą per visą kibernetinių incidentų gyvavimo ciklą
Kibernetinės gynybos tikslas - apsaugoti sistemas, tinklus ir duomenis nuo įsiskverbimo, sutrikdymo ar sunaikinimo. . kibernetinių incidentų gyvavimo ciklas pateikia naudingą būdą suprasti kibernetinę gynybą, suskirstant ją į keturis etapus:
- Prevencija: užkirsti kelią incidentų rizikai, ją sumažinti ir sumažinti galimą jų poveikį.
- Pasirengimas: kurti planus, priemones ir pajėgumus, kurie padėtų veiksmingai reaguoti.
- Atsakymas: sustabdyti incidentą ir užkirsti kelią tolesnei žalai.
- Atkūrimas: greitai atkurti operacijas ir sugrąžinti įprastą arba aukštesnį saugumo lygį.
Dirbtinis intelektas (AI) tapo aktualus visuose keturiuose etapuose. Skirtingai nuo tradicinių priemonių, kurios tinka tik vienam etapui, daugelis AI pajėgumų apima visą gyvavimo ciklą: tas pats metodas, kuris padeda pasirengti, gali padėti greičiau reaguoti arba padėti atkurti padėtį. Dėl šios integracijos AI yra ir galingas, ir sunkiai klasifikuojamas: jo vertė yra ne tik atskirų užduočių tobulinimas, bet ir sklandesnis etapų susiejimas.
Prevencija
Pasirengimas
Atsakymas
Atkūrimas
Atakos paviršiaus kartografavimas
Kodų nuskaitymas
Duomenų apibendrinimas
Duomenų klasifikavimas
Anomalijų aptikimas
Rašymas ir analizė
Sintetiniai duomenys
Tapatybės ir prieigos valdymas
Tapatybės ir prieigos valdymas
Žurnalo analizė
Kenkėjiškų programų analizė
Mokymai ir laboratorijos
Mokymai ir laboratorijos
Tolesniuose skirsniuose nagrinėjame konkrečias AI taikymo kibernetinei gynybai galimybes, parodydami, kaip jos atitinka skirtingus incidentų gyvavimo ciklo etapus, o daugeliu atvejų apima kelis iš karto.
Atakos paviršiaus kartografavimas
Atakos paviršiaus žemėlapyje nurodomi visi objektai, įėjimo taškai ir pažeidžiamumai, kuriais priešininkas galėtų pasinaudoti per ataką. Jis suteikia gynėjams galimybę matyti, kaip jie gali būti pažeidžiami, ir padeda nustatyti, ką reikia apsaugoti.
Kaip AI keičia atakos paviršiaus žemėlapį:
Atvejis, į kurį atkreiptas dėmesys: LLM naudojimas siekiant aptikti ypatingos svarbos infrastruktūros objektus
2025 m, Luigi Coppolino ir kt. paskelbė tyrimą, kuriame parodoma, kaip didieji kalbos modeliai (LLM) gali padėti geriau aptikti ypatingos svarbos infrastruktūros objektus. Tradicinės priemonės, tokios kaip "Nmap" ar pramoninio saugumo platformos, arba rizikuoja sutrikdyti jautrias sistemas aktyviai skenuojant, arba neaptinka paslėptų įrenginių, kai pasikliauja tik pasyviu stebėjimu.
Tyrėjai pasiūlė LLM pagrįstą "Ekspertų mišinio" sistemą, kurioje derinami pasyvaus eismo stebėjimo, kruopščiai riboto aktyvaus zondavimo ir fizinių signalų, pvz., elektromagnetinio spinduliavimo, duomenys. Tuomet specializuoti LLM agentai interpretuoja šiuos duomenis: vienas jų orientuojasi į pramoninius protokolus, kitas - į IT/OT tinklų pažeidžiamumą, o trečias - į sistemų architektūrą ir priklausomybes.
Sistema taip pat gali naudotis išoriniais žvalgybos šaltiniais (pvz., MITRE ATT&CK arba CVE duomenų bazėmis), kad nustatytų silpnąsias vietas ir rekomenduotų saugumo priemones. Atlikus bandymus imituotame pramoniniame tinkle, sistema sėkmingai įslaptino tokias priemones kaip programuojami loginiai valdikliai, robotai ir spausdintuvai, kartu pažymėdama nesaugią praktiką, pavyzdžiui, nešifruotą Modbus duomenų srautą.
Taikant tokį požiūrį atakos paviršiaus kartografavimas tampa prisitaikančiu ir kontekstą suvokiančiu procesu, kuris užtikrina matomumą realiuoju laiku ir sumažina tradicinio skenavimo riziką. Sumažindamas technines kliūtis gynėjams, jis leidžia vykdyti išsamesnę stebėseną ir stiprina bendrą ypatingos svarbos infrastruktūros saugumo būklę.
-
AI poveikis grėsmių aptikimui - "AI gynybai" (Donnie W. Wendt 2024)
Skyriuje parodoma, kaip "AI" patobulino grėsmių aptikimą ir rūšiavimą, kai mašininio mokymosi modeliai apdoroja didelius heterogeninių duomenų kiekius, kad nustatytų galimas atakas. Rezultatai rodo, kad ankstyvosios programos 2000-2010 m. buvo orientuotos į kenkėjiškų programų, įsilaužimų ir nepageidaujamų laiškų aptikimą, o tai rodo, kad AI gali analizuoti didelius duomenų rinkinius ir tobulinti esamas aptikimo sistemas, kartu palaipsniui tobulinant ilgalaikes kibernetinio saugumo funkcijas. -
Naujos kartos grėsmių aptikimas - "Kibernetinio saugumo revoliucija: Dirbtinio intelekto ir mašininio mokymosi galios panaudojimas" (Manoharan ir Sarker 2022) (Manoharan & Sarker 2022)
Dokumente parodoma, kaip AI ir mašininis mokymasis iš esmės keičia grėsmių aptikimo būdus, leisdami organizacijoms pastebėti anomalijas, analizuoti elgsenos modelius ir numatyti galimas atakas. Rezultatai rodo, kaip tokie metodai, kaip NLP grėsmių žvalgybos informacijai išgauti ir gilusis mokymasis modeliams atpažinti, gali automatizuoti aptikimą ir reagavimą, o realių atvejų tyrimai patvirtina jų veiksmingumą.
Kodų nuskaitymas ir vertinimas
Kodo nuskaitymo metu peržiūrimas šaltinio kodas, kad būtų aptiktos pažeidžiamosios vietos, nesaugios bibliotekos ar netinkama saugumo praktika, kol jomis dar negalima pasinaudoti.
Kaip AI keičia kodų nuskaitymą ir vertinimą:
"AI" pagreitina pažeidžiamumų aptikimą, nes išryškina nesaugias funkcijas ir nustato rizikingus kodavimo modelius, išmoktus iš ankstesnių išnaudojimų. Ji taip pat siūlo automatinius trūkumų šalinimo pasiūlymus, padedančius kūrėjams rašyti saugesnį kodą ir mažinančius įsilaužėlių galimybes.
Atvejis, į kurį atkreiptas dėmesys: LLM naudojimas kodo nuskaitymui ir saugiam kūrimui
2025 m, Belozerovas ir kt. tyrė, kaip dideli kalbos modeliai gali padėti taikyti saugaus kodavimo praktiką. Jų tyrime "ChatGPT" buvo išbandytas su "DevGPT" duomenų rinkiniu, kuriame buvo tikras kūrėjų kodas ir žinomos pažeidžiamosios vietos, pažymėtos statiniais skeneriais. Iš 32 patvirtintų pažeidžiamumų "ChatGPT" teisingai aptiko 18 ir net pasiūlė 17 iš jų ištaisyti.
Rezultatai rodo, kaip "AI" gali sumažinti rankinio kodo peržiūros pastangas, padėti atrinkti rizikingus kodavimo modelius ir pateikti automatinius taisomuosius pasiūlymus. Tai gali padidinti saugaus kodavimo praktikos mastą ir sutrumpinti laiko tarpą, per kurį pažeidžiamumą galima išnaudoti.
Kartu tyrime pabrėžti svarbūs apribojimai: ChatGPT kartais pateikdavo pernelyg patikimus, bet neteisingus rezultatus, bandydama ištaisyti trūkumus įvesdavo naujų ir buvo mažiau patikima nei statinė analizė ar ekspertinis žmogaus vertinimas. Pagrindinė šio tyrimo išvada yra ta, kad AI gali būti galingas pagalbininkas vertinant kodą, tačiau tik tada, kai jis derinamas su tradicinėmis priemonėmis ir tinkamai prižiūrimas.
-
Automatizuota kodo peržiūra - "AI taikymo kibernetiniam saugumui apžvalga: Galimybės, rizikos ir jų mažinimo strategijos" (Ndibe & Ufomba 2024)
Straipsnyje parodoma, kaip AI ir didelės kalbos modeliai gali padėti atlikti automatines kodo peržiūras ir pažeidžiamumo vertinimus, padėdami organizacijoms aktyviai aptikti šaltinio kodo trūkumus ir sutrumpinti reagavimo laiką. Rezultatai taip pat išryškina tokią riziką, kaip nesaugus AI sukurtas kodas, pabrėžiant žmogiškosios priežiūros ir valdymo sistemų poreikį. -
Interpretuojamas gilusis mokymasis pažeidžiamumui aptikti - "Pažeidžiamumo aptikimas su smulkia interpretacija" (Li et al. 2021)
Šiame straipsnyje pristatomas IVDetect - gilaus mokymosi modelis, kuris aptinka kodų pažeidžiamumus ir nurodo konkrečius teiginius bei priklausomybes. IVDetect padidina tikslumą, palyginti su naujausiomis priemonėmis, ir pateikia tikslius paaiškinimus. Išvados rodo, kad aptikimo našumas gerokai padidėja, o pažeidžiamas kodas nustatomas tiksliau, padedant tiek automatizuotai analizei, tiek kūrėjų ištaisymui. -
Daugiakalbio kodo pažeidžiamumo aptikimas - "Kodo pažeidžiamumo aptikimas skirtingose programavimo kalbose naudojant AI modelius" (Humran & Sonmez 2025)
Šiame straipsnyje nagrinėjami transformatoriais pagrįsti modeliai, įskaitant "CodeBERT" ir "CodeLlama", skirti aptikti pažeidžiamumus įvairiose programavimo kalbose. Tiksliai derinant įvairius duomenų rinkinius, modeliai atspindi ir sintaksę, ir semantiką ir pasiekia iki 97% tikslumą. Tyrime taip pat taikomi ansamblio metodai ir paaiškinamas AI, kad būtų sumažinta klaidingų teigiamų rezultatų ir padidintas kūrėjų pasitikėjimas. Jis rodo, kad AI modeliai gali būti pranašesni už tradicinius statinius analizatorius įvairių kalbų aplinkoje, nors vis dar išlieka sunkumų, susijusių su patikimumu, tikslumu ir pasirengimu diegimui.
Duomenų apibendrinimas
Apibendrinant duomenis, dideli techninių duomenų kiekiai (pvz., žurnalai, ataskaitos ir grėsmių žvalgybos duomenys) paverčiami prieinamomis įžvalgomis.
Kaip AI keičia duomenų apibendrinimą:
"AI" sumažina kognityvinę perkrovą transformuodama neapdorotą ir nestruktūrizuotą informaciją į naudingą informaciją. Ji gali nustatyti pasikartojančius modelius ar anomalijas fragmentiškuose duomenų rinkiniuose. Ji taip pat gali kurti paprastos kalbos ataskaitas, skirtas ne specialistams. Todėl AI palengvina informacijos vartojimą, perdavimą ir veiksmus.
Atvejis, į kurį atkreiptas dėmesys: AI, skirtas žurnalų apibendrinimui ir situacijos suvokimui
2024 m, Balasubramanianas ir kt. pristatė CYGENT - pokalbių agentą, veikiantį naudojant GPT-3, galintį analizuoti ir apibendrinti sistemos žurnalus. Vietoj to, kad analitikai turėtų peržiūrėti tūkstančius neapdorotų žurnalo įrašų, CYGENT juos sutraukia į trumpas, žmogui suprantamas išvestis, kuriose išryškinami svarbiausi įvykiai ir anomalijos.
Vertinimo metu CYGENT pranoko kitus didelės apimties kalbos modelius, nes parengė aiškias ir tinkamas naudoti santraukas. Sistema sumažino kognityvinę perkrovą, padėjo geriau suvokti situaciją įvykių metu ir leido greičiau priimti sprendimus.
Šis atvejis rodo, kaip AI gali paversti neapdorotus techninius duomenis į prieinamą žvalgybinę informaciją. Lengviau interpretuojant žurnalus, tai padeda gynėjams veiksmingiau pasirengti, greičiau reaguoti ir geriau atsigauti po incidentų.
-
PTI apibendrinimo duomenų rinkiniai - "CTISum: (Peng et al. 2024): "TISIS: naujas lyginamasis duomenų rinkinys kibernetinių grėsmių žvalgybos apibendrinimui" (Peng et al. 2024)
Straipsnyje pristatomas CTISum - duomenų rinkinys, skirtas kibernetinių grėsmių žvalgybos ataskaitoms apibendrinti, leidžiantis apibendrinti sudėtingas žvalgybos ataskaitas ir padėti gynėjams efektyviau planuoti ir kaupti išmoktas pamokas. -
TTP ištraukimas - "TTPXHunter: (Rani et al. 2024): "Actionable Threat Intelligence Extraction as TTPs from Finished Cyber Threat Reports" (Rani et al. 2024)
Straipsnyje siūloma NLP pagrįsta priemonė "TTPXHunter", kuri iš grėsmių ataskaitų ištraukia užpuolikų taktiką, technikas ir procedūras (TTP), kad būtų galima suprasti jų veikimo būdą, o nestruktūruotą žvalgybinę informaciją paverčia struktūrizuotomis ir pritaikomomis santraukomis. -
NLP incidentų analizei - "Natūralios kalbos apdorojimas kibernetinio saugumo incidentų analizei" (Ogundairo ir Broklyn, 2024)
Straipsnyje apžvelgiamos NLP taikomosios programos, skirtos analizuoti nestruktūrizuotus duomenų šaltinius, taikant NLP metodus (pvz., esybių atpažinimas, nuotaikų analizė, apibendrinimas, pokalbių robotais grindžiamas rūšiavimas). Straipsnyje nustatyta, kad NLP gali automatizuoti pranešimus apie incidentus ir grėsmių žvalgybos santraukas, sutrumpinti reagavimo laiką ir patobulinti po incidento rengiamą dokumentaciją.
Duomenų klasifikavimas
Klasifikuojant duomenis informacija sisteminama pagal jos jautrumą arba atitikties reikalavimus, taip užtikrinant, kad ypatingos svarbos turtas būtų tinkamai apsaugotas.
Kaip AI keičia duomenų klasifikavimą:
"AI" naudoja natūralios kalbos apdorojimą, kad automatiškai pažymėtų neskelbtiną turinį ir aptiktų neteisingai suklasifikuotus ar neapsaugotus duomenis.
Atvejis, į kurį atkreiptas dėmesys: AI neskelbtinų duomenų klasifikavimui
2024 m, De Renzis ir kt. tyrė, kaip dideli kalbos modeliai gali būti naudojami siekiant pagerinti neskelbtinos informacijos klasifikavimą. Pagrindinis šios srities iššūkis yra tas, kad dėl privatumo rizikos mokymui ne visada galima naudoti tikrus asmeninius duomenis. Autoriai pasiūlė sukurti sintetinius mokymo duomenis, kurie vis dar atspindi jautrių kategorijų, pavyzdžiui, sveikatos, politikos ar religijos, modelius.
Jų metodas leido apmokyti tikslius klasifikatorius neatskleidžiant faktinių naudotojų duomenų ir pademonstravo, kaip AI gali padėti organizacijoms laikytis tokių taisyklių kaip BDAR, kartu didinant jų gebėjimą aptikti ir apsaugoti neskelbtiną informaciją. Šis atvejis rodo, kaip AI stiprina ir prevenciją (mažindama atsitiktinį duomenų atskleidimą), ir pasirengimą (remdama atitikties sistemas). Kartu jis pabrėžia valdymo ir patvirtinimo svarbą siekiant užtikrinti, kad sintetiniai duomenys ir iš jų gauti modeliai išliktų reprezentatyvūs ir patikimi.
-
GDPR kategorijų žymėjimas pagal transformatorių - "Automatinis jautrių duomenų aptikimas naudojant transformatoriais pagrįstus klasifikatorius" (Petrolini et al. 2022)
Šiame tyrime AI modeliai taikomi automatiškai žymėti jautrius tekstus, apimančius tokias sritis kaip politika, sveikata, religija ir seksualumas, dideliuose dokumentų rinkiniuose. Jame parodoma, kad transformatoriais grindžiami metodai gali patikimai klasifikuoti tokius duomenis, padėti užtikrinti atitiktį BDAR reikalavimams ir suteikti galimybę automatizuotai žymėti didelės apimties duomenis, kad būtų galima juos klasifikuoti atsižvelgiant į atitiktį. -
Semantinė analizė automatiniam neskelbtinų duomenų aptikimui - "Automatizuotas neskelbtinų duomenų nustatymas iš netiesioginės naudotojo specifikacijos (S3)" (Yang & Liang 2018)
Šiame straipsnyje pristatoma sistema S3, kuri leidžia nustatyti neskelbtinus duomenis mobiliosiose programėlėse analizuojant semantiką, o ne remiantis raktiniais žodžiais. Mokydamasi naudotojų privatumo nuostatų, ji pasiekia didesnį tikslumą nei tradicinės priemonės ir parodo, kaip AI gali pritaikyti duomenų klasifikavimą prie realaus pasaulio konteksto. Tyrime pabrėžiama, kad informacijos jautrumas priklauso ir nuo taikomosios programos konteksto, ir nuo naudotojo pageidavimų, o norint užtikrinti veiksmingą apsaugą debesijos eroje, pirmiausia reikia gebėti nustatyti tokius duomenis.
Galinio taško arba tinklo anomalijų aptikimas
Anomalijų aptikimas stebi galinius taškus ir tinklo srautą, ieškodamas neįprasto elgesio, kuris gali rodyti kompromitaciją.
Kaip "AI" keičia galinio taško ir tinklo anomalijų aptikimą:
"AI" išmoksta, kaip atrodo įprasta veikla, ir pažymi nukrypimus, kurie gali reikšti kenkėjišką veiklą. Skirtingai nei parašais pagrįstos sistemos, ji gali aptikti subtilesnius įsilaužimus, kurie išvengia tradicinio aptikimo. AI leidžia greičiau ir veiksmingiau reaguoti į incidentus nustatant perspėjimų prioritetus ir mažinant klaidingų teigiamų rezultatų skaičių.
Atvejis, į kurį atkreiptas dėmesys: AI naudojimas anomalijų aptikimui kritinėse sistemose
2024 m, Nwoye ir Nwagwughiagwu išnagrinėjo, kaip AI pagrįstas anomalijų aptikimas galėtų pagerinti kibernetinę apsaugą galutiniuose taškuose ir tinkluose. Naudodami mašininio mokymosi modelius, apmokytus pagal įprastus sistemos elgsenos ir tinklo srauto modelius, jie galėjo nustatyti subtilius nukrypimus, kurių tradicinės, parašais pagrįstos sistemos nepastebėtų, įskaitant, pavyzdžiui, ankstyvuosius vidinių grėsmių ir duomenų saugumo pažeidimų požymius.
Tyrime pateikti pavyzdžiai iš svarbiausių sektorių, rodantys, kad AI įgalintas anomalijų aptikimas sutrumpino reagavimo laiką ir padėjo išlaikyti verslo tęstinumą, nes pastebėjo įtartiną veiklą, kol ji nepadarė rimtos žalos. Autoriai taip pat pripažino problemas, įskaitant klaidingai teigiamus rezultatus ir poreikį užtikrinti sudėtingų AI modelių skaidrumą. Šis atvejis rodo, kaip AI padeda užtikrinti pasirengimą (nustatant įprastinės veiklos bazinius rodiklius) ir reagavimą (nustatant anomalijas ir nustatant jų prioritetus realiuoju laiku).
-
GAN pagrįstas anomalijų aptikimas - "TadGAN: Laiko eilučių anomalijų aptikimas naudojant generatyvinius priešingus tinklus" (Geiger et al. 2020)
Šiame straipsnyje pristatoma TadGAN - nekontroliuojama sistema, kurioje cikliškai nuoseklūs GAN taikomi anomalijoms laiko eilučių duomenyse aptikti. Derindama rekonstrukcijos klaidas su kritiniais rezultatais, TadGAN generuoja patikimus anomalijų balus ir sumažina klaidingų teigiamų rezultatų skaičių. Patikrinta su 11 etaloninių duomenų rinkinių iš sričių, ji nuosekliai lenkė naujausius metodus. Tyrimas rodo, kaip GAN gali pagerinti subtilių laikinių anomalijų aptikimą įvairiose realaus pasaulio sistemose. -
Mašininis mokymasis infrastruktūros anomalijoms aptikti - "AI gynėjai: (Nebebebe et al. 2024)
Šiame straipsnyje lyginami mašininio mokymosi modeliai, skirti anomalijoms ypatingos svarbos infrastruktūroje aptikti, naudojant hidraulinės sistemos simuliatoriaus laiko eilučių duomenis. Jame atskiriamos taškinės anomalijos (pavieniai nukrypimai) nuo kontekstinių anomalijų (nukrypimai matomi tik kontekste) ir lyginami paprasti interpretuojami modeliai (pvz., logistinė regresija, sprendimų medžiai) su sudėtingesniais juodosios dėžės modeliais nuosekliuose duomenų rinkiniuose. Tikslas - įvertinti, kurie metodai geriausiai veikia realioje pramoninėje aplinkoje. Straipsnyje pabrėžiama, kad nors sudėtingi modeliai gali duoti didesnį aptikimo rodiklį, paprastesni metodai vis tiek turi interpretuojamumo ir patikimumo pranašumų jautriose infrastruktūros srityse.
Bendrosios rašymo ir duomenų rinkimo ir (arba) analizės užduotys
Vykdant gynybines operacijas taip pat tenka daug rašyti, atlikti tyrimus ir duomenų analizę, kad būtų galima dokumentuoti incidentus, informuoti apie sprendimus ir mokyti darbuotojus.
Kaip AI keičia bendrąsias rašymo ir duomenų rinkimo ar analizės užduotis:
AI gali rengti ataskaitas, politiką ir trumpus pranešimus apie incidentus, taip palengvindama analitikams tenkančią administracinę naštą. Ji gali automatizuoti atvirų šaltinių žvalgybinės informacijos rinkimą pratyboms, todėl studentai ir specialistai gali sutelkti dėmesį į aukštesnio lygio analizę ir strategiją, o ne į pasikartojančias užduotis.
Atvejis, į kurį atkreiptas dėmesys: Automatizuotas žvalgybos duomenų rinkimas ir ataskaitų teikimas
2024 m, Gao ir kt. pristatė "ThreatKG" - "AI" valdomą sistemą, kuri automatiškai renka kibernetinių grėsmių informaciją iš atvirų šaltinių, išskiria pagrindinius subjektus, pavyzdžiui, veikėjus ir pažeidžiamumus, ir susistemina juos į struktūrizuotą žinių grafiką. Vietoj to, kad analitikai rankiniu būdu skaitytų ilgas, nestruktūrizuotas ataskaitas, sistema pateikia konsoliduotą ir paieškos būdu parengtą apžvalgą. Tai sumažina administracinę gynybinių operacijų naštą, padeda greičiau rengti incidentų ataskaitas ir pagerina informuotumą apie padėtį aktyvių grėsmių metu. Transformuodama fragmentišką informaciją į prieinamas įžvalgas, "ThreatKG" leidžia darbuotojams daugiau laiko skirti aiškinimui ir sprendimų priėmimui. Tyrimas parodo, kaip AI gali pakeisti kasdienį gynybinį darbą, padarydama žvalgybos informacijos rinkimą efektyvesnį ir labiau pritaikomą veiksmams, kartu pabrėždama priežiūros poreikį, kad būtų užtikrintas tikslumas ir aktualumas.
-
AI valdymo, etiniai, teisiniai ir socialiniai padariniai OSINT - "Atvirųjų šaltinių žvalgyba ir AI: sisteminė apžvalga" (Ghioni et al. 2023)
Straipsnyje apžvelgiamas 571 tyrimas apie AI naudojimą OSINT, apie AI naudojimą atviro šaltinio žvalgybinėje informacijoje (OSINT), nagrinėjamas jo valdymas, etinės, teisinės ir socialinės pasekmės. Apžvalgoje nustatyta, kad AI išplėtė OSINT galimybes pasitelkiant mašininį mokymąsi, duomenų gavybą ir vizualinę kriminalistiką, tačiau taip pat sukėlė opių problemų dėl privatumo, atskaitomybės, šališkumo ir piktnaudžiavimo. Autoriai atkreipia dėmesį į reguliavimo, priežiūros ir skaidrumo spragas, ragindami sukurti tvirtesnes sistemas, kad būtų užtikrinta, jog AI paremtas OSINT padėtų žvalgybos operacijoms ir nepakenktų teisėms, pasitikėjimui ar demokratinei atskaitomybei. -
Automatinis ataskaitų generavimas - "AGIR: kibernetinių grėsmių žvalgybos ataskaitų automatizavimas naudojant natūralios kalbos generavimą" (Perrina et al. 2023)
Straipsnyje pristatoma AGIR - natūralios kalbos generavimo sistema, kuri sukuria išsamias CTI ataskaitas iš formalių esybių grafų. AGIR sumažina ataskaitų rašymo laiką daugiau nei 40%, išlaikydama aukštą tikslumą ir sklandumą, parodydama, kaip AI galima automatizuoti ataskaitų rengimo ir analizės užduotis, išlaisvinant analitikus, kad jie galėtų sutelkti dėmesį į aukštesnio lygio aiškinimą ir strategiją.
Sintetinių duomenų generavimas
Sintetinių duomenų generavimas sukuria dirbtinius duomenų rinkinius, skirtus mokymui, testavimui ar modeliavimui, neatskleidžiant jautrios realaus pasaulio informacijos.
Kaip AI keičia sintetinių duomenų generavimą:
AI gali sukurti tikroviškus tinklo srauto ar kenkėjiškų programų pavyzdžius, skirtus naudoti laboratorijose, užpildyti spragas, kai nėra realių duomenų, ir apsaugoti privatumą, kartu suteikdamas galimybę eksperimentuoti. Tai padeda mokytojams ir gynėjams pasirengti tikriems incidentams nerizikuojant atskleisti slaptus duomenis.
Atvejis, į kurį atkreiptas dėmesys: GAN naudojimas saugiems ir realistiškiems mokymo duomenims gauti
2022 m, Nukavarapu ir kt. sukūrė "MirageNet" - sistemą, kuri naudoja generatyvinius priešininkų tinklus (GAN) tikroviškam sintetiniam tinklo srautui kurti. Sistema gali atkartoti DNS srauto ir kitų protokolų modelius taip, kad jie būtų labai panašūs į realius duomenis, tačiau neatskleidžia jautrios informacijos iš realių tinklų.
Ši naujovė yra svarbi, nes gynėjams ir pedagogams dažnai reikia realių duomenų mokymams, bandymams ir eksperimentams, tačiau dėl privatumo ar saugumo priežasčių jie ne visada gali naudotis operatyviniu duomenų srautu. "MirageNet" suteikia galimybę saugiai modeliuoti, kad analitikai galėtų pasirengti realioms atakoms, kartu išvengiant pavojaus atskleisti informaciją. Naudojant AI, o šiuo atveju - GAN, galima saugiau ir mastelio tikslumu atlikti eksperimentus. Kartu išlieka svarbu patvirtinti, kad sintetiniai duomenys tikrai atspindi realias veiklos sąlygas, užtikrinant, kad mokymai ir bandymai išliktų patikimi.
-
Gilusis mokymasis sintetiniam tinklo srauto modeliavimui - "STAN: sintetinio tinklo srauto generavimas naudojant generatyvinius neuroninius modelius" (Xu et al. 2021)
Straipsnyje pristatomas STAN (Synthetic network Traffic generation with Autoregressive Neural models) - neuroninė architektūra, kuri modeliuoja tiek laiko, tiek atributų priklausomybę tinklo sraute, kad būtų galima sukurti tikroviškus duomenų rinkinius. Rezultatai rodo, kad anomalijų aptikimo modeliai, apmokyti pagal STAN sintetinį srautą, pasiekė beveik palyginamą tikslumą su tais, kurie buvo apmokyti pagal realius duomenis, o tai rodo, kaip gilusis mokymasis leidžia sukurti aukštos kokybės sintetinius duomenų rinkinius, skirtus parengties mokymui ir modeliavimui, kartu išsaugant privatumą. -
Sintetinio eismo generavimo metodų vertinimas - "Sintetinių tinklo srauto duomenų generavimas: (Ammara ir kt., 2025 m.)
Tyrime vertinama dvylika sintetinio eismo generavimo metodų, įskaitant statistinį, klasikinį AI ir generatyvinį AI metodus, naudojant standartinius duomenų rinkinius. Rezultatai rodo, kad GAN grindžiami modeliai užtikrina didesnį tikslumą ir naudingumą, o statistiniai metodai išlaiko klasių balansą, tačiau stokoja struktūrinio sudėtingumo.
Tapatybės ir prieigos valdymas (IAM)
Tapatybės ir prieigos valdymas (IAM) užtikrina, kad tik įgalioti naudotojai turėtų tinkamą prieigą prie sistemų ir išteklių.
Kaip AI keičia tapatybės ir prieigos valdymą:
"AI" sustiprina IAM, nes aptinka neįprastus prisijungimo modelius, kurie gali reikšti piktnaudžiavimą įgaliojimais, rekomenduoja adaptyvias autentifikavimo politikas ir automatizuoja įprastus patikrinimus. Incidentų metu ji gali greitai pažymėti pažeistas paskyras ir inicijuoti griežtesnes kontrolės priemones grėsmėms suvaldyti.
Atvejis, į kurį atkreiptas dėmesys: Neįprastos ir netinkamos prieigos aptikimas
2024 m, Pardavimas atliko AI taikymo IAM sistemoms koncepcijos įrodomąjį tyrimą. Integravus anomalijų aptikimo modelį į veikiančią IAM platformą, sistema galėjo pažymėti neįprastą prisijungimo elgesį ir netinkamas prieigos privilegijas. Šis metodas leidžia organizacijoms greičiau aptikti pažeistas paskyras ar vidinį piktnaudžiavimą ir, nustačius riziką, dinamiškai pritaikyti autentifikavimo politiką. Tyrimo metu nustatyta, kad efektyvumas akivaizdžiai padidėjo, tačiau kartu pabrėžta, kad nuolat reikia žmogiškosios priežiūros, kad būtų galima interpretuoti pažymėtas anomalijas ir išvengti nereikalingų trikdžių. Todėl AI leidžia sustiprinti kasdienę prieigos kontrolę ir gali paversti IAM adaptyvesne ir aktyvesne gynybos linija.
-
Ypatingos svarbos infrastruktūros auditas - "AI-Powered IAM Audit for Anomaly Detection in Critical Infrastructure" (Rodriguez et al. 2025)
Straipsnyje siūloma AI paremta IAM audito sistema, kurioje IAM žurnalams analizuoti derinama požymių inžinerija, neprižiūrimas anomalijų aptikimas ir prižiūrimas klasifikavimas. Naudojant sintetinį duomenų rinkinį, sumodeliuotą pagal ypatingos svarbos infrastruktūros objektus, sistema pasiekė 92% aptikimo lygį, o klaidingai teigiamų rezultatų lygis buvo mažesnis nei 3%. Rezultatai rodo, kaip AI pagerina IAM žurnalų auditą, leisdama aktyviai aptikti grėsmes iš vidaus ir subtilias prieigos anomalijas, kurių tradiciniai metodai dažnai nepastebi.
Žurnalo analizė
Atliekant žurnalų analizę nagrinėjami sistemos ir saugumo žurnalai, kad būtų galima aptikti, ištirti ir suprasti incidentus.
Kaip AI keičia žurnalo analizę:
"AI" gali realiuoju laiku apdoroti didžiulius žurnalų kiekius, išryškinti neįprastas įvykių sekas ir kurti glaustas santraukas. Tai pagerina aptikimą ir leidžia greičiau mokyti bei imituoti incidentus.
Atvejis, į kurį atkreiptas dėmesys: AI agentai, skirti žurnalo analizei ir grėsmių modelių nustatymui
2025 m, Karaarslanas ir kt. išnagrinėjo, kaip AI agentai galėtų padėti analizuoti gausius "Cowrie" medunešių taškų generuojamus žurnalus. Honeypots sąmoningai imituoja pažeidžiamas sistemas, kad pritrauktų įsilaužėlius, tačiau dėl to susidaro didžiulis neapdorotų duomenų kiekis, kurį žmogui analitikui sunku interpretuoti.
Tyrėjai parodė, kad "AI" agentai gali automatiškai analizuoti ir apibendrinti šiuos žurnalus, išskirti pasikartojančius atakų modelius ir kurti glaustas ataskaitas. Toks automatizavimas sumažina rankų darbo sąnaudas, pagerina informuotumą apie situaciją ir leidžia gynėjams greičiau nustatyti tendencijas ir pritaikyti saugumo priemones. Tyrime parodyta, kaip AI gali paversti nevaldomus duomenų rinkinius į naudingą žvalgybinę informaciją, kartu pabrėžiant būtinybę atidžiai patvirtinti rezultatus, kad nebūtų neteisingai suprasta besikeičianti ar apgaulinga priešininkų taktika.
-
Savaiminė žurnalo analizė - "AI pagrįsta žurnalo analizė naudojant transformatorių konstrukcijas" (Pan 2023)
Šiame tyrime nagrinėjama, kaip AI gali padėti atlikti žurnalų analizę incidentams aptikti ir tirti. Naudojant transformatoriaus modelį, apmokytą pagal įprastus žurnalo įrašus, taikomas žurnalo papildymas savaiminiam požymių mokymuisi, o tada modelis tikslinamas naudojant sustiprintą mokymąsi mažame pažymėtų duomenų rinkinyje. Rezultatai rodo, kad šis metodas gali įveikti nevienalyčių žurnalo šaltinių ir ribotų paženklintų duomenų iššūkius, todėl yra perspektyvus praktiniam ir realiam diegimui kibernetinio saugumo operacijose. -
Giliu mokymusi pagrįsta žurnalo analizė įsilaužimo aptikimui - "Kibernetinių atakų įvykių žurnalų klasifikavimas naudojant gilųjį mokymąsi su semantine požymių analize" (Alzu'bi et al. 2025)
Šiame tyrime siūloma giliuoju mokymusi pagrįsta sistema, kurioje naudojama semantinė vektorizacija ir BERT įterpiniai, siekiant analizuoti įvykių žurnalus įsilaužimo aptikimo tikslais. Kategorizuojant žurnalus pagal įvykių ir atakų tipus su paaiškinamais AI, šis metodas pagerina aptikimo tikslumą, pasiekdamas daugiau nei 99% atšaukimo ir tikslumo rodiklius, ir pranoksta esamus modelius.
Kenkėjiškų programų analizė
Kenkėjiškos programinės įrangos analizė - tai kenkėjiškos programinės įrangos tyrimas, siekiant suprasti jos elgseną, kilmę ir galimą poveikį.
Kaip AI keičia kenkėjiškų programų analizę:
AI pagreitina klasifikavimą nustatydama kenkėjiškų programų šeimų kodų panašumus ir generuodama smėlio dėžės vykdymo paaiškinimus. Tai padeda analitikams greitai suprasti, kaip veikia kenkėjiška programinė įranga, todėl galima greičiau reaguoti ir veiksmingiau mažinti žalą.
Atvejis, į kurį atkreiptas dėmesys: AI padedamas kenkėjiškos programinės įrangos išardymas
2025 m, Apvrilė ir Nakovas įvertino "R2AI" - "Radare2" disasemblerio AI įskiepį - naujausiems "Linux" ir daiktų interneto kenkėjiškų programų pavyzdžiams. Sistema integruoja LLM į atvirkštinės inžinerijos procesą, padėdama analitikams dekompiliuoti funkcijas, pervadinti kintamuosius ir nustatyti įtartiną elgesį. Jų atliktas tyrimas parodė, kad AI pagalba galima sutrumpinti analizės laiką nuo kelių dienų iki maždaug pusės, išlaikant tokią pačią arba geresnę kokybę nei analizė, kurią atlieka tik žmogus. Pavyzdžiui, "Linux/Devura" kenkėjiškos programos atveju AI teisingai nustatė argumentų formatus, kurių analitikai nepastebėjo. Tačiau išliko apribojimų: modeliai kartais sukeldavo haliucinacijas, perdėjimus ar praleidimus, todėl juos nuolat turėjo tikrinti kvalifikuoti ekspertai. Išvados rodo, kad AI padedamas išardymas yra veiksmingiausias kaip jėgos daugiklis, pagreitinantis rūšiavimą ir greičiau atskleidžiantis detales, tačiau vis dar pasikliaujant žmogaus priežiūra, kad būtų užtikrintas tikslumas ir išvengta klaidingų interpretacijų.
-
Semantinis segmentavimas klasifikavimui - "Gilusis mokymasis su semantiniu segmentavimu kenkėjiškų programų klasifikavimui" (Chen et al. 2025)
Tyrime parodyta, kad taikant AI pasirinktoms kenkėjiškų programų failų dalims, o ne visoms failų sekoms, galima gerokai pagerinti našumą. Sutelkus dėmesį į nešiojamų vykdomųjų failų antraštės duomenis, jų modelis pasiekė 99,54% tikslumą klasifikuojant kenkėjiškų programų šeimas. Tai rodo, kad orientuojantis į informatyviausias kodo dalis galima greičiau ir patikimiau aptikti grėsmes. -
Naujų kenkėjiškų programų mokymasis iš kelių kadrų - "Kelių kadrų kenkėjiškų programų klasifikavimo metodas, skirtas nežinomai kenkėjiškų programų šeimai atpažinti naudojant kenkėjiškų programų požymių vizualizavimą" (Conti et al. 2022)
Straipsnyje siūloma naudoti mokymąsi keliais bandymais, kad būtų galima klasifikuoti kenkėjiškų programų šeimas turint tik keletą pavyzdžių ir nereikėtų iš naujo mokyti modelių, kai atsiranda naujų kenkėjiškų programų. Vizualizuojant kenkėjiškų programų dvinares kaip 3 kanalų vaizdus ir išbandant dvi architektūras (CSNN ir Shallow-FS), tyrimas rodo didelį tikslumą klasifikuojant ir tradicines, ir naujas kenkėjiškas programas. Tai parodo, kad kelių pakopų metodai gali padidinti prisitaikymo galimybes ir greitį aptinkant atsirandančias grėsmes.
Mokymai ir laboratorijos
Mokymuose ir laboratorijose yra kontroliuojama aplinka, kurioje galima atlikti praktines kibernetinio saugumo pratybas ir simuliacijas.
Kaip AI keičia mokymus ir laboratorijas:
"AI" gali kurti dinamiškus laboratorinius scenarijus, pritaikytus prie besimokančiojo pažangos, kurti adaptyvius įvairaus sudėtingumo uždavinius ir automatizuoti grįžtamąjį ryšį bei vertinimą. Tai padeda užtikrinti realistiškesnį ir lengviau keičiamo masto mokymą.
Atvejis, į kurį atkreiptas dėmesys: AI maitinami kibernetiniai poligonai adaptyviems mokymams
2025 m, Sisodiya ir kt.pristatė AI varomą kibernetinį poligoną, skirtą kibernetinio saugumo mokymų tikroviškumui ir veiksmingumui didinti. Skirtingai nuo tradicinių statinių laboratorijų, šioje platformoje naudojama AI, kad būtų galima reguliuoti scenarijų sudėtingumą atsižvelgiant į besimokančiųjų pažangą, įvesti tikroviškus atakų įvykius ir teikti automatinį grįžtamąjį ryšį.
Tyrimo metu nustatyta, kad šioje aplinkoje apmokyti studentai pasiekė didesnį aptikimo tikslumą ir sutrumpino poveikio sušvelninimo laiką, palyginti su įprastais metodais. Dėstytojams ši sistema suteikia galimybę didinti pratybų mastą, individualizuoti užduotis ir į simuliacijas įtraukti realių incidentų pamokas.
Techniniu požiūriu tyrimas taip pat parodė, kad hibridinės architektūros, derinančios debesijos mastelį ir fizinių sistemų tikrumą, leidžia sukurti realistiškesnius ir lengviau pritaikomus scenarijus. Išvadose pabrėžiama, kaip AI gali paversti mokymą iš fiksuotų pratybų į dinamišką mokymosi aplinką, kuri geriau parengia studentus ir specialistus realioms kibernetinėms grėsmėms.
-
Kibernetinio saugumo mokymo metodai - "Sisteminė dabartinių kibernetinio saugumo mokymo metodų apžvalga" (Prümmer et al. 2024)
Straipsnyje parodyta, kad įvairūs kibernetinio saugumo mokymo metodai, įskaitant žaidimais grindžiamus metodus, pagerina galutinių naudotojų elgseną ir organizacijos saugumo rezultatus. Rezultatai atskleidžia struktūrizuotų mokymo programų veiksmingumą, tačiau taip pat atskleidžia ir problemas, pavyzdžiui, mažas imčių dydžius ir neeksperimentinius modelius. Tai pabrėžia AI integravimo į mokymus ir laboratorijas vertę, siekiant išplėsti intervencijas, personalizuoti turinį ir sukurti adaptyvias pratybas, kurios įveikia tradicinių metodų trūkumus.
Klausimai diskusijai
- Kurią kibernetinių incidentų ciklo fazę (prevencija, pasirengimas, reagavimas, atkūrimas) ateityje greičiausiai pakeis AI, o kurioje fazėje AI šiuo metu daro didžiausius pokyčius? Kur AI atrodo mažiausiai veiksminga?
- Ar AI keičia jėgų pusiausvyrą kibernetinėje erdvėje gynėjų naudai, ar dažniausiai padeda užpuolikams išlaikyti pranašumą?
- Ar atvirojo kodo ir plačiai prieinamos AI priemonės suvienodins mažų gynėjų galimybes, ar vis dėlto pažangios patentuotos sistemos tebesuteiks didžiosioms organizacijoms didžiulį pranašumą?
- Kaip AI gebėjimas automatizuoti aptikimą, rūšiavimą ir reagavimą keičia gynybinių operacijų greitį ir pobūdį? Ar dėl to tradiciniai SOC modeliai gali tapti nebereikalingi?
- Ar gynėjai gali tapti per daug priklausomi nuo AI ir dėl to atsirasti aklųjų dėmių, jei modeliai nepavyksta, yra užnuodyti arba yra apgaunami priešininko įvestų duomenų?
- Kam tenka atsakomybė, jei AI sistemos nepastebi kritinių grėsmių arba pateikia klaidingas rekomendacijas: kūrėjams, diegiančioms organizacijoms ar jomis besiremiantiems analitikams?
- Kaip politikos formuotojai turėtų skatinti atsakingą AI naudojimą gynybos srityje, neslopindami inovacijų ir neribodami švietimo darbuotojų ir mažesnių organizacijų prieigos?
- Ar kibernetiniai konfliktai, kai tiek užpuolikai, tiek gynėjai įsisavins AI, virs autonominės gynybos ir autonominio puolimo varžybomis?
