AI kiberaizsardzībā
Kā AI maina kiberaizsardzību visā kiberincidentu dzīves ciklā
Kiberdrošības mērķis ir aizsargāt sistēmas, tīklus un datus pret ielaušanos, traucējumiem vai iznīcināšanu. Portāls kiberincidentu dzīves cikls sniedz noderīgu veidu, kā izprast kiberaizsardzību, sadalot to četros posmos:
- Profilakse: incidentu riska novēršana un samazināšana, kā arī to iespējamo seku mazināšana.
- Gatavība: izstrādāt plānus, rīkus un spējas efektīvas reaģēšanas atbalstam.
- Atbilde: incidenta apturēšana un turpmāku bojājumu novēršana.
- Atgūšana: ātri atjaunot darbību un panākt normālu vai augstāku drošības līmeni.
Mākslīgais intelekts (AI) ir kļuvis aktuāls visos četros posmos. Atšķirībā no tradicionālajiem rīkiem, kas precīzi iederas vienā posmā, daudzas AI iespējas aptver visu dzīves ciklu: tas pats paņēmiens, kas atbalsta sagatavotību, var arī ļaut ātrāk reaģēt vai palīdzēt atveseļoties. Šī integrācija padara AI gan spēcīgu, gan grūti klasificējamu: tā vērtība slēpjas ne tikai atsevišķu uzdevumu uzlabošanā, bet arī vienmērīgākā posmu sasaistē.
Profilakse
Gatavība
Atbildes
Atjaunošana
Uzbrukuma virsmas kartēšana
Kodu skenēšana
Datu apkopošana
Datu klasifikācija
Anomāliju atklāšana
Rakstīšana un analīze
Sintētiskie dati
Identitātes un piekļuves pārvaldība
Identitātes un piekļuves pārvaldība
Žurnāla analīze
Ļaunprātīgās programmatūras analīze
Apmācības un laboratorijas
Apmācības un laboratorijas
Turpmākajās sadaļās mēs aplūkojam konkrētus AI lietojumus kiberaizsardzībai, parādot, kā tie ir saistīti ar dažādām incidentu dzīves cikla fāzēm un daudzos gadījumos aptver vairākas fāzes vienlaicīgi.
Uzbrukuma virsmas kartēšana
Uzbrukuma virsmas kartēšana identificē visus resursus, ieejas punktus un ievainojamības, ko pretinieks varētu izmantot uzbrukumā. Tas nodrošina aizstāvjiem redzamību par viņu apdraudējumu un palīdz noteikt prioritātes, kas jāaizsargā.
Kā AI maina uzbrukuma virsmas kartēšanu:
Izceltais gadījums: LLM izmantošana aktīvu atklāšanai kritiskajā infrastruktūrā
2025. gadā, Luidži Koppolino un citi publicēts pētījums, kurā parādīts, kā lielie valodas modeļi (LLM) var uzlabot kritisko infrastruktūru aktīvu atklāšanu. Tradicionālie rīki, piemēram, Nmap vai industriālās drošības platformas, vai nu rada risku, ka, veicot aktīvu skenēšanu, tiks traucēta jutīgu sistēmu darbība, vai arī, paļaujoties tikai uz pasīvu uzraudzību, neizdodas atklāt slēptās ierīces.
Pētnieki ierosināja uz LLM balstītu "ekspertu maisījuma" sistēmu, kas apvieno datus no pasīvās satiksmes novērošanas, rūpīgi ierobežotas aktīvās zondēšanas un fizikāliem signāliem, piemēram, elektromagnētiskās emisijas. Pēc tam specializēti LLM aģenti interpretē šos datus: viens no tiem koncentrējas uz rūpnieciskajiem protokoliem, cits - uz IT/OT tīklu ievainojamībām, bet vēl cits - uz sistēmu arhitektūru un atkarībām.
Sistēma var izmantot arī ārējos izlūkošanas avotus (piemēram, MITRE ATT&CK vai CVE datubāzes), lai identificētu trūkumus un ieteiktu drošības pasākumus. Veicot testus simulētā rūpnieciskajā tīklā, tā veiksmīgi klasificēja tādus līdzekļus kā programmējami loģiskie kontrolieri, robotizētas rokas un printeri, vienlaikus norādot uz nedrošu praksi, piemēram, nešifrētu Modbus datu plūsmu.
Šāda pieeja pārvērš uzbrukuma virsmas kartēšanu par adaptīvu un kontekstu apzinātu procesu, kas nodrošina reāllaika redzamību un samazina tradicionālās skenēšanas riskus. Samazinot tehniskos šķēršļus aizstāvjiem, tā ļauj veikt visaptverošāku uzraudzību un stiprina kritiskās infrastruktūras vispārējo drošības stāvokli.
-
AI ietekme uz draudu atklāšanu - "AI aizsardzībai" (Donnie W. Wendt 2024)
Šajā nodaļā ir parādīts, kā AI ir uzlabojusi draudu atklāšanu un šķirošanu, kur mašīnmācīšanās modeļi apstrādā milzīgus heterogēnu datu apjomus, lai identificētu iespējamos uzbrukumus. Rezultātos ir uzsvērts, kā agrīnie lietojumi 2000.-2010. gados koncentrējās uz ļaunprātīgu programmatūru, ielaušanos un surogātpasta atklāšanu, demonstrējot AI priekšrocības lielu datu kopu analīzē un esošo atklāšanas sistēmu uzlabošanā, vienlaikus pakāpeniski uzlabojot senas kiberdrošības funkcijas. -
Nākamās paaudzes draudu atklāšana - "Revolūcija kiberdrošības jomā: (Manoharan & Sarker 2022): "Mākslīgā intelekta un mašīnmācīšanās spēju atraisīšana" (Manoharan & Sarker 2022)
Dokumentā parādīts, kā AI un mašīnmācīšanās revolucionāri maina draudu atklāšanu, ļaujot organizācijām pamanīt anomālijas, analizēt uzvedības modeļus un prognozēt iespējamos uzbrukumus. Rezultāti parāda, kā tādas metodes kā NLP draudu izlūkošanas izlūkinformācijas iegūšanai un dziļā mācīšanās modeļu atpazīšanai var automatizēt atklāšanu un reaģēšanu, savukārt reālu gadījumu izpēte apstiprina to efektivitāti.
Kodu skenēšana un novērtēšana
Koda skenēšana pārbauda pirmkodu, lai atklātu ievainojamības, nedrošas bibliotēkas vai sliktas drošības prakses, pirms tās var tikt izmantotas.
Kā AI maina kodu skenēšanu un novērtēšanu:
AI paātrina ievainojamību atklāšanu, izceļot nedrošas funkcijas un identificējot riskantus kodēšanas modeļus, kas iegūti, izmantojot iepriekš veiktus ekspluatantus. Tā piedāvā arī automatizētus novēršanas ieteikumus, atbalstot izstrādātājus drošāka koda rakstīšanā un samazinot uzbrucēju iespējas.
Izceltais gadījums: LLM izmantošana koda skenēšanai un drošai izstrādei
2025. gadā, Belozerov et al izpētīja, kā lieli valodas modeļi var atbalstīt drošas kodēšanas praksi. Pētījumā tika veikta ChatGPT testēšana, salīdzinot ar DevGPT datu kopu, kurā bija ietverts reāls izstrādātāju kods un statisko skeneru atzīmētās zināmās ievainojamības. No 32 apstiprinātajām ievainojamībām ChatGPT pareizi atklāja 18 un pat ieteica 17 no tām labojumus.
Rezultāti parāda, kā AI var samazināt manuālo darbu, pārskatot kodu, palīdzēt noteikt riskantus kodēšanas modeļus un sniegt automatizētus novēršanas ieteikumus. Tas var palielināt drošas kodēšanas prakses apjomu un saīsināt laiku, kurā ievainojamības joprojām ir izmantojamas.
Vienlaikus pētījumā tika uzsvērti svarīgi ierobežojumi: ChatGPT reizēm deva pārāk pārliecinošus, bet nepareizus rezultātus, mēģinot veikt labojumus, ieviesa jaunas nepilnības un bija mazāk uzticama nekā statiskā analīze vai ekspertu veikta pārbaude. Galvenais secinājums no šī pētījuma ir tāds, ka AI var būt spēcīgs palīgs koda novērtēšanā, bet tikai tad, ja to apvieno ar tradicionālajiem rīkiem un pienācīgu uzraudzību.
-
Automatizēta koda pārskatīšana - "Pārskats par AI izmantošanu kiberdrošības jomā: Iespējas, riski un riska mazināšanas stratēģijas" (Ndibe & Ufomba 2024).
Dokumentā parādīts, kā AI un lieli valodas modeļi var atbalstīt automatizētas koda pārbaudes un ievainojamību novērtējumus, palīdzot organizācijām proaktīvi atklāt nepilnības pirmkoda pirmkodā un samazināt atbildes reakcijas laiku. Rezultāti arī norāda uz tādiem riskiem kā nedrošs AI ģenerēts kods, uzsverot cilvēciskās pārraudzības un pārvaldības sistēmu nepieciešamību. -
Interpretējama dziļā mācīšanās ievainojamību atklāšanai - "Ievainojamību noteikšana ar smalku interpretāciju" (Li et al. 2021)
Šajā rakstā ir prezentēts IVDetect - dziļās mācīšanās modelis, kas atklāj ievainojamības kodos un norāda konkrētus paziņojumus un atkarības, kas par tām atbildīgas. IVDetect uzlabo precizitāti salīdzinājumā ar jaunākajiem rīkiem un sniedz detalizētus skaidrojumus. Iegūtie rezultāti liecina par būtisku atklāšanas veiktspējas pieaugumu un precīzāku ievainojamā koda identificēšanu, kas atbalsta gan automatizētu analīzi, gan izstrādātāju novēršanu. -
Daudzvalodu koda ievainojamību atklāšana - "Koda ievainojamību atklāšana dažādās programmēšanas valodās ar AI modeļiem" (Humran & Sonmez 2025)
Šajā darbā tiek pētīti uz transformatoriem balstīti modeļi, tostarp CodeBERT un CodeLlama, lai atklātu ievainojamības vairākās programmēšanas valodās. Veicot precīzu pielāgošanu dažādām datu kopām, modeļi aptver gan sintaksi, gan semantiku, sasniedzot līdz 97% precizitāti. Pētījumā iekļautas arī ansambļa metodes un izskaidrojamas AI, lai samazinātu kļūdaini pozitīvo rezultātu skaitu un uzlabotu izstrādātāju uzticēšanos. Tas parāda, ka AI modeļi var pārspēt tradicionālos statiskos analizatorus dažādu valodu vidē, lai gan joprojām pastāv problēmas saistībā ar robustumu, precizitāti un gatavību izvēršanai.
Datu apkopošana
Datu apkopošana koncentrē lielus tehnisko datu apjomus (piemēram, žurnālus, pārskatus un draudu izlūkdatus) pieejamos ieskatos.
Kā AI maina datu apkopošanu:
AI samazina kognitīvo pārslodzi, pārveidojot neapstrādātu un nestrukturētu informāciju par izmantojamu informāciju. Tā var identificēt atkārtojošos modeļus vai anomālijas fragmentētās datu kopās. Tā var arī ģenerēt vienkāršas valodas pārskatus nespeciālistiem. Tādējādi AI atvieglo informācijas lietošanu, komunikāciju un rīcību.
Izceltais gadījums: AI žurnālu apkopošanai un situācijas apzināšanai
2024. gadā, Balasubramanian et al iepazīstināja ar CYGENT - sarunu aģentu, kas darbojas ar GPT-3 un spēj analizēt un apkopot sistēmas žurnālus. Tā vietā, lai analītiķiem būtu jāpārlasa tūkstošiem neapstrādātu žurnāla ierakstu, CYGENT tos apkopo īsos, cilvēkam saprotamos rezultātos, kas izceļ galvenos notikumus un anomālijas.
Novērtējumos CYGENT sasniedza labākus rezultātus nekā citi lielie valodas modeļi, veidojot skaidrus un izmantojamus kopsavilkumus. Sistēma samazināja kognitīvo pārslodzi, veicināja situācijas izpratni klātienes incidentu laikā un ļāva ātrāk pieņemt lēmumus.
Šis gadījums ilustrē, kā AI var pārveidot neapstrādātus tehniskos datus par pieejamu izlūkinformāciju. Atvieglojot žurnālu interpretāciju, tas palīdz aizstāvjiem efektīvāk sagatavoties, ātrāk reaģēt un atgūties pēc incidentiem, izmantojot labāku dokumentāciju.
-
KTI apkopojuma datu kopas - "CTISum: (Peng et al. 2024): "A New Benchmark Dataset for Cyber Threat Intelligence Summarisation" (Peng et al. 2024)
Šajā dokumentā ir iepazīstināts ar CTISum - datu kopu kiberdraudu izlūkošanas ziņojumu apkopošanai, kas ļauj apkopot sarežģītus izlūkošanas ziņojumus, lai palīdzētu aizstāvjiem efektīvāk plānot un apkopot gūto pieredzi. -
TTP ieguve - "TTPXHunter: (Rani et al. 2024): "Actionable Threat Intelligence Extraction as TTPs from Finished Cyber Threat Reports" (Rani et al. 2024).
Darbā ir ierosināts TTPXHunter - uz NLP balstīts rīks, kas no ziņojumiem par draudiem iegūst uzbrucēju taktiku, paņēmienus un procedūras (TTP), lai izprastu to darbības veidu, pārveidojot nestrukturētu izlūkdatus strukturētos, izmantojamos kopsavilkumos. -
NLP incidentu analīzei - "Dabiskās valodas apstrāde kiberdrošības incidentu analīzei" (Ogundairo & Broklyn, 2024)
Darbā aplūkotas NLP lietojumprogrammas nestrukturētu datu avotu analīzei, izmantojot NLP paņēmienus (piemēram, būtību atpazīšana, noskaņojuma analīze, apkopošana, uz tērzēšanu balstīta tērzēšana). Darbā konstatēts, ka NLP var automatizēt ziņošanu par incidentiem un draudu izlūkošanas kopsavilkumus, samazinot reaģēšanas laiku un uzlabojot dokumentāciju pēc incidentiem.
Datu klasifikācija
Datu klasifikācija organizē informāciju atbilstoši tās jutīgumam vai atbilstības prasībām, nodrošinot, ka kritiski svarīgi aktīvi tiek pienācīgi aizsargāti.
Kā AI maina datu klasifikāciju:
AI izmanto dabiskās valodas apstrādi, lai automātiski marķētu sensitīvu saturu un atklātu nepareizi klasificētus vai atklātus datus.
Izceltais gadījums: AI sensitīvu datu klasifikācijai
2024. gadā, De Renzis un citi pētīja, kā lielos valodas modeļus var izmantot, lai uzlabotu sensitīvas informācijas klasifikāciju. Galvenā problēma šajā jomā ir tā, ka privātuma apdraudējuma dēļ apmācībai ne vienmēr var izmantot reālus personas datus. Autori ierosināja radīt sintētiskus mācību datus, kas joprojām atspoguļo sensitīvu kategoriju, piemēram, veselības, politikas vai reliģijas, modeļus.
Viņu pieeja ļāva apmācīt precīzus klasifikatorus, neizpaužot faktiskos lietotāja datus, parādot, kā AI var palīdzēt organizācijām ievērot tādus noteikumus kā GDPR, vienlaikus palielinot to spēju atklāt un aizsargāt sensitīvu informāciju. Šis gadījums parāda, kā AI stiprina gan profilaksi (samazinot nejaušu datu izpaušanu), gan gatavību (atbalstot atbilstības sistēmas). Vienlaikus tas uzsver pārvaldības un validācijas nozīmi, lai nodrošinātu, ka sintētiskie dati un no tiem izrietošie modeļi joprojām ir reprezentatīvi un uzticami.
-
GDPR kategoriju marķēšana, izmantojot transformatoru - "Sensitīvu datu automātiska noteikšana, izmantojot uz transformatoriem balstītus klasifikatorus" (Petrolini et al. 2022)
Šajā pētījumā tiek izmantoti AI modeļi, lai automātiski atzīmētu jutīgus tekstus, kas aptver tādas jomas kā politika, veselība, reliģija un seksualitāte, lielās dokumentu kolekcijās. Tas pierāda, ka uz transformatoriem balstītas pieejas var ticami klasificēt šādus datus, atbalstot atbilstību GDPR un nodrošinot liela mēroga un automatizētu marķēšanu datu klasifikācijai, kas balstīta uz atbilstību. -
Semantiskā analīze automatizētai sensitīvu datu atklāšanai - "Automatizēta sensitīvu datu identificēšana no netiešās lietotāja specifikācijas (S3)" (Yang & Liang 2018)
Šajā rakstā tiek prezentēta S3 - sistēma, kas identificē sensitīvus datus mobilajās lietotnēs, analizējot semantiku, nevis paļaujoties uz atslēgvārdiem. Mācoties lietotāja privātuma preferences, tā sasniedz lielāku precizitāti nekā tradicionālie rīki, parādot, kā AI var pielāgot datu klasifikāciju reālajam kontekstam. Pētījumā uzsvērts, ka informācijas jutīgums ir atkarīgs gan no lietojumprogrammas konteksta, gan lietotāja vēlmēm un ka efektīvai aizsardzībai mākoņa laikmetā ir nepieciešams vispirms spēt identificēt šādus datus.
Galapunktu vai tīkla anomāliju atklāšana
Anomāliju atklāšana uzrauga galapunktus un tīkla datplūsmu, meklējot neparastas darbības, kas var liecināt par kompromitēšanu.
Kā AI maina galapunktu un tīkla anomāliju noteikšanu:
AI mācās, kā izskatās normāla darbība, un atzīmē novirzes, kas varētu liecināt par ļaunprātīgu darbību. Atšķirībā no sistēmām, kas balstītas uz parakstu sistēmu, tā var atklāt smalkāku ielaušanos, kas izvairās no tradicionālās atklāšanas. AI ļauj ātrāk un efektīvāk reaģēt uz incidentiem, piešķirot prioritāti brīdinājumiem un samazinot viltus pozitīvo rezultātu skaitu.
Izceltais gadījums: AI izmantošana anomāliju atklāšanai kritiskās sistēmās
2024. gadā, Nwoye un Nwagwughiagwu izpētīja, kā ar AI vadīta anomāliju atklāšana varētu uzlabot kiberaizsardzību galapunktos un tīklos. Izmantojot mašīnmācīšanās modeļus, kas apmācīti, pamatojoties uz normāliem sistēmas uzvedības un tīkla datplūsmas modeļiem, viņu pieeja ļāva identificēt smalkas novirzes, kuras tradicionālās, uz parakstu sistēmām balstītas sistēmas nepamanītu, tostarp, piemēram, agrīnas iekšēju draudu un datu aizsardzības pārkāpumu pazīmes.
Pētījumā tika sniegti piemēri no kritiski svarīgām nozarēm, kas parādīja, ka ar AI iespējota anomāliju atklāšana samazināja reakcijas laiku un palīdzēja saglabāt darbības nepārtrauktību, norādot uz aizdomīgām darbībām, pirms tās radīja nopietnus zaudējumus. Autori atzina arī problēmas, tostarp viltus pozitīvos rezultātus un nepieciešamību pēc pārredzamības sarežģītajos AI modeļos. Šis gadījums parāda, kā AI veicina gan sagatavotību (nosakot normālas darbības bāzes līnijas), gan reaģēšanu (atklājot un piešķirot prioritāti anomālijām reālajā laikā).
-
Uz GAN balstīta anomāliju atklāšana - "TadGAN: Anomāliju atklāšana, izmantojot ģeneratīvos adversāros tīklus" (Geiger et al. 2020).
Šajā rakstā ir prezentēta TadGAN - neuzraudzīta sistēma, kas izmanto cikliski konsekventas GAN, lai atklātu anomālijas laikrindu datos. Apvienojot rekonstrukcijas kļūdas ar kritiskajiem rezultātiem, TadGAN ģenerē uzticamus anomāliju rādītājus un samazina viltus pozitīvo rezultātu skaitu. Testējot 11 etalona datu kopas no dažādām jomām, tā konsekventi uzrādīja labākus rezultātus nekā modernākās metodes. Pētījums parāda, kā GAN var uzlabot smalku laika anomāliju atklāšanu dažādās reālās pasaules sistēmās. -
Mašīnmācīšanās infrastruktūras anomāliju atklāšanai - "AI aizstāvji: (Nebebebe et al. 2024) "Mašīnmācīšanās vadīta anomāliju atklāšana kritiskajās infrastruktūrās" (Nebebebe et al. 2024)
Šajā rakstā salīdzināti mašīnmācīšanās modeļi anomāliju atklāšanai kritiski svarīgā infrastruktūrā, izmantojot laika rindu datus no hidrauliskās sistēmas simulatora. Tajā tiek nošķirtas punktveida anomālijas (atsevišķas novirzes) no kontekstuālām anomālijām (novirzes, kas redzamas tikai kontekstā) un salīdzināti vienkārši interpretējami modeļi (piemēram, loģistiskā regresija, lēmumu koki) ar sarežģītākiem melnās kastes modeļiem konsekventās datu kopās. Mērķis ir novērtēt, kuras metodes ir visefektīvākās reālos rūpnieciskos apstākļos. Darbā uzsvērts, ka, lai gan sarežģīti modeļi var dot augstāku atklāšanas rādītāju, vienkāršākas metodes joprojām piedāvā interpretējamības un robustuma priekšrocības jutīgās infrastruktūras jomās.
Vispārīgi rakstīšanas un datu vākšanas/analīzes uzdevumi.
Aizsardzības operācijas ietver arī plašu rakstīšanu, izpēti un datu analīzi, lai dokumentētu incidentus, informētu par lēmumiem un apmācītu personālu.
Kā AI maina vispārīgos rakstīšanas un datu vākšanas vai analīzes uzdevumus:
AI var sagatavot ziņojumus, politikas un informatīvos ziņojumus par incidentiem, tādējādi atvieglojot analītiķu administratīvo slogu. Tā var automatizēt atklātā avota izlūkdatu vākšanu mācībām, ļaujot studentiem un profesionāļiem koncentrēties uz augstākā līmeņa analīzi un stratēģiju, nevis uz atkārtotiem uzdevumiem.
Izceltais gadījums: Automatizēta izlūkdatu vākšana un ziņošana
2024. gadā, Gao un citi iepazīstināja ar ThreatKG - AI darbināmu sistēmu, kas automātiski apkopo kiberdraudu izlūkdatus no atvērtiem avotiem, atlasa galvenās vienības, piemēram, dalībniekus un ievainojamības, un sakārto tos strukturētā zināšanu grafikā. Tā vietā, lai analītiķi manuāli lasītu garus, nestrukturētus ziņojumus, sistēma nodrošina konsolidētu un meklēšanai pieejamu pārskatu. Tas samazina aizsardzības operāciju administratīvo slogu, palīdz ātrāk sagatavot incidentu ziņojumus un uzlabo situācijas izpratni aktīvu apdraudējumu laikā. Pārveidojot sadrumstalotu informāciju pieejamās atziņās, ThreatKG ļauj darbiniekiem vairāk laika veltīt interpretācijai un lēmumu pieņemšanai. Pētījums ilustrē, kā AI var pārveidot ikdienas aizsardzības darbu, padarot izlūkdatu vākšanu efektīvāku un izmantojamāku, vienlaikus uzsverot arī nepieciešamību pēc uzraudzības, lai nodrošinātu precizitāti un atbilstību.
-
AI pārvaldības, ētiskās, juridiskās un sociālās sekas OSINT - "Open Source Intelligence and AI: A Systematic Review" (Ghioni et al. 2023)
Šajā rakstā aplūkots 571 pētījums par AI izmantošanu OSINT, par AI izmantošanu atklātā izlūkošanas avota (OSINT) jomā, analizējot tās pārvaldību, ētiskās, juridiskās un sociālās sekas. Pārskatā konstatēts, ka AI ir paplašinājis OSINT iespējas, izmantojot mašīnmācīšanos, datu ieguvi un vizuālo kriminālistiku, bet ir arī radījis steidzamas bažas par privātumu, atbildību, neobjektivitāti un ļaunprātīgu izmantošanu. Autori norāda uz regulējuma, pārraudzības un pārredzamības nepilnībām, aicinot izveidot stingrāku regulējumu, lai nodrošinātu, ka ar AI balstīta OSINT atbalsta izlūkošanas operācijas, neapdraudot tiesības, uzticību un demokrātisko atbildību. -
Automatizēta pārskatu ģenerēšana - "AGIR: kiberdraudu izlūkošanas ziņojumu automatizēšana ar dabiskās valodas ģenerēšanu" (Perrina et al. 2023)
Šajā rakstā ir ieviesta AGIR - dabiskās valodas ģenerēšanas sistēma, kas veido visaptverošus CTI ziņojumus no formāliem entīžu grafiem. AGIR samazina ziņojumu rakstīšanas laiku par vairāk nekā 40%, vienlaikus saglabājot augstu precizitāti un plūdumu, parādot, kā AI var automatizēt ziņojumu sagatavošanas un analīzes uzdevumus, atbrīvojot analītiķus, lai tie varētu koncentrēties uz augstāka līmeņa interpretāciju un stratēģiju.
Sintētisko datu ģenerēšana
Sintētisko datu ģenerēšana rada mākslīgas datu kopas apmācībai, testēšanai vai simulācijai, neizpaužot sensitīvu reālās pasaules informāciju.
Kā AI maina sintētisko datu ģenerēšanu:
AI var radīt reālistiskus tīkla datplūsmas vai ļaunprogrammatūras paraugus laboratorijas vajadzībām, aizpildīt nepilnības, ja reāli dati nav pieejami, un aizsargāt privātumu, vienlaikus nodrošinot eksperimentus. Tas palīdz izglītotājiem un aizstāvjiem sagatavoties reāliem incidentiem, neriskējot ar sensitīvu datu izpaušanu.
Izceltais gadījums: GAN izmantošana drošu un reālistisku mācību datu iegūšanai
2022. gadā, Nukavarapu et al izstrādāja MirageNet - sistēmu, kas izmanto ģeneratīvos negatīvos tīklus (GAN), lai radītu reālistisku sintētisko tīkla datplūsmu. Sistēma var atdarināt DNS un citu protokolu datplūsmas modeļus tā, lai tie ļoti līdzinātos reālās pasaules datiem, taču neizpaužot sensitīvu informāciju no reāliem tīkliem.
Šī inovācija ir svarīga, jo aizsardzības un izglītības darbiniekiem bieži vien ir nepieciešami reāli dati apmācībai, testēšanai un eksperimentiem, taču privātuma vai drošības apsvērumu dēļ tie ne vienmēr var izmantot operatīvo datplūsmu. MirageNet nodrošina drošas simulācijas, kas sagatavo analītiķus reāliem uzbrukumiem, vienlaikus novēršot informācijas izpaušanas riskus. AI un šajā gadījumā GAN izmantošana ļauj veikt drošākus un mērogojamākus eksperimentus. Tajā pašā laikā joprojām ir svarīgi apstiprināt, ka sintētiskie dati patiesi atspoguļo reālos darbības apstākļus, nodrošinot, ka apmācība un testēšana joprojām ir uzticama.
-
Dziļā mācīšanās sintētiskās tīkla datplūsmas modelēšanai - "STAN: sintētiskā tīkla satiksmes ģenerēšana ar ģeneratīviem neironu modeļiem" (Xu et al. 2021)
Darbā ir aprakstīta STAN (Synthetic network Traffic generation with Autoregressive Neural models) - neironu arhitektūra, kas modelē gan laika, gan atribūtu atkarības tīkla datu plūsmā, lai ģenerētu reālistiskas datu kopas. Rezultāti liecina, ka anomāliju atklāšanas modeļi, kas apmācīti uz STAN sintētiskās datplūsmas, sasniedza gandrīz salīdzināmu precizitāti ar tiem, kas apmācīti uz reāliem datiem, demonstrējot, kā dziļā mācīšanās ļauj iegūt augstas kvalitātes sintētisko datu kopas sagatavotības apmācībai un simulācijai, vienlaikus saglabājot privātumu. -
Sintētiskās satiksmes ģenerēšanas metožu novērtēšana - "Sintētisko tīkla datplūsmas datu ģenerēšana: Salīdzinošs pētījums" (Ammara et al., 2025).
Pētījumā novērtētas divpadsmit sintētiskās satiksmes ģenerēšanas metodes, tostarp statistiskā, klasiskā AI un ģeneratīvā AI pieeja, izmantojot standarta datu kopas. Rezultāti liecina, ka uz GAN balstītie modeļi nodrošina augstāku precizitāti un lietderību, savukārt statistiskās metodes saglabā klašu līdzsvaru, bet tām trūkst strukturālās sarežģītības.
Identitātes un piekļuves pārvaldība (IAM)
Identitātes un piekļuves pārvaldība (IAM) nodrošina, ka tikai autorizētiem lietotājiem ir atbilstoša piekļuve sistēmām un resursiem.
Kā AI maina identitātes un piekļuves pārvaldību:
AI stiprina IAM, atklājot anomālus pieteikšanās modeļus, kas var liecināt par ļaunprātīgu pilnvaru izmantošanu, iesakot adaptīvas autentifikācijas politikas un automatizējot regulārās pārbaudes. Incidentu laikā tā var ātri atzīmēt kompromitētus kontus un iedarbināt stingrākas kontroles, lai ierobežotu draudus.
Izceltais gadījums: Neparastas un neatbilstošas piekļuves atklāšana
2024. gadā, Pārdošana veica koncepcijas pārbaudi par AI piemērošanu IAM sistēmām. Integrējot anomāliju atklāšanas modeli reāli darbojošā IAM platformā, sistēma spēja atzīmēt neparastu pieteikšanās uzvedību un neatbilstošas piekļuves privilēģijas. Šī pieeja ļauj organizācijām ātrāk atklāt kompromitētus kontus vai iekšējās informācijas ļaunprātīgu izmantošanu un dinamiski pielāgot autentifikācijas politikas, kad tiek atklāti riski. Pētījumā tika konstatēts nepārprotams efektivitātes pieaugums, vienlaikus uzsverot, ka joprojām ir nepieciešama cilvēka uzraudzība, lai interpretētu atzīmētās anomālijas un izvairītos no nevajadzīgiem traucējumiem. Tāpēc AI ļauj stiprināt ikdienas piekļuves kontroli un var pārvērst IAM par adaptīvāku un proaktīvāku aizsardzības līniju.
-
Kritiskās infrastruktūras revīzija - "AI balstīts IAM audits anomāliju atklāšanai kritiskajā infrastruktūrā" (Rodriguez et al. 2025)
Darbā ir ierosināta ar AI darbināma IAM audita sistēma, kas IAM žurnālu analīzei apvieno pazīmju inženieriju, neuzraudzītu anomāliju noteikšanu un uzraudzītu klasifikāciju. Izmantojot sintētisku datu kopu, kas modelēta pēc kritiskās infrastruktūras parauga, sistēma sasniedza 92% atklāšanas rādītāju ar viltus pozitīvu rezultātu līmeni, kas ir mazāks par 3%. Iegūtie rezultāti parāda, kā AI uzlabo IAM žurnālu revīziju, ļaujot proaktīvi atklāt iekšējos draudus un smalkas piekļuves anomālijas, ko tradicionālās metodes bieži vien nepamana.
Žurnāla analīze
Lai atklātu, izmeklētu un izprastu incidentus, tiek analizēti sistēmas un drošības žurnāli.
Kā AI maina žurnālu analīzi:
AI var apstrādāt milzīgus žurnālu apjomus reālajā laikā, izcelt neparastas notikumu secības un ģenerēt kodolīgus kopsavilkumus. Tas uzlabo atklāšanu un ļauj ātrāk veikt mācības un incidentu simulācijas.
Izceltais gadījums: AI aģenti žurnālu analīzei un draudu modeļu atklāšanai
2025. gadā, Karaarslan et al pārbaudīja, kā AI aģenti varētu palīdzēt analizēt plašos Cowrie medus punktu ģenerētos žurnālus. Honeypots apzināti imitē neaizsargātas sistēmas, lai piesaistītu uzbrucējus, taču rezultātā tiek iegūts milzīgs neapstrādātu datu apjoms, kuru interpretēt ir grūti cilvēka analītiķiem.
Pētnieki parādīja, ka AI aģenti var automātiski analizēt un apkopot šos žurnālus, iegūstot atkārtojošos uzbrukumu modeļus un ģenerējot kodolīgus ziņojumus. Šī automatizācija samazina manuālo darbu, uzlabo situācijas izpratni un ļauj aizsargiem ātrāk noteikt tendences un pielāgot drošības pasākumus. Pētījums ilustrē, kā AI var pārvērst neapsaimniekojamas datu kopas par izmantojamu izlūkinformāciju, vienlaikus uzsverot nepieciešamību rūpīgi pārbaudīt rezultātus, lai netiktu nepareizi saprasta mainīga vai maldinoša pretinieku taktika.
-
Paškontrolēta žurnālu analīze - "AI vadīta baļķu analīze, izmantojot transformatoru konstrukcijas" (Pan 2023)
Šajā pētījumā tiek pētīts, kā AI var atbalstīt žurnālu analīzi incidentu atklāšanai un izmeklēšanai. Izmantojot Transformatora modeli, kas apmācīts uz parastiem žurnāla ierakstiem, šī pieeja izmanto žurnāla paplašināšanu, lai veiktu paškontrolētu pazīmju mācīšanos, un pēc tam precizē modeli, izmantojot pastiprināto mācīšanos nelielā marķēto datu kopā. Rezultāti liecina, ka ar šo metodi var pārvarēt heterogēnu žurnālu avotu un ierobežotu marķētu datu problēmu, un tā ir daudzsološa praktiskai un reālai izmantošanai kiberdrošības operācijās. -
Uz dziļo mācīšanos balstīta žurnālu analīze ielaušanās atklāšanai - "Kiberuzbrukumu notikumu žurnālu klasifikācija, izmantojot dziļo mācīšanos ar semantisko pazīmju analīzi" (Alzu'bi et al. 2025)
Šajā pētījumā ir ierosināta uz dziļo mācīšanos balstīta sistēma, kas izmanto semantisko vektorizāciju un BERT iestrādnes, lai analizētu notikumu žurnālus ielaušanās atklāšanai. Kategorizējot žurnālus pēc notikumu un uzbrukumu tipiem ar izskaidrojamu AI, šī pieeja uzlabo atklāšanas precizitāti, sasniedzot vairāk nekā 99% atsaukumu un precizitāti, un pārspēj esošos modeļus.
Ļaunprātīgās programmatūras analīze
Ļaunprātīgās programmatūras analīzē tiek pētīta ļaunprātīga programmatūra, lai izprastu tās uzvedību, izcelsmi un iespējamo ietekmi.
Kā AI maina ļaunprātīgas programmatūras analīzi:
AI paātrina klasifikāciju, identificējot kodu līdzības starp ļaunprogrammatūru ģimenēm un ģenerējot smilšu kastes izpildes skaidrojumus. Tas palīdz analītiķiem ātri saprast, kā darbojas ļaunprogrammatūra, palīdzot ātrāk reaģēt un efektīvāk mazināt kaitējumu.
Izceltais gadījums: AI atbalstīta ļaunprātīgas programmatūras demontāža
2025. gadā, Apvrille un Nakov novērtēja R2AI, AI spraudni Radare2 disassemblerim, ar jaunākajiem Linux un IoT ļaunprogrammatūras paraugiem. Sistēma integrē LLM reversās inženierijas procesā, palīdzot analītiķiem dekompilēt funkcijas, pārdēvēt mainīgos un identificēt aizdomīgu uzvedību. Viņu pētījums parādīja, ka AI palīdzība var samazināt analīzes laiku no vairākām dienām līdz aptuveni pusei, vienlaikus saglabājot tādu pašu vai labāku kvalitāti nekā analīzei, ko veic tikai cilvēks. Piemēram, Linux/Devura ļaunprogrammatūras gadījumā AI pareizi noteica argumentu formātus, kurus analītiķi nebija pamanījuši. Tomēr saglabājās ierobežojumi: modeļi reizēm radīja halucinācijas, pārspīlējumus vai izlaidumus, un tiem bija nepieciešama pastāvīga kvalificētu ekspertu validācija. Rezultāti liecina, ka AI asistētā demontāža ir visefektīvākā kā spēka reizinātājs, paātrinot šķirošanu un ātrāk atklājot detaļas, vienlaikus joprojām paļaujoties uz cilvēka uzraudzību, lai nodrošinātu precizitāti un izvairītos no nepareizas interpretācijas.
-
Semantiskā segmentācija klasifikācijai - "Deep Learning with Semantic Segmentation for Malware Classification" (Chen et al. 2025)
Pētījums parāda, ka AI piemērošana ļaunprātīgas programmatūras failu izvēlētām daļām, nevis veselām failu sekvencēm, var ievērojami uzlabot veiktspēju. Koncentrējoties uz portatīvo izpildāmo failu galvenes datiem, viņu modelis ļāva sasniegt 99,54% precizitāti ļaunprogrammatūru ģimeņu klasifikācijā. Tas liecina, ka orientēšanās uz visinformatīvākajām koda sadaļām ļauj ātrāk un uzticamāk atklāt draudus. -
Jaunu ļaunprātīgu programmatūru apguve ar dažiem šāvieniem - "Dažādu ļaunprātīgu programmatūru klasifikācijas pieeja nezināmas ģimenes atpazīšanai, izmantojot ļaunprātīgu programmatūru pazīmju vizualizāciju" (Conti et al. 2022).
Darbā ir ierosināts izmantot mācīšanos ar dažiem paraugiem, lai klasificētu ļaunprogrammatūru ģimenes, izmantojot tikai dažus piemērus, tādējādi novēršot nepieciešamību atkārtoti apmācīt modeļus, kad parādās jaunas ļaunprogrammatūras. Vizualizējot ļaunprogrammatūru binārās programmas kā trīs kanālu attēlus un testējot divas arhitektūras (CSNN un Shallow-FS), pētījums parāda augstu precizitāti gan tradicionālo, gan jauno ļaunprogrammatūru klasifikācijā. Tas parāda, ka dažas pieejas, kas ļauj uzlabot pielāgojamību un ātrumu jaunu draudu atklāšanā, ir potenciāli izmantojamas.
Apmācības un laboratorijas
Apmācības un laboratorijas nodrošina kontrolētu vidi praktiskiem kiberdrošības vingrinājumiem un simulācijām.
Kā AI maina apmācību un laboratorijas:
AI var ģenerēt dinamiskus laboratorijas scenārijus, kas pielāgoti izglītojamā progresam, izveidot adaptīvus dažādas grūtības pakāpes uzdevumus un automatizēt atgriezenisko saiti un novērtēšanu. Tas nodrošina reālistiskāku un mērogojamu apmācību.
Izceltais gadījums: Ar AI darbināmi kibermērķlaukumi adaptīvām mācībām
2025. gadā, Sisodiya et aliepazīstināja ar AI darbināmu kiberdrošības diapazonu, kas paredzēts, lai uzlabotu kiberdrošības mācību reālismu un efektivitāti. Atšķirībā no tradicionālajām statiskajām laboratorijām platforma izmanto AI, lai pielāgotu scenāriju sarežģītību atkarībā no apmācāmā progresa, ieviestu reālistiskus uzbrukumu notikumus un nodrošinātu automātisku atgriezenisko saiti.
Pētījumā tika konstatēts, ka šajā vidē apmācītie skolēni sasniedza augstāku noteikšanas precizitāti un samazināja ietekmes mazināšanas laiku salīdzinājumā ar parastajām pieejām. Pedagogiem šī sistēma ļauj paplašināt vingrinājumus, personalizēt uzdevumus un simulācijās iekļaut mācības no reāliem incidentiem.
No tehniskā viedokļa pētījums arī parādīja, ka hibrīdās arhitektūras, kurās apvienota mākoņa mērogojamība un fizisko sistēmu uzticamība, nodrošina reālistiskākus un adaptīvākus scenārijus. Secinājumos uzsvērts, kā AI var pārveidot mācības no fiksētām mācībām par dinamisku mācību vidi, kas labāk sagatavo studentus un profesionāļus reāliem kiberdraudiem.
-
Kiberdrošības apmācības metodes - "Sistemātisks pārskats par pašreizējām kiberdrošības apmācības metodēm" (Prümmer et al. 2024)
Darbā parādīts, ka dažādas kiberdrošības apmācības pieejas, tostarp uz spēlēm balstītas metodes, uzlabo galalietotāju uzvedību un organizācijas drošības rezultātus. Rezultāti liecina par strukturētu mācību programmu efektivitāti, taču atklāj arī tādas problēmas kā nelielas izlases un neeksperimentāli modeļi. Tas uzsver AI integrēšanas vērtību apmācībās un laboratorijās, lai paplašinātu intervences, personalizētu saturu un radītu adaptīvus vingrinājumus, kas pārvar tradicionālo metožu ierobežojumus.
Diskusijas jautājumi
- Kuru no kiberincidentu dzīves cikla fāzēm (novēršana, sagatavotība, reaģēšana, atjaunošana) AI nākotnē, visticamāk, pārveidos, un kurā fāzē AI pašlaik ievieš vislielākās pārmaiņas? Kur AI šķiet vismazāk efektīvs?
- Vai AI maina spēku līdzsvaru kibertelpā uz aizstāvju pusi, vai arī tas galvenokārt palīdz uzbrucējiem saglabāt pārsvaru?
- Vai atvērtā koda un plaši pieejamie AI rīki izlīdzinās konkurences apstākļus mazajiem aizstāvjiem, vai arī modernas patentētas sistēmas joprojām dos lielām organizācijām pārliecinošas priekšrocības?
- Kā AI spēja automatizēt atklāšanu, šķirošanu un reaģēšanu maina aizsardzības operāciju ātrumu un raksturu? Vai tas varētu padarīt "tradicionālos SOC modeļus" novecojušus?
- Vai aizstāvji var kļūt pārāk atkarīgi no AI, kas var radīt aklos punktus, ja modeļi neizdodas, tiek saindēti vai maldināti ar pretinieka ievadītajiem datiem?
- Kas uzņemas atbildību, ja AI sistēmas neņem vērā kritiskus apdraudējumus vai sniedz kļūdainus ieteikumus: izstrādātāji, izvietošanas organizācijas vai analītiķi, kas uz tām paļaujas?
- Kā politikas veidotājiem vajadzētu veicināt atbildīgu AI izmantošanu aizsardzībā, neapdusinot inovācijas un neierobežojot piekļuvi izglītotājiem un mazākām organizācijām?
- Vai, gan uzbrucējiem, gan aizstāvjiem ieviešot AI, kiberkonflikts pārvērtīsies par "autonomās aizsardzības pret autonomo uzbrukumu" sacensībām?
