安全運營中心(SOC)的分析人員擅長推理和決策，但很少有企業負擔的起24小時不休息的安全團隊。即使可以，大量的網絡數據和告警也令安全人員疲憊不堪，無所適從。而且，在可見的未來，物聯網設備的爆炸性增長，會有更多的端點、流量、應用……
傳統的安全自動化
SOC通過嘗試用自動化來應對這一問題。如SOAR（安全編排自動化和響應），試圖通過自動事件的響應手冊(playbook)來協調安全設備之間的活動，從而簡化分析師的工作。在某種程度上SOAR是有用的，但SOAR實際上是一個複雜的帶有觸發器流程圖，只能依據接收的信號，並根據所看到的情況做出有限的響應。這些信號要求的數據非常嚴格，如基於IoC的簽名，以及處理特定類型惡意軟件的預定義規則。
這種基於經驗的工具，並不能讓傳統的安全自動化系統適應不斷變化的環境。如企業內部自身基礎設施和業務行為的變化，以及外部攻擊者不斷發展的TTP（攻擊技術、工具和流程）。環境會根據各種因素發生變化，包括事件涉及的人員、設備、地點，甚至是一天當中的不同時間。
從自動化安全到自主響應
英國網絡安全公司Darktrace，自2016年開始用一種不同的方法來改變這種狀況。它使用AI來做到自主響應，而不是傳統的自動化安全。兩者的區別是，前者無需遵循預先定義的一組步驟來處理已知條件。Antigena（Darktrace的自主響應工具）基於的是原生AI，即與自動化系統實施的方向相反，一開始沒有任何規則或簽名，一切都從「新」學起，來了解用戶機構的運轉模式。
Antigena通過觀察機構的數字化活動的各個方面來學習，在觀察過程中創建常規的統計模型。該模型必須包含各種活動的集合，以適應事件的上下文環境。例如，一名員工的正常行為對於另一名員工來說就可能是異常的。而每位員工都會在公司的基礎設施上留下數字足跡，Antigena利用這些足跡來建立對上下文環境的基線理解，採集的數據點可以是成千上萬個。
基礎設施的基線形成
通過追蹤各種數字活動，甚至包括與Checkpoint、Cisco、Fortinet和Palo Alto等其他安全工具的結合，以觀察用戶自身網絡上發生的事情，全面了解正常的訪問行為。如觀察員工的電子郵件互動，從郵件的內容和相應而創建的元數據中學習。AI在郵件安全中的應用尤為普遍，因為電子郵件是網絡攻擊最為常見的路徑之一。
舉個典型例子，當某企業的一名高管收到網絡釣魚電子郵件時，Antigena便會發現其中的異常之處，包括發送者和接受者的身份，郵件中隱藏的URL等，最終導致自主響應系統的懷疑，防止進一步對其他基礎設施的侵害。
除了電子郵件，Darktrace的自主人工智能還包括觀察客戶的雲端行為，如監視SaaS應用程序中的活動，以及混合基礎設施中發生的事情。在一個真實案例中，一名試圖報復公司的IT管理員從公司的SaaS帳戶下載了敏感文件，然後使用一個得到IT部門批准的文件傳輸賬戶(VPN)，以逃避文件傳輸監控把文件悄悄傳送到家裡。然而，Antigena發現這個SaaS賬戶下載的文件過大，不僅阻止了文件上傳，還禁止了這名心懷不滿的員工使用VPN進行的遠程連接。
自主響應的處理層級
不了解上下文的自動化響應工具，往往會導致業務停擺的風險。自動主響應工具能夠把可疑活動置於上下文中，了解事件的細微差別，判斷哪些行為能夠在維持正常業務運轉的同時控制風險。
最簡單的，在某些情況下，一起事件可能根本不需要自主響應。或者人工智能可能只是通過將附件轉換為無害的文件類型，就可將攻擊消除。
還有一些情況，Antigena只需阻止一封本地化攻擊的電子郵件。例如在上面的那起「心懷不滿的員工」例子中，Darktrace的系統雙重鎖定了鏈接，避免任何人點擊它，並將電子郵件移動到高管的垃圾郵件文件夾中。
最極端的處理，當某個服務器正向向一個它以前從未聯繫過的目的地發送信息，Antigena可能會隔離這台服務器，阻塞其所有流量，以避免該服務器成為攻擊其他企業內部資產的「橋頭堡」。
自主響應之於攻擊鏈
任何人工智能的自主反應都無法做到「開箱即用」，Antigena也不例外。它需要對用戶企業的運轉流程有更多的了解之後，才能逐漸開始發現異常行為，並以所謂的人類確認模式推薦緩解措施。客戶只有在充分的信任系統後，才會開啟主動模式，該模式提供完全無需人工干涉的自主響應。
以下是自主響應如何緩解典型的勒索軟件事件：
初始階段
在一次勒索軟件攻擊中，「零號患者」（即第一位受害者）從一台服務器下載了一個可執行文件，這台服務器該企業網絡上所有的設備都從未有過聯繫。這時自主響應系統就會將其標記並記錄，由於系統尚未開啟主動模式，攻擊進入下一階段。
聯繫C2
勒索軟件感染的下一個階段通常是與C2服務器進行通信，以獲取進一步的指示。通常受感染的設備通過GET請求與C2服務器通信，並使用自簽名的SSL證書加密與其他計算機的通信。這時，為了保護企業網絡中的其他資產，Antigena此時介入並阻止來自該感染設備的所有流量。
橫向移動
橫向移動是指勒索軟件在企業網絡中試圖擴展，以在其他設備上建立立足點，並找到目標數據。在本案例中，受感染設備開始掃描其他內部設備的RDP和SMB端口，如果找到漏洞，就會建立連接並繼續用惡意文件感染這些設備。如果Antigena開啟了主動模式，它首先就會阻止攻擊者的SMB連接請求，如果發現不斷的連接嘗試，就會阻斷該設備的所有通信。
數據加密
加密用戶的數據是勒索軟件實施勒索前的主要目標（有的攻擊者已經開始以公開數據進行勒索）。在一起基於零日漏洞的勒索軟件攻擊案例中，Antigena注意到網絡上的一台機器正在訪問SMB上共享的數百個Dropbox文件，並實施加密。Antigena的權限能夠阻斷所有異常連接五分鐘，利用這幾分鐘的時間，再將被操控的設備與網絡隔離，留出充分的時間去調查取證。最終，這個利用零日漏洞的勒索軟件被AI切斷的時候，僅加密了四份文件。
結語
自主響應是一種很有前途的技術，它利用機器的速度和規模來捕獲攻擊。由於未來可能的變化趨勢，它將得越來越重要。另一方面，安全專家也認為，尖端複雜的攻擊也將變得越來越自動化，甚至也是自主的。
Darktrace與麻省理工學院技術評論(MIT Technology Review）聯合開展了一項針對300多名C級高管的調查，超過三分之二的人表示，他們預計人工智能將成為仿冒和有針對性的網絡釣魚工具。超過一半的人擔心使用自主技術的更加高效的勒索軟件。也許，唯一的出路就是「用自主對抗自主」了。
參考閱讀
炒作還是高效？人工智能在網絡安全中的實際應用
墨菲斯AI：人工智能網絡安全框架即將上線
人機合智 | 第二屆數字安全大會即將召開！
SOC的優點、缺點和挑戰
現代安全運營中心（SOC）團隊必備的五種技能
留言列表