自动化响应不是人工智能,自主响应才是

作者阿里云代理 文章分类 分类:新闻快递 阅读次数 已被围观 502

安全运营中心(SOC)的分析人员擅长推理和决策,但很少有企业负担的起24小时不休息的安全团队。即使可以,大量的网络数据和告警也令安全人员疲惫不堪,无所适从。而且,在可见的未来,物联网设备的爆炸性增长,会有更多的端点、流量、应用……

传统的安全自动化

SOC通过尝试用自动化来应对这一问题。如SOAR(安全编排自动化和响应),试图通过自动事件的响应手册(playbook)来协调安全设备之间的活动,从而简化分析师的工作。在某种程度上SOAR是有用的,但SOAR实际上是一个复杂的带有触发器流程图,只能依据接收的信号,并根据所看到的情况做出有限的响应。这些信号要求的数据非常严格,如基于IoC的签名,以及处理特定类型恶意软件的预定义规则。

这种基于经验的工具,并不能让传统的安全自动化系统适应不断变化的环境。如企业内部自身基础设施和业务行为的变化,以及外部攻击者不断发展的TTP(攻击技术、工具和流程)。环境会根据各种因素发生变化,包括事件涉及的人员、设备、地点,甚至是一天当中的不同时间。

从自动化安全到自主响应

英国网络安全公司Darktrace,自2016年开始用一种不同的方法来改变这种状况。它使用AI来做到自主响应,而不是传统的自动化安全。两者的区别是,前者无需遵循预先定义的一组步骤来处理已知条件。Antigena(Darktrace的自主响应工具)基于的是原生AI,即与自动化系统实施的方向相反,一开始没有任何规则或签名,一切都从“新”学起,来了解用户机构的运转模式。

Antigena通过观察机构的数字化活动的各个方面来学习,在观察过程中创建常规的统计模型。该模型必须包含各种活动的集合,以适应事件的上下文环境。例如,一名员工的正常行为对于另一名员工来说就可能是异常的。而每位员工都会在公司的基础设施上留下数字足迹,Antigena利用这些足迹来建立对上下文环境的基线理解,采集的数据点可以是成千上万个。

基础设施的基线形成

通过追踪各种数字活动,甚至包括与Checkpoint、Cisco、Fortinet和Palo Alto等其他安全工具的结合,以观察用户自身网络上发生的事情,全面了解正常的访问行为。如观察员工的电子邮件互动,从邮件的内容和相应而创建的元数据中学习。AI在邮件安全中的应用尤为普遍,因为电子邮件是网络攻击最为常见的路径之一。

举个典型例子,当某企业的一名高管收到网络钓鱼电子邮件时,Antigena便会发现其中的异常之处,包括发送者和接受者的身份,邮件中隐藏的URL等,最终导致自主响应系统的怀疑,防止进一步对其他基础设施的侵害。

除了电子邮件,Darktrace的自主人工智能还包括观察客户的云端行为,如监视SaaS应用程序中的活动,以及混合基础设施中发生的事情。在一个真实案例中,一名试图报复公司的IT管理员从公司的SaaS帐户下载了敏感文件,然后使用一个得到IT部门批准的文件传输账户(VPN),以逃避文件传输监控把文件悄悄传送到家里。然而,Antigena发现这个SaaS账户下载的文件过大,不仅阻止了文件上传,还禁止了这名心怀不满的员工使用VPN进行的远程连接。

自主响应的处理层级

不了解上下文的自动化响应工具,往往会导致业务停摆的风险。自动主响应工具能够把可疑活动置于上下文中,了解事件的细微差别,判断哪些行为能够在维持正常业务运转的同时控制风险。

最简单的,在某些情况下,一起事件可能根本不需要自主响应。或者人工智能可能只是通过将附件转换为无害的文件类型,就可将攻击消除。

还有一些情况,Antigena只需阻止一封本地化攻击的电子邮件。例如在上面的那起“心怀不满的员工”例子中,Darktrace的系统双重锁定了链接,避免任何人点击它,并将电子邮件移动到高管的垃圾邮件文件夹中。

最极端的处理,当某个服务器正向向一个它以前从未联系过的目的地发送信息,Antigena可能会隔离这台服务器,阻塞其所有流量,以避免该服务器成为攻击其他企业内部资产的“桥头堡”。

自主响应之于攻击链

任何人工智能的自主反应都无法做到“开箱即用”,Antigena也不例外。它需要对用户企业的运转流程有更多的了解之后,才能逐渐开始发现异常行为,并以所谓的人类确认模式推荐缓解措施。客户只有在充分的信任系统后,才会开启主动模式,该模式提供完全无需人工干涉的自主响应。

以下是自主响应如何缓解典型的勒索软件事件:

(1) 初始阶段

在一次勒索软件攻击中,“零号患者”(即第一位受害者)从一台服务器下载了一个可执行文件,这台服务器该企业网络上所有的设备都从未有过联系。这时自主响应系统就会将其标记并记录,由于系统尚未开启主动模式,攻击进入下一阶段。

(2) 联系C2

勒索软件感染的下一个阶段通常是与C2服务器进行通信,以获取进一步的指示。通常受感染的设备通过GET请求与C2服务器通信,并使用自签名的SSL证书加密与其他计算机的通信。这时,为了保护企业网络中的其他资产,Antigena此时介入并阻止来自该感染设备的所有流量。

(3) 横向移动

横向移动是指勒索软件在企业网络中试图扩展,以在其他设备上建立立足点,并找到目标数据。在本案例中,受感染设备开始扫描其他内部设备的RDP和SMB端口,如果找到漏洞,就会建立连接并继续用恶意文件感染这些设备。如果Antigena开启了主动模式,它首先就会阻止攻击者的SMB连接请求,如果发现不断的连接尝试,就会阻断该设备的所有通信。

(4) 数据加密

加密用户的数据是勒索软件实施勒索前的主要目标(有的攻击者已经开始以公开数据进行勒索)。在一起基于零日漏洞的勒索软件攻击案例中,Antigena注意到网络上的一台机器正在访问SMB上共享的数百个Dropbox文件,并实施加密。Antigena的权限能够阻断所有异常连接五分钟,利用这几分钟的时间,再将被操控的设备与网络隔离,留出充分的时间去调查取证。最终,这个利用零日漏洞的勒索软件被AI切断的时候,仅加密了四份文件。

结语

自主响应是一种很有前途的技术,它利用机器的速度和规模来捕获攻击。由于未来可能的变化趋势,它将得越来越重要。另一方面,安全专家也认为,尖端复杂的攻击也将变得越来越自动化,甚至也是自主的。

Darktrace与麻省理工学院技术评论(MIT Technology Review)联合开展了一项针对300多名C级高管的调查,超过三分之二的人表示,他们预计人工智能将成为仿冒和有针对性的网络钓鱼工具。超过一半的人担心使用自主技术的更加高效的勒索软件。也许,唯一的出路就是“用自主对抗自主”了。

本公司销售:阿里云新/老客户,只要购买阿里云,即可享受折上折优惠!>