AIは素晴らしいですが、それでもサイバーセキュリティを強化するには人間が必要です

コンピューターと情報システムをサイバー攻撃から保護することになると、人工知能と機械学習が役立ちますが、それらはすべて、増大する問題の解決策ではありません。

AIに対する現在の興奮と、さまざまな面で人間を最高にする能力の向上にもかかわらず、サイバーセキュリティを強化するための特効薬ではありません、とクリティカルスタート社の最高技術責任者であるランディワトキンスは言います。

AIは、セキュリティ違反の可能性に関するアラートなど、大量のデータの管理に優れています。問題は、その情報をどのように解釈するかにあります。

アラートは、到着した順序で対処されます。次に、適切なレベルの脅威について優先順位が付けられ、評価されます。ビジネスに関する深い知識と経験を持つ人間のアナリストは、各アラートを適切なコンテキストに配置するのが得意です。機械、それほど多くはありません。 AI駆動型システムは、異常なユーザーアクティビティを検出できますが、イベントに悪意が含まれているかどうかを判断する効果は低くなります。

「私はすべてのAIの否定論者ではありません」とワトキンス氏は言います。「しかし、AIと機械学習には、彼らがしていることに豊富な理由を適用する能力がありません。」

マシンは、誤検知を最小限に抑えるのに特に優れているわけではありません。タスク自動化のための人気のあるフレームワークであるMicrosoftのPowerShellを取り上げます。マシンは、そのツールの特定のユーザーが特定の時間にコマンドを実行する必要があるかどうかを正確に判断できません。異常は、悪意のある攻撃の結果である場合とそうでない場合があります。

「機械学習」という用語は、システムが経験を積むことで向上することを意味しますが、ワトキンスは能力が限られていると言います。適切な方法で応答するようにアルゴリズムをトレーニングするには、良い例と悪い例の両方を含む多数の前の例を入力する必要があります。そして、それでもフォールスネガティブの問題、つまりシステムが見逃す実際の攻撃を解決することはできません。 「データを歪める原因となる外れ値を取り除くことができなければなりません」とワトキンス氏は言います。

イベントが悪意のあるものであるかどうかを判断することは、必ずしも「はい」または「いいえ」の答えになるとは限りません。一つには、企業はシステムの感度を決定する必要があります。一見異常なイベントの100％に対してアラームを発生させる必要がありますか？ 80％はどうですか？多すぎると、アラートが殺到し、システムがシャットダウンする可能性があります。少なすぎると、侵害が検出されないままスリップする可能性があります。

「より多くの変数を導入する場合、追加のデータセット、主題および[システムの]動作に関するより多くのコンテキストが必要になります」とWatkins氏は述べています。 「これらの質問を紹介し始めると、マシンはバラバラになります。」

サイバー攻撃の効果的な検出は、人間が得意とする累積的なリスクスコアリングに依存します。 「イベントを見るたびに、それが疑わしいかどうかを判断しています」とワトキンスは言います。 「しかし、アルゴリズムにはないセキュリティに関する理由や以前の知識を適用することもできます。

「マシンは膨大な量のデータをすばやくクロールできます」と彼は続けます。 「しかし、最小特権のような抽象的な概念を与えて、アラートセットに適用します。特権の昇格を認識しますか？悪意があるように見える良性の活動がたくさんあります。」

サイバー泥棒が検出を回避する新しい方法を考え出したとしても、機械学習が進化することは間違いありません。マイクロソフトは、サイバーセキュリティの世界的リーダーであるパロアルトネットワークスと同様に、自動検出システムの高度化に向けて前進してきました。 「しかし、結局のところ、「はい、このドメインコントローラーをオフラインにします」と言う人間が必要です。」企業は、誤ったアラートによって引き起こされるシステムのダウンタイムのコストを最小限に抑えるよう常に努力しています。

とはいえ、すべてのセクターにわたるサイバーセキュリティのニーズを満たすのに十分な人間の専門家は存在しません。 「業界には間違いなく才能が不足しています」とワトキンスは言います。したがって、管理された検出と応答の形で、外部のサポートに目を向けます。

人材不足は目新しいものではありません。 「セキュリティが存在して以来、それは存在していました」とワトキンスは言います。企業や大学が将来のサイバーセキュリティ専門家のより良いトレーニングと教育の必要性に目覚め始めたのは、過去10年間だけです。

増大し続けるサイバー攻撃の脅威から重要なシステムを保護するために協力するのであれば、人間と機械の両方に道があります。 「60歳になる必要があるときにゼロから始めました」とワトキンスは言います。 「今は90歳である必要があり、60歳です。」