Преимущества решений EDR на базе искусственного интеллекта в свете модели угроз MITRE ATT&CK

Введение

Любая организация хранит оцифрованную информацию, имеет выход в глобальную сеть интернет и уязвима перед киберпреступниками. Защищать и анализировать становиться все труднее. Появляется все больше объектов критической информационной инфраструктуры (КИИ). КИИ делиться на значимые и незначимые и присваивается категория (первая, вторая, третья). Такие категории необходимы для определения мер защиты, направленных на предотвращения компьютерных атак [1]. КИИ имеют значимость: социальную, политическую, экономическую, экологическую, значимость для обороны страны. Если важные КИИ атакуют, то парализуется важные отрасли страны. Человеческими силами трудно анализировать и защищать большие данные. На помощь приходит искусственный интеллект.

«Искусственный интеллект ⎯ это направление в науке основано на точных науках (математике, информатике, физика и другие), лингвистике, биологии, медицине, психологии, машиностроение и другое. На основе информации (в зависимости от научного направления) при помощи машинного обучения вычислительные системы имитируют человеческий интеллект. Так же искусственный интеллект может обнаружить хакерские атаки, угрозы и взломы из вне, а также автоматически принять необходимые меры для устранения угроз» [7; 8].

Тема применение искусственного интеллекта в защите информации сейчас актуальна. В нашей статье затронем понятия искусственного интеллекта Симбиоз искусственного интеллекта и EDR позволяют системам обучатся на основе данных о безопасности. Благодаря такому обучению, у систем существенно повышается их способность к предсказанию и нейтрализации угроз до атаки. Такие возможности появляются благодаря анализу поведения в сети и на конечных точках. Это все позволяет обнаружить аномалии, уязвимости, ошибки, которые могут указывать на область атаки. Подход и анализ на основе ИИ в нынешней ситуации особенно актуален и ценен в контексте модели MITRE ATT&CK [1].

MITRE ATT&CK это матрица включает в себя огромный объем данных об угрозах (рисунок 1). Рисунок 1. Матрица MITRE ATT&CK Эти данные собраны из открытых источников, что дает богатую базу для анализа и обучения ИИ.

С развитием динамики угроз, простое обновление баз данных уже не может обеспечить достаточный уровень информационной безопасности.

EDR (Endpoint Detection and Response) – это средство, предназначенное для мониторинга и анализа активности на конечных устройствах [3]. Таких как компьютеры, сервера, мобильные устройства и т.д. Оно помогает выявлять подозрительные действия и реагировать на них. В связке EDR на основе ИИ выступает как важный инструмент для адаптации к меняющимся тактикам злоумышленников, представленным в MITRE ATT&CK.

Системы могут не только распознавать известные атаки, но и предсказать новые изменения или свежие угрозы, тем самым системы опережают действия злоумышленников и защищают организации от возможных рисков [2]. Так, объединение ИИ и EDR систем с данными MITRE ATT&CK открывает новые пути в сфере ИБ предлагая глубокий анализ угроз и высокий уровень защиты. Это представляет большой шаг вперед в борьбе с киберпреступностью обеспечивая целостный подход к нахождению, предотвращению и реагированию на угрозы безопасности в реальном времени.

Материалы и методы

Рассмотрим, что такое MITRE ATT&CK. MITRE база знаний, она описывает тактики и техники, которые используют злоумышленники на каждом этапе своей атаки [5]. Матрица создана экспертами из организации MITRE чтобы дать общее понимание возможных угроз и сделать защиту информационных систем более эффективной. Зная определённые аспекты этой матрицы, специалисты могут предсказывать действия злоумышленников и разрабатывать меры защиты от атак. Матрица MITRE ATT&CK основывается на нескольких ключевых принципах: тактика, техника и процедуры (TTPs); структурирование и визуализация данных; большая база знаний; адаптивность; интеграция с другими инструментами [4]. Эти принципы делают матрицу MITRE ATT&CK эффективным инструментом для анализа тактики и защиты от киберугроз.

EDR-решение обеспечивает наглядное отображение происходящего в режиме реального времени и помогает активно выявлять потенциальные угрозы. В работе оно проходит через следующие основные этапы:

1. Сбор сведений с клиентских устройств.

На устройствах генерируется информация о сетевых коммуникациях, процессах и действиях пользователей. Вся эта информация передается централизованной платформе EDR (которая может размещаться в облаке, локально или иметь гибридную архитектуру), чтобы потом подвергнуться обработке.

2. Анализ полученных данных.

Используя методы машинного обучения, инструменты EDR анализируют собранные сведения, ориентируясь на стандартные модели поведения. Таким образом устанавливается нормальный режим работы системы, что упрощает выявление отклонений и потенциальных нарушений.

3. Уведомления о подозрительных событиях. Система EDR оповещает специалистов службы информационной безопасности и другие подразделения компании обо всех необычных инцидентах. Помимо этого, она автоматически инициирует запрограммированные реакции согласно установленным правилам.

4. Архивирование данных.

Пока специалисты занимаются устранением инцидента, система сохраняет всю необходимую информацию, полученную во время обнаружения атаки. Эти данные впоследствии пригодятся для проведения расследований, изучения долгосрочных угроз либо поиска скрытых уязвимостей.

Использование базы знаний MITRE ATT&CK в работе с системами EDR на базе ИИ дает большое преимущество. ИИ помогает делать процесс поиска угроз проще, основываясь на том, что уже известно о методах и тактиках, упомянутых в матрице MITRE ATT&CK. Это значит, что системы EDR могут самостоятельно учиться на больших объемах данных об атаках, замечая закономерности и предугадывая возможные направления атак еще до их начала. Такой подход не только увеличивает скорость и точность нахождения угроз, но также значительно снижает количество ложных срабатываний обеспечивая тем самым более высокий уровень безопасности [5].

В работе оно проходит через следующие основные этапы: сбор сведений с клиентских устройств, анализ полученных данных, уведомления о подозрительных событиях, архивирование данных [7].

Нами был реализован эксперимент, по сравнению эффективности поиска и анализа атаки человеком и искусственным интеллектом. Целью эксперимента, оценить различия в скорости и анализа кибератаки человеком-аналитиком и системой на основе искусственного интеллекта. На первом этапе была разработана виртуальная инфраструктура, имитирующая реальный критически важный объект. (промышленная система управления технологическими процессами). Потом произведены симуляция реалистичных кибератак различной степени сложности (от простых попыток несанкционированного доступа до сложных целевых атак).

Следующий этап, это наблюдение, анализ и измерение данных. Мы запускали два парал- лельных сценария анализа: человек-аналитик и система искусственного интеллекта.

Первый это человек-аналитик по информационной безопасности. Специалист по кибербезопасности проводил ручной анализ журналов безопасности, использовал традиционные инструменты мониторинга и реагировал на сигналы тревоги.

Второй процесс, это система искусственного интеллекта (ИИ). Использовалась специализированная система EDR (Endpoint Detection and Response) с элементами искусственного интеллекта, настроенной на непрерывный мониторинг и автоматический анализ поведения системы. Потом происходит сбор метрик. Идет регистрация временных показателей каждого этапа анализа и фиксации момента обнаружения атаки каждым участником.

Основные критерии, по которым будем анализировать.

• Время обнаружения атаки (от начала атаки до первого сигнала тревоги).

• Скорость идентификации типа атаки (время от сигнала тревоги до точной квалификации атаки).

• Качество анализа (точность определения причины и масштаба атаки).

• Эффективность реакции (скорость принятия контрмер и локализации угрозы).

По результатам эксперимента была составлена следующая таблица сравнительного анализа поиска и анализа атаки человеком и искусственным интеллектом (Таблица 1).

Таблица 1. Сравнительная характеристика Тип анализа Среднее время обнаружения человеком (мин.)

Среднее время обнаружения

ИИ (сек.)

Предварительная разведка 135 11 Первичный мониторинг сети 60 5 Идентификация подозрительной активности 186 15 Выявление начальной фазы атаки 240 20 Определение типа атаки 360 30 Локализация вторжения 480 45 Оценка ущерба 600 60 Реакция и блокировка атаки 720 90 ИИ показал существенное превосходство по скорости обнаружения и анализа атаки практически на каждом этапе.

Наиболее заметное ускорение наблюдалось на этапах предварительной разведки, первичного мониторинга и идентификации подозрительной активности.

Несмотря на высокую производительность ИИ, этап полной ликвидации атаки занял чуть больше времени, поскольку финальная реакция зачастую требует подтверждения оператором-человеком.

Качество анализа и точность диагностики оказались выше у ИИ-системы, что позволило сократить среднее время восстановления работоспособности объекта.

Таким образом, эксперимент подтвердил гипотезу о существенном преимуществе искусственного интеллекта перед традиционными методами анализа и реагирования на кибератаки, особенно в условиях критически важных объектов, где каждая минута задержки имеет решающее значение.

Искусственный интеллект играет важную роль в современных системах EDR. Он помогает находить и реагировать на угрозы в реальном времени. С помощью машинного обучения и глубокого обучения, системы EDR на базе ИИ могут обрабатывать большие объемы данных с конечных устройств. Это позволяет обнаруживать даже самые сложные атаки, которые раньше могли оставаться незамеченными [10].

Одно из главных преимуществ ИИ в EDR – это его способность учиться и адаптироваться. Традиционные системы часто используют заранее заданные сигнатуры или шаблоны поведения, что делает их менее эффективными против новых угроз. В отличие от них, ИИ может изучать поведение и, основываясь на прошлых данных, настраивать свои модели для выявления новых типов атак. ИИ также улучшает процесс классификации и приоритезации угроз. Системы могут автоматически оценивать уровень риска и определять, какие угрозы наиболее важны. Это особенно полезно в контексте матрицы MITRE ATT&CK, которая содержит информацию о тактиках и методах, используемых злоумышленниками [11].

Интеграция ИИ с этой матрицей помогает системам EDR точно определить, какие атаки произошли или могут произойти, и предлагает лучшие стратегии реагирования. В целом, ИИ значительно улучшает эффективность EDR. Он помогает справляться с современными угрозами и предсказывать будущие атаки. Интеграция ИИ с матрицей MITRE ATT&CK дает специалистам по кибербезопасности мощный инструмент для защиты организаций.

Заключение

Внедрение EDR на основе ИИ представляет собой революционный подход к защите компаний от современных угроз. Эта технология ключевой элемент стратегии защиты, соответствующей стандартам MITRE ATT&CK. Использование ИИ в EDR также значительно увеличивает скорость реагирования на инциденты, позволяя быстро идентифицировать атаки. Решение также помогает эффективно противодействовать угрозам в автоматическом режиме. Это освобождает ресурсы команды безопасности, давая возможность сосредоточить внимание на более важных задачах. Кроме того, интеграция EDR на основе ИИ с матрицей MITRE ATT&CK позволяет организациям детально прослеживать векторы атак и анализировать тактики противника, что является сильным инструментом при планировании защиты. В итоге, применение EDR на основе ИИ в контексте MITRE ATT&CK обеспечивает комплексное и глубокое понимание угроз, повышая общий уровень безопасности организаций. Внедрение и постоянное развитие EDR на основе ИИ является ключевой стратегией для тех организаций, которые стремятся не просто справиться с современными угрозами, но и предвосхитить их, обеспечивая надежную защиту своих цифровых активов.