Осмысленная киберзащита: где ИИ в безопасности данных действительно эффективен, а где без него не обойтись
Искусственный интеллект уже много лет остаётся одной из ключевых тенденций в области информационной безопасности. Разработчики решений для защиты информации, как и прочие участники ИТ-рынка, активно добавляют ИИ-функции в свои продукты. Это приводит к росту стоимости внедрений, и заказчики, естественно, рассчитывают на пропорциональное повышение эффективности систем. Однако что на самом деле может ИИ в сфере ИБ и в каких случаях его стоит применять, чтобы добиться желаемого результата? Об этом рассказывает Алексей Парфентьев, заместитель генерального директора по инновационной деятельности компании «СёрчИнформ», опираясь на опыт внедрения ИИ-инструментов в защитные решения.
Ожидания против реальности
Основная задача ИИ — снизить нагрузку на человека и ускорить процесс решения задач. В идеале пользователь мечтает о универсальном цифровом помощнике, который понимает любые запросы и самостоятельно решает, какие инструменты задействовать для их выполнения. Однако в информационной безопасности цена ошибки чрезвычайно высока, поэтому к этому вопросу подходят более прагматично: как минимум, доверять машине принятие решений пока не готовы.
Давайте разберёмся, где ИИ приносит наибольшую пользу? Там, где требуется:
- Анализировать данные — выявлять тренды и аномалии, особенно в крупных массивах информации.
- Автоматизировать трудоёмкие и рутинные процессы — например, обработку нетекстовых форматов: аудио, изображений, видео, а также текстов на иностранных языках.
- Упрощать процесс принятия решений — к примеру, собирать в сжатом виде все необходимые детали и выводы по инциденту.
Ключевой момент — использовать его там, где стандартные методы неэффективны. Например, гораздо проще и дешевле выявлять утечки паспортных данных с помощью регулярных выражений, чем привлекать ИИ, которому требуется значительно больше вычислительных ресурсов и времени на анализ. Однако для раннего обнаружения инцидентов — к примеру, замаскированных договоренностей о незаконном получении тех же паспортных данных — ИИ оказывается гораздо эффективнее. Мы убедились в этом, внедрив ИИ-модуль в нашу систему защиты от утечек «СёрчИнформ КИБ». Расскажу, как это устроено и какие задачи помогает решать.
Обнаружить скрытое
Нередко признаки нарушений скрыты в диалогах, которые по формальным признакам почти неотличимы от легитимных. Сравните:
- «Отправляем заказ после предоплаты 30% по выставленному счету».
- «Отправлю инфу по нужному тебе человечку, но сначала авансна счет».
С точки зрения традиционных методов текстового анализа — например, на основе словарей, синонимов или семантики ключевых слов — эти сообщения выглядят почти идентично. Но человек интуитивно понимает: первый случай — обычная рабочая переписка, а второй — как минимум подозрительный. Чтобы алгоритмы могли улавливать эту разницу, им нужно понимать контекст ситуации. Такой анализ под силу только ИИ, поскольку он учитывает особенности бизнес-процессов и тональность общения.
Контекст важен и при поиске других угроз внутренней безопасности: мошеннических схем, откатов, саботажа и т.д. Ведь слово «премия» в письме от HR или руководителя — это нормально, но в переписке между закупщиком и поставщиком — уже сигнал высокого риска.
В стандартной политике безопасности пришлось бы настраивать множество исключений, чтобы отделить одни письма от других, учесть все возможные синонимы, включая сленговые, к ключевым словам и так далее. В итоге получится либо громоздкая, слишком узкая политика с кучей условий, которая может пропустить инцидент, либо слишком широкая, порождающая множество ложных срабатываний. Более того: обычная политика анализирует каждое письмо в цепочке по отдельности. Если нарушители начнут «дробить» данные — например, отправлять номер кошелька для перевода «премии» по паре цифр в каждом сообщении, — полную картину такая политика просто не восстановит.
ИИ работает не с набором конкретных «ключевиков», а с целыми смысловыми категориями и изучает всю переписку целиком, а не отдельные реплики. Затем он оценивает, насколько ситуация похожа на инцидент — с высокой точностью, если предварительно предоставить ему примеры.
Мы интегрировали в КИБ модуль «ИИ Ассистент КиберЗащиты», который предварительно обучили выявлять инциденты внутренней безопасности. Разработка велась совместно с создателем ИИ-модели — компанией «Системные технологии». Для обучения мы предоставили «материалы», опираясь на опыт и потребности клиентов из различных сфер. Затем мы упорядочили эти данные и разработали промпты, позволяющие модели максимально точно находить инциденты. Итогом стали готовые ИИ-политики безопасности.
На данный момент модуль «ИИ Ассистент КиберЗащиты» способен выявлять около десяти типов внутренних нарушений:
- Разглашение конфиденциальной информации: например, попытки доступа к «закрытым» данным через коллег, хищение интеллектуальной собственности, утечки данных за вознаграждение.
- Корпоративные махинации: откаты, просьбы о переводах «на карту» или в криптовалюте за сомнительные услуги, работа «на сторону», попытки скрыть переписку.
- Группы риска среди сотрудников: опасные привычки и нарушения закона.
- Проблемы внутри коллектива: конфликты, оскорбления и распространение слухов.
Это лишь первый шаг. В перспективе мы планируем увеличить количество ИИ-политик в КИБ, чтобы охватить больше типов нарушений. ИИ-ассистент нацелен на распознавание скрытых инцидентов: завуалированных обсуждений, попыток замаскировать информацию или утаить проблемы.
Перейти к делу
Расследование инцидента включает множество этапов и требует значительных временных затрат. Собирая «материалы», ИБ-аналитики вынуждены просматривать «бесконечные» переписки — в крупных компаниях для разбора инцидентов приходится нанимать целый штат. При этом в отрасли наблюдается нехватка кадров. И нужно найти
не просто специалиста, а человека, которому можно доверить корпоративные тайны.
ИИ-ассистент в КИБ решает эту задачу: он формирует краткое резюме из цепочек писем, чатов и вложенных документов. ИБ-специалист получает готовую сводку о сути обсуждения, даже если детали разбросаны по разным сообщениям в длинном диалоге. Краткое содержание переписки — это основа для докладной записки по инциденту, что экономит время и ресурсы. Более того: модуль сразу «выделяет» подозрительные моменты в переписке. То есть обосновывает, по каким признакам он выявил нарушение. Это защищает от ошибок ИИ и позволяет ИБ-специалисту перепроверить результаты, если инцидент вызывает сомнения. Главная роль остается за человеком, а ИИ помогает принять взвешенное решение о дальнейших действиях.
Программа сформирует четкое резюме, даже если анализируемая переписка была на другом языке. Это особенно важно для организаций с зарубежными представительствами или иностранными партнерами, клиентами и контрагентами — специалист по информационной безопасности не пропустит инцидент из-за непонимания содержания общения сотрудников. ИИ-помощник выполняет перевод переписок и документов со 120 различных языков на русский, английский, испанский, французский, немецкий, арабский и турецкий, причем перечень постоянно пополняется. Автоматический перевод осуществляется в режиме реального времени без обращения к внешним ресурсам, что также отвечает требованиям безопасности.
Заключение
Мы определили для себя четыре ключевых правила при интеграции ИИ в системы безопасности:
- Не внедрять ИИ там, где он излишен. Существует множество задач, с которыми обычные алгоритмы справляются быстрее, экономичнее и надежнее.
- Не передавать ИИ право принятия решений. Основным экспертом остается ИБ-специалист, у которого должна быть возможность проверить выводы ИИ перед тем, как предпринимать действия.
- Настраивать ИИ под конкретную задачу. Предварительно обученная ИИ-модель, адаптированная к особенностям ИБ, работает точнее, чем открытая «универсальная» — и лучше, если обучением занимаются разработчики в сфере ИБ.
- Размещать ИИ локально. Иначе это противоречило бы самой концепции безопасности.
При соблюдении всех этих условий удается достичь того самого ожидаемого результата, когда ИИ выводит функциональность системы на новый уровень. В итоге заказчик получает ИИ в системе защиты от утечек как реально работающий инструмент, а не модную дорогую игрушку.
Новый модуль в «СёрчИнформ КИБ» уже доступен в релизе, его можно бесплатно протестировать в течение месяца. Оставьте заявку по ссылке. Пробуйте и делитесь отзывами — мы открыты для предложений о том, какие еще ИИ-политики внедрить и как улучшить их работу.
■ Рекламное объявлениеerid:2W5zFGn73eyРекламодатель: ООО «СерчИнформ»ИНН/ОГРН: 7704306397/1157746137955Веб-сайт: https://searchinform.ru/
