Artificiële intelligentie en machine learning als verdediging tegen de bedreigingen van vandaag

Het recente ‘Threat Landscape’-rapport van FortiGuard Labs geeft inzicht in de aard en oorsprong van bedrei­gingen, van evolu­e­rende varianten tot destruc­tieve aanvallen. Het ‘bedrei­gings­land­schap’ blijft zich in hoog tempo ontwik­kelen. In dit artikel wordt dieper ingegaan op de huidige bedrei­gingen en uitda­gingen hierbij, in het bijzonder op de toepas­sing van machine learning (ML) en op arti­fi­ciële intel­li­gentie (AI)-gebaseerde bevei­li­gings­op­los­singen. Die tech­no­lo­gieën zijn namelijk nood­za­ke­lijk geworden voor endpoints, clouds en netwerken om de snelle veran­de­ringen in de bedrei­gingen beter te regi­streren en orga­ni­sa­ties te helpen bij het herstellen en prio­ri­teren van beveiligingsincidenten.

Orga­ni­sa­ties trans­for­meren hun systemen in hoog tempo en dat brengt nieuwe risico’s met zich mee. FortiGuard Labs ontdekte in het afgelopen half jaar een record­aantal zero-days. Daaruit blijkt dat bevei­li­gings­teams waar­schijn­lijk onvol­doende zicht hebben op de lange­ter­mijn­im­pact die de nieuwe toepas­singen van hun orga­ni­satie hebben op de verde­di­ging daarvan. Toch zullen orga­ni­sa­ties die toepas­singen waar­schijn­lijk blijven gebruiken, ongeacht de poten­tiële beveiligingsrisico’s.

AI- en ML-bescherming tegen geavanceerde bedreigingen 

Aangezien cyber­aan­vallen steeds sneller, geavan­ceerder en destruc­tiever worden, wordt tijd een steeds belang­rij­kere factor van de verde­di­ging. Onder­zoeken tonen aan dat aanval­lers gemiddeld al zes maanden aanwezig zijn in het netwerk voordat zij handelen of ontdekt worden. CISO’s moeten daarom hun IT-bevei­li­gings­aanpak here­va­lu­eren en de focus verleggen van het voorkomen van toegang naar detectie. Het proces en de middelen voor iden­ti­fi­catie, detectie, bescher­ming, reactie en herstel dienen afgestemd te worden op een continue impact­ana­lyse en prio­ri­te­ring. Daarnaast moeten orga­ni­sa­ties inves­teren in trainingsprogramma’s om expertise op te bouwen op het gebied van tools voor AI en ML, die bedrei­gings­in­for­matie kunnen uitpluizen, corre­leren en extra­heren uit de massa gegevens die de huidige IT-bevei­li­gings­op­los­singen verza­melen. Dat soort training kan ook een goede motivatie zijn voor het personeel.

Het inzetten van auto­ma­ti­se­ring voor IT-bevei­li­ging is geen kwestie van alles of niets. Je kan gelei­de­lijk moge­lijk­heden toevoegen, bijvoor­beeld door eerst what-if scenario’s te creëren in een analy­se­tool en daar vervol­gens geavan­ceer­dere faci­li­teiten aan toe te voegen. Elke orga­ni­satie heeft baat bij het gebruik van oplos­singen die gebruik­maken van modellen voor AI en ML waarmee men bekende en onbekende bedrei­gingen kan detec­teren. Een orga­ni­satie kan zich echter vooral onder­scheiden door het gebruik van AI voor snelle besluit­vor­ming op het gebied van bevei­li­ging. Met AI kunnen orga­ni­sa­ties bovendien dyna­mi­sche aanvalsscenario’s voor malwa­re­cam­pagnes creëren, met name op het gebied van tactieken voor het ontwijken van de verde­di­ging. AI biedt echter ook een effec­tieve manier om de tegen­aanval in te zetten, door het patroon van deze aanvallen te leren. De orga­ni­satie moet hierbij in eerste instantie kijken naar oplos­singen voor endpoints en sand­boxing die zijn uitgerust met AI voor effec­tieve tegenmaatregelen.

SOC en EDR optimaliseren

AI en ML kunnen overal nuttig zijn, maar het is belang­rijk om prio­ri­teiten te stellen en te beginnen waar je het meeste voordeel kan behalen. Het rapport laat zien dat bijna 60% van de tactieken die hackers hanteren om het systeem van de orga­ni­satie binnen te dringen, gebruik­maakt van middelen die de verde­di­ging ontwijken. Daarom is de inzet van AI het aller­eerst van belang voor endpoint­be­vei­li­ging, zoals een op AI gebaseerd Endpoint Protec­tion and Response (EDR)-systeem. EDR biedt een volledig inzicht in de acti­vi­teiten van het systeem­proces en beschermt de plek waar de kans op mense­lijke fouten het grootst is.

Daarnaast draait het personeel bij orga­ni­sa­ties die groot genoeg zijn om een SOC te hebben meestal op volle toeren. Die teams worden geplaagd door het zoge­naamde alert fatigue: zij worden moe van alle meldingen van bevei­li­gings­op­los­singen. In dat geval kan geau­to­ma­ti­seerde assis­tentie inge­scha­keld worden als een virtuele analist die helpt met triage, zodat de mede­wer­kers gevrij­waard zijn van routi­ne­ma­tige en alle­daagse taken en zich kunnen richten op gebieden waar hun analy­ti­sche vaar­dig­heden worden ingezet op manieren waar machines niet aan kunnen tippen. 

Uitdagingen bij AI en ML

Het grote probleem met AI en ML is hetzelfde probleem dat IT al sinds het begin achter­volgt: garbage in, garbage out. De tools zijn slechts zo goed als de datasets waarmee ze worden getraind. Idealiter wil je AI en ML dus trainen op basis van miljarden data­punten afkomstig van miljoenen apparaten over de hele wereld. Daarnaast is ook personeel met de juiste vaar­dig­heden cruciaal, vooral omdat er een duide­lijke trend is om uitleg te vragen over de output van AI-algo­ritmen. Bovendien moeten CISO’s ook hun orga­ni­sa­tie­sys­teem in de gehele cyber­aan­vals­keten begrijpen en AI-oplos­singen inzetten om deze bedrei­gingen te stoppen.

DRPS als aanvulling op proactieve strategieën voor cyberdefensie

Terwijl orga­ni­sa­ties zich tradi­ti­o­neel naar binnen richten met betrek­king tot hun bevei­li­gings­aanpak en waar­ge­nomen risico, helpt digital risk protec­tion service (DRPS)  orga­ni­sa­ties om externe risico’s van niet-tradi­ti­o­nele bronnen zoals het diepe en dark web te begrijpen en te kwan­ti­fi­ceren om onder­grondse en dreigende bedrei­gingen voor hun merk te beperken. De service kan verge­leken worden met een 360°-evaluatie op het werk, waarbij je een aantal collega’s vraagt om je sterke en zwakke punten en andere kwali­teiten te evalueren. DRPS bekijkt je omgeving vanuit het oogpunt van de aanvaller. Analisten van bevei­li­gings­teams en bedrei­gings­on­der­zoe­kers kunnen hiermee bedrijfs­mid­delen ontdekken die eigendom zijn van hun orga­ni­satie en die mogelijk onop­ge­merkt blijven. Het helpt hen ook om actieve campagnes op het dark web te iden­ti­fi­ceren en merk­be­scher­ming te bieden tegen drei­gings­ac­toren die zich op hun mede­wer­kers richten. Hoewel AI dus geen wonder­middel is, kan het de IT-bevei­li­ging verbe­teren door de vereiste flexi­bi­li­teit te bieden om te reageren op een steeds veran­de­rend bedreigingslandschap.