Прорывные технологии в кибербезопасности

Развитие цифровой экономики и компьютерных систем привело не только к увеличению количества угроз, но и их изощренности. Повышение скоростей обработки данных и возросший объем информации усложнили правила для систем безопасности, позволяющих выявить инциденты кибербезопасности, а повсеместное внедрение облачных технологий сделало вычислительные инфраструктуры динамичными. И это ставит новые вызовы перед всей отраслью ИБ. Как следствие, возможен пропуск атак или ложные срабатывания систем защиты, способные парализовать бизнес. Необходимы инструменты, которые не только возьмут на себя большую часть рутинной работы специалистов ИБ, но и смогут выявить атаки, не известные существующим средствам кибербезопасности. Найти выход из ситуации помогает применение технологий искусственного интеллекта, в частности машинного обучения, активные работы по внедрению которых в компании «Газинформсервис» ведутся уже несколько лет. Об этих и других востребованных технологиях кибербезопасности рассказал читателям IT-Manager Николай Нашивочников, заместитель генерального директора – технический директор ООО «Газинформсервис».

В чем вы видите перспективы применения технологий машинного обучения в кибербезопасности?

Наш опыт взаимодействия с заказчиками показывает, что технологии машинного обучения будут востребованы там, где необходима оперативная обработка больших объемов разнородных данных. Это могут быть крупные финансовые структуры с миллионами транзакций, распределенные ИТ-компании с десятками тысяч объектов или предприятия ТЭК, оснащенные киберфизическими системами, которые при межмашинном взаимодействии генерируют поток сигналов до нескольких миллионов измерений ежесуточно.

Для финансовых или технологических организаций, зачастую являющихся объектами критической информационной инфраструктуры, крайне важно обеспечение безопасного и непрерывного функционирования. С этой целью на таких предприятиях разворачиваются центры операционного мониторинга и анализа, в задачу которых входит обработка потоков данных для выявления инцидентов безопасности или отклонений от штатного режима функционирования технологических систем, что относится к классу задач big data. Благодаря использованию инструментов расширенной аналитики, включая технологии машинного обучения, эффективность работы подобных центров существенно повышается.

Существует мнение, что применение российскими компаниями инструментов расширенной аналитики – шаг сегодня достаточно высокорискованный. Машинное обучение – это модный тренд или действительно эффективный инструмент для борьбы с киберугрозами?

Применение любых новых технологий несет в себе определенный риск. Здесь нужно понимать, что сейчас мы переживаем эпоху зарождения средств кибербезопасности, применяющих технологии искусственного интеллекта. Чтобы внедрение средств расширенной аналитики прошло безболезненно для компаний и принесло максимальную пользу, необходимо учитывать ряд факторов.

Во-первых, анализ данных должен производиться в зрелой с точки зрения информационной безопасности инфраструктуре. Без таких средств, как анализ сетевого трафика (Network Traffic Analysis, NTA) в целях обнаружения различных аномалий и вредоносной активности, обнаружение и реагирование на подозрительную активность на оконечных устройствах (Endpoint Detection and Response, EDR), без защиты информации от внутренних угроз и утечек (Data Loss Prevention, DLP), без сбора и управления информацией и событиями безопасности (Security Information and Event Management, SIEM) многие эпизоды, происходящие на уровне сети или оконечных устройств, попросту упускаются, что делает применение инструментов аналитики малоэффективными и позволяет злоумышленникам оставаться незамеченными долгое время.

Во-вторых, для эффективного внедрения решений инструментов расширенной аналитики необходимо совершить ряд шагов. Нужно адаптировать алгоритмы поведенческой аналитики под бизнес-требования и инфраструктуру заказчика, затем интегрировать данные из средств информационной безопасности и обогатить их информационно-справочной сведениями перед подачей на вход моделей расширенной аналитики и, наконец, обучить персонал грамотному применению средств аналитики.

Реализация вышеперечисленных факторов возможна лишь при комплексном развитии информационной безопасности в компании.

А эффективность применения искусственного интеллекта на страже кибербезопасности уже оценили банки, внедрившие машинное обучение для идентификации клиента по голосу, выявления мошенничества, оценки клиента.

Компания «Газинформсервис» известна на рынке не только как интегратор решений информационной безопасности, но и как производитель средств защиты информации. Какие решения в области искусственного интеллекта у вас имеются?

Основные работы в области искусственного интеллекта мы ведем в рамках создания платформы расширенной аналитики безопасности Ankey ASAP (Advanced Security Analytics Platform), использующей алгоритмы машинного обучения и распознавания паттернов в поведении пользователей, анализа операций с объектами файловой системы и сетевого трафика. Кроме этого, прошли практическую апробацию в пилотных проектах алгоритмы распознавания и прогнозирования состояний объектов в задачах операционного мониторинга сложных технологических систем. Если говорить о перспективе, то мы активно осваиваем методы и технологии машинного обучения для расширения возможностей традиционных систем информационной безопасности: SIEM, IDS/IPS, DLP и других.

Расскажите, как создавалась платформа расширенной аналитики безопасности Ankey ASAP и с какими трудностями пришлось столкнуться?

Разработка продукта в новой для себя области сама по себе непростая задача, а когда эта область находится на стыке науки и технологии, в ней крайний дефицит специалистов с междисциплинарными знаниями и умениями по направлениям информационной безопасности и искусственного интеллекта, это сложно вдвойне.

Так, мировой лидер в области машинного обучения компания Google уже 12 лет активно набирает специалистов и проводит собственные курсы по обучению инженеров практической методологии машинного обучения. При этом, по оценке лидера большинства проектов машинного обучения Google Джеффа Дина, в компании около 3000 специалистов, компетентных в технологиях искусственного интеллекта, то есть почти 10% сотрудников. Google продолжает наращивать компетенции в машинном обучении, поскольку планирует системно использовать эти технологии во всех своих продуктах.

Когда в конце 2017 года было принято решение создать платформу расширенной аналитики Ankey ASAP, мы имели лишь общее представление о функционале будущего продукта. Но путь Google по наращиванию компетенции и набору специалистов оказался для нас неприемлем, хотя бы из-за отсутствия в России достаточного количества таких специалистов. Мы обратились за помощью к нашим коллегам из Лаборатории нейросетевых технологий и искусственного интеллекта Санкт Петербургского политехнического университета Петра Великого (СПбПУ), активно занимающихся данной проблематикой уже более 10 лет.

На первом этапе мы разработали прототип продукта, в котором были определены концепция и архитектура целевого решения Ankey ASAP. Затем была создана минимальная жизнеспособная версия продукта (Minimum Viable product, MVP), включавшая базовые модули подсистемы сбора, обработки и хранения данных, модули подсистемы аналитики и подсистемы администрирования. Сделав прототип, мы стали получать результаты обработки данных инструментами расширенной аналитики и выбрали методы машинного обучения для выявления аномалий. На этом этапе мы окончательно определились со стеком технологий, основанном на микросервисной архитектуре (Docker, Kubernetes) и позволяющем масштабировать и реконфигурировать модули под решаемые задачи без потери производительности. После представления MVP работа продолжилась над первым релизом продукта, который запланирован на конец 2019 года. Были определены основные компоненты платформы Ankey ASAP, базовые сценарии использования и роли пользователей системы.

С помощью коллег из СПбПУ мы модифицируем известные методы выявления аномалий, комбинируя и адаптируя их под разные статистики реальных наборов данных и особенности решаемых задач. Мы продолжаем исследования и эксперименты с моделями машинного обучения, включая нейросетевые модели. В первую очередь для задач поведенческой аналитики (User and Entity Behavior Analytics, UEBA), которые позволяют в режиме времени, близком к реальному, вести мониторинг аномального поведения пользователей и объектов различных информационных систем.

На данном этапе совместно с коллегами из СПбПУ нами создано ядро универсальной платформы для решения задач поведенческой аналитики.

Универсальность заключается в том, что при помощи настраиваемых шаблонов платформа может быть перестроена с анализа безопасности функционирования корпоративных информационных систем на поведенческую аналитику в другой предметной области, как это было сделано в пилотном проекте, где объектом мониторинга выступили киберфизические системы, обеспечивающие технологический процесс подготовки и транспортировки газа.

В России пока нет громких реализаций решений поведенческой аналитики, откуда у вас уверенность, что разрабатываемая платформа Ankey ASAP будет эффективно решать задачи кибербезопасности?

Рынок инструментов поведенческой аналитики достаточно молод, но это не означает, что средства информационной безопасности, использующие машинное обучение, отсутствуют. Так или иначе, они уже применяются.

Например, в 2018 году системы технического (машинного) зрения работали на чемпионате мира по футболу и позволили выявить лиц, находившихся в розыске. На металлургических заводах эти же технологии позволяют автоматически обнаруживать видимые дефекты в выпускаемой продукции. Системы распознавания голоса, основанные на нейронных сетях, функционируют в ряде банков, выполняя автоматическую идентификацию клиентов, а чат-боты успешно берут на себя функции кол-центров и служб поддержки пользователей.

Другой вопрос, а готов ли заказчик к применению средств расширенной аналитики?

Ведь для эффективной работы средств поведенческой аналитики, таких как платформа Ankey ASAP, необходим определенный уровень зрелости в части информационной безопасности. Инструмент расширенной аналитики будет эффективен при анализе данных от максимального количества систем, включая SIEM, IDS/IPS, DLP, NTA, EDR. Пока доля таких предприятий невысока, но с каждым годом она увеличивается, и в конечном итоге компании придут к пониманию необходимости применения искусственного интеллекта для обеспечения безопасности бизнеса.

Мы же, работая на рынке информационной безопасности уже 15 лет, видим и понимаем, чего не хватает заказчику. Создаваемая нами платформа расширенной аналитики поможет закрыть ряд актуальных проблем в его инфраструктуре. А функционал платформы мы ежедневно тестируем на собственной корпоративной инфраструктуре, собирая и анализируя данные, полученные от множества систем кибербезопасности, эксплуатируемых в нашей компании.

Нехватка квалифицированных специалистов и сложный характер самих угроз информационной безопасности подталкивают многие компании к переходу на аутсорсинг в этой сфере. Как ваша компания решает острый вопрос с кадрами?

Вы правы, по оценкам международной ассоциации профессионалов в области управления ИТ компании ISACA, кадровый дефицит в сфере информационной безопасности в 2019 году составляет до двух миллионов вакансий. А согласно исследованиям «Яндекса», спрос на специалистов data science (анализа данных или машинного обучения) с опытом работы меньше года на 25% выше среднего по рынку. Эти данные еще раз подтверждают высокую востребованность сотрудников отрасли. Конечно, кадровый дефицит специалистов испытываем и мы. Однако, если для компаний, у которых ИТ и информационная безопасность непрофильные направления, аутсорсинг является всего лишь экономией средств, то для нас профильные компетенции сотрудников – это прямой бизнес-актив, и он должен наращиваться компанией. Поэтому мы всегда открыты для профессионалов, а когда, в существующих реалиях, не можем найти их, то выращиваем внутри компании, в том числе через систему внутреннего обучения, или ищем новые формы сотрудничества, как в описанном мною случае с Санкт-Петербургским политехническим университетом Петра Великого. Компания активно привлекает молодых специалистов, проводя дни открытых дверей, а также позволяя студентам старших курсов проходить стажировку, на которой молодые специалисты знакомятся с актуальными задачами и инструментами кибербезопасности.

Смотреть все статьи по теме "Информационная безопасность"