洞见RSAC 2024|大模型驱动的智能安全运营

AI 1个月前 admin
62 0 0
洞见RSAC 2024|大模型驱动的智能安全运营

汇聚人、流程、技术等多要素的安全运营场景,在SIEM等日渐成熟的数据与分析管理平台的加持下,已成为未来人工智能技术在安全领域应用的主要创新场景。无论是国内外的大型安全厂商还是初创企业,包括微软、谷歌、Elastic、CrowdStrike、Dropzone AI等,普遍围绕大模型技术的最新进展,结合SOC平台开展方法、范式和机制等不同层次的创新。本年度RSA大会,SOC+AI的话题也非常火热。本文将从场景、框架和技术等层次,分析大模型驱动的智能安全运营技术热点。


背景信息

网络安全运营,已成为安全能力发挥作用的最后一公里,决定了安全产品、安全能力的效果上限。现阶段,基于大规模、多源数据汇聚的集中式SOC运营平台,已成为安全运营团队的基础工具及流程推进工具。尽管大规模安全事件、情报等日志带来威胁分析的全新机遇,但大规模事件、告警分析任务,向运营人员的技能提出更高要求,不只需要较高的安全事件分析能力与攻击技战术研判能力,还需要对客户业务环境、IT系统环境足够熟悉,才能达到较高的研判效率与精度。


在这一背景下,随着安全运营数据的规模不断扩大,运营人员通常面临着较大的压力。通过使用机器学习、深度学习、统计分析等技术识别告警中的误报和攻击行为,不仅能降低企业的运营成本,也有助于运营人员提高效率,更快地发现真正的攻击行为。


大模型与安全运营结合的关键场景

安全运营(Security Operations, SecOps)的关键在于,通过流程覆盖、技术保障及服务化,为企业、组织等实体提供脆弱性识别与管理、威胁事件检测与响应等安全能力,以充分管控安全风险。安全运营中的概念核心就是管理风险,而风险的度量是动态的、持续的、相对的。安全运营智能化趋势已成为必然。流量分析、行为分析、样本分析、威胁关联、自动化响应等技术越来越多地采用了机器学习算法、图算法、强化学习算法,尽管如此,现阶段安全智能的发展水平,仍难以满足安全运营对威胁发现实时性与准确性、事件自动化溯源、风险决策自动化等多方面的要求。

洞见RSAC 2024|大模型驱动的智能安全运营

图1 智能安全运营技术框架

针对安全运营技术中的关键环节,参考人工智能的经典范式“感知-认知-决策-行动”和经典作战决策OODA循环模型的“观测-调整-决策-执行”体系,可以进行智能安全运营场景子任务及其阶段划分,每个阶段包括多个不同子任务。下面详细介绍每个阶段及其完成的子任务。

感知阶段

实现数据级别的融合及基本信息标注,包含识别和检测子任务。识别子任务对大规模数据中的实体(资产、特征、脆弱性等)及其行为的归类、去重、规范化等,以促进多源、异构数据的融合。检测子任务区别于识别子任务,从大规模数据池中捕获、标注异常事件、脆弱性、威胁特征等关键的动静态信息,以标记威胁分析、狩猎、风险分析中的关键线索。

认知阶段

实现线索、事件关联上下文信息的召回与构建,包括关联、溯源、预测子任务。关联子任务通过跨多数据类别、跨长时间周期进行多维信息整合,提供充分的信息连接视图。溯源子任务通过回溯及根因分析,查明、识别事件的起源,明确多事件之间的因果及依赖关系。预测子任务基于当前信息上下文,以路径预测、趋势分析等手段,预判可能的攻击行为、高危的脆弱性等,实现在攻击意图识别和防护方法运用上领先攻击者 。

决策阶段

根据预设目标综合评估风险,实现任务策略的生成,包括评估和制定子任务。评估子任务面向核心运营指标,基于行为、环境、知识等关键信息,持续、综合评估网络安全的整体态势与风险等级,支撑在指定运营成本下的最优研判结果的输出。制定子任务根据动态环境与行为,自适应选择并生成有针对性的、风险驱动的行动计划和策略,明确行动的具体步骤。

行动阶段

根据计划、策略与步骤,协同调动各行动单元完成行动目标,包括响应和反馈子任务。响应子任务完成包括策略下发、设备部署、补丁更新、容错修复等平台级、模块级、设备级、指令级等针对不同层级的风险响应动作。反馈子任务持续收集响应动作执行关联的效果集合,生成面向流程、人、技术多运营要素交互的数据汇总,以支撑自动化任务下一循环的开展。


2024 RSA大会上,LogRhythm研究员分享了其研究过程中识别到的典型AI推动安全运营中心SOC自动化的典型场景[2]。主要包括:

  • 威胁检测与响应

    主要包括告警分诊、自动化响应、总结模式并分析行为、翻译复杂的语言输入以及分析威胁数据等。

  • 事件分析和调查

    主要包括高效地过滤误报以及生成剧本和调查辅助等。

  • 例行任务的自动化

    主要包括自动化离线任务并提供分析洞见,以及减轻认知负担。

洞见RSAC 2024|大模型驱动的智能安全运营

图2 SOC运营过程中AI自动化的关键领域[2]

以上场景基本覆盖安全运营中心人工智能应用的主要阶段和任务。此外,Netskope CSO James Christiansen提出了几个核心应用场景[3],包括应用发现、分类分级、信任分数评估、实例感知和活动级别的控制、AI/ML驱动的数据泄露检测以及面向监测和报告的分析机制等等。


总之,安全运营中感知、认知、决策、行动中任何阶段的任何一个过程或任务,都需要考虑在大模型技术的加持下,新的自动化与集成方式,以充分提升任务的自动化水平,并降低对专家经验的过度依赖。


大模型与安全运营结合的技术框架

从网络空间威胁治理决策的整体架构需求来看,大模型作为交互界面提供人机交互的核心能力,以及通过高容量知识库结合复杂推理能力实现决策大脑的,是大模型在网络空间安全深度融合应用的未来重点方向。


整体上,基于大模型的人机协作框架如图所示,主要包含决策主体、控制器、执行器、动态环境四个核心实体。决策主体是安全运营等任务中对安全任务负责的专家,是网络空间对抗中的核心主体。控制器,基于大模型实现自然语言式的人机交互,对专家意图的理解与识别,完成模型、工具、插件的选择与调度,结合相关执行结果进行整体的逻辑推理,最终结合内置知识实现整体的事件摘要、总结、报告等。执行器,是大模型实现工具学习与工具协同的基础,可基于基础的平台数据、分析、处置等核心接口,形成一组在安全专用能力集合,一般可以通过工具API的方式来集成,例如安全运营场景下的各类分析工具、扫描工具、响应工具等等。动态环境是大模型及工具执行的网络、业务等可交互的所有实体集合,例如安全运营中心及相关平台系统。

洞见RSAC 2024|大模型驱动的智能安全运营

图3 大模型驱动的安全应用技术框架

2024 RSA大会上,CrowdStrike提出了下一代SIEM的技术框架——AI原生的SOC操作系统,强调了针对人工智能数据的标准化(AI Normalization)和基于人工智能技术的数据增强(AI Data Enrichment)。可以看到,从数据输入到数据生成,围绕大模型等人工智能技术的数据流程将快速形成新的数据飞轮,加速人工智能技术的迭代和验证。


大模型与安全运营结合的关键技术

基于上述框架,在具体实现层次,通过检索增强生成(Retrieval Augmented Generation, RAG)提升基础模型的分析精确性、隐私保护性,减轻大模型幻觉,是典型的技术方案之一。

洞见RSAC 2024|大模型驱动的智能安全运营

图4 基于RAG的攻击发现技术[6]

Elastic通过其相关性引擎(Elasticsearch Relevance Engine),面相安全场景的攻击调查分析,提出了告警分析的RAG框架[4]。针对大量待分析研判的告警,通过相似性搜索抽取相关告警,作为上下文提供给大模型进行深入的攻击调查与挖掘。能够实现对从大量告警中抽取并总结事件级别的攻击行为,为多条告警总结事件的攻击链并分析攻击过程[5]。

洞见RSAC 2024|大模型驱动的智能安全运营

图5 Elastic AI for SecOps的Attack Discovery技术[4]

Elastic从技术角度提出,相对于预训练模型和模型微调技术,RAG技术在部署和集成成本、幻觉问题解决、私有化数据分析等方面具备优势。

洞见RSAC 2024|大模型驱动的智能安全运营

图6 RAG技术优势[5]

更具有普遍性的,LogRhythm研究员提出了集成和应用AI的一个流水线思考范式。包括从SOC流程出发,选择应用实例,评估AI的能力,并进行原型化的自动化部署并完成文档标准化,最终通过指标来持续跟踪评估其有效性。

洞见RSAC 2024|大模型驱动的智能安全运营

图7 SOC中AI技术构建的一般流程[3]

除了SOC技术应用之外,我们也应该保持对大模型技术风险的关注,保证技术效能发挥的同时,保证其安全性、合规性等关键技术可信属性。RSAC 2024有诸多关于大模型及人工智能安全框架和风险评估的议题。Netskope CEO概括了生成式AI应用的多个维度[3],包括安全和隐私性、透明和可解释性、偏见与公平性等等。

洞见RSAC 2024|大模型驱动的智能安全运营

图8 生成式AI应用中的技术可信属性[3]

总结

随着大模型相关技术的快速演进,SOC安全应用的水平将持续提升,传统安全运营技术、流程将被新一代人工智能技术重构。以安全运营的自动化水平提升为目标,从人工智能的技术视角审视未来安全运营技术的重构,已成为大模型时代安全运营技术发展的基础风向标。采用生成式人工智能解决安全运营关键问题的同时,考虑其安全性、隐私防护等关键可信属性,同样是加速人工智能安全运营应用的关键。


参考文献

[1] AISecOps智能安全运营技术白皮书,NSFOCUS 2021

[2] AI Foundations: Mitigate Risks and Boost SOC Efficiency, RSAC 2024

[3] Navigating the AI Frontier: The Role of the CISO in GenAI Governance, RSAC 2024

[4] Next-Gen SIEM: Converging Data, Security, IT, Workflow Automation & AI RSAC 2024

[5] Fight Smarter: Accelerate your SOC with AI discovered attacks, RSAC 2024

https://www.elastic.co/cn/security/ai


原文始发于微信公众号(绿盟科技研究通讯):洞见RSAC 2024|大模型驱动的智能安全运营

版权声明:admin 发表于 2024年6月14日 上午9:01。
转载请注明:洞见RSAC 2024|大模型驱动的智能安全运营 | CTF导航

相关文章