Traffici analüüsi süsteem ilma selle dekodeerimiseta. Seda meetodit nimetatakse lihtsalt – „masinõppeks“. On selgunud, et kui spetsiaalsesse klassifikaatorisse anda väga suur hulk erinevat liiklust, suudab süsteem väga suure tõenäosusega tuvastada pahatahtlikku koodi tegevust šifreeeritud liikluse seas.
Võrguhädad on muutunud ja muutuvad „nutikamaks“. Viimastel aegadel on muutunud rünnaku ja kaitse kontseptsioon. Võrgus toimuvate sündmuste arv on hüppeliselt kasvanud. Rünnakud on saanud keerukamaks ning häkkeritel on laiem rünnakute ulatus.
Cisco statistika kohaselt on kurjategijad viimase aastaga kolmandiku võrra suurendanud kahjulike programmide arvu, mida nad oma tegevuses kasutavad, täpsemalt nende varjamiseks – krüpteerimiseks. Teoreetiliselt on teada, et „õige“ krüpteerimisalgoritmi ei saa murda. Selleks, et mõista, mis peitub šifreeeritud liikluses, tuleb kas see dekodeerida, teades võtit, või proovida seda erinevate trikkide, otse murdmise või krüptograafiliste protokollide haavatavuste abil dešifreerida.
Meie aja võrguhädade pilt
Masinõpe
Tunne tehnoloogiat lähemalt! Enne kui rääkida, kuidas masinõppe põhjal töötav dekodeerimistehnoloogia töötab, tuleb arutada, kuidas töötab närvivõrkude tehnoloogia.
Masinõpe (Machine Learning) on ulatuslik tehisintellekti alajaotus, mis uurib algoritmide loomise meetodeid, mis suudavad õppida. See teadus on suunatud matemaatiliste mudelite loomisele, mis „õpetavad“ arvutit. Õppe eesmärk on midagi ennustada. Inimese mõistmisel nimetame seda protsessi sõnaga „tarkus“. Tarkus ilmneb inimestel, kes on elanud piisavalt kaua (2-aastane laps ei saa olla tark). Kui me küsime nõu vanematelt, anname neile mingit teavet sündmuse (sisendi) kohta ja palume abi. Nemad omakorda meenutavad kõiki elusituatsioone, mis on seotud Teie probleemiga (teadmistebaas) ja nende teadmiste (andmete) põhjal annavad meile omamoodi ennustuse (nõu). Seda tüüpi nõuandeid hakati nimetama ennustusteks, sest inimene, kes nõu annab, ei tea täpselt, mida juhtuda võiks, vaid oletab. Elukogemus näitab, et inimene võib olla õigus, aga võib ka eksida.
Ei ole mõistlik võrrelda närvivõrke haru algoritmiga (if-else). Need on erinevad asjad ja neis on olulised erinevused. Haru algoritmil on selge 'arusaam', mida teha. Demonstreerin näidete abil.
Ülesanne. Määrata auto pidurdusteekond vastavalt kaubamärgile ja väljaande aastale.
Haru algoritmi töö näide. Kui auto on kaubamärki 1 ja välja antud 2012. aastal, siis on selle pidurdusteekond 10 meetrit, muidu, kui auto on kaubamärki 2 ja välja antud 2011. aastal ja nii edasi.
Närvivõrgu töö näide. Kogume andmeid autode pidurdusteede kohta viimase 20 aasta jooksul. Kaubamärgi ja aasta alusel koostame tabeli kujul 'kaubamärk-aasta-müügiteekond'. Anname selle tabeli närvivõrgule ja hakkame seda õpetama. Õpe toimub järgmiselt: me toome andmeid närvivõrku, kuid ilma pidurdusteete väärtuseta. Närvivõrk üritab ennustada, milline saab olema pidurdusteekond, tuginedes tema tabelile. Ta ennustab midagi ja esitab kasutajale küsimuse 'Kas olen õige?'. Enne küsimust loob ta neljanda veeru – arvamise veeru. Kui ta on õige, kirjutab ta neljandasse veergu 1, kui eksis – 0. Närvivõrk liigub järgmise sündmuse juurde (isegi kui ta eksis). Nii õpib võrk ja kui õpe on lõppenud (on saavutatud kindel kokkulangevuse kriteerium), toome andmed huvipakkuva auto kohta ja lõpuks saame vastuse.
Kuna küsimus kokkulangevuse kriteeriumi kohta on selge, selgitan, et see on matemaatiliselt tuletatud valem statistika jaoks. Erakordne näide kahest erinevast kokkulangevuse valemist. Punane – binaarne kokkulangevus, sinine – normaalne kokkulangevus.
Binaarset ja normaaljaotused tõenäosusest
Selgemaks mõistmiseks esitage küsimus: „Milline on tõenäosus dinosaurusega kokku sattuda?”. Siin on kaks vastusevarianti. Variant 1 – väga väike (sinine graafik). Variant 2 – kas kohtan või ei kohtu (punane graafik).
Muidugi, arvuti ei ole inimene ja see õpib erinevalt. Erakordset õppimist jagatakse kaheks: pretsedentide õppimine ja deduktiivne õppimine.
Pretsedentide õppimine on õppimise viis matemaatiliste seaduste põhjal. Matemaatikud koguvad statistika tabeleid, teevad järeldusi ja laadivad tulemuse närvivõrku – valemi arvutamiseks.
Deduktiivne õppimine – õpe toimub täielikult närvivõrgus (andmete kogumisest kuni nende analüüsimiseni). Siin koostatakse tabel valemita, kuid statistika alusel.
Tehnoloogia ulatuslik ülevaade võtaks veel paar tosinat artiklit. Praegu piisab sellest üldiseks mõistmiseks.
Neuroplastilisus
Bioloogias on selline mõiste nagu neuroplastilisus. Neuroplastilisus on neuronite (aju rakkude) võime tegutseda „olukorra järgi”. Näiteks, silmad kaotanud inimene kuulab paremini kõvasid helisid, tunneb lõhnu ja tajub esemeid. See toimub seetõttu, et osa ajust (osa neuroneid), mis vastutab nägemise eest, jaotab oma töö ümber teisele funktsionaalsusele.
Selge näide neuroplastilisusest elus on BrainPorti komm.
2009. aastal kuulutas Wisconsini ülikool Madisonis välja uue seadme, mis arendab „keele-display” ideid – selle nimeks sai BrainPort. BrainPort töötab järgmise algoritmi järgi: videopilt saadetakse kaamerast protsessorisse, mis reguleerib suumi, heledust ja teisi pildi parameetreid. Samuti muundab see digitaalsed signaalid elektrilisteks impulsideks, võttes tegelikult enda kanda võrkkesta funktsioonid.
BrainPort komm koos prillide ja kaameraga
BrainPort tööprotsessis
Sama kehtib ka arvuti kohta. Kui närvivõrk tunneb protsessi muutust, kohandub see selle järgi. See ongi närvivõrkude peamine eelis teiste algoritmide ees – autonoomsus. Teatud mõttes inimlikkus.
Krüpteeritud liikluse analüüs
Encrypted Traffic Analytics on Stealthwatchi süsteemi osa. Stealthwatch on Cisco arendus turvalisuse jälgimise ja analüüsi lahenduste valdkonnas, mis kasutab olemasolevast võrguinfrastruktuurist kogutud ettevõtte telemeetria andmeid.
Stealthwatch Enterprise'i aluseks on Flow Rate License, Flow Collector, Management Console ja Flow Sensor tööriistad.
Cisco Stealthwatchi liides
Krüpteerimise probleem on päevakorda tõusnud seoses sellega, et krüpteeritakse palju rohkem liiklust. Varem krüpteeriti peamiselt koodi, nüüd aga krüpteeritakse kogu liiklus ja 'puhta' andmete eristamine viirustest on palju raskem. Heaks näiteks on WannaCry, mis kasutas oma kohaloleku peitmiseks Tor'i.
Liikluse krüpteerimise kasvu visualiseerimine
Krüpteerimine makroökonoomikas
Encrypted Traffic Analytics (ETA) süsteem on vajalik krüpteeritud liiklusega töötamiseks ilma selle dekodeerimata. Kurjategijad on nutikad ja kasutavad krüptograafilisi algoritme, mille purustamine on mitte ainult probleem, vaid ka äärmiselt kulukas organisatsioonidele.
Süsteem töötab järgmiselt. Ettevõttesse jõuab mingisugune liiklus. See satub TLS-i (transport layer security — transportkihi kaitseprotokoll). Oletame, et liiklus on krüpteeritud. Proovime vastata mitmele küsimusele selle kohta, milline ühendus on loodud.
Encrypted Traffic Analytics (ETA) süsteemi tööpõhimõte
Küsimustele vastamiseks kasutame selle süsteemi masinõpet. Kasutatakse Cisco uuringute andmeid ja nende uuringute põhjal luuakse kaks tulemustabelit — pahatahtlik ja 'hea' liiklus. Loomulikult ei tea me, milline liiklus sattus süsteemi just praegu, kuid saame jälgida liikluse ajalugu nii ettevõttes sees kui ka väljaspool, tuginedes globaalsetele andmetele. Selle etapi tulemusena saame tohutu andmetabeli.
Uuringu tulemuste kohaselt ilmnevad iseloomulikud omadused – teatud reeglid, mida saab matemaatiliselt kirja panna. Need reeglid erinevad erinevate kriteeriumite järgi – edastatavate failide suuruse, ühenduse tüübi, riigi, kust see liiklus pärineb jne. Tulemuseks on suur tabel, mis on muutunud hulga valemiteks. Nende arv on vähenenud, kuid see ei ole mugava töö jaoks piisav.
Seejärel rakendatakse masinõppe tehnoloogiat – valemi konvergentsi ja selle tulemuse põhjal saame aktiveerida päästiku – lüliti, kus andmete väljumisel saame lüliti (lipu), mis on üles või alla seatud.
Tulemuslik etapp – päästikute komplekti saamine, mis katab 99% liiklusest.
Liikluse kontrollimise etapid ETA-s
Tulemuste põhjal lahendatakse veel üks probleem – sissetungirünnak. Inimeste kohalolek, kes filtreerivad liiklust käsitsi, ei ole enam vajalik (sel hetkel kiidan ennast). Esiteks, ei ole enam vajalik kulutada palju raha pädevale süsteemihaldurile (jätkan enda kiitmist). Teiseks, sissetungi oht on vähenenud (vähemalt osaliselt).
Aegunud Man-in-the-Middle kontseptsioon
Nüüd, vaatame, mille põhjal süsteem rajatud on.
Süsteem töötab neljal sideprotokollil: TCP/IP – andmeedastuse protokoll internetis, DNS – domeeninimede server, TLS – transporttasandi kaitseprotokoll, SPLT (SpaceWire Physical Layer Tester) – füüsilise side tasandi tester.
Protokollid, mis töötavad ETA-ga
Võrdlemine toimub andmete vastandamise teel. TCP/IP protokollide abil kontrollitakse veebisaitide mainet (külastusajalugu, veebisaidi loomise eesmärk jne), tänu DNS protokollile saame kõrvaldada "halvad" veebiaadressid. TLS protokoll töötab veebisaidi "sõrmejäljega" (fingerprint) ja kontrollib saiti hädaolukordade reageerimise arvutigrupi andmebaasi põhjal (cert). Ühenduse kontrollimise viimane etapp on füüsilise tasandi kontroll. Selle etapi töö üksikasju ei käsitleta, kuid selle mõte on järgmine: kontrollida andmete edastamise kõverate siinus- ja kosinuslainete kujusid oscilograafilistes seadmetes, s.t. füüsilise tasandi päringu struktuuri põhjal kindlaks määrata ühenduse eesmärk.
Süsteemi töö tulemusena saame andmeid krüpteeritud liiklusest kätte. Pakettide analüüsi kaudu saame lugeda võimalikult palju teavet paketi dekrüpteeritud väljadest. Füüsilisel tasandil paketi inspekteerimise abil saame teada paketi omadused (osaliselt või täielikult). Samuti ei tasu unustada veebisaitide mainet. Kui päring tuli mõnest .onion allikast, ei tasu sellele usaldada. Selle tüüpi andmetega töötamise lihtsustamiseks on loodud riskikaart.
ETA töö tulemus
Ja kõik näib olevat hästi, kuid räägime võrgu juurutamisest.
ETA füüsiline teostus
Siin tekib mitmeid nüansse ja spetsiifikasid. Esiteks, sellise
võrgu loomisel, mis kasutab kõrgema taseme tarkvara, on andmete kogumine hädavajalik. Andmete käsitsi kogumine on täiesti
ebaefektiivne ning reageerimissüsteemi rakendamine on juba huvitavam. Teiseks, andmeid
peab olema palju, mistõttu peavad võrgu paigaldatud sensorid töötama
mitte ainult iseseisvalt, vaid ka täpselt reguleeritud režiimis, mis toob kaasa mitmeid raskusi.
Sensorid ja Stealthwatch süsteem
Sensori paigaldamine on üks asi, selle seadistamine on täielikult teine ülesanne. Sensorite seadistamiseks on olemas kompleks, mis töötab järgmise topoloogia alusel – ISR = Cisco teenuste integreerimise marsruuter (Cisco Integrated Services Router); ASR = Cisco teenuste agrgatsiooni marsruuter (Cisco Aggregation Services Router); CSR = Cisco pilveteenuste marsruuter (Cisco Cloud Services Router); WLC = Cisco juhtimisseade traadita kohalikus võrgus (Cisco Wireless LAN Controller); IE = Cisco tööstuslik Ethernet-lüliti (Cisco Industrial Ethernet); ASA = Cisco kohandatud turvaseade (Cisco Adaptive Security Appliance); FTD = Cisco Firepower Threat Defense ohutustegevuse lahendus; WSA = veebiliikluse kaitse seade (Web Security Appliance); ISE = identiteedi teenuste mootor (Identity Services Engine)
Kombineeritud jälgimine, arvestades igasuguseid telemeetriate andmeid
Võrgu administraatoritel algab arütmia eelnevas lõigus sõna «Cisco» rohkusest. Selle imelise komplekti hind ei ole väike, kuid sellest ei ole täna juttu...
Häkkeri käitumise modelleerimine toimub järgmiselt. Stealthwatch jälgib hoolikalt iga seadme tegevust võrgus ja suudab luua normaalse käitumise mustri. Samuti pakub see lahendus sügavat arusaamist tuntud sobimatust käitumisest. Selle lahenduse raames kasutatakse umbes 100 erinevat analüüsialgoritmi või heuristilist reeglit, mis käsitlevad erinevaid liiklust käitumise tüüpe, nagu skaneerimine, õnnetuste signaalide edastamine sõlmest, paroolirünnak, kahtlustatav andmeülekanne, kahtlustatav andmeleke jne. Loetletud turvaintsidendid kuuluvad kõrge taseme loogiliste häirete kategooriasse. Mõned turvaintsidendid võivad iseenesest esile kutsuda häirete signalisatsiooni. Seega on süsteem võimeline korreleerima arvukaid isoleeritud anomaalseid juhtumeid ja koguma need kokku, et määrata võimalik rünnaku tüüp ning seostada see konkreetse seadme ja kasutajaga (joonis 2). Edasi saab juhtumit uurida dünaamiliselt ja seonduvat telemeetriainet arvesse võttes. See kujundab kontekstuaalset teavet oma parimas vormis. Arstid, kes uurivad patsienti, et mõista, mis juhtus, ei vaata sümptomeid eraldi. Nad uurivad suurt pilti diagnoosi seadmiseks. Sarnaselt fikseerib Stealthwatch iga anomaalse aktiivsuse võrgus ja analüüsib seda kogumina, et saata häireid konteksti arvesse võttes, aidates seeläbi turvaekspertidel riske prioriseerida.
Anomaaliate tuvastamine käitumise modelleerimise abil
Võrgu füüsiline juurutamine näeb välja selline:
Filiaalivõrgu juurutamise variant (lihtsustatud)
Filiaalivõrgu juurutamise variant
Võrk on juurutatud, kuid neuronvõrguga on endiselt avatud küsimus. Andmesidevõrk on organiseeritud, sensorid on kehtestatud piiridele ja teabe kogumise süsteem on käivitatud, kuid neuronvõrk ei ole seni osalenud. Praegu.
Kihiline neuronvõrk
Süsteem analüüsib kasutaja ja seadme käitumist pahatahtlike nakkuste, suhtluse käsklussüsteemidega, andmeleketega ning ka potentsiaalselt soovimatute rakenduste tuvastamiseks, mis töötavad ettevõtte infrastruktuuris. Andmete töötlemise mitmed tasandid, kus tehisintellekti, masinõppe ja matemaatilise statistika meetodite kombinatsioon aitab võrgul iseseisvalt õppida oma normaalse aktiivsuse kohta, et see suudaks tuvastada pahatahtlikku aktiivsust.
Võrgu turbeanalüüsi konveier, mis kogub telemeetriaandmeid laienenud võrgustiku kõikidest osadest, sealhulgas krüpteeritud liiklusest, on Stealthwatchi ainulaadne tunnusjoon. See loob järkjärgulise arusaama sellest, mis on "anomaalne", seejärel klassifitseerib tegelikud üksikobjektid "ähvardava aktiivsuse" osas ning lõpuks teeb lõpliku otsuse, kas seade või kasutaja on tõeliselt kompromiteeritud. Võime kokku koguda väikesed osad, mis koos moodustavad tõendi objekti kompromiteerimise lõpliku otsuse tegemiseks, tagatakse väga põhjaliku analüüsi ja korrelatsiooni kaudu.
See võime on äärmiselt oluline, kuna tavaline ettevõte võib iga päev saada suure hulga häiresignaale ning igasuguste juhtumite uurimine pole võimalik – turbeekspertide ressursid on piiratud. Masinõppe moodul töötleb tohutul hulgal teavet praktiliselt reaalajas, et tuvastada kriitiliselt olulisi intsidente kõrge usaldusväärsusega ning suudab pakkuda selget tegevuskava kiireks kõrvaldamiseks.
Vaatame lähemalt mitmeid masinõppe meetodeid, mida Stealthwatch kasutab. Kui juhtum edastatakse Stealthwatchi masinõppe moodulisse, läbib see turbeanalüüsi tunneli, mille raames kasutatakse nii juhendatud kui ka juhendamata masinõppe meetodite kombinatsiooni.
Mitmetasandilise masinõppe võimed
1. tase. Anomaaliate avastamine ja usaldusmudelite loomine
Selle taseme puhul filtreeritakse 99% liiklusest välja statistiliste anomaaliate avastajate abil. Need andurid loovad koos keerukaid mudeleid, et määrata, mis on normaalne ja mis on seevastu anomaalne. Siiski ei ole anomaalne tingimata kahjulik. Paljugi sellest, mis teie võrgus toimub, ei seondu ähvardustega — see on lihtsalt kummaline. Oluline on klasifitseerida sellised protsessid sõltumatult ähvardavatest käitumistüüpidest. Seetõttu läbib selliste andurite töö tulemused edasist analüüsi, et fikseerida kummaline käitumine, mida on võimalik põhjendada ja millele on võimalik usaldusväärselt toetuda. Lõppkokkuvõttes jõuab vaid väike osa kõige olulisematest voogudest ja päringutest 2. ja 3. tasemele. Ilma selliste masinõppe meetodite rakendamiseta oleks signaali ja müra eristamise operatiivkulud liiga suured.
Anomaaliate avastamine. Esimeses etapis kasutatakse anomaaliate avastamisel statistilisi masinõppe meetodeid, et eristada statistiliselt normaalset liiklust anomaalsest. Üle 70 eraldi anduri töötlevad Stealthwatch'i kogutud telemeetriandmeid, mis puudutavad teie võrgu perimeetri kaudu liikuvat liiklust, eraldades olemasolul sisemised DNS-i liiklusandmed ja vahe-serveri andmed. Iga päring töödeldakse üle 70 anduri poolt, igal anduril on oma statistiline algoritm, mille kaudu moodustatakse hinnang avastatud anomaaliate kohta. Need hinnangud koondatakse ning mitmete statistiliste meetodite rakendamisel saadakse igale eraldi päringule ühtne hinnang. Seejärel kasutatakse seda koondhinnangut normaalse ja anomaalse liikluse eristamiseks.
Usaldusmudel. Seejärel grupeeritakse sarnased päringud ja selliste gruppide anomaaliate koguarv hinnatakse pikaajalise keskmise väärtusena. Aja jooksul analüüsitakse rohkem päringuid, mis alandab vale-positiivsete ja vale-negatiivsete tulemuste tekkimise sagedust. Usaldusväärsuse modelleerimise tulemusi kasutatakse liiklusallika alamhulga valimiseks, mille anomaaliate hindamine ületab teatud dünaamiliselt määratletud piirmäära, et see tõsta järgmisele töötlemise tasemele.
Tase 2. Sündmuste klassifitseerimine ja objekti modelleerimine
Selles etapis toimub eelmistelt etappidelt saadud tulemuste klassifitseerimine ja nende seostamine konkreetsete kahjulike sündmustega. Sündmuste klassifitseerimine toimub masinõppe klassifikaatorite poolt määratud väärtuse alusel, et tagada pidev täpsuse määr üle 90%. Nende hulka kuuluvad:
- Neumann-Pearsoni lemmade põhised lineaarsed mudelid (normaalse jaotuse seadus artikli alguses olevast graafikust)
- tugivektorimasinad, mis kasutavad mitme muutujaga õppimist
- neuraalvõrgud ja "juhusliku metsa" algoritm.
Seejärel seostatakse sellised aja jooksul eraldatud turvasündmused ühe lõppseadmestiku külge. Just sel etapil koostatakse ohukirjeldus, mille alusel luuakse täielik tervik sellest, kuidas vastav kurjategija suutis seatud eesmärkideni jõuda.
Sündmuste klassifitseerimine. Statistiliselt anomaalne alamhulk eelmisest tasemest jaotatakse 100 ja enam kategooriasse klassifikaatorite abil. Enamik klassifikaatoreid põhineb individuaalsel käitumisel, rühmasuhetele või käitumisel globaal- või lokaalses ulatuses, samas kui teised võivad olla väga spetsiifilised. Näiteks võib klassifikaator viidata käskluste serverite liiklusele, kahtlasele laiendusele või volitamata tarkvara värskendusele. Selle etapi tulemusena moodustatakse anomaalsete sündmuste kogum turvasüsteemis, mis on seotud kindlate kategooriatega.
Objekti modelleerimine. Kui konkreetse objekti kahjulikkuse hüpoteesi toetavate tõendite hulk ületab olulise tähenduse piiri, määratakse oht. Vastavad sündmused, mis on mõjutanud ohuhinnangut, seostatakse sellise ohuga ja saavad objekti diskreetse pikaajalise mudeli osaks. Aja jooksul tõendite kogunedes määrab süsteem uusi ohte, kui saavutatakse olulise tähenduse piirmäär. See piirmäär on dünaamiline ja läbib intellektuaalset kohandamist, tuginedes ohuriski tasemele ja muudele teguritele. Pärast seda kuvatakse oht veebiliidese teabes ja liigutatakse järgmisse tasemesse.
Tasand 3. Suhete modelleerimine
Suhete modelleerimise eesmärk on sünteesida eelnevatel tasanditel saadud tulemused globaalsetest vaatenurkadest, arvestades mitte ainult kohalikku, vaid ka globaalsed kontekste vastava juhtumi puhul. Just selles etapis saab määrata, kui palju organisatsioone on sellise rünnaku alla sattunud, et mõista, kas see oli suunatud just teile või on see osa globaalsest kampaaniast, ning teie sattumine sellele oli lihtsalt juhuslik.
Juhtumeid kinnitatakse või avastatakse. Kinnitatud juhtum tähendab 99 kuni 100 % kindlust, kuna vastavad meetodid ja tööriistad on varem suures (globaalses) mastaabis toiminud. Avastatud juhtumid on unikaalsed teie jaoks ja kuuluvad kitsalt suunatud kampaaniate alla. Mineviku tulemused edastatakse tuntud tegevuste järjestuses, mis võimaldab säästa teie aega ja ressursse reageerimisel. Need pakuvad tööriistu uurimiseks, mis on vajalikud teie rünnaku all olevate osaliste mõistmiseks ning kampaania suunatuse taseme määramiseks teie digitaalsesse äri. Nagu te arvata saate, on kinnitatud juhtumite arv palju suurem kui avastatud juhtumite arv lihtsal põhjusel, et kinnitatud juhtumitega ei kaasne pahatahtlikele palju kulutusi, samas kui avastatud juhtumite käsitlemine on kulukam.
kallis, kuna nad peavad olema uued ja individuaalsed. Loome võimaluse kinnitatud intsidentide tuvastamiseks, majanduse mäng on lõpuks liikumas kaitsjate kasuks, andes neile teatava eelise.
Mitmeastmeline õppimine ETA-põhise tehisnärvivõrgu süsteemis
Globaalne riskikaart
Globaalne riskikaart luuakse, analüüsides, mida masinõppe algoritmid rakendavad ühele suurimale andmekogule oma valdkonnas. See pakub ulatuslikke statistilisi andmeid veebiserverite käitumise kohta, isegi kui need ei ole tuntud. Sellised serverid on seotud rünnakutega, võivad olla kaasatud või kasutada rünnaku käigus tulevikus. See ei ole "must nimekiri", vaid ulatuslik pilt käsitletavast serverist turvalisuse seisukohalt. Teave nende serverite tegevuse kohta, valmistatud konteksti arvestades, võimaldab Stealthwatch'i masinõppe detektoritel ja klassifikaatoritel täpselt ennustada riski taset, mis on seotud selliste serveritega suhtlemisega.
Saate vaadata saadaval olevaid kaarte .
Maakaart, mis näitab 460 miljonit IP-aadresse
Nüüd õpib võrk ja seab end kaitseks teie võrgu eest.
L finalmente leitud paanitsus?
Kahjuks, ei. Oma süsteemi kogemustest lähtudes võin öelda, et on 2 globaalset probleemi.
Probleem 1. Hind. Kogu võrku haldab Cisco süsteem. See on nii hea kui halb. Hea külg on see, et te ei pea muretsema ja paigaldama hunnikut D-Linki, MikroTiki jne. halb külg – süsteemi ülemäärane hind. Arvestades Venemaa äri majanduslikku olukorda, saab endale selle ime lubada vaid rikka suurfirma või panga omanik.
Probleem 2. Koolitus. Ma ei maininud artiklis tehisnärvivõrgu koolituse aega, kuid mitte sellepärast, et seda ei oleks, vaid sellepärast, et see õpib pidevalt ja me ei saa ennustada, millal see õigupoolest valmis saab. Loomulikult on olemas matemaatilise statistika tööriistad (võtke näiteks Pearsoni konvergentsikriteeriumi määratlemine), kuid need on lihtsalt ajutised lahendused. Saame liikluse filtreerimise tõenäosuse, ja seda veel tingimusel, et rünnak on juba tuntud ja omaks võetud.
Hoolimata neist kahest probleemist oleme teinud suuri edusamme teabe turvalisuse ja võrgu kaitse arendamisel. See fakt võib innustada õppima võrgu tehnoloogiaid ja neuronivõrke, mis on praegu väga perspektiivikas suund.
Allikas: habr.com
