Sistema per l'analisi del traffico senza decrittografarlo. Questo metodo è semplicemente chiamato «apprendimento automatico». È stato riscontrato che se si alimenta un classificatore speciale con un volume molto grande di traffico eterogeneo, il sistema può rilevare con un'alta probabilità le azioni di codice malevolo all'interno del traffico crittografato.
Le minacce informatiche sono cambiate e sono diventate «più intelligenti». Negli ultimi tempi, la stessa concezione di attacco e difesa è cambiata. Il numero di eventi in rete è aumentato notevolmente. Gli attacchi sono diventati più sofisticati e gli hacker hanno una gamma più ampia di strategie di attacco.
Secondo le statistiche di Cisco, negli ultimi anno i malintenzionati hanno aumentato di tre volte il numero di programmi malevoli che usano per le loro attività, in particolare per nascondere le proprie tracce tramite la crittografia. Dalla teoria si sa che un algoritmo di crittografia «corretto» non può essere violato. Per capire cosa si nasconde all'interno del traffico crittografato, è necessario o decrittografarlo conoscendo la chiave, oppure tentare di decifrarlo con vari trucchi, o ancora attraverso un attacco diretto, o sfruttando alcune vulnerabilità nei protocolli crittografici.
Il panorama delle minacce informatiche del nostro tempo
Apprendimento automatico
Conosci la tecnologia a menadito! Prima di parlare di come funziona la tecnologia di decrittografia basata sull'apprendimento automatico, è necessario esaminare come funziona la tecnologia delle reti neurali.
L'apprendimento automatico (Machine Learning) è un ampio sottodominio dell'intelligenza artificiale che studia i metodi per costruire algoritmi in grado di apprendere. Questa scienza è indirizzata alla creazione di modelli matematici per l'«apprendimento» dei computer. L'obiettivo dell'apprendimento è la previsione di qualcosa. Nella comprensione umana, chiamiamo questo processo con la parola «saggezza». La saggezza si manifesta nelle persone che hanno vissuto abbastanza anni (un bambino di 2 anni non può essere saggio). Rivolgendoci ai membri più anziani, forniamo loro alcune informazioni sull'evento (dati in ingresso) e chiediamo aiuto. Loro, a loro volta, ricordano tutte le situazioni della vita che sono in qualche modo collegate al tuo problema (base di conoscenza) e sulla base di quelle conoscenze (dati) ci forniscono, in un certo senso, una previsione (consiglio). Questo tipo di consigli è stato chiamato previsione perché la persona che offre il consiglio non sa con certezza cosa accadrà, ma solo suppone. L'esperienza di vita dimostra che una persona può avere ragione, ma può anche sbagliarsi.
Non bisognerebbe confrontare le reti neurali con l'algoritmo di branching (if-else). Sono cose diverse e ci sono differenze chiave tra di loro. Mostrerò con degli esempi.
Compito. Determinare la distanza di arresto di un'auto in base alla sua marca e anno di produzione.
Esempio di funzionamento dell'algoritmo di branching. Se l'auto è di marca 1 ed è stata prodotta nel 2012, la sua distanza di arresto è di 10 metri; altrimenti, se l'auto è di marca 2 ed è stata prodotta nel 2011, e così via.
Esempio di funzionamento di una rete neurale. Raccolgliamo dati sulle distanze di arresto delle auto negli ultimi 20 anni. Creiamo una tabella del tipo "marca-anno di produzione-distanza di arresto" in base alla marca e all'anno. Forniamo questa tabella alla rete neurale e iniziamo a insegnarle. L'addestramento avviene nel seguente modo: forniamo dati alla rete neurale, ma senza la distanza di arresto. La rete cerca di prevedere quale sarà la distanza di arresto, sulla base della tabella caricata. Prevede qualcosa e pone la domanda all'utente "Ho ragione?". Prima della domanda, crea una quarta colonna - la colonna delle congetture. Se ha ragione, inserisce 1 nella quarta colonna, se ha sbagliato, 0. La rete neurale passa all'evento successivo (anche se ha sbagliato). Così la rete si allena e quando l'addestramento è completo (raggiunto un certo criterio di convergenza), forniamo dati sull'auto che ci interessa e infine otteniamo la risposta.
Per chiarire la questione del criterio di convergenza, spiegherò che si tratta di una formula matematicamente derivata per la statistica. Un esempio evidente di 2 formule di convergenza diverse. Rossa - convergenza binaria, blu - convergenza normale.
Distribuzioni di probabilità binomiale e normale
Per rendere tutto più chiaro, ponete la domanda "Qual è la probabilità di incontrare un dinosauro?". Ci sono 2 risposte possibili. Risposta 1 – molto bassa (grafico blu). Risposta 2 – o lo incontro o no (grafico rosso).
Certo, un computer non è un essere umano e apprende in modo diverso. Si distinguono 2 tipi di apprendimento del "cavallo di ferro" – apprendimento per precedenti e apprendimento deduttivo.
L'apprendimento per precedenti è un metodo di apprendimento basato su leggi matematiche. I matematici raccolgono tabelle statistiche, formulano conclusioni e caricano nella rete neurale il risultato – una formula per il calcolo.
L'apprendimento deduttivo – l'apprendimento avviene esclusivamente nella rete neurale (dalla raccolta dei dati fino alla loro analisi). Qui si forma una tabella senza formula, ma con statistiche.
Una panoramica ampia della tecnologia richiederebbe ancora un paio di decine di articoli. Per ora, ciò è sufficiente per una comprensione generale.
Neuroplasticità
In biologia esiste un concetto chiamato neuroplasticità. La neuroplasticità è la capacità dei neuroni (cellule cerebrali) di agire "in base alla situazione". Ad esempio, una persona che ha perso la vista sente meglio i suoni, percepisce gli odori e riconosce gli oggetti. Questo avviene perché una parte del cervello (una parte dei neuroni) responsabile della vista ridistribuisce il proprio lavoro su un'altra funzionalità.
Un esempio vivido di neuroplasticità nella vita è il lecca-lecca BrainPort.
Nel 2009, l'Università del Wisconsin a Madison ha annunciato l'uscita di un nuovo dispositivo che sviluppa le idee del "display linguistico", chiamato BrainPort. BrainPort funziona secondo questo algoritmo: il segnale video arriva dalla telecamera al processore, che gestisce lo zoom, la luminosità e altri parametri dell'immagine. Trasforma anche i segnali digitali in impulsi elettrici, assumendo di fatto le funzioni della retina.
Lecca-lecca BrainPort con occhiali e telecamera
BrainPort in azione
Lo stesso vale per un computer. Se la rete neurale percepisce un cambiamento nel processo, si adatta ad esso. Questo è uno dei principali vantaggi delle reti neurali rispetto ad altri algoritmi: l'autonomia. Una sorta di umanità.
Analisi del traffico crittografato
Encrypted Traffic Analytics è parte del sistema Stealthwatch. Stealthwatch è una soluzione sviluppata dalla Cisco nel campo del monitoraggio e dell'analisi della sicurezza, che utilizza i dati di telemetria aziendale provenienti dall'infrastruttura di rete esistente.
La base di Stealthwatch Enterprise è composta dagli strumenti Flow Rate License, Flow Collector, Management Console e Flow Sensor.
Interfaccia Cisco Stealthwatch
Il problema della crittografia si è fatto particolarmente sentire poiché è aumentato notevolmente il traffico crittografato. In passato veniva crittografato solo il codice (principalmente), mentre ora viene crittografato tutto il traffico, rendendo molto più difficile separare i dati "puliti" dai virus. Un chiaro esempio è WannaCry, che ha utilizzato Tor per nascondere la propria presenza sulla rete.
Visualizzazione della crescita della crittografia del traffico in rete
Crittografia in macroeconomia
Il sistema Encrypted Traffic Analytics (ETA) è necessario proprio per gestire il traffico crittografato senza doverlo decifrare. I criminali informatici sono intelligenti e utilizzano algoritmi di crittografia resistenti, e violarli non è solo un problema, ma comporta anche enormi costi per le organizzazioni.
Il sistema funziona come segue. In azienda arriva un certo traffico. Esso entra nel TLS (transport layer security — protocollo di protezione del livello di trasporto). Supponiamo che il traffico sia crittografato. Cerchiamo di rispondere a una serie di domande su quale connessione sia stata stabilita.
Principio di funzionamento del sistema Encrypted Traffic Analytics (ETA)
Per rispondere a queste domande utilizziamo l'apprendimento automatico in questo sistema. Vengono utilizzati gli studi della Cisco per creare una tabella con 2 risultati - traffico malevolo e "buono". Certamente, non possiamo sapere con certezza quale traffico sia finito nel sistema in questo preciso momento, ma possiamo tracciare la storia del traffico sia all'interno che all'esterno dell'azienda ricorrendo ai dati provenienti dal panorama mondiale. Alla fine di questo passaggio, otteniamo un'enorme tabella con i dati.
Sulla base dei risultati della ricerca si identificano tratti caratteristici: determinate regole che possono essere espresse in forma matematica. Queste regole varieranno notevolmente in base a diversi criteri: dimensione dei file trasferiti, tipo di connessione, paese da cui proviene il traffico e così via. Di conseguenza, una tabella enorme si è trasformata in un insieme di formule. Sono diventate meno, ma questo non è sufficiente per un lavoro confortevole.
In seguito, viene applicata la tecnologia di apprendimento automatico: la convergenza della formula e, in base al risultato di tale convergenza, otteniamo un trigger: un interruttore, dove al verificarsi dei dati riceviamo un interruttore (flag) in posizione alzata o abbassata.
L'ultima fase è la generazione di un insieme di trigger che coprono il 99% del traffico.
Fasi di controllo del traffico in ETA
Di conseguenza, viene risolta un'altra problematica: l'attacco dall'interno. Non sono più necessarie persone nel mezzo che filtrano il traffico manualmente (in questo momento mi sto sabotando). In primo luogo, non è più necessario spendere molti soldi per un sistemista esperto (continuo a sabotarmi). In secondo luogo, non c'è più il pericolo di intrusioni interne (almeno parzialmente).
Concetto obsoleto di Man-in-the-Middle
Ora, analizziamo su cosa si basa il sistema.
Il sistema funziona su 4 protocolli di comunicazione: TCP/IP – protocollo di trasmissione dei dati su internet, DNS – server dei nomi di dominio, TLS – protocollo di protezione a livello di trasporto, SPLT (SpaceWire Physical Layer Tester) – tester del livello fisico di comunicazione.
Protocolli che lavorano con ETA
Il confronto avviene attraverso un abbinamento dei dati. Per i protocolli TCP/IP viene controllata la reputazione dei siti (storia delle visite, obiettivo della creazione del sito, ecc.), grazie al protocollo DNS possiamo escludere gli indirizzi di siti "cattivi". Il protocollo TLS lavora con le "impronte" del sito (fingerprint) e verifica il sito sulla base del gruppo di risposta agli incidenti informatici (cert). L'ultima fase di controllo della connessione è la verifica a livello fisico. I dettagli del funzionamento di questa fase non vengono specificati, ma il concetto è il seguente: verifica delle sinusoidi e cosinusoidi delle curve di trasmissione dei dati su impianti oscillografici, cioè, grazie alla struttura della richiesta a livello fisico, definiamo l'obiettivo della connessione.
A seguito del funzionamento del sistema, possiamo estrarre dati dal traffico crittografato. Grazie allo studio dei pacchetti, possiamo leggere il massimo delle informazioni dai campi non crittografati all'interno del pacchetto. Attraverso l'ispezione del pacchetto a livello fisico, apprendiamo le caratteristiche del pacchetto (parzialmente o completamente). Inoltre, non dobbiamo dimenticare la reputazione dei siti. Se la richiesta proviene da una sorgente .onion, non dobbiamo fidarci. Per facilitare il lavoro con questo tipo di dati, è stata creata una mappa dei rischi.
Risultato del funzionamento di ETA
E tutto sembra andare bene, ma parliamo del dispiegamento della rete.
Realizzazione fisica di ETA
Qui sorgono una serie di sfumature e sottigliezze. In primo luogo, nella creazione di questo tipo di
rete con software di alto livello, è necessaria la raccolta dei dati. Raccogliere dati manualmente è del tutto
complicato, mentre implementare un sistema di risposta è già più interessante. In secondo luogo, i dati
devono essere numerosi, il che significa che i sensori installati nella rete devono operare
non solo in modo autonomo, ma anche in modalità finemente sintonizzata, il che comporta una serie di complessità.
Sensori e sistema Stealthwatch
Installare un sensore è una cosa, ma configurarlo è completamente un'altra questione. Per la configurazione dei sensori, esiste un complesso che funziona secondo la seguente topologia – ISR = router con integrazione servizi Cisco (Cisco Integrated Services Router); ASR = router con aggregazione servizi Cisco (Cisco Aggregation Services Router); CSR = router per servizi cloud Cisco (Cisco Cloud Services Router); WLC = controller per reti locali wireless Cisco (Cisco Wireless LAN Controller); IE = switch Ethernet industriale Cisco (Cisco Industrial Ethernet); ASA = dispositivo di protezione adattiva Cisco (Cisco Adaptive Security Appliance); FTD = soluzione per la protezione dalle minacce Cisco Firepower Threat Defense; WSA = dispositivo di protezione del traffico web (Web Security Appliance); ISE = modulo per servizi di identificazione (Identity Services Engine)
Monitoraggio complessivo tenendo conto di qualsiasi dato di telemetria
Ai network administrator inizia a venire l'aritmia per il numero di volte che ho detto "Cisco" nel paragrafo precedente. Il prezzo di questa meraviglia è piuttosto elevato, ma non è questo il tema di oggi...
La modellazione del comportamento degli hacker avverrà nel seguente modo. Stealthwatch monitora attentamente l'attività di ogni dispositivo nella rete e può creare un modello di comportamento normale. Inoltre, questa soluzione fornisce una comprensione profonda dei comportamenti inappropriati noti. Nell'ambito di questa soluzione vengono utilizzati circa 100 diversi algoritmi di analisi o regole euristiche che riguardano diversi tipi di comportamento del traffico, come la scansione, la trasmissione di allarmi da un nodo, l'accesso al sistema tramite brute force, la presunta cattura di dati, la presunta perdita di dati, ecc. Gli eventi di sicurezza elencati rientrano nella categoria delle allerte logiche ad alto livello. Alcuni eventi di sicurezza possono attivare un allarme anche da soli. Così, il sistema è in grado di correlare numerosi incidenti anomali isolati e riunirli per determinare un possibile tipo di attacco, oltre a collegarlo a un dispositivo e un utente specifici (figura 2). Successivamente, l'incidente può essere analizzato nel tempo e tenendo conto dei dati di telemetria correlati. Questo costituisce informazioni contestuali nella loro migliore espressione. I medici, esaminando un paziente per capire cosa è successo, non considerano i sintomi separatamente. Esaminano il quadro generale per formulare una diagnosi. Allo stesso modo, Stealthwatch registra ogni attività anomala nella rete e la studia nel complesso, per inviare segnali di allerta tenendo conto del contesto, aiutando così gli esperti di sicurezza a stabilire priorità per i rischi.
Rilevamento delle anomalie tramite modellazione del comportamento
Il dispiegamento fisico della rete appare così:
Opzione di dispiegamento della rete della filiale (semplificata)
Opzione di dispiegamento della rete della filiale
La rete è dispiegata, ma rimane aperta la questione sulla rete neurale. È stata organizzata una rete di trasmissione dati, installati sensori sui limiti e avviato un sistema di raccolta informazioni, ma la rete neurale non ha partecipato. Al momento.
Rete neurale multilivello
Il sistema analizza il comportamento dell'utente e del dispositivo per identificare infezioni dannose, comunicazioni con server di comando, perdite di dati e potenziali applicazioni indesiderate che operano nell'infrastruttura dell'organizzazione. Esistono diversi livelli di elaborazione dei dati, nei quali una combinazione di metodi di intelligenza artificiale, apprendimento automatico e statistica matematica aiuta la rete ad autoapprendere la sua attività normale, in modo che possa identificare l'attività dannosa.
Il pipeline di analisi della sicurezza della rete, che raccoglie dati di telemetria da tutte le parti della rete estesa, inclusi i dati di traffico crittografato, è una caratteristica unica di Stealthwatch. Forma gradualmente una comprensione di ciò che è "anomalo", quindi classifica i singoli elementi di "attività minacciosa" e, infine, emette una decisione finale riguardo se il dispositivo o l'utente siano stati realmente compromessi. La capacità di raccogliere insieme piccoli frammenti, che formano la prova per prendere una decisione finale sulla compromissione dell'oggetto, è garantita da un'analisi e correlazione molto accurata.
Questa capacità è fondamentale, poiché un'impresa standard può ricevere ogni giorno un'enorme quantità di allarmi, e condurre un'indagine su ciascuno di essi è impossibile poiché le risorse degli specialisti della sicurezza sono limitate. Il modulo di apprendimento automatico elabora un'enorme quantità di informazioni praticamente in tempo reale per identificare incidenti critici con un alto grado di certezza, ed è anche in grado di suggerire un chiaro ordine di azioni per una pronta risoluzione.
Analizziamo più a fondo i numerosi metodi di apprendimento automatico utilizzati da Stealthwatch. Quando un incidente viene consegnato al modulo di apprendimento automatico di Stealthwatch, passa attraverso un imbuto di analisi della sicurezza, nel quale si utilizza una combinazione di metodi di apprendimento automatico supervisionato e non supervisionato.
Le capacità di apprendimento automatico multilivello
Livello 1. Rilevamento delle anomalie e modellizzazione della fiducia
A questo livello, il 99% del traffico viene scartato grazie a rilevatori statistici di anomalie. I sensori sopra menzionati formano modelli complessi di ciò che è normale e di ciò che, al contrario, è anomalo. Tuttavia, ciò che è anomalo non è necessariamente malevolo. Molti degli eventi che accadono nella vostra rete non hanno alcuna correlazione con una minaccia: sono semplicemente strani. È importante classificare tali processi senza considerare il comportamento minaccioso. Per questo motivo, i risultati dell'attività di tali rilevatori vengono sottoposti a un'analisi successiva per registrare comportamenti strani che possano essere spiegati e ai quali si possa dare fiducia. Alla fine, solo una piccola quota dei flussi e delle richieste più importanti passa ai livelli 2 e 3. Senza l'utilizzo di tali metodi di apprendimento automatico, i costi operativi per separare il segnale dal rumore sarebbero troppo elevati.
Rilevamento delle anomalie. Nella prima fase del rilevamento delle anomalie, si utilizzano metodi statistici di apprendimento automatico per separare il traffico statisticamente normale da quello anomalo. Oltre 70 rilevatori distinti elaborano i dati di telemetria raccolti da Stealthwatch sul traffico che attraversa il perimetro della vostra rete, separando il traffico interno del sistema di nomi a dominio (DNS) e i dati del server proxy, se presenti. Ogni richiesta viene elaborata da più di 70 rilevatori, ognuno dei quali utilizza il proprio algoritmo statistico per formulare una valutazione delle anomalie rilevate. Tali valutazioni vengono unite e, grazie all'applicazione di diversi metodi statistici, si ottiene una valutazione unitaria per ciascuna richiesta. Successivamente, tale valutazione aggregata viene utilizzata per separare il traffico normale da quello anomalo.
Modellazione della fiducia. Successivi richieste simili vengono raggruppate e la valutazione complessiva delle anomalie per tali gruppi è determinata come media a lungo termine. Con il passare del tempo, più richieste vengono sottoposte ad analisi con successiva determinazione della media a lungo termine, consentendo così di ridurre i falsi positivi e i falsi negativi. I risultati della simulazione della fiducia vengono utilizzati per selezionare un sottogruppo di traffico, la cui valutazione delle anomalie supera una certa soglia definita dinamicamente, per il suo spostamento al livello successivo di elaborazione.
Livello 2. Classificazione degli eventi e modellazione dell'oggetto
A questo livello avviene la classificazione dei risultati ottenuti nelle fasi precedenti, assegnandoli a specifici eventi dannosi. La classificazione degli eventi è effettuata in base ai valori assegnati dai classificatori di machine learning per garantire un costante tasso di precisione superiore al 90%. Questi includono:
- modelli lineari basati sul lemma di Neyman-Pearson (legge della distribuzione normale dal grafico all'inizio dell'articolo)
- macchine a vettori di supporto, che utilizzano apprendimento multivariato
- reti neuronali e l'algoritmo "foresta casuale".
Successivamente, questi eventi di sicurezza isolati vengono collegati nel tempo a un singolo dispositivo finale. È proprio in questa fase che viene formulata la descrizione della minaccia, sulla base della quale viene creata un'immagine completa di come l'attaccante pertinente sia riuscito a raggiungere determinati risultati.
Classificazione degli eventi. Un sottoinsieme statisticamente anomalo del livello precedente viene distribuito in oltre 100 categorie tramite classificatori. La maggior parte dei classificatori si basa su comportamenti individuali, relazioni di gruppo o comportamenti su scala globale o locale, mentre altri possono essere piuttosto specifici. Ad esempio, un classificatore può indicare il traffico dei server di comando, un'estensione sospetta o un aggiornamento software non autorizzato. Al termine di questa fase, viene creato un insieme di eventi anomali nel sistema di sicurezza, assegnati a determinate categorie.
Modellazione dell'oggetto. Se la quantità di prove a sostegno dell'ipotesi sulla dannosità di un determinato oggetto supera la soglia di significatività, viene determinata la minaccia. Gli eventi corrispondenti che hanno influito sulla determinazione della minaccia sono collegati a tale minaccia e diventano parte di un modello discreto a lungo termine dell'oggetto. Con l'accumularsi delle prove nel tempo, il sistema identifica nuove minacce al raggiungimento della soglia di significatività. Questa soglia ha un carattere dinamico e subisce un aggiustamento intellettuale basato sul livello di rischio di insorgenza della minaccia e su altri fattori. Dopo di che, la minaccia appare nel pannello informativo dell'interfaccia web e viene tradotta al livello successivo.
3 livello. Modello delle relazioni
L'obiettivo del modello delle relazioni è sintetizzare i risultati ottenuti nei livelli precedenti, con una prospettiva globale, tenendo conto non solo del contesto locale ma anche di quello globale dell'incidente in questione. È proprio in questa fase che è possibile determinare quante organizzazioni hanno affrontato tale attacco, per comprendere se fosse indirizzato specificamente a voi o facesse parte di una campagna globale, e voi siate stati semplicemente colpiti "per caso".
Gli incidenti vengono confermati o scoperti. Un incidente confermato implica una fiducia dal 99 al 100%, poiché i metodi e gli strumenti pertinenti sono stati osservati in azione in un contesto più ampio (globale) in precedenza. Gli incidenti scoperti sono unici per voi e fanno parte di una campagna mirata. I risultati ottenuti in passato vengono trasmessi con una nota sul noto ordine delle azioni, consentendo di risparmiare tempo e risorse nella risposta. Vengono forniti insieme agli strumenti di indagine che vi serviranno per capire chi vi ha attaccato e quale sia il grado di orientamento della campagna sul vostro business digitale. Come puoi immaginare, il numero di incidenti confermati è di gran lunga superiore a quello degli incidenti scoperti per il semplice motivo che gli incidenti confermati non comportano grandi costi per gli malintenzionati, mentre gli incidenti scoperti sono costosi.
costoso, poiché devono essere nuovi e personalizzati. Creando la possibilità di identificare incidenti confermati, l'economia del gioco si è finalmente spostata a favore degli attaccanti, offrendo loro un vantaggio distintivo.
Apprendimento multi-livello del sistema di reti neurali basato su ETA
Mappa globale dei rischi
La mappa globale dei rischi viene creata attraverso un'analisi applicata dagli algoritmi di apprendimento automatico su uno dei più grandi dataset del settore. Fornisce ampie statistiche sul comportamento dei server online, anche se non sono conosciuti. Questi server possono essere associati ad attacchi, utilizzati o attivati in futuro. Non si tratta di una "blacklist", ma di una rappresentazione complessiva considerata del server in termini di sicurezza. Informazioni contestualizzate sulle attività di tali server consentono ai rilevatori e ai classificatori di apprendimento automatico di Stealthwatch di prevedere con precisione il livello di rischio associato alle comunicazioni con tali server.
Puoi visualizzare le mappe disponibili .
Mappa del mondo che mostra 460 milioni indirizzi IP
Ora la rete si sta preparando e si sta proteggendo per la tua rete.
Finalmente trovato il rimedio?
Purtroppo, no. Dall'esperienza con il sistema, posso dire che ci sono 2 problemi globali.
Problema 1. Prezzo. L'intera rete è implementata su un sistema Cisco. Questo è sia un vantaggio che uno svantaggio. Il vantaggio è che non devi preoccuparti di installare una miriade di dispositivi come D-Link, MikroTik, ecc. Lo svantaggio è il costo elevato del sistema. Considerando lo stato economico delle imprese russe, al momento attuale, solo i proprietari benestanti di grandi aziende o banche possono permettersi questa meraviglia.
Problema 2. Formazione. Non ho scritto nell'articolo il tempo di apprendimento della rete neurale, non perché non ci sia, ma perché essa continua ad apprendere e non possiamo prevedere quando arriverà a imparare. Certamente, ci sono strumenti di statistica matematica (come la formulazione del criterio di convergenza di Pearson), ma sono solo misure temporanee. Otteniamo una probabilità di filtraggio del traffico, ma solo se l'attacco è già conosciuto e compreso.
Nonostante questi 2 problemi, abbiamo fatto un grande salto nello sviluppo della sicurezza informatica in generale e della protezione della rete in particolare. Questo fatto potrebbe essere motivante per studiare le tecnologie di rete e le reti neurali, che rappresentano attualmente una direzione molto promettente.
Fonte: habr.com
