機(jī)器學(xué)習(xí)抵御未來(lái)網(wǎng)絡(luò)威脅

Nick+Savvides

隨著越來(lái)越多的企業(yè)擁抱數(shù)字化，保護(hù)企業(yè)自身的措施也必須演進(jìn)，主動(dòng)抵御安全風(fēng)險(xiǎn)，要比被動(dòng)響應(yīng)風(fēng)險(xiǎn)更加至關(guān)重要。

在我們?cè)S多人的眼中，機(jī)器無(wú)需人類(lèi)教授便能夠自主學(xué)習(xí)是科幻小說(shuō)或電影中的情節(jié)。而科幻電影給我們留下的印象往往是邪惡計(jì)算機(jī)企圖統(tǒng)治世界。但當(dāng)人工智能和機(jī)器學(xué)習(xí)成為我們生活中的一部分，并且用于保護(hù)人類(lèi)和財(cái)產(chǎn)安全時(shí)，這是不是很有意思？作為全球最大的網(wǎng)絡(luò)安全公司，賽門(mén)鐵克調(diào)查發(fā)現(xiàn)，每年全球都會(huì)發(fā)生超過(guò)10萬(wàn)億起安全事件，平均每天會(huì)發(fā)現(xiàn)超過(guò)100萬(wàn)個(gè)惡意軟件。如今，單靠人類(lèi)和傳統(tǒng)系統(tǒng)根本無(wú)法理解和處理當(dāng)下的海量數(shù)據(jù)，并將它們轉(zhuǎn)化為實(shí)用的情報(bào)。這促使我們開(kāi)發(fā)和試驗(yàn)新技術(shù)以解決這一難題，而其中，機(jī)器學(xué)習(xí)和人工智能成為研究的重點(diǎn)。

機(jī)器學(xué)習(xí)是什么？它與人工智能有何不同？

盡管當(dāng)下的數(shù)字助手、Siri、Friends、數(shù)據(jù)挖掘、計(jì)算機(jī)視覺(jué)和工業(yè)應(yīng)用等技術(shù)已令人驚嘆不已，但事實(shí)上，我們?nèi)蕴幱跈C(jī)器學(xué)習(xí)和人工智能發(fā)展的初級(jí)階段。實(shí)際上，雖然這些概念已經(jīng)提出超過(guò)60年，但直至最近十年，這些技術(shù)才取得真正的實(shí)質(zhì)性發(fā)展。

機(jī)器學(xué)習(xí)和人工智能密切相關(guān)，但也存在顯著差異。機(jī)器學(xué)習(xí)無(wú)需特別編程，便能夠從輸入和經(jīng)驗(yàn)中進(jìn)行學(xué)習(xí)，而人工智能則需要機(jī)器去感知和模仿人類(lèi)的行為。以自動(dòng)駕駛汽車(chē)為例，識(shí)別行人可以被理解為機(jī)器學(xué)習(xí)，但在抵達(dá)目的地之前的行駛過(guò)程中所處理的所有內(nèi)容則是人工智能。

機(jī)器學(xué)習(xí)在網(wǎng)絡(luò)安全領(lǐng)域的應(yīng)用

隨著越來(lái)越多的企業(yè)擁抱數(shù)字化，保護(hù)自身企業(yè)的措施也必須進(jìn)行演進(jìn)。主動(dòng)抵御安全風(fēng)險(xiǎn)，要比被動(dòng)響應(yīng)風(fēng)險(xiǎn)更加至關(guān)重要?，F(xiàn)在，設(shè)備數(shù)量以及網(wǎng)絡(luò)規(guī)模如此龐大，人類(lèi)和傳統(tǒng)系統(tǒng)根本無(wú)法充分理解安全威脅，并建立關(guān)聯(lián)。因此，我們必須求助于機(jī)器學(xué)習(xí)和人工智能，確保能夠領(lǐng)先網(wǎng)絡(luò)攻擊者一步。

在網(wǎng)絡(luò)安全領(lǐng)域，機(jī)器學(xué)習(xí)和人工智能作為助力手段，為我們提供了新的機(jī)遇—系統(tǒng)能夠理解數(shù)據(jù)，并提供我們需要關(guān)心和采取行動(dòng)的信息，這能夠極大地提高安全分析師的工作效率。

機(jī)器學(xué)習(xí)在網(wǎng)絡(luò)安全中的應(yīng)用主要集中在三個(gè)方面：威脅檢測(cè)、異常檢測(cè)，以及用戶(hù)行為分析。

以威脅檢測(cè)為例，我們委托機(jī)器學(xué)習(xí)系統(tǒng)檢測(cè)新型未知文件，并確定該文件是否構(gòu)成威脅。要做到這點(diǎn)，它必須通過(guò)查看已知惡意文件（已確定的惡意文件）進(jìn)行學(xué)習(xí)，它所查看的樣本數(shù)量越多，就會(huì)越了解這些樣本的特征（屬性、組件、行為），也就越能夠檢測(cè)和發(fā)現(xiàn)未知文件。這是一個(gè)持續(xù)自我改善與提升的過(guò)程，通過(guò)發(fā)現(xiàn)和吸納已核實(shí)的新結(jié)果，不斷提升機(jī)器學(xué)習(xí)的能力。

而對(duì)于異常檢測(cè)而言，它需要系統(tǒng)檢測(cè)行為模式，并基于此自動(dòng)構(gòu)建配置文件。在自動(dòng)駕駛汽車(chē)等封閉系統(tǒng)中，系統(tǒng)會(huì)觀(guān)察車(chē)輛的所有組件以及它們之間的通信方式，并為正常狀態(tài)構(gòu)建一個(gè)基準(zhǔn)模型。當(dāng)發(fā)生超出該模型的異常事件時(shí)，系統(tǒng)就會(huì)提示異常。由于數(shù)據(jù)可用性的挑戰(zhàn)，對(duì)互聯(lián)網(wǎng)等開(kāi)放系統(tǒng)的異常檢測(cè)變得極為難以實(shí)現(xiàn)。只有以海量數(shù)據(jù)為樣本時(shí)，才能實(shí)現(xiàn)真正有效的檢測(cè)。賽門(mén)鐵克憑借來(lái)自?xún)|萬(wàn)系統(tǒng)的遙測(cè)數(shù)據(jù)資源，能夠?qū)崿F(xiàn)有效異常檢測(cè)。

機(jī)器學(xué)習(xí)在這兩方面為我們構(gòu)建出色的工具提供了支持，使賽門(mén)鐵克能夠領(lǐng)先網(wǎng)絡(luò)攻擊者一步。威脅檢測(cè)幫助我們發(fā)現(xiàn)全新未知的惡意軟件，而異常檢測(cè)則能夠幫助我們查看網(wǎng)絡(luò)或系統(tǒng)是否受到攻擊，或是否需要進(jìn)一步調(diào)查。數(shù)據(jù)是機(jī)器學(xué)習(xí)的動(dòng)力之源，而大數(shù)據(jù)則是賽門(mén)鐵克機(jī)器學(xué)習(xí)方法的核心。得益于在端點(diǎn)、網(wǎng)絡(luò)和云安全的廣泛足跡，我們從來(lái)自不同企業(yè)、行業(yè)和地區(qū)，并處于實(shí)時(shí)監(jiān)測(cè)下的1.75億端點(diǎn)和5，700萬(wàn)傳感器中收集了廣泛的威脅與攻擊數(shù)據(jù)。這些數(shù)據(jù)意味著數(shù)十億文件和近四萬(wàn)億關(guān)聯(lián)信息。這是一個(gè)龐大而豐富的數(shù)據(jù)集，能夠訓(xùn)練分類(lèi)系統(tǒng)去分辨哪些是“無(wú)害”、“惡意”，以及介于兩者之間的數(shù)據(jù)和內(nèi)容。我們擁有的數(shù)據(jù)越多越豐富，檢測(cè)就會(huì)越精確越高效。Symantec Endpoint Protection 14解決方案能夠在端點(diǎn)和云端部署高級(jí)機(jī)器學(xué)習(xí)，同時(shí)充分利用云中附加的人工智能機(jī)制和賽門(mén)鐵克的全球智能情報(bào)網(wǎng)絡(luò)。

展望未來(lái)

最終，我們需要能夠構(gòu)建出色的情報(bào)安全系統(tǒng)，并確保它們擁有比威脅發(fā)展更快的速度進(jìn)行學(xué)習(xí)，還能夠預(yù)測(cè)新的攻擊。我們可以利用機(jī)器去搜索暗網(wǎng)，無(wú)需查找關(guān)鍵詞，便能夠理解和解讀以任何語(yǔ)言所進(jìn)行的討論，并將這些內(nèi)容導(dǎo)入人工智能，將它們與所有其他機(jī)器學(xué)習(xí)輸出進(jìn)行整合，從而最終實(shí)現(xiàn)感知、檢測(cè)和生產(chǎn)。

盡管機(jī)器智能的概念存在已久，但真正意義上的發(fā)展還是開(kāi)始于近些年。我們對(duì)于機(jī)器學(xué)習(xí)和人工智能將威脅監(jiān)測(cè)帶入新的領(lǐng)域感到興奮不已。如果能夠正確利用人工智能與機(jī)器學(xué)習(xí)，并與端點(diǎn)和云端廣泛而豐富的數(shù)據(jù)相結(jié)合，這些技術(shù)將徹底改變打擊網(wǎng)絡(luò)犯罪的方式。隨著計(jì)算能力和數(shù)據(jù)量的提升，人工智能和機(jī)器學(xué)習(xí)也在快速發(fā)展。每當(dāng)我們?cè)诰W(wǎng)上購(gòu)物、使用ATM機(jī)或者瀏覽廣告時(shí)，智能機(jī)器都正在保護(hù)著我們。雖然現(xiàn)實(shí)生活中并沒(méi)有統(tǒng)治世界這種驚心動(dòng)魄的故事，但它們的出現(xiàn)至少會(huì)讓我們睡得更加踏實(shí)。endprint