تیم IT یک شرکت متوسط معمولاً چند نفر بیشتر نیست، اما هر روز هزاران خط لاگ از فایروال، سرورها، ایمیل و آنتی‌ویروس تولید می‌شود. هیچ انسانی نمی‌تواند همه را بخواند. اینجاست که هوش مصنوعی به کار می‌آید. از طرف دیگر، مهاجمان هم به همین ابزارها دسترسی دارند و از آن‌ها برای حمله سریع‌تر و باورپذیرتر استفاده می‌کنند. شناخت هر دو طرف این شمشیر، لازمه تصمیم درست است.
هوش مصنوعی در دست مدافع
بسیاری از محصولات امنیتی سال‌هاست از یادگیری ماشین استفاده می‌کنند و اکنون قابلیت‌های مبتنی بر مدل‌های زبانی هم به آن‌ها اضافه می‌شود. کاربردهای رایج:
- تشخیص رفتار غیرعادی: سیستم یاد می‌گیرد رفتار عادی کاربران و سرورها چیست و انحراف را گزارش می‌کند؛ مثلاً ورود یک حساب در ساعت غیرمعمول یا انتقال حجم زیاد داده به بیرون.
- محافظت از سیستم‌ها (EDR): به‌جای تکیه صرف بر امضای بدافزارهای شناخته‌شده، رفتار مشکوک برنامه‌ها مثل رمزگذاری انبوه فایل‌ها را شناسایی و متوقف می‌کند.
- فیلتر ایمیل: تشخیص ایمیل‌های جعلی و پیوست‌های مخرب بر اساس محتوا و الگوهای ارسال.
- تحلیل لاگ و اولویت‌بندی هشدارها: در سیستم‌های SIEM، هشدارهای مرتبط را کنار هم می‌گذارد و به کارشناس می‌گوید از کجا شروع کند.
- کمک به کارشناس: توضیح یک هشدار، خلاصه‌کردن یک رخداد یا پیشنهاد گام‌های بررسی به زبان ساده.
محدودیت‌های دفاع هوشمند
- هشدار کاذب: سیستم ممکن است رفتار مجاز را مشکوک بداند یا برعکس، حمله‌ای آرام را عادی فرض کند.
- وابستگی به داده خوب: اگر لاگ‌ها جمع‌آوری نشوند یا ساعت سرورها هماهنگ نباشد، هیچ هوشی کمک نمی‌کند.
- جعبه سیاه: همیشه روشن نیست چرا سیستم چیزی را خطرناک تشخیص داده است.
- هزینه و پیچیدگی: این محصولات معمولاً لایسنس، منابع سخت‌افزاری و کارشناس برای تنظیم می‌خواهند. قابلیت‌ها و شرایط آن‌ها هم بین سازندگان متفاوت است و مدام تغییر می‌کند.
هوش مصنوعی جایگزین اصول پایه نیست. شرکتی که به‌روزرسانی امنیتی، ورود دومرحله‌ای و بکاپ جدا از شبکه ندارد، با خرید یک محصول هوشمند امن نمی‌شود.
هوش مصنوعی در دست مهاجم
- ایمیل و پیام جعلی باورپذیرتر: متن بی‌غلط و متناسب با هدف، به هر زبانی و در حجم زیاد.
- جمع‌آوری سریع اطلاعات: خلاصه‌کردن اطلاعات عمومی درباره شرکت و کارکنانش برای طراحی حمله.
- کمک به نوشتن کد مخرب و پیدا کردن ضعف‌ها: سرویس‌های معتبر محدودیت‌هایی دارند، اما مهاجمان ابزارهای دیگری هم پیدا می‌کنند و سرعت کارشان بیشتر شده است.
- جعل صدا و تصویر: برای فریب کارکنان و درخواست پرداخت یا اطلاعات.
حمله به خود ابزارهای هوش مصنوعی
اگر شرکت از دستیار هوش مصنوعی متصل به ایمیل، اسناد یا سیستم‌های داخلی استفاده کند، سطح حمله جدیدی ایجاد می‌شود. در حمله‌ای به نام Prompt Injection، مهاجم دستورهایی را در یک ایمیل، صفحه وب یا سند پنهان می‌کند تا دستیار آن‌ها را اجرا کند؛ مثلاً اطلاعاتی را به بیرون بفرستد. به همین دلیل به این دستیارها فقط حداقل دسترسی لازم را بدهید، کارهای حساس مثل ارسال یا حذف را به تأیید انسان موکول کنید و فعالیتشان را لاگ کنید.
چک‌لیست
- اصول پایه شامل به‌روزرسانی، ورود دومرحله‌ای و بکاپ جدا از شبکه برقرار است.
- لاگ فایروال، سرورها و سیستم‌ها در یک نقطه جمع‌آوری و نگهداری می‌شود.
- پیش از خرید محصول امنیتی هوشمند، آن را مدتی آزمایشی در شبکه خودتان سنجیده‌اید.
- کسی مسئول بررسی هشدارهاست، نه فقط دریافت آن‌ها.
- دستیارهای هوش مصنوعی متصل به سیستم‌ها حداقل دسترسی دارند.
- کارکنان درباره فریب‌های جدید آموزش دوره‌ای می‌بینند.
هوش مصنوعی ترازوی امنیت را به نفع هیچ طرفی به‌طور کامل برنمی‌گرداند؛ برنده کسی است که پایه‌ها را محکم کرده باشد. کارشناسان ITPlus724 می‌توانند امنیت شبکه و فایروال، جمع‌آوری لاگ و بکاپ امن شرکت شما را پیاده‌سازی و بازبینی کنند.