Bu yardımda net güvenlik röportajında, Backblaze Güvenlik Mimarisi ve Mühendislik Direktörü Chris McGranahan, AI’nın hem rahatsız edici hem de savunma siber güvenlik taktiklerini nasıl şekillendirdiğini tartışıyor. AI’nın tehdit ortamını nasıl değiştirdiğini, penetrasyon testine getirdiği komplikasyonların ve şirketlerin AI odaklı saldırıların önünde kalmak için neler yapabileceğinden bahsediyor.
McGranahan ayrıca insan uzmanlığının gerekli kaldığını ve bulut ortamlarını korumak için tek başına AI’ya güvenemeyeceğimizi belirtiyor.
Yapay zekanın yanal hareketi, güvenlik açığı zincirini veya ayrıcalık artışını otomatikleştirmek için kullanıldığını görüyor muyuz? Eğer öyleyse, nasıl? Düşük kademe tehdit aktörlerine yapay zeka destekli bu yetenekler ne kadar erişilebilir?
Şu anda AI’nın yeni pentesting/redteam araç ve hizmetlerinde kullanıldığını görüyoruz. Backblaze’de, dahil olduğumuz ve katıldığımız standart manuel pentestlemeyi desteklemek için bir ajan AI hizmeti sağlayan bir satıcıyı değerlendirme sürecindeyiz.
Bir AI pentesting aracı kullanmanın bir endişesi, AI’nın kara bir kutu olma eğilimindedir. Bu nedenle, AI tarafından kullanılan başarılı saldırı yöntemlerini çoğaltmak zor olacak ve AI’nın doğası göz önüne alındığında, muhtemelen aynı şekilde yapmaz ve yeniden denemede başarısız olabilir. Bu yüzden partnerimizle, ne yapıldığını ve en iyi nasıl hafifletileceğini tam olarak anladığımızdan emin olmak için alınan eylemlerin bir transkriptini geliştirme konusunda konuşuyoruz.
AI odaklı davranışsal analiz, bu durumda ML ve sinir ağı sistemleri, ağ davranışını gerçek zamanlı olarak analiz eden ve olağandışı erişim kalıplarını veya yanal hareketi işaretleyen güvenlik platformları ile anormallikleri ve atakları artırmaktan önce tespit etmeyi kolaylaştırır.
AI, daha az bilgili olmalarına izin veren, ancak bulut platformlarını kullanarak daha fazla hız ve esneklik ile saldırıları konuşlandırabilmelerine ve uygulayabilmelerine izin veren tehdit aktörleri için düşük bir bariyer giriş sağladı. Örneğin, siber suçlu forumlar, sahtekarlık ve chaosgpt gibi AI araçları için özel bölümlere sahiptir ve kötü niyetli aktörler nispeten uygun bir fiyata büyük dil modellerini satın alabilir ve sofistike saldırıları daha erişilebilir hale getirir.
Kuruluşların rutin olarak kaçırdığı buluta özgü yanlış yapılandırmalar veya yapay zeka modeli dağıtım kusurları var mı?
Yaygın bir kusur, AI modelleri zaman içinde karşılaştıkları gerçek dünya verileri, eğitildikleri verilerden geçtikçe zaman içinde bozulduğunda meydana gelen model sürüklenir. Bu, sadece dağıtımda değil, aynı zamanda tehdit algılama tekniklerinde de doğruluğun azalmasına yol açabilir ve sürekli izleme ve yeniden eğitilmeyi gerektirir.
Günün sonunda üretici yapay zeka “zeki” değildir, bir sorguya en olası yanıtı belirleyen matematiktir. Bir ay kadar önce bir eğitim egzersizinde, bir dizine eklenen kötü amaçlı bir dosyayı kaçıran bir AI çözümüyle çalışıyordum. Kicks için dosyanın oraya nasıl geldiğini sordum ve araç hayali bir hikaye buldu. Yapay zeka ve otomasyonla ilgili tüm tartışmalarda “döngüde insan” olması gerektiği konusunda genel bir anlaşma vardır.
Daha fazla standart otomasyon veya daha önceki ML araçlarıyla aynı endişemiz vardı. Bir ay önce bir sempozyumda ortaya konan bir endişe, Genai’nin doğası göz önüne alındığında, döngüdeki insanın AI’nın yaptığı sonuca nasıl giremeyeceği idi. Deneyim ve eleştirel düşünme çok önemli olacaktır.
İşletmeler, saldırganların keşif ve sömürü için yapay zekayı kullandıklarını şimdi nasıl yeniden düşünmeli?
Potansiyel tehditler artık AI’nın yardımıyla başlatıldığından, tehdit modellerinin, geçmişte daha kolay tespit edilebilecek daha organik yollardan ziyade potansiyel tehditlerin yapay zeka kaynaklı ne zaman AI’dan kaynaklandığını tanıması gerekecektir.
AI’nın en yaygın kötü niyetli kullanımı (ve en az birkaç kaynaktan, AI’nın en yaygın kullanımı) sosyal mühendislik saldırılarında olmuştur. AI, ölçekte ikna edici, kişisel kimlik avı girişimleri oluşturmak için kullanılabilir. Bir spearfishing saldırısı için, belirli bir hedef tarafından güvenilen birinin yazı stilini taklit etmek için eğitilebilir. AI saldırıları için AI, bir hedefin konuşmayı bekleyebileceği birinin sesini taklit etmek için kullanılabilir. Pentesters AIS’e saldırdığında veya AIS birbirlerine saldırmak için kullanıldığında ilginç olacak. Bir AI’nın rastgele ayarlarına bağlı olarak, bir saldırı asla% 100 başarılı olamaz. Bunun tersi hiçbir savunma mükemmel olamaz, ama asla öyle.
Yapay zeka odaklı riski azaltmak için işletmelerin SaaS veya IaaS ortamlarında uygulanabileceği belirli kontroller veya yapılandırmalar var mı?
SaaS veya IaaS ortamlarında AI odaklı riski azaltmak için, işletmeler esneklik, tespit ve hazırlık üzerine odaklanan bir dizi proaktif kontrol ve konfigürasyon uygulamalıdır. Yapay zeka ile çalışan uç nokta algılama ve yanıt (EDR) araçları esastır-uç noktalardaki aktiviteyi sürekli olarak izler ve analiz ederler, alışılmadık veya kötü niyetli davranışları otomatik olarak işaretler ve izole eder.
Organizasyonlar ayrıca, derin dişler ve sofistike kimlik avı denemeleri gibi Ai-gelişmiş tehditleri tanımak için ekiplerini eğitmeye yatırım yapmalıdır. Sık, odaklanmış ve AI-bilgeli güvenlik farkındalık oturumları, bilgilendirilmiş bir işgücünü korumanın anahtarıdır. Tuzak sistemleri, sahte kimlik bilgileri ve balpotlar gibi aldatma teknolojilerinin dağıtılması, saldırganların giriş sürecinin başlarında tespit edilmesine ve yavaşlamasına yardımcı olabilirken, aynı zamanda taktikleri hakkında bilgi verebilir. Normal masa üstü simülasyonları, özellikle AI özellikli ihlal senaryolarına odaklananlar, güvenlik ekiplerinin baskı altında etkili bir şekilde yanıt vermeye hazır olmasını sağlar.
Ayrıca, işletmeler sürekli güvenlik yatırımına ve araştırmaya öncelik vermelidir. Bu, AI modellerinin rutin denetimlerini, gelişmekte olan en iyi uygulamalara yanıt olarak çevik kalmayı ve güvenlik, yasal ve operasyon ekipleri arasında işbirliğini teşvik etmeyi içerir. Bu önlemler, kuruluşun dinamik bulut ortamlarında yapay zeka odaklı tehditleri öngörme, tespit etme ve yanıtlama yeteneğinin güçlendirilmesine yardımcı olur.
AI güvenliği söz konusu olduğunda bulut sağlayıcısındaki boşlukların sorumluluk modellerini paylaştığını görüyor musunuz?
Boşluklar, şirketler AI dağıtımlarını bulut ortamlarının uzantıları olarak ele almadıklarında ve bunlara aynı katı güvenlik önlemlerini vermediklerinde mevcuttur. Kuruluşlar, son nokta güvenliğine, veri provenansına, erişim kontrolüne ve AI kullanımı etrafında ince taneli izinlere odaklanmalıdır. Yapay zeka güvenliği söz konusu olduğunda, potansiyel ihlalleri tanımlamak için veri akışlarını, izleme model sürümlerini ve günlük etkileşimlerini izlemek çok önemlidir.