Sztuczna Inteligencja w automatyzacji cyberataków i cyberobrony

Upowszechnienie pracy zdalnej przyspiesza trend cyfryzacji społeczeństwa. Wpływa również na zwiększanie się zależności gospodarki i życia od aplikacji internetowych. Tymczasem cyberprzestępczość stała się najpowszechniejszym rodzajem przestępstwa. Już od wielu lat kradzieże online zapewniają złodziejom znacznie większe środki niż te pochodzące z fizycznych napadów na banki. Teraz przestępcy po prostu atakują strony internetowe banków, agencji federalnych, linii lotniczych i sprzedawców detalicznych. Według raportu Verizon[1] dotyczącego naruszenia danych z 2020 r. 86% wszystkich naruszeń danych było motywowanych finansowo.

Niestety społeczeństwo nie jest w stanie nadążyć za zmianami technologicznymi i cyberprzestępcami. Większość ludzi ma przekonanie, że ataki kierowane są tylko na wyjątkowe cele. To dalekie od prawdy: obecnie cyberprzestępcy atakują wszystkich.

Brakuje nam pojęcia o skali cyberprzestępczości. Raport sponsorowany przez Herjavec Group[2] szacuje, że będzie ona kosztować gospodarkę światową ponad 6 bln USD rocznie do 2021 r., w porównaniu z 3 bln USD w 2015 r. Łatwiej wyobrazić sobie problem, gdy zrozumiemy, że w przyszłości prawie wszystkie wykorzystywane przez nas technologie będą stale atakowane. Tak jak ma to już miejsce w przypadku każdej większej witryny internetowej i aplikacji mobilnej, na których polegamy.

Zrozumienie tego wymaga radykalnej zmiany wyobrażeń o świecie, jako miejscu wyłącznie fizycznym. W rzeczywistości po prostu nie da się obrabować każdego domu w mieście tego samego dnia. W wirtualnym świecie jest to możliwe, a takie próby są podejmowane dla każdego wręcz „domu”. Opisywana jest tu stała aktywność (a nie rozproszone zagrożenie), którą obserwujemy na każdej większej stronie internetowej. Wspomniane instytucje, jak banki czy detaliści, codziennie podlegają milionom ataków, których celem są konta użytkowników. W czasie kilku dni, które zajmują Google zaindeksowanie większości sieci, cyberprzestępcy atakują prawie każdą witrynę na świecie.

Najczęstszym typem ataku internetowego jest obecnie upychanie czy też wyciąganie danych uwierzytelniających (credential stuffing). Dzieje się tak, gdy cyberprzestępcy wykorzystują skradzione w wyniku naruszenia bezpieczeństwa dane użytkowników, a następnie używają narzędzi do ich automatycznego logowania na każde „pasujące” do nich konto w kolejnych witrynach internetowych. Wszystko to w celu przejęcia tych kont i kradzieży znajdujących się na nich środków lub danych. Takie przejęcia konta (Account Takeover – ATO) są możliwe, ponieważ ludzie często używają tych samych haseł w różnych witrynach internetowych.

Tym sposobem gigantyczna fala naruszeń danych w ciągu ostatniej dekady przyniosła cyberprzestępcom miliardy rekordów. Ich wykorzystanie sprowadza się dla kryminalistów do rachunku prawdopodobieństwa. Ze 100 wykradzionych haseł użytkowników wypróbowywanych w kolejnych witrynach 1 odblokuje hakerom czyjeś konto. Cyberprzestępczość jest jak biznes, a rozwój takiej „firmy” zależy od zwiększania skali i wydajności. Zautomatyzowanie credential stuffing tę skalę znacznie zwiększa.

Tutaj wkracza sztuczna inteligencja.

Na podstawowym poziomie sztuczna inteligencja wykorzystuje dane do prognozowania, a następnie automatyzuje działania. Cyberprzestępcy wykorzystują sztuczną inteligencję zaprojektowaną do legalnych celów, w nielegalnych działaniach.

Spójrzmy na jedną z najczęstszych metod obrony przed wyciąganiem danych uwierzytelniających – CAPTCHA. Wynaleziony kilka dekad temu CAPTCHA ma chronić przed niechcianymi botami, weryfikując użytkownika poprzez to, co w teorii ludziom powinno przychodzić łatwo, a botom trudno – np. konieczność czytania zniekształconego tekstu. Niestety, wykorzystanie sztucznej inteligencji przez cyberprzestępców odwraca sytuację. Technologia optycznego rozpoznawania znaków (OCR), oparta na uczeniu maszynowym, może rozwiązać 99,8% takich wyzwań CAPTCHA, jak wskazało kilka lat temu Google po przeprowadzeniu badań. OCR, podobnie jak inne technologie rozwiązujące CAPTCHA, jest używany przez cyberprzestępców w procesie credential stuffing.

Cyberkryminaliści wykorzystują sztuczną inteligencję także na inne sposoby: do przyśpieszania łamania haseł, identyfikacji intratnych celów ataków oraz optymalizacji łańcuchów dostaw i infrastruktury przestępczej. Obserwujemy niewiarygodnie krótkie czasy reakcji hakerów – mogą wyłączyć i ponownie uruchomić ataki z milionami transakcji w ciągu zaledwie kilku minut. Wykonują te działania za pomocą w pełni zautomatyzowanej infrastruktury ataku, przy użyciu tych samych technik DevOps, które są popularne w legalnym świecie biznesu. Prowadzenie takiego systemu przestępczego jest podobne do prowadzenia dużej komercyjnej witryny internetowej, a cyberprzestępczość jako usługa jest obecnie powszechnym „modelem biznesowym”.

Z czasem sztuczna inteligencja będzie w coraz większym stopniu wykorzystywana przez kryminalistów, żeby wspierać przestępczy proceder: wzrost skali i siłę ataku. Jedyną realną odpowiedzią na zautomatyzowane ataki jest automatyczna ochrona po drugiej stronie.

Ewolucja zautomatyzowanej obrony

Na podstawowym poziomie, gdy mamy do czynienia z manualna detekcją i reakcją, zdarzenia są wykrywane i łagodzone przez centrum ochrony operacji (Security Operations Center – SOC) i zespoły zajmujące się nadużyciami i oszustwami. Następnie procesy (wykrywanie i odpowiedź) są pół-automatyzowane, a organizacje będą zmierzały do pełnej automatyzacji cyberobrony.

Ta ewolucja prosi o przyjrzenie się wzmacnianiu obrony rozbudową zespołów. Firmy biorące udział w „wojnie o talenty”, polegającej na zatrudnianiu sporych zespołów ds. bezpieczeństwa, zaczęły się starać także o analityków danych do tworzenia własnych zabezpieczeń bazujących na Sztucznej Inteligencji. Jednak zatrudnianie dużego zespołu zajmującego się sztuczną inteligencją raczej nie będzie głównym nurtem działań obronnych, tak jak nie byłoby nim zatrudnienie zespołu kryptografów[3]. Podobne podejście nigdy nie byłoby skuteczne, skalowalne i niezawodne w  obronie przed stale ewoluującymi atakami.

Skuteczną strategią jest integracja używanych rozwiązań zabezpieczających z danymi organizacji, żeby lepiej wykorzystać możliwości Sztucznej Inteligencji. Umożliwi to rozliczenie dostawców usług z wyników fałszywie dodatnich i fałszywie ujemnych oraz pomoże sprostać innym wyzwaniom ochrony – to prawdziwa wartość SI. W końcu chodzi o to, żeby była w ochronie skuteczna, mierzona zwrotem z inwestycji, a przecież kiedy systemy obronne oparte na SI tworzą fałszywe alarmy, rośnie liczba skarg klientów. Zaś w przypadku fałszywie ujemnych wyników wskaźnik ATO, przejęć kont – wzrasta. Istnieją też inne wskaźniki, z cennymi dla biznesu danymi. 

Dobra SI vs zła SI to nie jest science fiction – ponad 90% prób logowania do witryn detalicznych[4] pochodzi z narzędzi cyberprzestęepczych. Organizacje się uczą,  wiele ma już skuteczne mechanizmy obronne oparte na sztucznej inteligencji. Niemniej trzeba się w automatyzacji cyberobrony rozwijać. Pamiętajmy, że lockdown zapewnił więcej czasu przed komputerami także cyberprzestępcom.

Shuman Ghosemajumder, Global Head of AI at F5.

[1] https://enterprise.verizon.com/resources/reports/2020-data-breach-investigations-report.pdf

[2] https://www.herjavecgroup.com/the-2019-official-annual-cybercrime-report/

[3] https://www.vice.com/en_us/article/wnx8nq/why-you-dont-roll-your-own-crypto

[4] https://qz.com/1329961/hackers-account-for-90-of-login-attempts-at-online-retailers/