ИИ в кибербезопасности: обнаружение атак и аномалий

Системы защиты генерируют огромное количество событий: входы пользователей, сетевые соединения, запуски программ, письма. Человек не в состоянии просмотреть всё. Машинное обучение помогает отделить обычное от подозрительного, а языковые модели — быстрее разбираться в инцидентах. При этом атакующие тоже используют ИИ, и это меняет ландшафт угроз.

Обнаружение аномалий

Модель изучает нормальное поведение: в какое время сотрудник обычно входит в систему, с каких устройств, к каким файлам обращается, сколько данных передаёт. Отклонение от нормы — вход ночью из другой страны, массовое скачивание документов, обращение к серверам, с которыми компания раньше не работала, — поднимает сигнал. Такой подход находит и атаки, для которых ещё нет готовых сигнатур.

Пример: учётная запись бухгалтера, который всегда работает днём из офиса, в выходные подключается через удалённый доступ и выгружает базу клиентов. Ни одно правило по отдельности не нарушено — пароль верный, доступ разрешён, — но сочетание признаков необычно. Модель поднимает сигнал, а специалист проверяет, не украдены ли учётные данные.

Фишинг и вредоносные письма

Фильтры почты используют машинное обучение для оценки писем: текст, отправитель, ссылки, вложения, сходство с известными рассылками. Это особенно важно сейчас, когда фишинговые письма пишутся грамотно и персонально.

Защита рабочих станций

Современные средства защиты конечных устройств анализируют поведение программ, а не только сверяют файлы с базой. Если офисный документ вдруг запускает командную строку и начинает шифровать файлы, система блокирует процесс, даже если вирус новый.

Анализ журналов и приоритизация

В центрах мониторинга безопасности модели группируют связанные события в инциденты и оценивают их важность. Аналитик видит не тысячи предупреждений, а десяток ранжированных случаев. Языковые модели помогают читать журналы, объяснять цепочки событий и готовить черновики отчётов, ускоряя разбор.

Как ИИ используют атакующие

• Правдоподобные фишинговые письма на любом языке без ошибок
• Подделка голоса и видео руководителей
• Автоматизация разведки: сбор информации о сотрудниках и инфраструктуре
• Помощь в написании и изменении вредоносного кода

Поэтому меры, которые опирались на «письмо с ошибками — подозрительное», больше не работают. Нужны процедуры проверки и технические средства.

Риски собственных ИИ-систем

Если компания внедряет чат-бота или ассистента на языковой модели, появляются новые уязвимости: попытки обойти инструкции через специально составленные запросы, утечка данных из базы знаний, выполнение опасных действий через подключённые инструменты. Защита: минимальные права для модели, проверка действий на стороне кода, фильтрация выходных данных, журналирование.

Ограничения

Модели аномалий дают ложные срабатывания, особенно в первое время и при изменениях в компании: новый сотрудник, переезд, новая система. Им нужен период обучения и настройка. ИИ не заменяет базовую гигиену: обновления, резервные копии, двухфакторную аутентификацию, сегментацию сети.

Для небольшой компании собственная команда мониторинга с моделями обычно избыточна. Разумнее использовать встроенные возможности почтовых сервисов и средств защиты устройств и при необходимости подключить внешний центр мониторинга, у которого есть и технологии, и специалисты для разбора сигналов.

Что делать компании

1. Навести базовый порядок: учёт устройств, обновления, резервные копии, многофакторный вход
2. Включить встроенные функции защиты в почте и на устройствах
3. Собирать журналы в одном месте
4. Подключить мониторинг — своими силами или через внешнего поставщика
5. Обучить сотрудников новым видам фишинга и подделок