La rara forma di apprendimento automatico in grado di individuare gli hacker che hanno già fatto irruzione

Immagine dell'interfaccia della piattaforma del computer Darktrace. Traccia oscura

Nel 2013, un gruppo di agenti dell'intelligence britannica ha notato qualcosa di strano. Mentre la maggior parte degli sforzi per proteggere l'infrastruttura digitale era fissata per impedire ai malintenzionati di entrare, pochi si sono concentrati sul contrario: impedire loro di divulgare informazioni. Sulla base di quell'idea, il gruppo ha fondato una nuova società di sicurezza informatica chiamata Darktrace.

L'azienda ha collaborato con i matematici dell'Università di Cambridge per sviluppare uno strumento che utilizzasse l'apprendimento automatico per rilevare le violazioni interne. Invece di addestrare gli algoritmi su esempi storici di attacchi, tuttavia, avevano bisogno di un modo per consentire al sistema di riconoscere nuove istanze di comportamento anomalo. Si sono rivolti all'apprendimento non supervisionato, una tecnica basata su un raro tipo di algoritmo di apprendimento automatico che non richiede agli esseri umani di specificare cosa cercare.

Darktrace si è concentrato su un dispositivo infetto che mostra un comportamento anomalo. Traccia oscura

'È molto simile al sistema immunitario del corpo umano', afferma Nicole Eagan, co-CEO dell'azienda. Per quanto complesso sia, ha questo senso innato di ciò che è sé e non sé. E quando trova qualcosa che non gli appartiene, che non è sé, ha una risposta estremamente precisa e rapida.'

La stragrande maggioranza delle applicazioni di apprendimento automatico si basa sull'apprendimento supervisionato. Ciò comporta l'alimentazione di una macchina enormi quantità di dati accuratamente etichettati per addestrarla a riconoscere uno schema ben definito. Supponiamo che tu voglia che la tua macchina riconosca i golden retriever. Gli dai da mangiare centinaia o migliaia di immagini di golden retriever e di cose che non lo sono, dicendogli esplicitamente quali sono quali. Alla fine, ti ritroverai con una macchina per avvistare il golden retriever abbastanza decente.

Nella sicurezza informatica, l'apprendimento supervisionato funziona abbastanza bene. Addestra una macchina sui diversi tipi di minacce che il tuo sistema ha affrontato in precedenza e le insegue senza sosta.

Ma ci sono due problemi principali. Per uno, funziona solo con le minacce note; minacce sconosciute si intrufolano ancora sotto il radar. Dall'altro, gli algoritmi di apprendimento supervisionato funzionano meglio con set di dati bilanciati, in altre parole, con un numero uguale di esempi di ciò che sta cercando e di ciò che può ignorare. I dati sulla sicurezza informatica sono molto sbilanciati: ci sono pochissimi esempi di comportamenti minacciosi sepolti in una quantità schiacciante di comportamenti normali.

Una visualizzazione di tutte le connessioni all'interno di una particolare sottorete. Traccia oscura

Fortunatamente, dove l'apprendimento supervisionato vacilla, l'apprendimento non supervisionato eccelle. Quest'ultimo può esaminare enormi quantità di dati senza etichetta e trovare i pezzi che non seguono lo schema tipico. Di conseguenza, può far emergere minacce che un sistema non ha mai visto prima e ha bisogno di pochi punti dati anomali per farlo.

Quando Darktrace implementa il suo software, imposta sensori fisici e digitali attorno alla rete del cliente per mappare la sua attività. Quei dati grezzi vengono incanalati in oltre 60 diversi algoritmi di apprendimento non supervisionato che competono tra loro per trovare comportamenti anomali.

UNO SPAZIO NON SORVEGLIANZATO

• Diverse altre aziende si sono anche concentrate sull'utilizzo dell'apprendimento non supervisionato per aumentare i sistemi di sicurezza digitale.

• Forma la sicurezza

  Fondato nel 2011 da ex esperti della difesa del Pentagono, si concentra sulla prevenzione della generazione di account falsi o delle frodi relative alle richieste di credito, tra le altre attività nefaste. Shape Security combina i punti di forza complementari delle tecniche supervisionate e non supervisionate.

  
  
  

• DataVisor

  Fondata nel 2013 da Microsoft alums, collabora con banche, social media e società di e-commerce per combattere le frodi nelle transazioni, il riciclaggio di denaro e altri abusi su larga scala. DataVisor afferma che utilizza principalmente tecniche non supervisionate.

Questi algoritmi quindi sputano il loro output in un altro algoritmo master che utilizza vari metodi statistici per determinare quale dei 60 ascoltare e quale ignorare. Tutta questa complessità è racchiusa in una visualizzazione finale che consente agli operatori umani di vedere e rispondere rapidamente a probabili violazioni. Mentre gli umani decidono cosa fare dopo, il sistema lavora per mettere in quarantena la violazione fino a quando non viene risolta, interrompendo ad esempio tutte le comunicazioni esterne dal dispositivo infetto.

Tuttavia, l'apprendimento senza supervisione non è un proiettile d'argento. Man mano che gli aggressori diventano sempre più sofisticati, diventano sempre più bravi a ingannare le macchine, qualunque sia il tipo di apprendimento automatico che stanno utilizzando. 'C'è questo gioco del gatto e del topo in cui gli aggressori possono provare a cambiare il loro comportamento', afferma Dawn Song, esperta di sicurezza informatica e apprendimento automatico presso l'Università della California, Berkeley.

In risposta, la comunità della sicurezza informatica si è rivolta ad approcci proattivi: 'migliori architetture e principi di sicurezza in modo che il sistema sia più sicuro grazie alla costruzione', afferma. Ma c'è ancora molta strada per sradicare completamente tutte le violazioni e le pratiche fraudolente. Dopotutto, aggiunge, 'l'intero sistema è sicuro come il suo anello più debole'.

nascondere