Den sjældne form for maskinlæring, der kan spotte hackere, der allerede er brudt ind

Billede af Darktrace computerplatforms interface. Darktrace

I 2013 bemærkede en gruppe britiske efterretningsagenter noget mærkeligt. Mens de fleste bestræbelser på at sikre digital infrastruktur var fikseret på at blokere skurke i at komme ind, fokuserede få på det omvendte: at forhindre dem i at lække information ud. Baseret på den idé grundlagde gruppen et nyt cybersikkerhedsfirma kaldet Darktrace.

Firmaet samarbejdede med matematikere ved University of Cambridge for at udvikle et værktøj, der ville bruge maskinlæring til at fange interne brud. I stedet for at træne algoritmerne på historiske eksempler på angreb, havde de imidlertid brug for en måde, hvorpå systemet kunne genkende nye tilfælde af unormal adfærd. De vendte sig til uovervåget læring, en teknik baseret på en sjælden type maskinlæringsalgoritme, der ikke kræver, at mennesker specificerer, hvad de skal kigge efter.

Darktrace har nulstillet en inficeret enhed, der udviser unormal adfærd. Darktrace

'Det minder meget om den menneskelige krops eget immunsystem,' siger virksomhedens co-CEO Nicole Eagan. 'Så komplekst som det er, har det denne medfødte følelse af, hvad der er sig selv og ikke sig selv. Og når den finder noget, der ikke hører til - det er ikke sig selv - har den en ekstrem præcis og hurtig reaktion.'

Langt de fleste maskinlæringsapplikationer er afhængige af overvåget læring. Dette involverer at tilføre en maskine enorme mængder af omhyggeligt mærkede data for at træne den til at genkende et snævert defineret mønster. Sig, at du vil have din maskine til at genkende golden retrievere. Du fodrer den med hundredvis eller tusindvis af billeder af golden retrievere og af ting, der ikke er, alt imens du fortæller det eksplicit, hvilke der er hvilke. Til sidst ender du med en ganske anstændig golden-retriever-spotting-maskine.

Inden for cybersikkerhed fungerer overvåget læring ret godt. Du træner en maskine på de forskellige slags trusler, dit system har stået overfor før, og den jagter ubønhørligt efter dem.

Men der er to hovedproblemer. For det første virker det kun med kendte trusler; ukendte trusler sniger sig stadig ind under radaren. For en anden fungerer overvågede læringsalgoritmer bedst med afbalancerede datasæt - med andre ord dem, der har lige mange eksempler på, hvad den leder efter, og hvad den kan ignorere. Cybersikkerhedsdata er meget ubalancerede: Der er meget få eksempler på truende adfærd begravet i en overvældende mængde normal adfærd.

En visualisering af alle forbindelser inden for et bestemt undernetværk. Darktrace

Heldigvis, hvor superviseret læring halter, udmærker uovervåget læring sig. Sidstnævnte kan se på enorme mængder umærkede data og finde de stykker, der ikke følger det typiske mønster. Som følge heraf kan det vise sig trusler, som et system aldrig har set før og har brug for få unormale datapunkter for at gøre det.

Når Darktrace implementerer sin software, sætter den fysiske og digitale sensorer op omkring klientens netværk for at kortlægge dens aktivitet. Disse rådata sendes til over 60 forskellige uovervågede læringsalgoritmer, der konkurrerer med hinanden om at finde unormal adfærd.

ET UOVERVÅGNET RUM

• Flere andre virksomheder er også gået sammen om at bruge uovervåget læring til at øge digitale sikkerhedssystemer.

• Formsikkerhed

  Grundlagt i 2011 af tidligere forsvarseksperter fra Pentagon, fokuserer det på at forhindre falsk kontogenerering eller svindel med kreditansøgninger, blandt andre uhyggelige aktiviteter. Shape Security kombinerer de komplementære styrker ved både overvågede og uovervågede teknikker.

  
  
  

• DataVisor

  Grundlagt i 2013 af Microsoft alums, samarbejder det med banker, sociale medier og e-handelsvirksomheder for at bekæmpe transaktionsbedrageri, hvidvaskning af penge og andet misbrug i stor skala. DataVisor siger, at det primært bruger uovervågede teknikker.

Disse algoritmer spytter derefter deres output ind i endnu en masteralgoritme, der bruger forskellige statistiske metoder til at bestemme, hvilken af ​​de 60, der skal lyttes til, og hvilken af ​​dem, der skal ignoreres. Al den kompleksitet er pakket ind i en endelig visualisering, der giver menneskelige operatører mulighed for hurtigt at se og reagere på sandsynlige brud. Mens mennesker finder ud af, hvad de skal gøre, arbejder systemet på at sætte bruddet i karantæne, indtil det er løst - for eksempel ved at afbryde al ekstern kommunikation fra den inficerede enhed.

Uovervåget læring er dog ingen sølvkugle. Efterhånden som angribere bliver mere og mere sofistikerede, bliver de bedre til at narre maskiner, uanset hvilken type maskinlæring de bruger. 'Der er dette kat-og-mus-spil, hvor angribere kan prøve at ændre deres adfærd,' siger Dawn Song, en cybersikkerheds- og maskinlæringsekspert ved University of California, Berkeley.

Som reaktion herpå har cybersikkerhedssamfundet vendt sig til proaktive tilgange - 'bedre sikkerhedsarkitekturer og -principper, så systemet er mere sikkert ved konstruktion', siger hun. Men der er stadig lang vej til fuldstændig at udrydde alle brud og svigagtig praksis. Når alt kommer til alt, tilføjer hun, 'hele systemet er lige så sikkert som dets svageste led.'

skjule