Morgan Stanley: AI mempercepat siasatan keselamatan, vendor keselamatan siber masih mempunyai peluang

Mengapa operasi keselamatan memerlukan siasatan yang lebih pantas?

Tempoh antara penemuan dan eksploitasi kerentanan semakin singkat. Devon Rollins, ketua respons keselamatan dan keselamatan AI di Morgan Stanley, menyatakan bahawa penyerang boleh meniru teknik yang berjaya di ribuan organisasi, sedangkan pihak pertahanan sebelum ini lebih sukar berkongsi pengalaman secara besar-besaran.
AI boleh mempercepat pengumpulan bukti dan pengecaman corak, serta menyiasat beberapa kemungkinan penjelasan bagi sesuatu insiden secara serentak. Pihak pertahanan juga mahu berkongsi risikan tingkah laku dan kandungan pengesanan yang boleh digunakan oleh manusia dan mesin, supaya organisasi yang menggunakan sistem keselamatan berbeza dapat saling belajar.
Pasukan penyelidikan Morgan Stanley berpendapat produk automasi operasi keselamatan yang dapat merapatkan jurang maklumat antara penyerang dan pihak pertahanan berpotensi diterima pakai, tetapi persaingan dalam pasaran ini sengit.

Apabila masa respons semakin singkat, syarikat masih perlu sentiasa mengetahui aset yang dimiliki, aset yang terdedah dan cara kebenaran diagihkan, serta memastikan mereka boleh melakukan pengasingan dan pemulihan selepas insiden.
Prinsip keistimewaan minimum semakin diperluas kepada beban kerja dan ejen; keutamaan kerentanan juga perlu mengambil kira hubungannya dengan sistem penting. Bagi syarikat yang telah lama beroperasi dan menanggung hutang teknikal, membaiki semua ancaman bukanlah sesuatu yang realistik, maka langkah pengasingan yang diluluskan terlebih dahulu amat penting.

Pendekatan semasa menggabungkan pembangunan dalaman dengan pembelian: vendor menyediakan penderia, model dan keupayaan melaksanakan kawalan, manakala pasukan dalaman menghubungkan alat itu dengan data, hubungan aset dan proses keputusan syarikat sendiri.
Alat pengaturcaraan AI mempercepat pembangunan dalaman, tetapi Rollins menekankan nilai pembezaan pengetahuan syarikat sendiri. Oleh itu, pasukan penyelidikan Morgan Stanley berpendapat pembangunan dalaman kini lebih berkemungkinan melengkapi pembelian. Walaupun model berat terbuka memberikan kawalan yang lebih besar, syarikat juga perlu memikul tanggungjawab keselamatan, penilaian, penggunaan dan penyelenggaraan.

Sistem pengurusan maklumat dan peristiwa keselamatan (SIEM) masih bernilai: ia menggabungkan data keselamatan yang telah disusun dengan konteks identiti, tingkah laku, ancaman dan aset untuk membantu membuat keputusan dengan lebih pantas. Namun, jika data penuh hingar, tidak lengkap atau tidak boleh dipercayai, AI juga mungkin membuat kesimpulan yang salah dengan lebih cepat.
Alat orkestrasi, automasi dan respons keselamatan (SOAR) masih sesuai untuk proses berulang yang mempunyai peraturan jelas; automasi yang diterajui AI pula digunakan untuk tugas lain. Nilai data tambahan bergantung pada cerapan yang dapat dihasilkan, bukan jumlah yang dikumpulkan semata-mata.
Pemilihan vendor juga perlu mengambil kira kualiti antara muka dan tadbir urus ejen: dari mana bukti diperoleh, kebenaran yang dimiliki ejen, serta sama ada tindakan boleh dihentikan atau dibatalkan. Morgan Stanley berpendapat platform yang boleh mengekstrak cerapan daripada data mendapat manfaat daripada keperluan ini.

Rollins berkata pasukan semakin bersedia membenarkan AI menjalankan siasatan yang substantif dan mencadangkan langkah seterusnya, hasil penambahbaikan maklumat konteks, penilaian dan kawalan akses di sekitar model. Tindakan dengan batas yang jelas lebih mudah diautomasikan; keputusan dalam keadaan kabur atau yang membawa akibat besar masih dibuat dan dipertanggungjawabkan oleh manusia.
Beliau berpendapat gabungan alat yang lebih ringkas dan kecekapan operasi yang boleh diukur mungkin muncul dalam jangka panjang, tetapi manfaat tersebut masih belum terwujud. Pasukan penyelidikan Morgan Stanley optimis tentang perbelanjaan perisian keselamatan siber, sambil mengemukakan persoalan utama: selepas jumlah alat berkurang, bolehkah peningkatan kecekapan diterjemahkan kepada komitmen pembelian pelanggan yang lebih besar kepada vendor?