Den sjeldne formen for maskinlæring som kan oppdage hackere som allerede har brutt seg inn

Bilde av Darktrace datamaskinplattformgrensesnitt. Darktrace

I 2013 la en gruppe britiske etterretningsagenter merke til noe merkelig. Mens de fleste anstrengelser for å sikre digital infrastruktur var fiksert på å blokkere skurkene fra å komme inn, var det få som fokuserte på det motsatte: å stoppe dem fra å lekke informasjon ut. Basert på den ideen grunnla gruppen et nytt cybersikkerhetsselskap kalt Darktrace.

Firmaet gikk sammen med matematikere ved University of Cambridge for å utvikle et verktøy som ville bruke maskinlæring for å fange opp interne brudd. I stedet for å trene algoritmene på historiske eksempler på angrep, trengte de imidlertid en måte for systemet å gjenkjenne nye tilfeller av unormal oppførsel. De vendte seg til uovervåket læring, en teknikk basert på en sjelden type maskinlæringsalgoritme som ikke krever at mennesker spesifiserer hva de skal se etter.

Darktrace har nullstilt en infisert enhet som viser unormal oppførsel. Darktrace

'Det er veldig likt menneskekroppens eget immunsystem,' sier selskapets co-CEO Nicole Eagan. «Så komplekst som det er, har det denne medfødte følelsen av hva som er seg selv og ikke seg selv. Og når den finner noe som ikke hører hjemme - som ikke er seg selv - har den en ekstremt presis og rask respons.'

De aller fleste maskinlæringsapplikasjoner er avhengige av overvåket læring. Dette innebærer å mate en maskin enorme mengder nøye merkede data for å trene den til å gjenkjenne et snevert definert mønster. Si at du vil at maskinen skal gjenkjenne golden retrievere. Du mater den hundrevis eller tusenvis av bilder av golden retrievere og av ting som ikke er det, samtidig som du forteller det eksplisitt hvilke som er hvilke. Til slutt ender du opp med en ganske grei golden-retriever-spotting-maskin.

I cybersikkerhet fungerer overvåket læring ganske bra. Du trener en maskin på de forskjellige typene trusler systemet ditt har møtt før, og det jager nådeløst etter dem.

Men det er to hovedproblemer. For det første fungerer det bare med kjente trusler; ukjente trusler sniker seg fortsatt inn under radaren. For en annen fungerer overvåket læringsalgoritmer best med balanserte datasett – med andre ord, de som har like mange eksempler på hva den ser etter og hva den kan ignorere. Data om nettsikkerhet er svært ubalanserte: det er svært få eksempler på truende atferd begravd i en overveldende mengde normal atferd.

En visualisering av alle tilkoblingene innenfor et bestemt undernettverk. Darktrace

Heldigvis, der veiledet læring halter, utmerker uovervåket læring seg. Sistnevnte kan se på enorme mengder umerkede data og finne bitene som ikke følger det typiske mønsteret. Som et resultat kan det dukke opp trusler som et system aldri har sett før og trenger få unormale datapunkter for å gjøre det.

Når Darktrace distribuerer programvaren, setter den opp fysiske og digitale sensorer rundt klientens nettverk for å kartlegge aktiviteten. Disse rådataene sendes til over 60 forskjellige uovervåkede læringsalgoritmer som konkurrerer med hverandre for å finne unormal oppførsel.

ET UOVERVÅKET PLASS

• Flere andre selskaper har også konvergert om å bruke uovervåket læring for å forbedre digitale sikkerhetssystemer.

• Formsikkerhet

  Grunnlagt i 2011 av tidligere forsvarseksperter fra Pentagon, fokuserer det på å forhindre falsk kontogenerering eller svindel med kredittsøknader, blant andre uhyggelige aktiviteter. Shape Security kombinerer de komplementære styrkene til både overvåket og uovervåket teknikker.

  
  
  

• DataVisor

  Grunnlagt i 2013 av Microsoft-alums, samarbeider det med banker, sosiale medier og e-handelsselskaper for å bekjempe transaksjonssvindel, hvitvasking av penger og annen storstilt misbruk. DataVisor sier at den først og fremst bruker teknikker uten tilsyn.

Disse algoritmene spytter deretter produksjonen inn i enda en masteralgoritme som bruker forskjellige statistiske metoder for å bestemme hvilke av de 60 du skal lytte til og hvilke av dem du skal ignorere. All den kompleksiteten er pakket inn i en endelig visualisering som lar menneskelige operatører raskt se og reagere på sannsynlige brudd. Mens menneskene finner ut hva de skal gjøre videre, jobber systemet med å sette bruddet i karantene til det er løst – for eksempel ved å kutte all ekstern kommunikasjon fra den infiserte enheten.

Uovervåket læring er imidlertid ingen sølvkule. Etter hvert som angripere blir mer og mer sofistikerte, blir de bedre til å lure maskiner, uansett hvilken type maskinlæring de bruker. «Det er dette katt-og-mus-spillet der angripere kan prøve å endre oppførselen sin», sier Dawn Song, en ekspert på nettsikkerhet og maskinlæring ved University of California, Berkeley.

Som svar har cybersikkerhetsfellesskapet vendt seg til proaktive tilnærminger – 'bedre sikkerhetsarkitekturer og prinsipper slik at systemet er sikrere ved konstruksjon,' sier hun. Men det er fortsatt en lang vei til fullstendig utryddelse av alle brudd og uredelig praksis. Tross alt, legger hun til, 'hele systemet er like sikkert som dets svakeste ledd.'

gjemme seg