如何理解网络安全中的人工智能和机器学习
机器学习和人工智能几乎彻底改变了每一个现代行业，更具体地说，对网络安全行业产生了重大影响。人工智能将网络安全提升到了一个全新的水平，显著提高了其有效性和效率。
在人工智能和机器学习集成之前，网络安全依赖于传统的基于规则的方法和手动分析。使用基于规则的方法和算法，它们往往达不到要求，无法跟上快速演变的网络威胁。
人工智能和机器学习在网络安全方面的关键优势在于它们能够分析大量数据并检测表明恶意活动的模式。传统方法往往难以应对从各种来源产生的庞大数量和复杂性的数据，有时甚至达到数百万笔日常交易。机器学习算法擅长处理和分析这些数据，能够检测传统方法可能遗漏的微妙和复杂的威胁。
人工智能和机器学习用于欺诈检测和预防
在欺诈检测中，人工智能或机器学习模型是在用户行为和行为的庞大数据集上训练的。该模型检查每个用户的行为模式，区分正常活动和可疑活动。这允许模型将未来的用户行为分类为正常或可疑类别。为了更好地解释检测过程，让我们以银行系统为例。
在银行系统中，用户的一组正常动作和行为通常包括：
登录行为：监控来自熟悉设备和相关IP地址的定期登录，以及一致的登录时间，如工作时间或特定模式。
· 多次尝试使用不正确的凭据登录；
· 在常规位置之外的可疑位置进行奇怪的登录尝试。
交易行为：根据用户的历史数据确定一致的交易类型和金额。关注用户已知地理区域或常见模式内的交易。
· 异常大额交易或支出突然飙升；
· 异常交易模式；
· 在不受信任的商家处进行的交易。
账户管理：在合理的范围内定期检查个人信息的更新或修改，如密码更改、电子邮件更新或地址更改。
· 对个人信息的多次频繁更改；
· 增加未经授权的受益人或修改收款人的可疑尝试。
卡的使用：注意一致的卡的使用模式，例如在首选商家的频繁使用或特定的交易类型，如在线购物或 ATM 取款。
· 不寻常的卡活动（快速连续的多笔高价值交易）或地理位置遥远的卡使用。
当一个新的事务或动作发生时，该模型将其与学习到的正常行为模式进行比较。如果新动作与既定模式一致，则被归类为正常动作。然而，如果行动明显偏离了所学模式，就会被标记为潜在的可疑行为，从而引发进一步的调查。可以简单到验证文本、拒绝刷卡和确认充值，甚至临时锁定账户或卡。
人工智能和机器学习防止网络钓鱼和垃圾邮件检测
与欺诈检测类似，使用机器学习的网络钓鱼和垃圾邮件检测涉及在大型电子邮件数据集上训练模型，区分合法和欺诈/垃圾邮件。该模型分析电子邮件数据中的各种特征和模式，以识别网络钓鱼企图和垃圾邮件的指标。
现在，让我们深入研究检测过程，确定什么是垃圾邮件或非垃圾邮件，以及模型在区分两者时遵循的模式。
通过分析这些模式和特征，机器学习模型可以将收到的电子邮件分类为合法或潜在的网络钓鱼企图和垃圾邮件。这些模型从历史数据中学习，以识别欺诈或垃圾邮件的常见特征和指标。这些学到的知识使模型能够根据训练的模式识别新的和可疑的电子邮件。
利用人工智能和机器学习模型进行恶意软件检测
使用人工智能的恶意软件检测涉及在已知恶意软件样本和合法文件的不同数据集上训练机器学习模型。已知恶意软件的属性和细节可以推断为其他未知攻击。让我们探讨检测过程以及该模型如何区分攻击：
文件属性：合法文件具有与其文件类型一致的属性，包括正确的文件扩展名、准确的元数据以及与文件格式相关的适当标头信息。来自可信来源或信誉良好的发行商的文件通常被归类为合法文件。
- 异常或可疑的文件扩展名或可疑文件中的名称更改；
- 元数据丢失或被篡改、文件格式不正确或不匹配；
- 来自未知或可疑来源的文件。
代码分析：合法文件包含符合预期模式和结构的二进制代码。它们通常带有来自可信机构的有效数字签名或证书。此外，它们对 API 和库的使用符合文件的预期用途。
- 使用混淆或加密的代码来逃避检测；
- 缺少有效性、缺少数字签名或证书；
- 利用未经授权或已知的恶意 API 和库。
行为分析：合法文件在执行或与之交互时表现出预期行为。他们进行标准的系统调用，在可接受的范围内进行网络通信，并按惯例使用系统资源。合法文件不会显示可疑活动，例如未经授权的访问或试图修改关键系统文件。
- 执行过程中出现意外或异常行为；
- 试图修改系统文件或建立未经授权的网络连接；
- 资源消耗过大；
- 未经授权访问敏感数据；
- 试图利用漏洞。
通过分析这些模式和特征，机器学习模型可以将文件分类为合法文件或潜在的恶意文件。这些模型从历史数据中学习，以识别恶意软件的常见特征和指标。这些学到的知识使模型能够根据训练的模式识别新的和以前看不见的恶意软件实例。
在网络安全中使用人工智能和机器学习的挑战和局限性
假阳性和假阴性：机器学习模型可能会产生假阳性（将良性实例归类为恶意实例）或假阴性（无法检测到实际的恶意实例）。在最大限度地减少误报和最大限度地提高检测率之间取得正确的平衡是一个需要仔细微调和模型评估的挑战。
向模型提供不平衡数据：在网络安全中，与正常或良性活动相比，恶意活动的发生率通常要低得多。这导致数据集不平衡，其中阳性（恶意）样本的数量明显小于阴性（良性）样本。不平衡的数据会影响模型准确检测罕见事件的能力，并可能导致有偏差的预测。
在网络安全中实施人工智能和机器学习的最佳实践
明确网络安全目标
在网络安全中实现任何检测算法时，明确目标是至关重要的一步。通过概述你的目标和你想要解决的挑战，你为你的战略奠定了坚实的基础。这种清晰性有助于您选择与目标一致的正确算法，确保您拥有适当的工具来完成任务。
设定目标也指导数据收集过程。通过了解具体问题，您可以收集相关且具有代表性的数据集，以捕捉网络安全威胁的复杂性。这些高质量的数据对于有效训练机器学习模型至关重要。
明确的目标为您的新实施带来可靠的成功衡量标准；建立性能指标并定义评估方法，以帮助衡量模型在实现预期结果方面的性能。这个反馈循环允许您完善您的方法，进行改进，并微调您的网络安全 ML 模型。
为您的网络安全 AI/ML 模型收集高质量的训练数据
收集高质量的数据是有效的人工智能和机器学习训练最重要的一步。高质量数据是准确、全面且适当标记的数据，包括安全事件、威胁或网络行为的各个方面。
例如，在开发检测分布式拒绝服务（DDoS）攻击的模型时，从各种来源收集网络流量数据至关重要，无论是好的还是坏的。数据集应忠实地捕捉正常的网络行为和 DDoS 攻击的实例，包括攻击向量、大小、持续时间和网络拓扑，以使模型能够熟练地区分良性和恶意流量模式。
可理解的干净数据同样至关重要，正确的标签有助于指示网络流量实例对应的是良性活动还是恶意活动。熟练的网络安全分析师可以手动标记数据，也可以使用自动化技术。您还可以使用生成人工智能根据以前的攻击生成合成数据，以进一步训练和测试您的模型。
通过积累忠实代表真实世界网络安全场景的高质量数据，机器学习模型为学习攻击模式奠定了坚实的基础。这反过来又促进了实时网络环境中的泛化和准确预测。
持续监控和改进网络安全工作
网络攻击者会不断地试图破解您的系统，因此对网络安全进行持续监控和改进的需求变得至关重要。欺诈者和黑客正在不断发展他们的策略、技术和程序，以绕过现有的安全措施并利用漏洞。组织在改变风格和行为时，必须相应地调整和加强防御。
持续监控公司的网络安全工作使组织能够密切关注新出现的欺诈模式和黑客使用的不断发展的技术。通过实时分析网络流量、系统日志和安全事件，组织可以识别新的攻击媒介和可疑活动模式。这种主动的方法能够检测传统的基于规则的系统可能不会注意到的欺诈行为。
在网络安全的世界里，网络安全工程师必须明白，今天可能有效的东西明天可能不起作用。
人工智能在网络安全中的最后思考
机器学习已经成为一种游戏规则的改变者，彻底改变了组织检测和应对威胁的方式。尽管数据不平衡和对抗性攻击等挑战依然存在，但可以通过网络安全社区内负责任的实施和合作来克服这些挑战。
通过实施新的自适应人工智能和机器学习算法并加强安全措施，组织可以加强对不断演变的威胁的防御。至关重要的是，由于您的网络安全措施正在开发人工智能以防止攻击，因此也可以安全地假设和预防攻击者正在使用人工智能开发攻击的想法。机器学习在网络安全中的创造性利用将持续塑造一个安全的数字环境，保护宝贵的资产，并领先于网络对手。
文章翻译自2023年9月15日发表在 Exxact 网站的文章
原文链接：https://www.exxactcorp.com/blog/deep-learning/ai-in-cybersecurity-fraud-detection-phishing-malware
本文转自：联泰集群 LTHPC，转载此文目的在于传递更多信息，版权归原作者所有。如不支持转载，请联系小编demi@eetrend.com删除。
