Generativní umělá inteligence (genAI) otevírá nové možnosti i výzvy v oblasti kybernetické bezpečnosti. Článek zkoumá, jak mohou firmy využít tyto nástroje pro posílení ochrany dat, a zároveň řeší rizika spojená s jejich používáním.
generativní umělá inteligence (genAI) kybernetická bezpečnost Ochrana dat Automatizace AI
Je podzim a kalendář ukazuje rok 2022. Ten den se udála ve světě řada věcí, ale jedna má potenciál se stát formativní. Pro koho? IT? Pracovníky určitých oborů? Vědce? Matematiky? Vlastně pro celou společnost. Veřejnost, hlavně ta netechnická, objevila kouzlo chatbota Chat- GPT. Svět se naučil novou zkratku – GPT. Málokdo sice ví, co znamená, ale záleží na tom? Odborná veřejnost či věda GPT znala, protože první verze modelu je datována k roku 2018. Ale právě tím, že se doslova ze dne na den stalo používání nástrojů generativní umělé inteligence (dále genAI) fenoménem, o tom nemohlo být žádných pochyb. O nástrojích genAI se psalo všude a nešlo jen o ChatGPT a jeho konverzace, ale třeba o Midjourney a generování zajímavých obrázků. Možnosti, které tyto nástroje otevírají širokému využití běžnou neodbornou veřejností z nich dělají fenomén. A právě proto se na tuto oblast můžeme dívat jako na potenciálně formativní pro celou společnost a její fungování.
Avšak tak, jako se objevuje nadšení, je cítit i opatrnost, či dokonce skepse vůči nástrojům genAI. A to z pohledu práva, ochrany soukromí či duševního vlastnictví. Kybernetickou bezpečnost nevyjímaje. A právě o té bude tento článek.
Na oblast generativní umělé inteligence a její zapojení do kybernetické bezpečnosti můžeme nahlížet z mnoha úhlů pohledu, ať už se bude jednat o výzvy směrem k jejímu zabezpečení a bezpečnému používání, tak k jejímu využití pro posílení obranyschopnosti.
Odborníci z oblasti bezpečnosti říkají, že největší výzvou pro vytvoření plánů a realizovatelných strategií pro zajištění bezpečnosti dat je viditelnost citlivých dat. Více než 30 % osob s rozhodovací pravomocí tvrdí, že nevědí, kde nebo jaká jsou jejich citlivá podniková kritická data. S genAI, která generuje stále více dat, je získání tohoto přehledu o tom, jak citlivá data proudí prostřednictvím umělé inteligence a jak uživatelé interagují s aplikacemi generativní umělé inteligence, zásadní.
Z toho plyne potřeba takový přehled získat. S vývojem samotné oblasti generativní umělé inteligence se vyvíjejí i nástroje, které okolo ní postaví tzv. guard rails. To mohou být nové produkty, funkce či procedury, které zajistí organizacím bezpečné používání nejen genAI obecně, ale také takových genAI služeb, které organizace chtějí využívat. Aby toto bylo naplněné, je nejdříve nutné vidět, jaké nástroje genAI se vlastně používají. K tomu slouží různé Cloud Discovery nástroje, které mohou čerpat data z koncových zařízení nebo síťových prvků pro vyhodnocení, jaké konkrétní služby uživatel používá, jaký je přenos dat do a z takových služeb a jestli uživatel nepracuje v takových nástrojích s citlivými informacemi. Např. nástroj od Microsoftu dnes rozpozná okolo 420 různých služeb z kategorie generativní umělé inteligence. A když už vidíme, máme i možnost nežádoucí služby blokovat.
Proč blokovat? Nejde nutně o to, že by některé z těch 420 byly nebezpečné, ale na jednoduchou otázku „svěříte svá data komukoli“, čekáme jednoduchou odpověď „ne“. A to je právě ten důvod. Existují služby, které jsou přímo stavěné pro využití v rámci firemního prostředí a stejně tak mají nastavený i režim uchování zpracovávaných dat tak, aby se data nedostala do samotného AI modelu. Ale jsou pak i zcela legitimní služby, které se na vstupech uživatelů učí. A vstupem mohou být jak samotné instrukce (prompt), tak poskytnutá referenční data informace a další. A pokud se AI model trénuje na takových datech, mohl by i pomocí nich vygenerovat odpověď. Jednoduše řečeno by neoprávněná osoba mohla získat přístup k informacím, ke kterým by jinak přístup neměla. A proto dává smysl mít nástroj, který aktivně zamezí přístupu uživatelů do vyjmenovaných nástrojů genAI.
Obr. 1: Pohled do AI Hub pro pochopení využití generativní umělé inteligence v organizaci
Slovo „vidět“ se pak může vztahovat i k otázce „co uživatel vlastně s genAI dělá?“. Je mnoho organizací, které vyslovily přání, že by chtěly chápat samotné využití genAI. Dále pak zejména lidé z oblasti datové bezpečnosti se zajímají o získání nejen přehledu, ale i možnosti zabezpečit organizaci před únikem dat do nežádoucích systémů.
AI Hub je jeden z připravovaných nástrojů pro bezpečné využití genAI. Jeho cílem je vysvětlit, jaké služby jsou využívány a jaký typ dat z pohledu informační klasifikace je v takových nástrojích genAI použit. Na obrázku můžete vidět graf zobrazující názvy jednotlivých produktů z kategorie genAI, kde došlo ke sdílení citlivých informací ať už přímo nahráním souboru, nebo vepsáním určitých textových řetězců do samotného promptu.
Na chvilku se v dalším příkladu zastavme u Microsoft Copilotu, což je AI asistent v rámci Microsoft aplikací (Office). Prompty a odpovědi v Copilotu mohou obsahovat citlivé či důvěrné informace nebo takové, kde by se mohlo jednat o porušení duševního vlastnictví. Musí tedy být zjistitelné během vyšetřování nebo soudních sporů. Např. pokud je Copilot používán v rámci aplikace Word a tento dokument je sdílen v chatu Teams, pak budou interakce Copilot zachovány a zahrnuty jako součást obsahu tohoto chatu Teams během shromažďování a přezkoumávání. Kromě toho mohou organizace z regulačních důvodů potřebovat mít přehled a kontrolu nad daty, s nimiž Copilot interaguje, a být schopny tyto interakce identifikovat, uchovávat, shromažďovat, přezkoumávat a exportovat pro právní nebo regulační účely.
Schopnost vidět, auditovat či řídit využití je potřebná u všech nástrojů, které IT nabízí a provozuje, ale urgence u nástrojů generativní umělé inteligence je vyšší právě kvůli širokému poli možností jejího využití.
Obr. 2: Ukázka možnosti auditu využití Microsoft Copilot
A co pracovníci kybernetické bezpečnosti? Nezapomnělo se na ně? Těch jsme se dosud v článku dotkli spíše zlehka, řešili jsme primárně datovou bezpečnost. Co vlastně dnes řeší každá společnost, která považuje kybernetickou bezpečnost za důležité téma? Pojďme si probrat některá témata:
Složitost a komplexita nástrojů pro zajištění bezpečnosti
V průměrné organizaci najdeme mnoho nástrojů, které mají vztah k zajištění IT bezpečnosti. Jsou to různé firewally, antimalwary, detekční systémy (např. EDR), identitní služby (např. Active Directory) a mnoho dalšího. Jednou z výzev často bývá, že tyto nástroje mají každý svoje administrátorské rozhraní a systém ukládání různých typů informací, např. přihlašovacích logů nebo auditních stop. A ve chvíli, kdy je potřeba vyšetřovat kybernetický útok či pokus o průnik do organizace, je IT bezpečnost často zdržována právě už jen tím, že se musí mezi jednotlivými nástroji přepínat a čerpat z nich informace v různých výstupních formátech. Často pak ztrácí kontext a společné jmenovatele mezi danými informacemi. Částečně to řeší nasazení SIEM nástrojů nebo Log management, ale tam je zase premisa, že jsme schopni ze všech zájmových systémů dostat patřičné informace formou logu. A to ne vždy vůbec jde. Mohli bychom se jednoduše dostat i do problému se schopností „vidět“, což jsme již probírali.
Sofistikovanost útoků
Doba, kdy škodlivosti v IT byly reprezentovány hlavně viry a všemožnými nechtěnými aplikacemi, toolbary apod., je pryč. Samozřejmě se s tímto typem škodlivostí stále setkáváme, ale již to není primární vektor útoku. Mnohem častější jsou dnes vícevektorové útoky, které např. začínají phishing útokem pro získání kontroly nad identitou (uživatelským účtem) uživatele a přes registraci škodlivé aplikace ke cloudovému identitnímu systému dále pokračují na zařízení napadeného uživatele, odkud se např. nejdříve kopírují data a následně může být počítač zašifrován pomocí ransomwaru. Tato komplexnost útoků klade na obránce takové požadavky, aby chápali kompletní povahu útoku a dokázali popsat celkový průběh napadení. Tedy nejen „na tomto počítači je malware“, ale právě celkovou cestu útočníka prostředím organizace, pokud k průniku došlo. To stojí čas a vyžaduje značné úsilí a znalosti. A tím se dostáváme k poslednímu bodu.
Nedostatek lidí a expertízy
Míra nezaměstnanosti v ČR byla v lednu 2024 3 %. To nám mimo jiné říká, že abychom mohli do organizace přijmout pracovníka na kybernetickou bezpečnost, tak ho musíme buď někde jinde (někomu jinému) vzít, nebo musíme přijmout absolventa. Pakliže přijmeme premisu, že jedním z důvodů, proč lidé jsou ochotní měnit zaměstnavatele, jsou peníze, tak to rovněž bude znamenat postupné zvyšování ceny lidské práce na trhu pracovníků kybernetické bezpečnosti. Ale nejen tam. Dalším důsledkem nedostatku odborníků může být, že kandidátem je zkušený člověk z oboru, ale nemá dostatek zkušeností s produkty, které jsou pro zajištění kybernetickou bezpečnosti používány v konkrétní organizaci. Tedy, buď je těžké někoho získat, nebo jej tzv. onboardovat do organizace. A to jsme se ještě nedotkli průběžného vzdělávání a využívání technologií, které se dynamicky mění a obohacují o nové funkce tak, jak se mění i samotná obrana.
Obr. 3: Ukázka práce s Microsoft Copilot for Security – generativní AI pro IT bezpečnost
Odpovědí na vše výše zmíněné může být právě využití generativní umělé inteligence, která se stane asistentem pro odborníky na kybernetickou bezpečnost. A to právě s ohledem na celkové zefektivnění práce a přenesení buď repetitivních kroků z člověka na systém nebo přinesením zcela nového stylu práce s nástroji IT bezpečnosti pomocí textu (prompt) nebo hlasu (to zejména s ohledem na dostupnost pro kohokoli včetně různě postižených lidí). Představme si, že můžeme mezi jednotlivé produkty a jejich konzole (Antimalware, EDR, SIEM, MDM, Active Directory) a samotného odborníka na IT bezpečnost vložit „mezivrstvu“, tedy asistenta, který bude překládat pokyny psané (řečené) lidskou řečí na úkoly, splní je a výsledek poskytne zpět jako odpověď, a to ve formátu, jaký asistentovi zadám. Tudíž přesně to, co známe např. z chatbota ChatGPT. Ale to nemusí být vše.
Pokud si představíme, že vyšetřujeme incident, v němž figuruje zařízení, uživatelský účet, skript, veřejná IP adresa nebo doména, tak např. prompty a následné odpovědi mi jednak mohou pomoct získat odpovědi, ale hlavně je získat rychle, bez nutnosti se procházet množstvím různých portálů a zdrojů logů.
Příklad promptů při vyšetřování:
- Poskytni mi shrnutí incidentu v Defenderu.
- Co je známo o reputaci IP adresy? Je škodlivá, a pokud ano, proč?
- Poskytni shrnutí o skupině Mustard Tempest a seznam metodik přístupu, které zprostředkovávají.
- Je uživatel v tomto incidentu rizikový? Pokud ano, proč?
- Napiš skript Powershell, který otestuje verze a stav SMB ve všech postižených počítačích.
- Napiš KQL dotaz, který najde bezpečnostní události z IP adresy x.x.x.x za posledních deset dní.
- Řekni mi, co víš o zařízení ABC? Je spravováno? Je v souladu s našimi politikami? Pokud ne, proč?
- Napiš zprávu shrnující šetření. Začni netechnickým shrnutím. Dále uveď rozpis zprávy o incidentu Defenderu, poznatky ze Sentinel huntingu, stav zařízení v Intune, shrnutí informací o hrozbách a další kroky k nápravě.
- Analyzuj tento kod PowerShell skript a řekni mi, co dělá.
Už jen tato ukázka promptů by zahrnovala práci se zhruba pěti různými technologiemi. S AI asistentem zůstávám v rámci jednoho portálu a zadávám úkoly namísto přepínání se mezi jednotlivými konzolemi a ztrácením času. Rovněž využití přirozeného jazyka mi umožňuje využít více potenciál jednotlivých nástrojů bezpečnosti, protože nemusím vědět, kde se přesně co nachází a jak se k datům „proklikat“, nýbrž zadám prompt a počkám si na výsledek.
Právě podobné zahrnutí a využití generativní umělé inteligence při plnění úkonů kybernetické obrany značně zvýší celkovou efektivitu. Přenesení značného množství různých opakujících se úkonů z člověka na technologii zároveň umožní samotným lidem se více rozvíjet a řešit to podstatné a důležité, kde je hodnota člověka nenahraditelná.
Je zcela bez pochyby, že se s různými nástroji generativní umělé inteligence budeme setkávat čím dál častěji, a to v různých životních situacích. Pokud je něco důležité, tak zajistit, aby její využití bylo bezpečné, etické či nediskriminující. Bude zajímavé, jaké další možnosti tato oblast přinese, nicméně už teď je jisté, že tato oblast otevírá zcela nové výzvy, ale i možnosti pro IT bezpečnost, ať už z pohledu kybernetické či informační bezpečnosti.
This email address is being protected from spambots. You need JavaScript enabled to view it.
