威胁情报与人工智能的碰撞 焦点滚动

概述

备受全球信息安全行业瞩目的RSA Conference2023近期于美国旧金山召开，本次会议继续聚焦信息安全领域的前沿技术和热点话题，研究行业趋势和各种安全威胁，探讨新兴技术和最佳实践，为从业者提供指导和参考，以应对当前和未来的网络威胁。

(资料图片仅供参考)

今年的会议共有500余场高峰论坛、主题演讲和研讨会，涵盖了多方面的热点话题，除历年备受关注的“创新沙盒大赛”外，还有如漏洞攻击、高级持续威胁(APT)研究、安全分析/情报及响应、黑客和威胁、云安全及运营、机器学习/人工智能及自动化等热点话题。

通过奇安信产业发展研究中心对近5年创新沙盒发展和变化的分析，除云安全、数据安全、软件供应链安全、身份安全四个热门赛道热度持续之外，智能应用和自动化异军突起。随着ChatGPT风靡全球，以及创新沙盒冠军HiddenLayer的诞生，AI安全成功杀出重围，似乎是一夜间就占据各大主流媒体的头版头条，成为炙手可热的创新赛道。

创新沙盒2019-2023年十强赛道分析

自上个世纪起，依赖于规则引擎发展的“人工智能”就在不断给我们的生活带来惊喜和变革，直到其进入机器学习和深度学习阶段，广泛应用于图像识别、语音识别、自然语言处理等领域，开始不断给对网络安全产业带来“惊喜”。如今，人工智能和机器学习技术已经广泛应用在威胁情报、威胁检测、响应和修复等各个方面。

当前的挑战

今年的RSAC大会上，多位行业专家围绕人工智能发表了主题演讲，包括SentinelOne、谷歌云、IBM等在内的众多知名厂商都发布了基于生成式AI技术的网络安全工具。

抛开“人工智能是否被过热推崇”的争论以及人工智能引发的“人工焦虑”不谈，不得不承认，人工智能确实又一次引发了新技术浪潮，根据IDC预测，2023年企业在人工智能技术上的投入将达到1540亿美元，增长27%，暗示了今后人工智能巨大的市场需求。

当今全球的网络安全形势变幻莫测，地缘政治因素引发的各种APT攻击活动持续加剧，网络威胁将更加智能化、复杂化、多样化、全球化，因此，组织需要采用更加先进和综合的安全措施，以应对不断增长的网络威胁。同时，受宏观经济的不确定性影响，导致众多安全公司都在不同程度上削减网络安全预算，失业率上升也增加了网络犯罪的风险。而据奇安信威胁情报中心预测，“2023年，受地缘政治冲突影响，APT攻击活动持续加剧；对受害国本土软件的漏洞利用愈加频繁；瞄准关键基础设施的破坏越发泛滥；各类新型钓鱼攻击活动将频繁出现。”

近年来，人工智能技术通过与威胁情报的深度融合，可以极大地提高运营人员的分析效率、增强预测能力、提高精度和准确性、实现自动化分析，这使得企业可以更快速地识别和应对网络安全威胁，降低运营成本，增强安全防御能力；Palo Alto Networks高级副总裁Kumar Ramachandran在RSAC2023的主题演讲中称，威胁格局正在不断演变，利用机器学习可以阻止高达95%的未知威胁。

但二者的不断发展也使得网络安全面临着诸多挑战和威胁，人工智能技术助推了攻击者不断演化和更新攻击手法，制定针对性的攻击策略，并更加难以被发现和防御，大大降低了网络犯罪的门槛。

SANS的安全专家在本次会议上分享了《五种最危险的新型攻击技术》，对抗性人工智能攻击和ChatGPT驱动的社会工程学攻击被重点提及。在对抗性人工智能攻击中，攻击者可以操纵AI工具来加速勒索软件活动，并可以识别复杂系统中的零日漏洞，从简化恶意软件编码过程到普及社会工程，对抗性人工智能已经改变了攻击者的游戏规则。而风光无两的ChatGPT，也在逐步沦为攻击者进行社工攻击的一把利刃，SANS的研究员Heather Mahalik在交流中表示，这种发展意味着用户现在比以往任何时候都更容易受到攻击，只要误点一个恶意文件，不仅会使整个公司面临风险，还会影响受害者的生活。

威胁情报与人工智能的融合效应

在2023年RSAC大会上，谷歌云正式宣布推出行业首款由专业安全的Sec-PaLM大语言模型(LLM)驱动的可扩展平台——Google Cloud Security AI Workbench，这种新型的安全模型包含了该公司威胁态势洞察以及Mandiant关于漏洞、恶意软件、威胁指标和攻击者信息的一线情报。谷歌云Security AI Workbench已经为其多款新产品提供支持，解决其企业客户的安全挑战。

威胁情报与人工智能的深度融合，利不可抛，弊不可弃：

1.威胁情报的时效性和上下文信息

时效性和上下文信息是影响威胁情报实际应用效果的两个重要属性，人工智能和机器学习技术的发展，改变了依靠人工获取和处理威胁情报的传统，通过算法和模型自动化地处理和分析大量的文本、语音和图像等数据，自动识别数据中的关键信息，发现网络资产中存在的漏洞，并快速提供分析报告和上下文信息，减少人力成本的同时，也极大的减少了漏报和误报，威胁情报分析和处理的速度和准确度得到了提高，进一步增强了威胁情报的时效性和有效性。

2.实时精准的自动化检测和响应

目前人工智能技术已经可以实现对海量数据（603138）源的数据进行监控和分析，及时发现异常流量，快速识别和定位潜在威胁，通过机器学习算法对网络数据进行自动分类和识别，并对识别出的恶意软件和网络攻击进行自动化检测和拦截，保护企业和组织网络资产的安全。

3.风险评估和风险预测

人工智能技术可以通过数据挖掘和分析，快速识别和评估各种威胁，减少漏报和误报。通过机器学习算法和模型分析网络日志，发现异常行为，多个角度对未来的风险进行分析，预测出未来可能的攻击类型和攻击目标，提高决策的可靠性和准确性，帮助企业和个人更好地制定应对策略。例如，人工智能技术可以对网络漏洞进行扫描和评估，预测漏洞被利用的可能性和影响范围，从而提高漏洞修复的效率和准确性。

4.无处不在的网络攻击和无法避免的漏报、误报

随着人工智能技术与威胁情报领域的融合越来越深入，其在威胁情报分析和应用中的不利影响也越来越显现：

1)人工智能虽然已经大幅度减少了漏报误报的可能，但因为人工智能算法的训练数据可能不够全面或者存在偏差，导致算法出现错误的判断，这就需要人工进行二次研判，以最大程度减少误报。同时，人工智能处理威胁情报时，往往只能处理结构化数据，而无法处理非结构化数据，这就导致了信息不全面，从而产生漏报。

2)人工智能算法本身也存在着被攻击的风险，黑客可以通过注入恶意数据或攻击算法模型，来干扰算法的判断，从而影响威胁情报的分析结果。

3)伴随着人工智能技术的发展，一些新型的攻击方式也层出不穷，使得网络攻击更加普及和难以应对。一些黑客可以利用机器学习算法进行网络钓鱼，还可以利用人工智能技术对网络进行扫描，发现网络漏洞，对攻击进行自适应等。

人工智能在威胁情报领域的典型应用

目前，人工智能技术已经应用于奇安信威胁情报生产运营流程的各个环节，也应用于威胁情报中心推出的多款安全产品中，其中，ALPHA威胁分析平台的“威胁图谱分析”模块尤为典型。

知识图谱是结构化的语义知识库，通过将各种实体、概念和关系以图形化的方式表达出来，从而构建出一个涵盖了丰富知识的结构化数据集。知识图谱的构建需要大量的数据积累和处理，人工智能技术可以通过自然语言处理、机器学习、图像识别等技术，对非结构化数据进行分析和处理，将其中的实体、概念和关系与知识图谱中的实体、概念和关系进行关联，将海量的数据转化为可用的知识图谱。

ALPHA威胁分析平台——威胁图谱分析，是一款面向安全运营分析人员的可视化威胁分析工具，是知识图谱的高级可视化呈现，通过构建知识层级的威胁情报查询系统，针对某个单一的威胁实体，提供基于该实体的基本属性、关联关系、关联节点属性的结果数据集。

威胁图谱分析支持对IP、URL、Hash、Domain、Email等多类型数据实体的单个查询及批量查询，采用多种人工智能领域优化算法，自动化进行快速、精准的数据解析匹配，分析各类实体之间的关联关系和各种行为之间的因果依赖关系，基于威胁发现能力模型，展示数据实体间的关联关系，并提供多方位下钻查询、拓线溯源能力。该功能模块可以实现攻击者溯源及画像，使得安全运营人员快速、高效地提取高价值威胁情报、挖掘异常行为、提升安全响应效率。

结语

RSA Security首席执行官Rohit Ghai在RSAC2023大会的开幕式上说：“恶意黑客将在复杂的网络钓鱼活动中使用AI工具，并创建恶意GPT以伪造身份。网络安全专业人士必须借助AI的力量才能消除这些威胁。”由此可见，人工智能席卷整个行业的同时，人类必须要做的不仅是依靠AI获取更高的价值，还必须学会正视它的威胁，最大程度的驾驭这个行业“武器”，使“人类智能”与“人工智能”相辅相成。

关键词：