Umělá inteligence se stala jedním z nejpoužívanějších pojmů v oblasti kybernetické bezpečnosti. Výrobci mluví o chytřejší detekci, automatizaci a rychlejší reakci. To vše může být skutečně přínosné. Samotná přítomnost AI v produktu ale ještě nevypovídá o jeho hodnotě.

Bezpečnostní týmy už dnes pracují s daty ze sítí, koncových zařízení, aplikací, cloudových prostředí, bezpečnostních systémů a dalších zdrojů. Každý z nich může přinášet důležité signály, ale také velké množství událostí, které samy o sobě neznamenají skutečné riziko.

Přidat další nástroj proto není složité. Mnohem důležitější je zajistit, aby informace, které bezpečnostní tým získává, byly skutečně použitelné. Pokud AI pouze rozšíří množství dat a upozornění, se kterými musí analytici pracovat, může výslednou situaci naopak zkomplikovat.

Smysluplnější je začít u konkrétního problému. Kde analytici ztrácejí nejvíce času? Kde vzniká nejvíce šumu? Kde jim chybí souvislosti potřebné k pochopení situace? A kde by automatizovaná analýza mohla skutečně pomoci? Teprve od těchto problémů by se měla odvíjet volba konkrétní technologie.

V bezpečnostním operačním centru není cílem zpracovat co největší počet upozornění. Důležité je včas rozpoznat ta, která mohou znamenat skutečný problém, pochopit jejich význam a rozhodnout, jak reagovat.

To není vždy jednoduché. Jednotlivý alert často poskytuje jen část obrazu. Neobvyklá komunikace mezi dvěma zařízeními například nemusí znamenat útok. Může jít o legitimní aktivitu, plánovanou změnu v infrastruktuře nebo běžné chování uživatele. Teprve když se jednotlivé signály propojí a zasadí do širších souvislostí, může analytik posoudit, zda situace skutečně vyžaduje zásah.

Právě tady může mít AI a strojové učení praktický význam. Mohou pomoci rozpoznat odchylky od běžného chování, hledat vztahy mezi událostmi a upozornit na situace, kterým by měl analytik věnovat pozornost.

Praktickým příkladem může být analýza síťového provozu, kde se behaviorální analýza a strojové učení používají k identifikaci odchylek od běžného chování. Například Flowmon tyto přístupy využívá k tomu, aby bezpečnostním týmům pomohl rychleji odhalit anomálie a zasadit je do širšího kontextu. Hodnota tedy není v samotné technologii, ale v tom, co díky ní může bezpečnostní tým udělat lépe.

Jedním z největších problémů současných bezpečnostních týmů není nedostatek dat. Ale jejich množství. Každé další upozornění vyžaduje určitou míru pozornosti. Analytik musí posoudit jeho relevanci, zjistit, s čím souvisí, určit jeho prioritu a případně zahájit další vyšetřování. Pokud se takových událostí nahromadí stovky nebo tisíce, samotné množství informací může zkomplikovat schopnost týmu soustředit se na to podstatné.

AI by tento problém měla pomáhat řešit, nikoli vytvářet další šum. Může například pomoci rozlišovat mezi běžným a neobvyklým chováním, spojovat související události nebo určit, které z nich si zaslouží bližší pozornost. Analytik pak nemusí tolik času věnovat ručnímu třídění jednotlivých signálů a může se více soustředit na vyhodnocení konkrétní situace.

To má význam i z pohledu provozní efektivity. Pokud AI pouze automatizuje generování nebo zpracování dalších upozornění, nemusí se pracovní zátěž bezpečnostního týmu výrazně snížit. Pokud ale dokáže zkrátit cestu od prvního signálu k pochopení situace, její přínos je podstatně konkrétnější.

 

Bezpečnostní nástroj může upozornit na neobvyklou aktivitu. To je důležité, ale samo o sobě to ještě neřeší incident. Analytik potřebuje vědět, co se stalo, jak jednotlivé události souvisejí, jaký může být jejich dopad a co by měl udělat dál. Potřebuje tedy především kontext.

Právě proto se v moderní kybernetické bezpečnosti stále více pozornosti věnuje schopnosti převádět jednotlivé signály do širšího obrazu. Technologie musí pomáhat spojovat informace, které by jinak zůstaly rozdělené mezi různé systémy a nástroje. Aby mohla AI spolehlivě přinášet hodnotu, potřebuje kvalitní a důvěryhodný kontext a zároveň odpovídající kontrolu nad tím, k jakým informacím má přístup a jak s nimi může pracovat.

V bezpečnostním prostředí je tento princip velmi praktický. Když má analytik k dispozici dostatek kontextu, nemusí tolik času trávit zjišťováním, co jednotlivé signály znamenají. Může se rychleji soustředit na to podstatné – zda jde o skutečné riziko a jak na něj reagovat.

Debata o AI se často vrací k otázce, kolik lidské práce lze automatizovat. V kybernetické bezpečnosti bych ale tuto otázku nestavěl na první místo. Bezpečnostní analytik stále potřebuje rozumět prostředí organizace, jejím systémům a rizikům. Musí umět posoudit význam události a v řadě případů rozhodnout, jak na ni reagovat. AI může tento proces podpořit, ale neměla by z něj odstranit lidský úsudek. Její význam může spočívat v tom, že člověku umožní pracovat s větším množstvím informací, rychleji odhalit souvislosti a soustředit se na situace, kde je jeho rozhodnutí skutečně potřeba.

Dobře využitá AI nemusí analytika z rozhodovacího procesu odstranit. Může mu dát lepší podklady a více času na samotné rozhodnutí. To je podle mě podstatnější než představa plně autonomního bezpečnostního provozu.

Pokud přijmeme tento pohled, mění se i způsob, jakým bychom měli přínos AI měřit. Nestačí říct, že bezpečnostní platforma využívá AI nebo strojové učení. Důležitější je sledovat, co se díky tomu změnilo v každodenní práci bezpečnostního týmu. Přínos lze měřit například přesností detekce, počtem falešně pozitivních výsledků, časem potřebným k pochopení incidentu nebo rychlostí, s jakou tým dokáže určit prioritu a reagovat.

Stejně důležité je sledovat, zda AI nezvyšuje provozní složitost. Nová technologie by neměla znamenat další izolovaný systém, další dashboard nebo další proces, který musí tým obsluhovat. Pokud má AI přinést hodnotu, měla by naopak pomoci práci zjednodušit a zpřístupnit relevantní informace ve chvíli, kdy jsou potřeba.

Kybernetická bezpečnost bude AI využívat stále více. Schopnost analyzovat rozsáhlé objemy dat, rozpoznávat vzorce chování a hledat souvislosti představuje pro bezpečnostní týmy významnou příležitost. Zároveň ale není důvod předpokládat, že řešení s větším množstvím AI automaticky přinese lepší ochranu.

Pro bezpečnostní týmy proto není podstatné, kolik AI funkcí jejich nástroje nabízejí. Podstatné je, zda díky nim dokážou rychleji oddělit důležité události od šumu, lépe pochopit jejich souvislosti a rozhodnout se, jak reagovat. Pokud AI dokáže tento proces zjednodušit, má v kybernetické bezpečnosti skutečný význam. Pokud pouze přidá další technologickou vrstvu bez měřitelného výsledku, její přínos je mnohem obtížnější obhájit. Hodnotu AI bychom proto měli posuzovat podle toho, zda pomáhá bezpečnostním profesionálům dělat lepší rozhodnutí.