AI Meningkatkan Keamanan Siber, Namun Pengawasan Manusia Tetap Esensial
Ketika datang ke melindungi komputer dan sistem informasi dari serangan siber, kecerdasan buatan dan pembelajaran mesin dapat membantu — tetapi mereka bukan obat ampuh untuk masalah yang semakin besar.
Meskipun kegembiraan saat ini atas AI dan kemampuan yang semakin meningkatnya untuk mengalahkan manusia di berbagai bidang, ini bukan peluru sihir untuk menguatkan keamanan siber, kata Randy Watkins, chief technology officer di Critical Start, Inc.
AI unggul dalam mengelola sejumlah besar data, termasuk peringatan tentang pelanggaran keamanan yang mungkin. Masalahnya terletak pada cara ia menafsirkan informasi tersebut.
Peringatan ditangani dalam urutan kedatangan. Kemudian mereka diprioritaskan dan dievaluasi untuk tingkat ancaman yang sesuai. Analis manusia, dengan pengetahuan dan pengalaman yang mendalam tentang bisnis, baik dalam menempatkan setiap peringatan dalam konteks yang tepat. Mesin, tidak begitu. Sistem yang didorong AI dapat mendeteksi aktivitas pengguna yang anomali, tetapi kurang efektif dalam menentukan apakah peristiwa melibatkan niat jahat.
"Saya bukan pembenci segala sesuatu tentang AI," kata Watkins, "tetapi AI dan pembelajaran mesin tidak memiliki kemampuan untuk menerapkan sejumlah besar alasan pada apa yang mereka lakukan."
Mesin tidak begitu baik dalam meminimalkan false positive. Ambillah Microsoft's PowerShell, kerangka kerja populer untuk otomatisasi tugas. Mesin tidak dapat secara akurat menentukan apakah pengguna tertentu dari alat itu harus mengeksekusi perintah pada waktu tertentu. Anomali mungkin atau mungkin bukan hasil dari serangan jahat.
Istilah "pembelajaran mesin" menyiratkan bahwa sistem menjadi lebih baik dengan pengalaman, tetapi Watkins mengatakan kemampuan itu terbatas. Melatih algoritma untuk merespons dengan cara yang benar memerlukan pemberian sejumlah besar contoh sebelumnya, baik yang baik maupun yang buruk. Dan itu masih tidak menyelesaikan masalah false negative — serangan aktual yang dilewatkan sistem. "Anda harus dapat menarik kembali outlier yang akan membabi data Anda," kata Watkins.
Menentukan apakah peristiwa jahat atau tidak tidak selalu berupa jawaban ya atau tidak. Untuk satu hal, perusahaan harus menentukan seberapa sensitif mereka ingin sistem itu. Apakah harus melontarkan alarm untuk 100% peristiwa yang tampaknya anomali? Bagaimana dengan 80%? Terlalu banyak, dan Anda akan terhambat dengan peringatan dan penurunan sistem potensial. Terlalu sedikit, dan pelanggaran kemungkinan akan melintas tanpa terdeteksi.
"Saat Anda memperkenalkan lebih banyak variabel, Anda membutuhkan set data tambahan, lebih banyak konteks tentang subjek dan perilaku [sistem]," kata Watkins. "Setelah Anda mulai memperkenalkan pertanyaan-pertanyaan ini, mesin akan runtuh."
Deteksi yang efektif terhadap serangan siber bergantung pada penilaian risiko kumulatif, sesuatu yang manusia lakukan dengan baik. "Setiap kali kita melihat sebuah peristiwa, kita memutuskan apakah itu mencurigakan," kata Watkins. "Tetapi Anda juga dapat menerapkan alasan, dan pengetahuan sebelumnya tentang keamanan yang algoritma tidak memiliki."
"Mesin dapat merayapi sejumlah besar data dengan cepat," lanjutnya. "Tetapi berikan konsep abstrak seperti least privilege dan terapkan pada set peringatan — apakah itu akan mengenali eskala hak istimewa? Ada banyak aktivitas yang benign yang tampak jahat."
Tidak ada keraguan bahwa pembelajaran mesin akan berkembang, meskipun pencuri siber mencari cara baru untuk menghindari deteksi. Microsoft telah membuat progres dalam meningkatkan sofistikasi sistem deteksi otomatis, seperti Palo Alto Networks, pemimpin global dalam keamanan siber. "Tetapi pada akhirnya," kata Watkins, "Anda masih membutuhkan seorang manusia untuk mengatakan, 'Ya, matikan domain controller ini.' Perusahaan terus berusaha meminimalkan biaya downtime sistem yang disebabkan oleh peringatan yang salah."
Dikatakan demikian, tidak cukup ahli manusia untuk memenuhi kebutuhan keamanan siber di semua sektor. "Tentu ada kurangnya talenta di industri," kata Watkins. Itulah sebabnya beralih ke dukungan luar, dalam bentuk managed detection and response.
Kekurangan talenta tidak baru. "Itu ada sejak keamanan ada," kata Watkins. Hanya dalam 10 tahun terakhir perusahaan dan universitas mulai menyadari kebutuhan akan pelatihan dan pendidikan yang lebih baik untuk ahli keamanan siber masa depan.
Kedua manusia dan mesin masih perlu bertambah, jika mereka akan bekerjasama dalam mengamankan sistem vital dari ancaman serangan siber yang semakin besar. "Kami memulai dari nol saat kami harus berada di 60," kata Watkins. "Sekarang kami perlu berada di 90, dan kami berada di 60."
