拨开迷雾 将机器学习转化为真正的安全收益

作者:星期五, 九月 1, 20170
分享:

机器学习已成为安全界最流行的新主题。似乎每家厂商都在采用这一能力,力求在竞争激烈的市场上脱颖而出。这就造成了混乱,因为“机器学习”这个词汇本身往往被误解,而其使用的影响也是各有不同。

不仅每个人对“机器学习”的理解都不相同,不同厂商应用机器学习的方式也各种各样。所有这一切,让买家难以区分炒作和现实,难以弄清机器学习给他们带来的实际价值。

为拨开机器学习迷雾,不妨从澄清它“不是”什么开始。

1. 机器学习不是一种防护形式

最大的误解之一,就是机器学习是某种形式的安全新产品或新功能。事实上,机器学习并不切实提供防护,而是通过驱动更快、更准确、更广泛、更深入的威胁数据分析,来指导防护操作。面对令人疲于应付的安全威胁数据巨浪,机器学习可以提供人类分析师无法达到的处理效率。

2. 机器学习不是过时方法的权宜之计

大多数杀软都用机器学习来分析文件属性,以确定文件是否恶意。但这基本上就是杀软这些年来一直在干的事情——扫描新文件属性与已知恶意软件属性做对比来做判定。其中问题是:静态已知文件熟悉的依赖,意味着没有任何一点机器学习可以用来阻止未知或无文件威胁。无文件,就没有东西可供扫描。

3. 机器学习未必总能更聪明

与任何其他分析工具类似,基于机器学习的安全解决方案效果取决于可用的数据。但是,众所周知的“垃圾进,垃圾出”。用于训练的正确功能/属性集,大量高品质常更新的数据,是有效防护的倚仗。机器学习模型还必须用及时、相关、高保真的数据经常重训练。

虽然机器学习确实改善了端点安全,我们显然还未达到最好效果。

为能有效阻止今天高度复杂的恶意软件,比如无文件攻击、CPU级漏洞利用、基于脚本和宏的威胁,还有尚未到来的威胁,端点安全机器学习必须适应当前的环境。它必须能够从众多威胁参数和系统配置中,实时辨别软件的好坏。

于是,要兑现炒作承诺,驱动真正革命性的端点安全新浪潮,机器学习需要做什么呢?

1. 必须分析文件行为,而不仅仅是文件属性

将安全决策建立在文件属性上,只在以下2种情况下有效:

  • 有文件可供分析
  • 这些属性事先已被识别并嵌入到了模型中

于是,当涉及到检测并阻止新型未知变体、无文件攻击和脚本/宏攻击时,这就留下了一大片空白。端点安全里对机器学习更新更灵敏的使用,可分析实时行为——程序运行过程中的系统调用和程序指令,驱动这些解决方案在恶意行为刚开始时就识别并阻止之,提供更广泛更可靠的防护。

2. 必须受及时严格反复训练过的模型的指导

大多数厂商每几个月就更新一次模型,但鉴于当前新威胁涌现的快节奏,软件更新的波动性,模型更新的速度显然不够快。真正灵敏的解决方案,利用机器学习以近实时(每24小时)的频率更新其模型,提供能切实跟上当今威胁态势的最准确及时的解决方案。

3. 必须兼顾合法软件

正如每天有数千新恶意软件变体威胁端点,合法软件也在不停更新和整合。基于文件属性的传统安全解决方案,往往难以持续区分好应用和坏程序,无法分辨有益进程和恶意攻击。这就造成了高误报率,迫使用户在等待模型更新的数月中维护白名单和黑名单。

反应灵敏的解决方案,则不仅仅基于当前恶意软件数据,还根据已知良好软件的最新数据,摄入并建立模型,解决这一问题。这么做可以提供更具适应性的敏捷模型,在大幅减少误报和用户麻烦的同时,确保更高的精准度和更广覆盖面。

毫无疑问,机器学习已经,并将持续改变端点安全。但理解该技术实际运作原理及其局限性,是十分重要的。理解了这些东西,公司企业便可以通过询问正确的问题,在快速进化愈趋复杂的威胁态势下,获得充分保护自身所需的准确、全面、前瞻性的安全覆盖。

相关阅读

机器学习的能与不能
大数据是犯罪现场调查员 机器学习是警察

 

分享:

相关文章

写一条评论

 

 

0条评论