机器学习作用于安全方面的5大优秀用例

机器学习可以帮助企业更好地理解他们面临的安全威胁，并帮助员工专注于更有价值的战略任务。同时，它也可能是解决下一轮万年风暴的有力武器。

20世纪中期，阿瑟·塞缪尔在人工智能之后创造了“机器学习”这个短语，并将它定义为“无需明确编程的学习能力”将数学技术应用于大型数据集，机器学习算法可以建立行为模型，并使用这些模型作为基于新输入数据的未来预测的基础。视频网站(如网飞)可以根据您以前的历史观看记录为您提供新剧集，自动驾驶汽车可以通过与行人的密切接触了解路况。这些是生活中机器学习最常见的例子。

那么，信息安全中的机器学习应用又是什么呢?

原则上，机器学习可以帮助组织更好地分析威胁并应对攻击和安全事件。它还可以帮助自动化一些更琐碎和复杂的任务，这些任务或者由大量任务执行，或者以前由缺乏技术的安全团队执行。

此外，机器学习在安全领域的应用也呈现出快速增长的趋势。ABI研究公司的分析师估计，到2021年，机器学习在网络安全中的应用将推动大数据、人工智能和分析方面的支出达到960亿美元。与此同时，世界上一些科技巨头也采取措施更好地保护他们的客户。

例如，谷歌正在使用机器学习来分析运行在安卓系统上的移动终端威胁，并识别和移除受感染手机上的恶意软件。云基础设施巨头亚马逊也成功获得了收获。一家新成立的公司人工智能推出了Macie——，这是一项利用机器学习来发现、排序和分类S3云存储数据的服务。

与此同时，企业安全提供商一直致力于将机器学习集成到新旧产品线中，以进一步提高恶意软件检测的效率。金联合公司总裁兼首席分析师杰克·高德表示:大多数主流安全公司已经从几年前用来检测恶意软件的纯粹“基于签名”的系统转变为试图解释行为和事件并从各种来源学习来判断什么是安全的，什么不是。这仍是一个新兴领域，但显然也是未来的发展方向。人工智能和机器学习将极大地改变安全操作模式。

虽然这种变化不会在一夜之间发生，但机器学习已经出现在一些领域。德国电信创新实验室(以及以色列本古立昂大学网络安全研究中心)首席技术官都都·米姆兰(Dudu Mimran)表示:人工智能——，作为一个更宽泛的定义，包括机器学习和深度学习——，处于推动网络防御的早期阶段，但已经在识别终端、网络、欺诈或SIEM中的恶意活动模式方面发挥了明显的作用。我相信在未来，我们将会看到越来越多的国防服务中断、用户行为归属和修改的用例。

接下来，让我们来看看机器学习在安全领域的主要用例:

1. 使用机器学习来检测恶意活动并阻止攻击

机器学习算法将帮助企业更快地检测恶意活动，并在攻击开始前阻止它们。英国初创公司Darktrace已经成功抓住了这一发展机遇。据悉，公司成立于2013年，在基于机器学习的企业免疫解决方案方面取得了巨大成就。

Darktrace的技术总监大卫·帕默说，Darktrace使用机器学习算法帮助北美一赌场成功检测到一次数据泄露攻击，该攻击使用“联网鱼缸作为赌场网络的入口”该公司还声称，它的算法已经成功地阻止了之前席卷全球的万年勒索软件运动中的类似攻击。

谈到感染了150个国家20多万名受害者的万年勒索软件，帕尔默说:我们的算法在几秒钟内成功检测到了来自国家卫生服务机构网络的攻击，并在攻击对该机构造成任何损害之前成功减轻了威胁。事实上，我们的客户中没有一个受到万年攻击的伤害，即使是那些没有被修补的客户。

2. 使用机器学习来分析移动终端

在移动设备上，机器学习已经成为主流，但是到目前为止，它的大部分活动都是为了改善基于语音的体验，比如现在的谷歌、苹果的Siri和亚马逊的Alexa。然而，机器学习确实在安全方面有应用。如上所述，谷歌正在使用机器学习来分析对移动终端的威胁，而企业在保护独立自主的移动设备方面看到了更多机会。

2017年10月，MobileIron和Zimperium宣布建立合作伙伴关系，帮助企业采用集成机器学习技术的移动反恶意软件解决方案。MobileIron表示，将整合Zimperium基于机器学习的威胁检测与MobileIron的安全和合规引擎，并将其作为一个组合解决方案进行销售，解决检测来自设备、网络和应用程序的威胁等挑战，并快速采取自动化措施保护公司数据。

其他供应商也在寻找支持他们的移动解决方案。Zimperium、LookOut、Skycure(由赛门铁克收购)和Wandera被视为移动威胁检测和防御市场的领导者。他们每个人都使用自己的机器学习算法来检测潜在的威胁。例如，漫游者推出了威胁检测引擎MI:RIAM，据报道，该引擎检测到400多种针对企业移动设备的斯洛克尔讹诈软件。

3. 使用机器学习来增强人类分析

是机器学习在安全领域的核心应用。据信，它可以帮助人类分析师处理各种安全任务，包括恶意攻击检测、网络分析、终端保护和漏洞评估。它在威胁情报中的作用可以说是最令人兴奋的。

例如，2016年，麻省理工学院的计算机科学和人工智能实验室(CSAIL)开发了一个名为“AI2”的系统，这是一个自适应机器学习安全平台，可以帮助分析师从海量数据中找出真正有用的东西。该系统每天审查数百万次登录，过滤数据并将过滤后的内容转发给人类分析师，从而将每天的警报数量减少到大约100个。CSAIL和初创公司PatternEx联合进行的实验表明，攻击检测率提高到85%，而误报率降低了多达5倍。

4. 使用机器学习自动化重复性安全任务

机器学习的真正优势在于它自动化了重复性任务，使员工能够专注于更重要的任务。帕尔默说，机器学习的最终目标应该是“消除重复和低价值决策活动对人力的需求，就像机密威胁情报一样。”让机器处理重复性工作，停止勒索软件等战术消防工作，这样人类就可以腾出时间来处理现代视窗XP系统等战略性问题。

博斯艾伦汉密尔顿公司正沿着这条路线发展。据报道，该公司使用人工智能工具更有效地分配人力安全资源，并对威胁进行分类，以便员工能够专注于最关键的攻击。

5. 使用机器学习来关闭零日漏洞

有些人认为机器学习有助于堵塞漏洞，尤其是零日威胁和针对大多数不安全物联网设备的其他威胁。根据《福布斯》报告，亚利桑那州立大学的一个团队使用机器学习技术监控黑暗网络流量，以识别与零日攻击相关的数据。有了这种洞察力，企业组织就有能力在漏洞导致数据泄漏之前堵住漏洞并防止补丁攻击。

炒作和误解丛生的领域

应该注意的是，机器学习不是万灵药，尤其是对于一个仍在对这些技术进行概念验证实验的行业而言。机器学习的发展必然是一个漫长而艰难的过程。机器学习系统有时会误报(无监督学习系统的算法基于数据推测类型)，一些分析师坦率地承认，在安全领域使用的机器学习可能是一个“黑箱”解决方案，即CISO无法完全确定其内部机制，因此他们只能被迫将信任和责任放在供应商和机器的肩上。

毕竟，在一个有些安全解决方案甚至根本不用机器学习的世界里，这种盲目信任的想法是不可取的。帕尔默说:大多数被吹捧的机器学习产品不会真正在客户环境中学习。相反，他们只使用恶意软件样本在供应商自己的云上训练模型，并将它们下载到客户公司，就像病毒签名一样。这不是对客户安全的进步，而是基本上的倒退。

此外，该算法在投入实际使用前需要学习模型所需的训练数据样本，这些样本中的不良数据和实现可能会产生更差的结果。机器学习的效果取决于你输入的信息。垃圾的输入必然导致垃圾的输出。因此，如果你的机器学习算法设计得不好，结果将不是很理想。算法在实验室训练数据中有用是一回事，但最大的挑战是使机器学习网络防御在真正复杂的网络中发挥作用。