Основна частина
Стрімкий розвиток інформаційних технологій та цифровізація практично всіх сфер суспільства призвели до значного збільшення кількості кіберзагроз. За останні роки суттєво зросла кількість атак із застосуванням програм-вимагачів, фішингових кампаній, експлойтів нульового дня та складних цільових атак (APT), що зумовлює необхідність впровадження нових інтелектуальних підходів до аналізу кіберінцидентів [1]. Одним із найбільш перспективних напрямів є використання великих мовних моделей (Large Language Models, LLM), які завдяки розвитку генеративного штучного інтелекту демонструють значний потенціал у сфері кібербезпеки [2].
Великі мовні моделі є нейронними мережами, навченими на великих обсягах текстових даних, що дозволяє їм виконувати аналіз природної мови, узагальнення інформації, класифікацію текстів, пошук закономірностей та генерацію відповідей [3, с. 6002–6004]. На відміну від традиційних алгоритмів машинного навчання, LLM здатні працювати з неструктурованими даними, до яких належать журнали подій, звіти про кіберінциденти, повідомлення систем моніторингу, опис вразливостей та технічна документація [4]. Це відкриває нові можливості для автоматизації діяльності аналітиків центрів моніторингу інформаційної безпеки (SOC).
Одним із головних напрямів використання LLM є автоматичний аналіз журналів подій. У сучасних інформаційних системах щодоби генеруються мільйони записів, значна частина яких не містить ознак атак. Аналіз такого обсягу інформації вручну є практично неможливим [5, с. 2–9]. Великі мовні моделі дозволяють автоматично групувати повідомлення, визначати взаємозв'язки між подіями, виділяти потенційно небезпечні дії та формувати короткий аналітичний звіт для фахівця [4].
Іншим перспективним напрямом є використання LLM для класифікації кіберінцидентів відповідно до міжнародних стандартів і таксономій. Аналізуючи опис події, модель може визначити тип атаки, встановити її можливі наслідки та запропонувати першочергові заходи реагування. Особливо ефективним є поєднання великих мовних моделей із базами знань MITRE ATT&CK та Національною базою даних вразливостей (NVD) [1, 6]. Це дозволяє зіставляти виявлені ознаки з відомими техніками атак та рекомендувати відповідні заходи захисту.
Важливим напрямом застосування LLM є автоматизація процесу аналізу вразливостей. Щороку до Національної бази даних вразливостей додаються десятки тисяч нових записів, що потребують оперативного аналізу [6]. Великі мовні моделі можуть автоматично узагальнювати технічні описи вразливостей, пояснювати механізми їх експлуатації та формувати рекомендації щодо мінімізації ризиків [4].
Перспективним є використання великих мовних моделей для підтримки роботи центрів моніторингу інформаційної безпеки. Сучасні SIEM-, EDR- та XDR-системи генерують значну кількість повідомлень про підозрілу активність, серед яких суттєву частку становлять хибнопозитивні спрацювання. Використання LLM дозволяє автоматично оцінювати контекст події, пояснювати причини виникнення сповіщення та визначати його пріоритетність [2; 4].
Окрему увагу привертає використання великих мовних моделей для автоматизації підготовки аналітичної документації. Після ліквідації кіберінциденту необхідно сформувати звіт, що містить опис атаки, хронологію подій, використані техніки та рекомендації щодо недопущення аналогічних інцидентів у майбутньому. Великі мовні моделі можуть автоматично узагальнювати інформацію із журналів подій та систем моніторингу, формуючи структуровані звіти, які потребують лише фінальної перевірки спеціалістом [2].
Разом із перевагами використання LLM існують і певні ризики. Насамперед моделі можуть генерувати недостовірну інформацію («галюцинації»), що здатне призвести до помилкової класифікації кіберінцидентів або некоректних рекомендацій щодо реагування [2]. Крім того, використання відкритих мовних моделей для аналізу конфіденційної інформації може створювати ризики витоку даних, тому все більшого поширення набувають локальні моделі, розгорнуті в інфраструктурі організації [4].
Таким чином, використання великих мовних моделей відкриває нові можливості для автоматизації аналізу кіберінцидентів, скорочення часу реагування на загрози та підвищення ефективності роботи центрів моніторингу інформаційної безпеки [2; 4]. Водночас найбільш ефективним є використання LLM як інструменту підтримки прийняття рішень, а не повної заміни експерта з кібербезпеки.
Література
1. Strom B. E., Applebaum A., Miller D. P. et al. MITRE ATT&CK: Design and Philosophy. MITRE Technical Report MTR170202. McLean, VA : The MITRE Corporation, 2020.
2. OpenAI. GPT-4 Technical Report. arXiv:2303.08774, 2023. URL: https://arxiv.org/abs/2303.08774.
3. Vaswani A., Shazeer N., Parmar N. et al. Attention Is All You Need. Advances in Neural Information Processing Systems. 2017. Vol. 30. P. 5998–6008.
4. Huang K., Zhu Y., Li Z. et al. A Survey of Large Language Models for Cybersecurity. arXiv:2402.07688, 2024.
5. Kent K., Souppaya M. Guide to Computer Security Log Management. NIST Special Publication 800-92. Gaithersburg : National Institute of Standards and Technology, 2006. 72 p.
6. National Institute of Standards and Technology. National Vulnerability Database (NVD). URL: https://nvd.nist.gov/.
|
Голосування 
Ця робота ліцензується відповідно до Creative Commons Attribution 4.0 International License
Знайшли помилку? Виділіть помилковий текст мишкою і натисніть Ctrl + Enter