2024人工智能在安全領(lǐng)域的應(yīng)用

人工智能在安全領(lǐng)域的應(yīng)用2024人工智能技術(shù)機(jī)器學(xué)習(xí)：有監(jiān)督、無監(jiān)督數(shù)據(jù)挖掘：回歸、聚類、分類自然語言處理無監(jiān)督學(xué)習(xí)原始數(shù)據(jù) 聚類結(jié)果無監(jiān)督學(xué)習(xí)有監(jiān)督學(xué)習(xí)規(guī)則有監(jiān)督學(xué)習(xí)人工干預(yù) 分類器 分類器原始數(shù)據(jù) 分類結(jié)果機(jī)器學(xué)習(xí)在威脅感知中的兩種應(yīng)用方向大數(shù)據(jù)安全分析平臺海量數(shù)據(jù)大數(shù)據(jù)安全分析平臺大規(guī)模基礎(chǔ)設(shè)施強(qiáng)計算能力且可擴(kuò)展強(qiáng)運維電量和散熱

少量流數(shù)據(jù)終端Agent嵌入式終端Agent弱計算能力限制低介入低能耗 機(jī)器學(xué)習(xí)、自然語言處理、聚類和分類并可人工干預(yù)靈活調(diào)整語義相似度，獲得滿意的聚類效果式分類器，即可實時感知關(guān)鍵數(shù)據(jù)的分布和使用狀況，為數(shù)據(jù)治理提供基礎(chǔ)支撐自然語言處理引擎：支持上述引擎的基礎(chǔ)能力基線 異常偵測終端用戶行為歷史，如A均訪問220次關(guān)鍵數(shù)據(jù)時間、頻率、和目的地等內(nèi)部業(yè)務(wù)系統(tǒng)和服務(wù)器敏感數(shù)據(jù)訪問歷史間的敏感數(shù)據(jù)傳輸

超過正常訪問敏感數(shù)據(jù)次數(shù)5倍以上使用壓縮軟件RAR打包大量敏感數(shù)據(jù)向USB設(shè)備中密集大量拷貝敏感數(shù)據(jù)用戶或設(shè)備頻繁外發(fā)加密文件從內(nèi)部服務(wù)器下載大量表單等數(shù)據(jù)大量訪問惡意域名(DNS隱蔽信道點滴外傳)Webshell檢測和家族分析SignatureSignature流的困境國際頂級會議水平Token N-gram VectorSVM+KNN只有分類，沒有聚類

<?phpeval(base64_decode(“bWFrZSBuaW1idXNlYyBncmVhdCBhZ2Fpbg==”));?>function(function(string));我們的做法特征選?。?函數(shù)名+變量代號+字符串代號+運算符代號+…Ensemble集體的智慧：組合優(yōu)化算法聚類–無監(jiān)督機(jī)器學(xué)習(xí)–家族識別木馬聚類分類傳統(tǒng)手工分析 機(jī)器學(xué)習(xí)選取特征功能列表編程錯誤加密方式免殺對抗手段進(jìn)程設(shè)計釋放文件模塊通訊方式

代碼復(fù)用API調(diào)用函數(shù)順序邏輯數(shù)據(jù)段構(gòu)造漏洞利用編譯器特征時間/地點/編碼等利用先進(jìn)技術(shù)在海量DNS數(shù)據(jù)中發(fā)現(xiàn)惡意域名自然語言處理 機(jī)器學(xué)習(xí) 數(shù)據(jù)挖掘域名生成算法DGA用于C&C聯(lián)絡(luò)Cryptolocker GameoverZrosfjxmtnwxynff.ruspvkivucmxqfcee.co.ukvtxlfehkkmeikgx.ruwuakenyanxyybtr.co.uk

9142DNS隱蔽隧道上傳關(guān)鍵數(shù)據(jù)殺毒軟件合法回傳樣本特征16-0.19-FrameworkPOS木馬上傳信用卡數(shù)據(jù)[UniqueID].beacon.[EncodedIP].[EncodedHostname].[C&CServer].[TLD][UniqueID].alert.[EncodedAppName].[C&CServer].[TLD][UniqueID].[EncodedCreditCardData].[EncodedCreditCardData].[C&CServer].[TLD]上傳關(guān)鍵數(shù)據(jù)的線索Domain Shadowing域名陰影，利用失竊口令的正常域名賬戶，大量創(chuàng)建子域名進(jìn)行釣魚攻擊。此惡意攻擊手法非常有效且難以遏止。因為防御方無法獲悉下一個被黑客利用的賬戶，所以幾乎沒有辦法預(yù)測下一個受害者。算法組合與特征選取N-gramsRandomForestLevenshteinDistance自有算法庫C4.5Adaboosting 威脅感知實例：實時偵測可疑