（微軟（中國）有限公司）

當前，全球的網(wǎng)絡(luò)安全態(tài)勢并不樂觀，我國目前流行的排名前三的網(wǎng)絡(luò)威脅類型為：木馬、病毒和蠕蟲。國內(nèi)互聯(lián)網(wǎng)傳播的惡意代碼中有近20%是在世界其他地區(qū)沒有遇到，是具有中國本土特色的網(wǎng)絡(luò)威脅。傳統(tǒng)防御或者手工干涉的機制，不能適應(yīng)惡意代碼的迭代和進化速度。因此，必須使用人工智能等新手段，提升自動化和響應(yīng)效率，以縮短從發(fā)現(xiàn)到響應(yīng)的間隔。

1 全球網(wǎng)絡(luò)攻擊特性的改變

傳統(tǒng)安全防護手段如殺毒軟件、防火墻、蠕蟲檢測在應(yīng)對已知惡意代碼是有效的。但是目前網(wǎng)絡(luò)攻擊者的首要目標是盜取用戶的身份。在新形勢下的攻擊者一旦成功盜取用戶身份，就可以采用合法工具收割用戶的數(shù)據(jù)財產(chǎn)，對用戶身份的保護是當前和未來一段時期內(nèi)最大的安全挑戰(zhàn)。全球網(wǎng)絡(luò)攻擊特性具有以下特點：黑客可以使用合法的IT工具，不是純依賴惡意軟件，因而難以被探測。全球范圍內(nèi)安全事件調(diào)查分析顯示，攻擊者被發(fā)現(xiàn)前，可以在被入侵網(wǎng)絡(luò)中潛藏時間達八個月，在兩百天內(nèi)隱身于網(wǎng)絡(luò)中為所欲為。網(wǎng)絡(luò)攻擊可造成巨額財物損失，影響企業(yè)品牌聲譽，丟失保密數(shù)據(jù)。

2 AI加速：應(yīng)對網(wǎng)絡(luò)安全防御的挑戰(zhàn)

傳統(tǒng)的網(wǎng)絡(luò)安全防御方案主要有三大短板：①非常復雜，需要手工初始設(shè)置、定義規(guī)則等，花費較長時間；②容易誤報，太多的信號源數(shù)據(jù)和碎片化的報警規(guī)則，需要繁瑣手工分析或編程復雜模型，誤報或漏報的比例高；③設(shè)計用于邊界防御，當用戶身份被竊取而攻擊者藏于內(nèi)網(wǎng)時，傳統(tǒng)網(wǎng)絡(luò)的防御提供的保護極其有限。

傳統(tǒng)防御或者手工干涉的機制，不能適應(yīng)惡意代碼的迭代和進化速度，必須要用新的手段，包括使用人工智能來加速響應(yīng)的流程，提升自動化和響應(yīng)效率，縮短從發(fā)現(xiàn)到響應(yīng)的間隔。

3 全面和系統(tǒng)的網(wǎng)絡(luò)安全策略與方法

微軟為應(yīng)對新網(wǎng)絡(luò)威脅態(tài)勢，設(shè)計了全面和系統(tǒng)的安全戰(zhàn)略：①打造安全產(chǎn)品平臺，保證平臺的安全。從源頭增強開發(fā)安全，把代碼寫安全；②構(gòu)建全球網(wǎng)絡(luò)安全威脅情報體系，知己知彼，百戰(zhàn)不殆；③ 與合作伙伴合作建設(shè)安全生態(tài)體系。

具體安全策略分為三步：保護、探測、響應(yīng)。安全保護跨越所有終端，從物聯(lián)網(wǎng)傳感器到云端和數(shù)據(jù)中心；利用設(shè)備端探測和捕捉到網(wǎng)絡(luò)威脅數(shù)據(jù)，作為數(shù)據(jù)輸入，行為檢測和機器學習發(fā)現(xiàn)安全異常，形成完整的閉環(huán)，探測只是整個響應(yīng)流程中的起點，不是終點；安全響應(yīng)的目標是縮短發(fā)現(xiàn)和后續(xù)行動之間的時間差距。

知識圖譜是人工智能非常有用的一個分支，可以處理和利用大數(shù)據(jù)，集成專家的經(jīng)驗，取得較好的安全保護效果。微軟的網(wǎng)絡(luò)安全知識圖譜得益于平臺上積累大量的數(shù)據(jù)，包括每分每秒保護用戶和網(wǎng)絡(luò)攻擊做對抗過程中產(chǎn)生的數(shù)據(jù)。利用人工智能把數(shù)據(jù)后面真正的大數(shù)據(jù)價值榨取出來，產(chǎn)生很多可以重復使用和可擴展的安全防御模型。

4 安全自動化成熟度模型

對安全自動化的模型嘗試定義了成熟度的概念，分為五級，一級為入門，第五級暫定為最高級，每一級代表不同的、可以重復的能力。第一級，即自動匯集，如常見的事件級自動工單應(yīng)用系統(tǒng)；第二級，則為堆棧整理，很多安全情報數(shù)據(jù)源是離散型的，把多源的數(shù)據(jù)按照攻擊鏈邏輯和時間戳匯集成單個獨立的安全事件，梳理出一條主線；第三級是數(shù)據(jù)富集，不同平臺的安全探測端，如防火墻、殺毒軟件、認證網(wǎng)關(guān)等得到數(shù)據(jù)種類是不一樣的，這些數(shù)據(jù)如果能夠進行交叉相關(guān)分析，可以建立一個非常全面的安全攻擊的場景，為后續(xù)工位的安全分析和響應(yīng)提供指南；第四級為自動化行動預(yù)案，把安全專家常見的響應(yīng)策略自動化，形成腳本化、自動化的方案。一旦獲得確認可靠的安全報警，通過自動化的響應(yīng)預(yù)案觸發(fā)下游的連續(xù)動作，從而降低安全響應(yīng)人員的勞動強度；第五級，即閉環(huán)機器訓練和學習場景，由專業(yè)安全研究人員，運用人工智能或者是深度學習，在典型樣本的分析和安全研發(fā)工作基礎(chǔ)上，創(chuàng)建更多的自動化模型級算法。

利用人工智能的技術(shù)，可以提高響應(yīng)的速度，降低誤報。傳統(tǒng)的安全技術(shù)開發(fā)，需要利用數(shù)據(jù)和已知明確的程序/規(guī)則建立模型，關(guān)注最后得到的輸出。而機器學習是利用數(shù)據(jù)，尤其是標注數(shù)據(jù)，訓練輸出安全模型，模型可以適應(yīng)環(huán)境變化，并可以隨時利用新數(shù)據(jù)的重復進行訓練，提高模型的準確度。

在標準方面，人工智能成功助力網(wǎng)絡(luò)安全有三大原則：第一是可自適應(yīng)，而不是僅僅基于特征檢測，一種特征只能檢測一種惡意代碼行為；第二是可解釋的，無法歸因和解釋的結(jié)果是難以理解的；第三是可行動的，檢測必須為下游的響應(yīng)工作提供指導。

在標識數(shù)據(jù)方面，人工智能里最重要的是數(shù)據(jù)。以微軟為例，其相關(guān)標識數(shù)據(jù)來自于安全專家、客戶反饋的安全警報，自動化的攻擊，漏洞賞金，MSRC，外科手術(shù)式的紅隊攻擊演練以及來自其他產(chǎn)品事業(yè)部等。

在成功框架方面，人工智能與網(wǎng)絡(luò)安全防御應(yīng)用的結(jié)合，既依靠機器算法的自動檢測，也應(yīng)結(jié)合安全專業(yè)知識進行驗證。成功的檢測需要離散的數(shù)據(jù)集和規(guī)則與安全專業(yè)知識的結(jié)合。98%以上的惡意代碼檢測工作可以在前端處理，在終端處集成輕量化的機器學習模型。2%的未知變種需要依靠后臺更重量級的分析模型來處理，反饋和響應(yīng)到前端。通過前端和后端的有效配合，提高響應(yīng)的速度和應(yīng)對新變種的能力。