Modele sztucznej inteligencji chronią już sieci medyczne przed ransomware. To jest krótka odpowiedź, ale użyteczna część tkwi w tym, jak i w jakim stopniu naprawdę pomagają. Prawdziwa wersja jest prosta: AI potrafi wykrywać dziwne zachowania w sieci, oznaczać próby phishingu i pomagać zespołom reagować szybciej, ale nie zastępuje pracy bezpieczeństwa realizowanej przez ludzi.
Wciąż wracam do tego samego punktu. Ransomware w sektorze ochrony zdrowia to wciąż żywe zagrożenie, a sztuczna inteligencja ma dwie strony medalu. Ostatnie doniesienia dotyczące bezpieczeństwa w ochronie zdrowia wskazują, że atakujący wykorzystują AI do przeprowadzania phishingu, prac wywiadowczych, pisania złośliwego oprogramowania oraz szybszego nadużywania systemów. Tymczasem obrońcy używają AI do wychwytywania wzorców, których człowiek nie jest w stanie zauważyć na bieżąco.
Ma to znaczenie, ponieważ sieci medyczne są hałaśliwe. Przechowują one dane pacjentów, systemy rozliczeniowe, narzędzia do obrazowania oraz starsze urządzenia, które nie zawsze dobrze ze sobą współpracują. Atak ransomware nie potrzebuje magii. Potrzebuje tylko jednej słabej ogniwa, jednego błędnego kliknięcia lub jednej odsłoniętej usługi.
AI przynosi największą korzyść, gdy obserwuje drobne zmiany w wielu systemach. Model może nauczyć się, jak wygląda normalny ruch logowań, jaki dostęp do plików jest typowy i które transferi są podejrzane dla danej sieci szpitalnej. Gdy ransomware zaczyna się poruszać, często zostawia ślad przed pełnym zablokowaniem dostępu. Ten ślad może obejmować nietypowe wykorzystanie uprawnień, masowe zmiany plików, dziwny ruch wychodzący lub nagły wzrost liczby nieudanych prób logowania.
To jest praktyczna wartość. AI nie musi rozumieć ransomware tak, jak robi to człowiek. Musi tylko zauważyć, że wzorzec nie pasuje do wartości odniesienia. W terminologii bezpieczeństwa może to wspierać wykrywanie anomalii, wykrywanie phishingu oraz szybszą triażę. Niektóre raporty wskazują również na wykorzystanie AI w predykcyjnych frameworkach wykrywania ransomware w ochronie zdrowia, przy czym powszechne modele uczenia maszynowego, takie jak lasy losowe, maszyny wektorów nośnych (SVM) i gradient boosting, są używane do klasyfikacji podejrzanych zachowań.
Moim zdaniem najlepszym sposobem interpretacji tych wiadomości nie jest triumfalny marsz. Jest to zmiana prędkości. Atakujący wykorzystują AI, aby poruszać się szybciej, a obrońcy próbują zrobić to samo. Obejmuje to automatyzację przeglądania alertów, priorytetyzację podejrzanych zdarzeń i pomoc analitykom w decydowaniu, co izolować jako pierwsze. W realnym incydencie liczą się minuty. AI jest użyteczna, gdy skraca te minuty.
Mimo wszystko istnieje tu twarda granica. AI jest taka dobra, jakie są dane, które widzi, i zasady wokół niej. Model może przeoczyć nowy styl ataku. Może też zalać zespół fałszywymi alarmami. W ochronie zdrowia nie jest to mały problem. Zespoły bezpieczeństwa i tak mają ciężkie obciążenie, a zbyt dużo hałasu sprawia, że stają się wolniejsze, a nie bezpieczniejsze.
Jest jeszcze inny haczyk. AI może pomóc wykryć ransomware, ale nie naprawi słabych kontroli dostępu, złej polityki łatek czy nieudanych kopii zapasowych. Jeśli sieć szpitalna ma płaskie ścieżki dostępu i stare systemy z niewielką segmentacją, model może zobaczyć atak, ale nadal nie zatrzymać jego rozprzestrzeniania się samodzielnie. Obrona nadal zależy od klasycznych środków kontrolnych. AI znajduje się nad nimi, a nie ponad nimi.
Najbardziej użytecznym obrazem jest ten warstwowy. AI obserwuje strumienie zdarzeń. Narzędzia bezpieczeństwa egzekwują politykę. Ludzie podejmują ostateczną decyzję. Ta mieszanka wydaje się obecnie działać. Teza zawarta w nagłówku jest uczciwa, ale tylko pod warunkiem, że jest czytana jako wsparcie, a nie jako pełna tarcza.
Lubię tego rodzaju zmiany, ponieważ są to prawdziwe inżynierskie działania, a nie teatr. Zwycięstwem nie jest to, że AI staje się magicznym strażnikiem u drzwi. Zwycięstwem jest to, że daje obrońcom szybszy sposób dostrzegania problemów w miejscu, gdzie problemy często kryją się w ruchu wyglądającym na normalny. To jest skromne twierdzenie i jest ono właściwe.
The Model Log najlepiej sprawdza się, gdy temat pozostaje tak konkretny: jeden praktyczny koncept AI, jeden działający przykład i jedna szczera ocena tego, co naprawdę działa. Ten temat dobrze wpisuje się w tę regułę, ponieważ wartość tkwi w połączeniach, ograniczeniach i szybkości reakcji.
