網路安全的未來：非監督式機器學習如何有效看守企業數位資產？

網路安全科技對現代人日常生活變得愈來愈重要，因此我們有必要了解網路安全使用的AI有哪些不同型態。

從相片辨識到自駕車，過去10年監督式及強化式學習技術將機器學習推進我們生活裏各個層面。但監督式學習在網路安全領域，像是發現威脅的能力卻很有限，因為它只會去找以前看過或標籤過的特定目標，但非監督式學習則會持續在網路上尋找異常行為。

機器學習有分幾種形式：監督式、強化式、非監督式及半監督式（又被稱為主動式學習）。

標籤 vs 學習

監督式學習靠的是加標籤以「認識」資訊的過程。機器藉由為大量資料加標籤來學習，並且只有在某人（通常是安全專家）加上標籤後才會認識某個東西，因為它沒辦法自己來。

這種方式只有在你很清楚知道自己要找什麼時有用，而在網路安全通常不是如此。往往駭客會利用安全軟體沒見過的攻擊手法，這樣監督式學習系統就完全沒用了。

非監督式學習的好處

這時就需要非監督式學習了。非監督式學習不需要標籤就可以從資料集形成推論。如果你想找出某個模式但不確定要找什麼，用這個方法最好。

這點讓它在網路安全上很大功用，因為攻擊者總是不斷變換攻擊方法。非監督式學習法並非找特定標籤，而是將任何常態之外的異常模式都標示為危險行為，因此更適合用在攻擊者手法千變萬化的情境。

非監督式學習會先為你的網路建立基準線，顯示正常情況下所有事物該是什麼樣子。這樣一來，如果有任何過大的檔案傳輸，或在異常時間傳送而偏離正常行為模式，就會被非監督式系統標為疑似危險。

如果攻擊者的行為監督學習程式以前沒有標為危險過，它就會抓不到。但非監督式學習安全程式只需要知道這個程式是異常的，就可以把它標示為可能的風險。

非監督式學習的生成和判別模型

非監督式學習有兩種類型：判別（Discriminative）與生成（Generative）模型。判別模型中，如果你給它X，它只能告訴你結果為Y。生成模型則能告訴你X和Y同時存在的機率為何。

簡單的說，兩者的差別是：判別模型為輸入值分派標籤，沒有預測能力。如果你給的X是它之前沒看過的，那它也無法告訴你Y是什麼，因為它沒見過。但在生成模型下，一旦你設定好、找到基準線，你就可以輸入任何值、叫它給答案。也就是說它具有預測能力，能告訴你之前它從未見過的可能網路行為。

因此若有人中午時間送出了30 MB的檔案，那他做壞事的機率有多少？如果你問判別模型這件事是否正常，它會檢查這個人是否以前曾在中午傳送這個檔案，特別是在中午。但生成模型被問同樣問題時會考慮此情境的前、後時間，像是這個人是否曾在早上11:59及中午12:30傳送過這個檔案，然後依據背景條件給出更精準的預測。

生成非監督式學習

我們MixMode現在使用的人工智慧屬於生成式非監督式學習模型，基本上就有這等預測能力。它蒐集資料形成網路的基準線，就能預測長時間會發生的事，因為它知道一個星期的某一天的網路該是什麼樣子。

ㄇㄩ

如果發生了任何偏離基準線的事，這個平台會對任何偵測到、但安全團隊疏忽的網路效能異常之處發出警示。

這種AI模型經過蒐集資料後會形成一個認知，知道星期一早上9:00公司網路會發生什麼事：員工會進到公司，導致網路流量增加，到了中午員工用餐時間，網路流量就會下降一點，之後他們會回來工作直到6:00然後回家，到了晚上流量就應該會掉下來。

因為生成式非監督學習模型具有預測能力，所以可以預防零時差攻擊，這使它成為現今最好的安全技術，對任何資料外洩反應速度也會最快。

主動式學習是未來主流

半監督式或主動式學習乃截取非監督及監督式學習的優點而成，以便預測網路應有的行為。

主動式學習承襲非監督式學習的特色，檢視網路上所有偏離正軌的行為模式，當發現到時就加上威脅標籤，這點又是監督學習的手法。

主動式學習平台非常好用，因為它不但持續掃瞄網路上任何偏差活動，也持續為發現到的異常情況加標籤，同時加入後設資料（metadata），這點讓它成為很強大的偵測和回應系統。

來源: Technative