人机合智：安全运营中的人工智能

大多数商业人工智能的成功都与有监督机器学习ML有关。例如智能家居助手对口语的理解，自动驾驶汽车的物体识别，都利用了训练复杂的深度学习模型所需的大量标记数据和计算。但在网络安全领域，AI虽然可以用来提高安全运营团队的效率和规模，但前提是需要人的高度参与，否则它无法解决大部分的网络安全问题，至少在目前还是如此。

此外，企业环境中人类行为产生的数字噪音，令系统中的异常现象成为常见现象，无法判断其是否代表攻击行为。因此，基于人工智能的异常行为检测，其效果并不理想。比如，一家日产10亿数量级遥感数据的大型企业，使用机器学习来检测威胁。即使其准确率为99.9%，那也就意味着要在100万个误报中找到真正的攻击事件，要想克服这种检测数据上的不均衡性，需要大量的专业知识和多管齐下的检测策略。

但显然如果没有AI，事情只能变得更加糟糕。还是有一些方法来利用机器学习的力量来提高运营效率，以下是建议安全运营团队需要考虑的三项原则：

1. 人机合智

人工智能是对人类智能的补充，而不是替代。在复杂系统的环境中，尤其是在与快速适应的、智能化的对手对抗时，以主动学习为核心的自动化技术将带来极高的价值。人类的主要工作是经常性的检查机器学习系统，加入新的样例，不断的调整迭代。

2. 选择合适的工具

没必要成为AI专家，也能做出好的决策，但前提是确保选择了正确的工具。

首先，了解异常行为和恶意行为之间的区别很重要，因为它们常常是两回事，依据的检测技术也大不相同。前者很容易通过无监督异常检测发现，无需打标签的训练数据。但后者则需要监督学习，通常需要许多历史样例。
其次，具有高信噪比的警报对于安全运营团队来说至关重要，需要充分了解检测结果可能带来的影响，因为这些系统不会百分之百准确。
最后，虽然几乎各种机器学习技术都已在网络安全领域得到使用，积累大量的威胁情报签名仍然非常重要，因为一旦撞上这些签名，几乎可以确定攻击，省去了大量的关联分析工作。无论什么时候，签名都是检测已知威胁的关键基线。