進入後疫情時代,隨著人們依賴線上應用程式加重,益使網路犯罪更有利可圖。如同美國知名銀行大盜威利‧薩頓(Willie Sutton)解釋他為什麼搶銀行:「因錢就放在那裡!」如果身處現代,他肯定成為鎖定銀行、聯邦機構、航空公司和零售商網站的網路犯罪份子,因為錢就在網路。據 2020 年《Verizon 資料外洩調查報告》,有 86% 資料外洩是出於經濟動機。如今,由於社會有如此多活動都是線上進行,因此網路犯罪已成為最常見的犯罪類型。
網路安全服務供應商 Herjavec Group 估計,到了 2021 年,網路犯罪每年帶給世界的損失將從 2015 年的 3 兆美元上升超過 6 兆美元,但這麼大的數字可能看起來有點抽象。舉個例子,相信立即就能感受到網路犯罪的嚴重性。在實體世界,犯罪份子根本不可能在同一天搶劫某城市的不同對象。但在虛擬世界,這種事情不但可能,甚至可以一口氣洗劫整個國家(甚至跨國)的每戶人家。
AI 自動化攻擊促使「網路犯罪即服務」成為熱門暗黑生意
如今最常見的 Web 攻擊類型莫過於憑據填充(Credential Stuffing)攻擊。亦即網路罪犯會從資料外洩竊取密碼,並使用工具自動登錄到其他網站每個相對應的帳號,以接管這些帳號,並竊取資金或資料。之所以能發生這類所謂「帳號接管」(Account Takeover,ATO)事件,是因為人們經常在不同網站重複使用相同的密碼。總之駭客用自動化憑證填充手法測試竊取到的使用者密碼,可提升並加快解鎖使用者帳號的成功率與速度。可怕的是,網路犯罪分子可從每起資料外洩事件獲得數十億組使用者密碼,這使網路犯罪成為蓬勃發展的專門生意,AI 技術更讓大規模自動化攻擊成為可能。
當前抵禦憑證填充攻擊的最常見防禦措施之一就屬 CAPTCHA 驗證碼機制。CAPTCHA 是在幾十年前發明的,試圖提出一種人類應該覺得容易但對機器人會很困難的挑戰式驗證(如變形字元)防止網路機器人攻擊。不幸的是,AI 化網路犯罪已扭轉這局面。Google 幾年前進行的研究發現,基於機器學習的 OCR 光學字元辨識技術,可輕鬆破解 99.8% 的 CAPTCHA 挑戰式驗證。
AI 技術早創造用來更快破解密碼,機器學習可辨識最佳攻擊目標,並用來優化網路犯罪的供應鏈和基礎設施。我們見識到網路犯罪分子的回應速度快得令人難以置信,他們可在幾分鐘內關閉並重啟挾帶動輒數百萬筆交易量的攻擊。他們透過完全合法的攻擊基礎設施,以及合法商業世界流行的 DevOps 營運開發技術做到這點。這並不足為奇,因運行這種犯罪系統類似運行大型商業網站,且網路犯罪即服務(Cybercrime-as-a-Service)現已成為一種常見的「商業模式」。隨著時間推移,AI 進一步注入這些應用程式,以協助達到更大規模,並變得更難以防禦。
透過廠商服務打造 AI 自動化安全防禦機制
我們該如何防範這種自動化攻擊?唯一可行的答案就是打造自動化防禦機制。但正確因應之道不會是僱用大型 AI 團隊,就像你不會僱用密碼專家團隊。因為這麼做,永遠也達不到可抵禦不斷進化發展的網路犯罪攻擊所需的功效、規模和可靠性。相反的,最好答案是堅持將你使用安全產品與組織資料相整合,以便讓 AI 發揮最大功效。然後可要求供應商對假陽性和假陰性誤報及其他挑戰負責。畢竟 AI 不是萬靈丹,僅將 AI 用於防禦還不夠,必須有效才行。
使供應商對效用負責的最好方法就是根據投資報酬率(ROI)評估。網路安全愈來愈能發揮分析和自動化問題的作用,全在於可更精細衡量各方績效。當防禦性 AI 系統產生假陽性誤報時,客戶投訴就會增加。如果出現假陰性誤報,則 ATO 事件會增加。隨著網路犯罪分子使用自己 AI 政策進行迭代更新時,企業還可追蹤許多其他中介評量指標。
相信你應該會對後 COVID 時代網際網路將爆發一場正義 AI 與邪惡 AI 的大戰而感到驚訝,不論如何,分別有好消息與壞消息。首先壞消息是,很大程度邪惡 AI 早在全球各地掀起戰端。當今的主流零售網站,約高達 90% 登錄來自網路犯罪工具。
但也許當前世界還沒瓦解,也算是個好消息吧。這是因整個產業朝正確方向發展,不但學習更快,並且許多組織已採用有效 AI 防禦措施。但在技術開發、產業教育和實踐方面還有更多工作要做。我們不應該粗心忘記的是,當前像全美實施的「就地避疫」(Sheltering-in-Place)政策,也等於給網路犯罪分子更多的時間在電腦前作怪。
留言列表