亚马逊云科技-安全团队如何利用GenAI增强安全防护

安全团队如何利用生成式人工智能增强安全防护

关键字: [亚马逊云科技中国峰会2024, Virtual Security Assistant, 安全运维效率提升, 生成式人工智能应用, 虚拟安全助手演示, 安全架构方案介绍, 安全知识库集成]

导读

在亚马逊云科技中国峰会2024上,朱志强和沈文慧分享了如何利用生成式人工智能增强安全防护。他们讨论了如何通过生成式AI虚拟安全助手提高安全运维效率,包括:1)利用大模型分析日志、代码等,快速发现并缓解安全风险;2)生成可读的安全报告;3)自动化安全任务操作。他们还介绍了亚马逊云科技的安全湖、RAG知识库等服务,以及如何结合这些服务构建安全智能体系统的架构和实践方案。该演讲重点阐述了生成式AI如何帮助安全运维人员提高工作效率,并强调了人工干预和专家知识的重要性。

演讲精华

以下是小编为您整理的本次演讲的精华，共1500字，阅读时间大约是8分钟。

在这场关于如何利用生成式人工智能来增强安全防护的演讲中,演讲者首先分享了他个人最早接触AI的经历。他提到,有一家公司通过AI来建立模型,对病毒样本进行识别和查杀。将病毒样本输入AI模型后,模型会通过各种算法给出该病毒的威胁分数,如果分数达到80分以上,基本上就是一个恶意文件。

随后,演讲者回顾了AI在网络安全领域的应用历程。最初,AI被用于分析海量日志,在SIEM或SOC中从中发现潜在威胁。而近两年,随着生成AI的兴起,通过自然语言交互,可为安全运维人员提供更多便利。

接下来,演讲者阐述了生成AI给安全领域带来的机遇和挑战。机遇方面,生成AI可以自动化地进行安全任务、运行安全任务或减少脑力劳动。例如,我们可以问”今天哪个VPC里的告警最多”、“GuardDuty有没有发现最新的恶意软件”等,AI助手可以快速给出答复。此外,发现安全事件后,我们可以询问”下一步该怎么做?如何缓解?“AI助手会根据大量日志分析给出相应的缓解建议,加快决策与操作。有了AI助手帮助,安全运维人员将有更多时间专注于创新性的问题。

然而,生成AI也带来了一些挑战和风险。首先是AI可能带来新的安全漏洞,或被黑客滥用生成攻击工具。事实上,日本已抓获一名利用生成AI制造勒索病毒的黑客。其次是”幻觉”问题,即AI给出的结论可能是错误的。我们需要克服这种幻觉,避免被AI蒙蔽。第三是数据隐私问题,特别是在检索增强生成(RAG)中,可能会涉及个人信息。最后是质量控制,至少在目前阶段,仍需要人工干预和调优,以确保AI应用程序的质量。

为解决上述挑战,演讲者提出了一种”虚拟安全助手”的概念。通过与大型语言模型的自然语言交互,该助手可为安全运维人员提供便利。但同时也强调,目前AI助手仍无法完全取代人工专家,需要人工干预和调优。他举了一个客户案例,某大客户的IAM策略写了上百条,已超过亚马逊云科技服务限额,无法继续添加。一般情况下,亚马逊的IAM专家需要6周时间来分析客户环境、角色、策略、工作流程等,并给出优化建议。但如果使用AI助手,它可以快速给出1、2、3、4、5几个优化步骤的建议。不过,演讲者也提醒,AI助手只能作为非权威指南,不能完全按照它的建议操作,需要人工专家参与,并通过越多互动让AI越来越智能,给出更好的建议。此外,还需确保AI助手获取的知识库内容与业务相关,并设计自动化和手动测试来验证优化策略。

接下来,演讲者的同事沈文慧介绍了亚马逊云科技在这一领域的具体技术方案和架构。该架构利用了向量搜索、大模型推理、Lambda函数编排等亚马逊云科技技术,可以对安全日志、代码等进行分析并生成可读报告。同时也融合了亚马逊的安全服务如WAF、GuardDuty等。

首先,沈文慧询问在场是否有同事遭受过安全攻击,并分享了一个客户遭受SQL注入攻击的案例。该客户的Redis开放到公网上且未设置密码,导致被植入挖矿程序,最终通过观测CPU利用率异常发现异常。这种情况通常是由于前端代码存在安全漏洞,如在渲染HTML时将用户输入的脚本当成可执行代码执行,导致越权攻击风险。

为解决这一问题,代码审计工具可以告知开发者代码中存在SQL注入、XSS等漏洞,但无法指导如何修复。这时就需要”代码伴侣”这一生成AI应用,帮助开发者修复代码漏洞。沈文慧还展示了WAF和GuardDuty的安全日志,并挑战现场观众在1分钟内找出日志中的安全事件,以说明安全日志对人类来说是难以直接阅读的。

接着,沈文慧通过现场演示展示了该虚拟助手的全流程应用。他首先请助手分析某小时段内WAF的日志,看是否存在安全问题。助手通过Lambda函数调用相关日志,发现两个路径受到XSS攻击,并建议在代码中增加渲染方法和编码,避免浏览器直接执行可执行代码。

其次,沈文慧让助手分析4月20日的GuardDuty日志,助手发现两台EC2实例的22端口一直被暴力破解尝试,并通过调用Lambda函数,使用安全组规则封锁这两台实例的SSH端口,以缓解风险。

最后,沈文慧要求助手将WAF和GuardDuty日志分析、发现的风险及处置过程生成报告并发送给上级。助手生成了一份人类可阅读的报告文本。

沈文慧解释说,上述功能的实现是通过亚马逊云科技ByteWork服务中的大模型API服务、知识库和智能体Agent实现的。开发者可以在ByteWork中选择基础模型、编辑Agent行为、调用Lambda函数等,并通过提示词与模型进行自然语言交互。

随后,沈文慧介绍了该架构的进一步演进,即增加了向量搜索引擎Amazon Kendra。通过Kendra,可以将企业内部的安全规则、处理流程等知识库存入其中,使AI助手能基于这些知识做出更准确的分析和建议。同时,通过Amazon Step Functions等工具,可以将人工审批流程编排到AI助手的工作流中,避免自动化过程中的潜在风险。

此外,该解决方案还融合了多个亚马逊云科技安全服务:WAF用于边缘侧应用防护、GuardDuty用于主机和网络防护、CodeGuru用于代码审查发现安全风险、Amazon Security Hub集成各安全工具见解、Amazon Security Lake用于存储安全日志等。通过这些服务,可以覆盖从CI/CD到运行时的全生命周期安全防护。

最后,沈文慧总结了生成AI在安全领域的应用的几点核心要点:1)生成AI目前仍无法完全取代人工专家,但可以成为专家的工具,提升运维效率。2)在亚马逊云科技平台上,可以使用熟悉的架构和安全服务,无需广泛的培训即可构建AI助手。3)通过画面化工具,可以像搭积木一样便捷地集成安全服务、编排工作流。

总的来说,这场演讲全面阐述了生成AI在网络安全领域的应用前景,并结合亚马逊云科技的产品服务,提出了一种创新的安全运维解决方案。通过自然语言交互、知识库融合、服务编排等技术,该解决方案可自动化安全任务、发现风险、提出缓解措施并生成可读报告,大幅提升安全运维效率,同时保留人工专家的干预和调优,兼顾自动化和人工智能。该解决方案覆盖从代码审查、CI/CD、运行时监控到安全分析的全生命周期,融合了亚马逊云科技的多款安全产品服务,为客户提供一站式的安全运维解决之道。

下面是一些演讲现场的精彩瞬间：

亚马逊云科技中国峰会2024:探讨了两种方式为人工智能模型提供上下文知识,一种是通过RAG技术将知识向量化并存储在数据库中,另一种是通过实时提供日志和指标数据作为上下文。