大數(shù)據(jù)+人工智能下，對網(wǎng)絡(luò)安全應(yīng)用的回顧及對未來的展望

回顧剛剛過去的2017，我們可能會有一種感覺：周圍談?wù)摯髷?shù)據(jù)的聲音越來越小。一個佐證是在2017年底舉辦的"北向論壇"上，現(xiàn)場參會人員投票預(yù)測了2018年的熱詞，在21個候選詞中，去年還入選的"大數(shù)據(jù)"本次沒能進(jìn)入前十，得票只有寥寥數(shù)票。

表1 2016和2017"北向論壇"預(yù)測的年度熱詞對比

事實(shí)上，這并非"大數(shù)據(jù)"首次在熱詞排行榜中淡出大眾的視野。早在2015年Gartner發(fā)布的新興技術(shù)成熟度曲線中，"大數(shù)據(jù)"就沒有出現(xiàn)在曲線中。而在之前的一年，Gartner對"大數(shù)據(jù)"的定位還是處于從炒作的頂峰開始下降的區(qū)域，二者的對比見圖1和圖2。對此Gartner給出的解釋是，"大數(shù)據(jù)"的概念已經(jīng)快速被各個行業(yè)接受，成為一項(xiàng)具體的底層技術(shù)，因此不再出現(xiàn)在每年的新型技術(shù)成熟度曲線中。

圖1 2014年Gartner新興技術(shù)成熟度曲線

圖2 2015年Gartner新興技術(shù)成熟度曲線

回顧2017，業(yè)界談?wù)摯髷?shù)據(jù)的聲音雖然在降低，但通過采集、分析和運(yùn)用數(shù)據(jù)提升能力的行動卻越來越普遍，大數(shù)據(jù)已經(jīng)真正成為眾多行業(yè)的底層關(guān)鍵技術(shù)。在國家層面，新一屆政治局在2017年底就實(shí)施國家大數(shù)據(jù)戰(zhàn)略進(jìn)行第二次集體學(xué)習(xí)，習(xí)近平總書記強(qiáng)調(diào)了通過大數(shù)據(jù)進(jìn)行產(chǎn)業(yè)創(chuàng)新、打造數(shù)字經(jīng)濟(jì)、提升國家治理水平、改善民生，以及保障國家數(shù)據(jù)安全。在企業(yè)層面，大數(shù)據(jù)應(yīng)用已在電子商務(wù)、金融、交通、醫(yī)療等領(lǐng)域普遍開展，甚至因數(shù)據(jù)所有權(quán)引發(fā)了順豐快遞和菜鳥網(wǎng)絡(luò)的"豐鳥之爭"，引起了大眾的高度關(guān)注。

回到網(wǎng)絡(luò)安全行業(yè)，大數(shù)據(jù)已成為了安全領(lǐng)域新興技術(shù)的基礎(chǔ)?；仡櫧鼛啄昃W(wǎng)絡(luò)安全行業(yè)流行的新概念，從威脅情報(bào)、UEBA(用戶實(shí)體行為分析)，再到態(tài)勢感知、人工智能，底層的基礎(chǔ)都是大數(shù)據(jù)?？梢哉f，大數(shù)據(jù)隱藏在各個具體技術(shù)的背后，為用戶提供更直接的安全價(jià)值。在企業(yè)級用戶安全建設(shè)中，以數(shù)據(jù)驅(qū)動安全，實(shí)現(xiàn)持續(xù)檢測響應(yīng)的理念，已經(jīng)被越來越多的用戶所接受。

因此，對2017年的"大數(shù)據(jù)"進(jìn)行總結(jié)，我覺得大數(shù)據(jù)概念已經(jīng)不"新"，已經(jīng)越過了概念炒作階段，并作為一項(xiàng)底層支撐技術(shù)，迅速融入到各類更"新"的概念中。大數(shù)據(jù)已經(jīng)開始在各個領(lǐng)域發(fā)揮實(shí)際的價(jià)值。

與此相對應(yīng)的是，人工智能像三、四年前的大數(shù)據(jù)一樣，正處于炒作的最頂峰。Gartner于2017年7月發(fā)布了本年度新興技術(shù)成熟度曲線，人工智能的兩個分支——深度學(xué)習(xí)和機(jī)器學(xué)習(xí)，均處于曲線的最頂端。

國內(nèi)對人工智能的發(fā)展也非常重視。2017年7月國務(wù)院印發(fā)了《新一代人工智能發(fā)展規(guī)劃》，提出要推動人工智能與各行業(yè)融合創(chuàng)新，推動人工智能規(guī)?；瘧?yīng)用，全面提升產(chǎn)業(yè)發(fā)展智能化水平。為了落實(shí)該規(guī)劃，工信部于2017年12月制定了《促進(jìn)新一代人工智能產(chǎn)業(yè)發(fā)展三年行動計(jì)劃(2018-2020)》，提出要抓住歷史機(jī)遇，突破重點(diǎn)領(lǐng)域，促進(jìn)人工智能產(chǎn)業(yè)發(fā)展，提升制造業(yè)智能化水平，推動人工智能和實(shí)體經(jīng)濟(jì)深度融合。

圖3 國務(wù)院和工信部關(guān)于人工智能的發(fā)展規(guī)劃

在上述兩個重磅文件中，無論是人工智能技術(shù)自身的安全，還是在網(wǎng)絡(luò)安全領(lǐng)域利用人工智能的前沿技術(shù)，都用大量的篇幅進(jìn)行了闡述。為此在網(wǎng)絡(luò)安全圈掀起了一股人工智能的浪潮，利用人工智能檢測未知惡意代碼、實(shí)現(xiàn)智能化的安全運(yùn)維(AIOps)，甚至進(jìn)行無人參與的自動化攻防。網(wǎng)絡(luò)安全界的小伙伴們紛紛擼起袖子，都想用人工智能搞定目前還沒有解決的安全問題。

雖然人工智能很火，但我們也看到在網(wǎng)絡(luò)安全領(lǐng)域，尚未出現(xiàn)新的基于AI技術(shù)的有效解決方案。在網(wǎng)絡(luò)安全領(lǐng)域其實(shí)很早就用到了人工智能技術(shù)，比如SOC類產(chǎn)品中的關(guān)聯(lián)分析引擎，就是一個基于規(guī)則推理的專家系統(tǒng)，但新的人工智能技術(shù)還沒有廣泛應(yīng)用的案例。對于最近幾年大熱的深度學(xué)習(xí)，我們也看到業(yè)界進(jìn)行了積極的嘗試，例如進(jìn)行惡意文件檢測、應(yīng)用識別、異常行為分析等，但真實(shí)效果距離產(chǎn)業(yè)界的要求尚有一定差距。此外，深度學(xué)習(xí)固有的對結(jié)果的可解釋性不強(qiáng)、魯棒性不足等缺點(diǎn)，目前也尚未看到有希望的解決方案。

因此，對2017年的"人工智能"進(jìn)行總結(jié)，我覺得當(dāng)前正處于炒作的巔峰，國家在產(chǎn)業(yè)政策上支持的力度也很大。當(dāng)前頗有人工智能在網(wǎng)絡(luò)安全的各個分支中遍地開花的局面，這也是新技術(shù)發(fā)展過程中必不可少的階段。相信隨著時間的推移，那些真正有價(jià)值的應(yīng)用場景會逐漸沉淀出來，人工智能的應(yīng)用才會從炒作走向成熟。

作為網(wǎng)絡(luò)安全領(lǐng)域的領(lǐng)航企業(yè)，我們在過去的一年也對大數(shù)據(jù)安全、人工智能，特別是深度學(xué)習(xí)技術(shù)的應(yīng)用進(jìn)行了嘗試。在大數(shù)據(jù)安全領(lǐng)域，主要的應(yīng)用場景包括大數(shù)據(jù)平臺4A技術(shù)、大數(shù)據(jù)訪問控制策略自動化生成技術(shù)等;在人工智能領(lǐng)域，主要的應(yīng)用場景包括利用深度學(xué)習(xí)算法進(jìn)行惡意代碼檢測(檢測對象包括PE文件、文檔類文件、web訪問流量等)、利用深度學(xué)習(xí)算法進(jìn)行應(yīng)用識別、基于本體的安全事件自動化處置及響應(yīng)技術(shù)等。這里面既有成功的案例，也有失敗的教訓(xùn)。

在對人工智能新技術(shù)的應(yīng)用探索中，我們由衷地感受到在網(wǎng)絡(luò)安全領(lǐng)域應(yīng)用人工智能技術(shù)，需要在人工智能算法和安全業(yè)務(wù)知識兩方面都有深厚的沉淀。在算法層面，不能簡單地利用各類封裝好的軟件包、把算法當(dāng)成即插即用的黑盒子，那樣會導(dǎo)致無法理解算法的"上限"而陷入盲目嘗試的局面。在安全業(yè)務(wù)層面，對安全業(yè)務(wù)的理解有助于將實(shí)際安全問題轉(zhuǎn)換為抽象的數(shù)學(xué)問題，并根據(jù)問題的類型指導(dǎo)算法的篩選。

展望2018，我們將結(jié)合特定的業(yè)務(wù)場景，實(shí)現(xiàn)大數(shù)據(jù)分析和人工智能算法在某些特定應(yīng)用中的落地。在算法層面，人工智能的兩大流派，即聯(lián)結(jié)主義和符號主義的算法，都將是我們解決特定問題的有效工具。我們也期待人工智能能夠盡快告別炒作，網(wǎng)絡(luò)安全行業(yè)能夠從更理性的角度審視人工智能的應(yīng)用前景，這樣才能促進(jìn)人工智能在網(wǎng)絡(luò)安全行業(yè)的良性發(fā)展。