Phân loại bệnh nhân bằng AI là gì?

AI Triage là gì? Đó là việc áp dụng phân tích dựa trên trí tuệ nhân tạo (AI) vào các phát hiện bảo mật, để thay vì chỉ một danh sách cảnh báo đơn thuần, nhóm sẽ nhận được phán quyết về việc mỗi phát hiện là lỗi thực sự (vấn đề có thật) hay lỗi giả (không thực sự bị khai thác, hoặc dựa trên dữ liệu không chính xác). Nó không phải là một công cụ quét khác. Nó là lớp nằm trên đầu ra của công cụ quét và quyết định những phát hiện nào thực sự cần sự chú ý của nhà phát triển.

Hiểu rõ AI Triage là gì (và ý nghĩa của AI Triage trong thực tế) rất quan trọng vì phương pháp truyền thống, đó là con người tự tay đọc từng kết quả từ mỗi máy quét, không thể mở rộng quy mô. Các nhóm bảo mật đang sử dụng SAST, SCAphát hiện bí mật, IaCCả AI Triage và DAST cùng lúc tạo ra số lượng kết quả nhiều hơn bất kỳ nhóm nào có thể xem xét từng kết quả một, và một phần lớn trong số đó là kết quả dương tính giả, không cần phải xử lý. Thuật ngữ này giải thích AI Triage là gì, cách thức hoạt động của nó đối với các loại kết quả khác nhau và tại sao nó lại quan trọng trong việc giảm thiểu rủi ro. Mệt mỏi do cảnh báo.

Ý nghĩa của thuật ngữ AI Triage: Định nghĩa ngắn gọn #

Định nghĩa chính thức của AI Triage: một đánh giá dựa trên trí tuệ nhân tạo được áp dụng cho một phát hiện bảo mật để đưa ra phán quyết về việc vấn đề đó có phải là mối đe dọa thực sự hay không. kết quả dương tính thật hay dương tính giả.

Thuật ngữ này mở rộng ý tưởng cũ về “phân loại ưu tiên” từ bối cảnh y tế và ứng phó sự cố (quyết định vấn đề nào cần được ưu tiên khi khối lượng công việc nhiều hơn thời gian) sang vấn đề cụ thể về tình trạng quá tải cảnh báo an ninh. Trong khi một máy quét truyền thống chỉ báo cáo “Mô hình này trùng khớp với một mô hình rủi ro đã biết." AI Triage lập luận dựa trên ngữ cảnh xung quanh, mã nguồn, cấu hình, bằng chứng yêu cầu/phản hồi, và đưa ra kết luận mà người đánh giá thủ công sẽ phải thực hiện.

Về mặt thực tiễn, AI Triage có nghĩa là: một phát hiện không còn là một cảnh báo chung chung, không được phân loại nữa, mà trở thành một mục được xác nhận hoặc bị loại bỏ, trước khi nó đến được hàng đợi của nhà phát triển.

Sản phẩm thực tế mà nó tạo ra #

Mỗi kết quả phân loại đều được đưa ra phán quyết.: liệu AI có tự tin rằng vấn đề đó là một lỗ hổng bảo mật thực sự (kết quả đúng), tự tin rằng đó không phải là lỗ hổng (kết quả sai, ví dụ như do dữ liệu đã được làm sạch hoặc đường dẫn mã không thể truy cập được), hay không thể đưa ra kết luận chắc chắn (cần xem xét). Kết luận “cần xem xét” là một kết quả có chủ đích, không phải là một thất bại: AI Triage được xây dựng để nói “Tôi không chắc chắn” thay vì đoán mò khi bằng chứng không rõ ràng.

Vì sao thuật toán phân loại bằng AI không giống nhau đối với mọi loại kết quả khám bệnh? #

Một trong những điều quan trọng cần hiểu về AI Triage là nó không áp dụng đồng nhất cho mọi loại phát hiện bảo mật, bởi vì các trường hợp báo động sai sẽ trông khác nhau tùy thuộc vào loại vấn đề đang được phân loại.

• Đối với các phát hiện về mã và cấu hình (SAST, IaC(bí mật). AI Triage dựa trực tiếp vào ngữ cảnh mã xung quanh để quyết định xem một mẫu được gắn cờ có thực sự bị khai thác hay không, và giải thích lý do đó bằng văn bản rõ ràng bên cạnh phán quyết.

• Đối với các phát hiện về sự phụ thuộc vào mã nguồn mở (SCA). Câu hỏi về phán quyết ở đây hoạt động khác biệt: một lỗ hổng bảo mật (CVE) đã biết trong một thư viện phụ thuộc hoặc là áp dụng hoặc là không, vì vậy việc phát hiện sai được xử lý thông qua phân tích khả năng tiếp cận chứ không phải thông qua phán quyết phân loại AI truyền thống.

• Đối với các kết quả kiểm tra động (DAST). AI Triage dựa trên bằng chứng trong quá trình thực thi, tức là yêu cầu và phản hồi thực tế, chứ không phải từ mã nguồn, nhằm mục đích phát hiện các mẫu dương tính giả đặc thù của quá trình quét động: tường lửa ứng dụng web âm thầm chặn một cuộc tấn công và trình quét nhầm trang bị chặn đó với một lỗ hổng thực sự, hoặc một payload phản ánh trong phản hồi thực chất đã bị vô hiệu hóa chứ không phải là có thể khai thác được.

• Thông tin về kết quả quét phần mềm độc hại. Cơ chế này hoạt động khác biệt hơn: thay vì đưa ra phán quyết về một phát hiện riêng lẻ, AI Triage đánh giá độ tin cậy của bằng chứng mà trình quét phần mềm độc hại tạo ra và đưa kết quả đó vào điểm rủi ro tổng thể ở cấp độ dự án. Do đó, một số tín hiệu có độ tin cậy cao sẽ được chấm điểm khác với cùng số lượng tín hiệu yếu và không rõ ràng.

Vị trí của nó trong quy trình ưu tiên #

AI Triage không được thiết kế để người dùng tự ý đọc từng kết quả một; nó được thiết kế để tích hợp vào cùng những vị trí mà nhóm đã sử dụng để xem xét các báo cáo bảo mật.

• Riêng lẻ, đối với một phát hiện cụ thể. Một nhà phát triển hoặc kỹ sư bảo mật có thể mở một vấn đề duy nhất và xem phán quyết cũng như lý do đằng sau đó, điều này rất hữu ích khi quyết định xem có nên tin tưởng một cuộc gọi tự động cụ thể hay không.

• Tổng hợp nhiều kết quả cùng một lúc. Thay vì xử lý từng vấn đề một, toàn bộ các vấn đề cần phân loại có thể được đưa vào quy trình phân loại cùng lúc, đây là cách thực tế mà hầu hết các nhóm sử dụng để giải quyết tồn đọng công việc thay vì xem xét từng mục một.

• Là một phần của hệ thống tự động pipeline. Quá trình phân loại có thể chạy tự động ngay khi quá trình quét hoàn tất, nhờ đó, khi bất kỳ ai xem kết quả, những thông tin nhiễu đã được tách ra khỏi những thông tin đáng chú ý, thay vì phân loại là một bước thủ công riêng biệt mà người dùng phải nhớ thực hiện.

• Là một giai đoạn bên trong quy trình ưu tiên hóa rộng hơn. Thay vì hoạt động độc lập, phán quyết của AI Triage có thể đóng vai trò như một giai đoạn lọc trong quy trình ưu tiên lớn hơn, giúp loại bỏ sớm các kết quả dương tính giả đã được xác nhận, chỉ giữ lại những phát hiện thực sự để xếp hạng tiếp theo.

Tại sao phân loại bệnh nhân bằng AI lại quan trọng #

Vấn đề cốt lõi mà AI Triage giải quyết không phải là thiếu khả năng phát hiện; mà là sự dư thừa các cảnh báo không được phân loại. Các chương trình bảo mật ứng dụng hiện đại chạy nhiều trình quét song song, mỗi trình quét tạo ra các phát hiện dựa trên logic riêng, mức độ tin cậy riêng và không có sự thống nhất về đâu là thật. Nếu không có lớp phân loại, mọi phát hiện đó đều đến tay người dùng với trọng lượng như nhau, cho dù đó là một lỗ hổng nghiêm trọng đang bị khai thác tích cực hay chỉ là cảnh báo sai từ việc trùng khớp mẫu trong mã mà không ai sử dụng.

Khối lượng thông tin không được phân loại đó chính là nguyên nhân gây ra hiện tượng mệt mỏi do quá tải thông tin, một xu hướng đã được chứng minh rõ ràng là mọi người ngừng đọc kỹ khi khối lượng thông tin vượt quá một ngưỡng nhất định. Mệt mỏi do quá tải thông tin không chỉ là vấn đề về hiệu quả mà còn là vấn đề về bảo mật, bởi vì phát hiện thực sự quan trọng có khả năng bị bỏ sót cao hơn trong một đống hàng nghìn thông tin không quan trọng khác.

AI Triage trực tiếp giải quyết khoảng trống đó bằng cách thực hiện bước suy luận ban đầu mà một người đánh giá thủ công lẽ ra phải làm cho mỗi phát hiện, và bằng cách thể hiện rõ ràng sự không chắc chắn của chính nó thay vì ép buộc một quyết định nhị phân khi bằng chứng không ủng hộ một kết luận nào đó.

Bảo vệ của bạn Pipeline Với tính năng phân loại bệnh nhân bằng AI của Xygeni. #

Chức năng phân loại AI của Xygeni được tích hợp trực tiếp vào quy trình ưu tiên của nền tảng chứ không phải là một báo cáo bổ sung. Ngoài phán quyết đúng/sai cốt lõi, Xygeni Mở rộng AI Triage với hai đầu ra bổ sung: mức độ khẩn cấp khắc phục (mức độ cần giải quyết vấn đề đã được xác nhận, từ cấp bách đến tồn đọng) và độ phức tạp của việc khắc phục (ước tính mức độ nỗ lực cần thiết để khắc phục sự cố, từ một thay đổi nhỏ chỉ một dòng mã đến một công việc chỉnh sửa lớn, mang tính liên quan đến nhiều bộ phận). Cùng nhau, những yếu tố này không chỉ cung cấp cho các nhóm một danh sách rõ ràng hơn về các phát hiện thực tế, mà còn cả một thứ tự ưu tiên có sẵn.

Bản đánh giá đầy đủ, phán quyết, mức độ khẩn cấp và tính phức tạp này được đưa ra nhằm mục đích: SAST, IaC, bí mật, SCAvà các phát hiện DAST, với logic phân loại cụ thể được điều chỉnh cho từng loại phát hiện: phát hiện dương tính giả dựa trên khả năng tiếp cận cho SCA, phân tích bằng chứng yêu cầu/phản hồi cho DAST và suy luận ngữ cảnh mã cho SAST, IaCvà những bí mật.

Mỗi phát hiện được phân loại đều được gắn thẻ với kết luận, mức độ khẩn cấp và độ phức tạp, cho phép các nhóm lọc và xây dựng chế độ xem xoay quanh chính xác những phát hiện quan trọng, và lý luận của AI được hiển thị bên cạnh mỗi kết luận thay vì bị ẩn sau điểm số "hộp đen". Quá trình phân loại có thể được thực hiện cho từng phát hiện, hàng loạt trên toàn bộ danh sách công việc tồn đọng, theo yêu cầu từ giao diện dòng lệnh (CLI) hoặc tự động ngay khi quá trình quét hoàn tất, và đầu ra của nó được chuyển trực tiếp vào Xygeni. SAST và các bộ lọc ưu tiên DAST, do đó các kết quả dương tính giả đã được xác nhận sẽ được lọc bỏ trước khi nhà phát triển nhìn thấy chúng.

Riêng đối với việc quét phần mềm độc hại, AI Triage hoạt động khác biệt: nó đánh giá độ tin cậy của bằng chứng mà quá trình quét tạo ra và kết hợp điều đó vào điểm số độc hại tổng thể của dự án, do đó một số tín hiệu mạnh được cân nhắc phù hợp so với số lượng lớn hơn các tín hiệu yếu.

FAQ #