)
In de wereld van kunstmatige intelligentie maken niet alleen wij maar ook cybercriminelen steeds vaker gebruik van AI en Machine Learning. Dit zorgt voor een kat-en-muisspel; cybercriminelen zetten het in om kwetsbaarheden sneller te identificeren en aanvallen te automatiseren, beveiligingsteams voor het detecteren van ongebruikelijke activiteiten en het verbeteren van responsstrategieën. Hoe blijven onze securityspecialisten bij in deze bizar snel veranderende wereld? Inge, onze contentspecialist, gaat vanuit haar rol maandelijks op zoek naar antwoorden op vragen die er bij onze klanten spelen. Ze vraagt Pim, onze Solution Advisor Security, het spreekwoordelijke hemd van het lijf over hoe zijn collega’s inspelen op AI en wat Machine Learning precies is.
Inge: Hi Pim! Leuk je weer te spreken 😊. Ik ben benieuwd hoe het met je gaat en natuurlijk ben ik erg nieuwsgierig hoe het er in het land van cybersecurity aan toe gaat.
Pim: Met mij gaat het prima. Ik ben momenteel druk bezig met het optimaliseren van onze Managed Detection & Response dienstverlening, en ook dataclassificatie en labeling door middel van Microsoft Purview is een onderwerp waar de nodige tijd in gaat zitten. Dat is een onderdeel wat een organisatie goed ingericht moet hebben wanneer je met AI, bijvoorbeeld Microsoft Copilot, aan de slag wilt. Dit zodat bijvoorbeeld vertrouwelijke data niet zomaar kan worden opgevraagd.
Inge: Een boel ontwikkeling dus bij Unica Cybersecurity, zeer interessant! Laatst kwam ik een topic tegen over (natuurlijk) AI maar ook Machine Learning, waarvan ik hoopte dat jij me er wat meer over zou kunnen vertellen. AI kennen we inmiddels allemaal wel een klein beetje, maar wat is Machine Learning precies?
Pim: De begrippen AI en Machine Learning worden nogal eens door elkaar gehaald. Machine Learning kun je zien als een toepassing van AI. ChatGPT en Copilot zijn voorbeelden van AI die zich als een assistent presenteren om voor jou taken uit te voeren, terwijl Machine Learning deze assistenten de mogelijkheid geeft om te leren steeds betere antwoorden te geven of steeds betere content te genereren. Machine Learning is dus een essentieel onderdeel van AI.
Inge: Dank voor je uitleg Pim, dat maakt het een stuk makkelijker te begrijpen. Dat het organisaties veel kan brengen ontdekken we elke dag steeds meer, maar heeft de opkomst van AI de manier waarop cybercriminelen opereren ook veranderd?
Pim: Als je een beetje weet hoe bijvoorbeeld ChatGPT werkt, dan kun je daar simpelweg de vraag stellen om een stukje malware te schrijven. ChatGPT heeft, net als andere AI-tools, wel beschermingsmechanismes ingebouwd om dit soort misbruik te voorkomen. Maar als je even zoekt via Google dan vind je talloze voorbeelden van hoe je hier omheen kunt werken en je alsnog het antwoord kunt krijgen waar je naar zoekt. Waar je voorheen diepgaande kennis van systemen en applicaties nodig had om malware te ontwikkelen, is dit vandaag de dag veel toegankelijker. Eigenlijk voor iedereen. Er zit een enorm verdienmodel achter cybercriminaliteit en daarmee dus ook de populariteit van AI-tools onder cybercriminelen. Dit zie je ook terugkomen in phishingmailtjes. Iedereen kent wel de slecht geformuleerde mailtjes van ‘vroeger’ (dat klinkt wel heel oud maar valt best mee😉) die vol zaten met taalfouten en letterlijk vertaalde zinnen. Vandaag de dag zijn die veel moeilijker te herkennen, omdat AI veel beter kan vertalen dan de vertaaltools van pakweg 5 tot 10 jaar geleden. Het verdienmodel zit in de data en het is nu veel toegankelijker geworden om daar een aanval op uit te voeren. Iedereen staat met elkaar in verbinding en data moet tegenwoordig altijd en overal beschikbaar zijn.
Inge: Belangrijker dan ooit dus om je data continu te blijven beschermen. Nu ben ik wel benieuwd of je zelf AI gebruikt (al denk ik dat ik het antwoord al wel weet :P)? En gebruik je ook Machine Learning? En hoe zet jij het in?
Pim: Ik maakte al geruime tijd gebruik van ChatGPT, voornamelijk voor privé. Zakelijk gezien is dat wat lastiger, omdat ik veel met klantvertrouwelijke informatie werk en die niet kan en wil delen met ChatGPT. Zo heb ik recent een vertaling moeten maken van een offertevoorstel, alleen is het dan noodzaak om klantnamen en specifieke stukken tekst te maskeren. Die kun je dan later weer zoeken en vervangen, maar handig is dat niet. Ik heb nu sinds een maand of twee Copilot en dat werkt makkelijker en sneller, omdat data binnen onze Microsoft-omgeving blijft. Ik kan dus zonder problemen vertrouwelijke informatie verwerken zonder allerlei trucjes, zoals zoek en vervangacties in documenten. Ik gebruik het sinds kort ook om mijn agenda en e-mail te beheren, bijvoorbeeld het terugzoeken van een specifiek mailtje. Mijn e-mailarchief is hierdoor aanzienlijk veranderd, maar ook de openstaande acties van mailtjes die ik misschien heb gemist kan ik met Copilot snel boven water krijgen. Ik gebruik het echt als een persoonlijke assistent.
Inge: De mogelijkheden van AI zijn echt eindeloos hè, als je het eenmaal adopteert zal het je enorm helpen om efficiënter en slimmer te werken. Om het concreet te maken voor jouw vakgebied, kun je een voorbeeld geven van hoe AI wordt gebruikt om bijvoorbeeld kwetsbaarheden in systemen te identificeren?
Pim: Een mooi voorbeeld hiervan is Security Copilot. Het is een ‘agentic AI’, zoals dat zo mooi heet. Security Copilot heeft allerlei ingebouwde agents die het werk van onze SOC-analisten aantrekkelijker maken. Zo kun je bijvoorbeeld allerlei administratieve acties door een agent uit laten voeren, zoals informatie verwerken in tickets. Hierdoor kunnen de SOC-analisten zich bezighouden met de interessante zaken. Administratie is daar meestal geen onderdeel van, terwijl dit natuurlijk wel erg belangrijk is. Om terug te komen op jouw vraag, er is ook een zogenaamde ‘Vulnerability Remediation Agent beschikbaar. Deze monitort klantomgevingen op kwetsbaarheden en prioriteert deze. Vervolgens geeft de agent aan welke acties uitgevoerd moeten worden om het risico te mitigeren, bijvoorbeeld het installeren van een update of het aanpassen van een specifieke configuratie. Hiermee kunnen we enorm veel tijd besparen, waardoor we met hetzelfde clubje collega’s aanzienlijk meer klanten kunnen bedienen.
Inge: Er zijn dus al erg goede tools om het leven van cybersecurityspecialisten wat makkelijker te maken. Welke specifieke technieken of algoritmes worden het meest gebruikt door cybercriminelen bij AI-gedreven aanvallen?
Pim: De meest gebruikte, en voor cybercriminelen ook de meest gemakkelijke manier, blijft phishing. Cybercriminelen schieten letterlijk met hagel en hopen dat er iemand klikt en inloggegevens invult. Ook zijn die gegevens vaak makkelijk te kopen op het darkweb (bijvoorbeeld vanuit eerdere datalekken), maar ook vanuit zogenaamde infostealers die veelal als malware worden ingezet om inloggegevens te verkrijgen. Er zit een heel commercieel verdienmodel achter. Een mooi gezegde is dat cybercriminelen eigenlijk helemaal niet inbreken, maar gewoon inloggen. Uiteraard met gestolen of gekochte credentials. Wanneer cybercriminelen eenmaal zijn ingelogd, gaan ze vrijwel altijd direct op zoek naar niet gepatchte systemen die kwetsbaarheden bevatten. Hiermee kunnen ze zichzelf verhoogde rechten geven en zo verder zoeken naar waardevolle informatie. Simpelweg om deze reden benadrukken wij altijd het belang van patchmanagement.
Inge: Er kleven dus (vanzelfsprekend) een boel risico’s aan een slechte cyberbeveiliging, maar digitaal lijkt dat voor velen toch nog steeds iets meer ongrijpbaar dan het fysieke beveiligen van een pand of huis. Nu met AI maakt dat het misschien nog duidelijker. Wat zie jij als grootste uitdagingen bij het gebruik van AI voor bijvoorbeeld het detecteren van ongebruikelijke activiteiten?
Pim: Op dit moment denk ik voornamelijk de kosten. Er zijn helaas nog steeds veel organisaties waar security een sluitpost is op de begroting. Het lastige is dat je als klant weinig ziet wanneer securitymaatregelen goed zijn ingericht. Uiteraard hebben we rapportages en KPI’s, maar dit blijft toch vaak ‘security op papier’. Het ontbreken van maatregelen wordt pas zichtbaar als het een keer misgaat en vaak zien we dat er dan met spoed van alles moet worden ingericht en dat kosten geen probleem meer zijn. Met AI kunnen we enorm veel automatiseren waardoor de securityvolwassenheid aanzienlijk verbeterd, maar uiteraard hangt hier een prijskaartje aan omdat het relatief nieuwe technologie betreft die nog volop in ontwikkeling is.
Inge: Hoe blijft ons securityteam op de hoogte van alle razendsnelle ontwikkelingen in de cybersecuritywereld? Volgen jullie vanuit eigen interesse alles op de voet?
Pim: Persoonlijk heb ik de RSS-feed van het NCSC aan mijn mailbox gekoppeld, waardoor ik altijd alle updates op het gebied van kwetsbaarheden beschikbaar heb. Daarnaast heb ik verschillende securityblogs en -websites die ik in de gaten houdt, denk aan security.nl of zerodayinitiative.com. Mijn collega’s van het SOC gebruiken deze bronnen ook, en hebben er nog meer gekoppeld aan onze dienstverlening. Je moet het wel leuk vinden om dat allemaal bij te houden, maar die interesse is er van nature al volop bij iedereen van Unica Cybersecurity. Als ik bijvoorbeeld bij een klant zit, dan wil ik weten of er op dat moment kwetsbaarheden zijn die zijn omgeving raken en dat vergt altijd wel even wat voorbereiding. Je wilt echter ook niet onvoorbereid aankomen en in de situatie terechtkomen dat de klant jou vragen stelt over iets wat je hebt gemist.
Inge: Hoe zie je de toekomst van cybersecurity met de voortdurende ontwikkelingen in AI en Machine Learning? En wat zou je advies zijn voor organisaties die hier nog niet zo mee bezig zijn?
Pim: Of we het willen of niet, agentic AI wordt razendsnel doorontwikkeld door de grote techbedrijven en zal overal toegepast gaan worden. Dat zien we nu al met de verschillende Security Copilot agents die Microsoft beschikbaar heeft. Mijn advies is om goed te kijken naar de toegevoegde waarde. Uiteindelijk zullen AI-agents sneller en nauwkeuriger werken dan wij als mens en ze kunnen dit 24 uur per dag, 7 dagen per week zonder steken te laten vallen. Voor specifieke securitygerelateerde taken kunnen deze prima worden ingezet. Zo heeft Microsoft een AI-agent voor Conditional Access in preview staan, die scant of er nieuwe gebruikers in een omgeving zijn aangemaakt en of alle gebruikers op een juiste manier zijn beveiligd door de juiste policies, zoals bijvoorbeeld MFA. Het zal niet de laatste keer zijn dat een security-incident ontstaat door een account wat ooit is aangemaakt en waar niemand het bestaan meer van weet, of vanuit een account door een zogenaamde insider threat actor. Mijn advies is om goed te kijken naar het automatiseren van repetitieve taken en of dit een kostenbesparing oplevert doordat bijvoorbeeld FTE’s effectiever kunnen worden ingezet. Als dat vervolgens resulteert in een hogere securityvolwassenheid dan heb je een win-win situatie.
Inge: Dank je wel voor het leuke gesprek Pim! Ik ben weer veel te weten te komen over de wereld waarin Unica Cybersecurity zich beweegt. Uiteraard kom ik over een tijdje graag weer bij je in de lucht voor een update!
)
)
)
)