关键字: [ 亚马逊云科技中国峰会2024, Virtual Security Assistant, 安全运维效率提升, 生成式人工智能应用, 虚拟安全助手演示, 安全架构方案介绍, 安全知识库集成]

本文字数: 1800, 阅读完需: 9 分钟

导读

在亚马逊云科技中国峰会2024 上, 朱志强和沈文慧分享了如何利用生成式人工智能增强安全防护。他们讨论了如何通过生成式AI 虚拟安全助手提高安全运维效率, 包括:1) 利用大模型分析日志、代码等, 快速发现并缓解安全风险;2) 生成可读的安全报告;3) 自动化安全任务操作。他们还介绍了亚马逊云科技的安全湖、RAG 知识库等服务, 以及如何结合这些服务构建安全智能体系统的架构和实践方案。该演讲重点阐述了生成式AI 如何帮助安全运维人员提高工作效率, 并强调了人工干预和专家知识的重要性。

演讲精华

以下是小编为您整理的本次演讲的精华，共1500 字，阅读时间大约是8 分钟。

在这场关于如何利用生成式人工智能来增强安全防护的演讲中, 演讲者首先分享了他个人最早接触AI 的经历。他提到, 有一家公司通过AI 来建立模型, 对病毒样本进行识别和查杀。将病毒样本输入AI 模型后, 模型会通过各种算法给出该病毒的威胁分数, 如果分数达到80 分以上, 基本上就是一个恶意文件。

随后, 演讲者回顾了AI 在网络安全领域的应用历程。最初,AI 被用于分析海量日志, 在SIEM 或SOC 中从中发现潜在威胁。而近两年, 随着生成AI 的兴起, 通过自然语言交互, 可为安全运维人员提供更多便利。

接下来, 演讲者阐述了生成AI 给安全领域带来的机遇和挑战。机遇方面, 生成AI 可以自动化地进行安全任务、运行安全任务或减少脑力劳动。例如, 我们可以问” 今天哪个VPC 里的告警最多” 、“GuardDuty 有没有发现最新的恶意软件” 等,AI 助手可以快速给出答复。此外, 发现安全事件后, 我们可以询问” 下一步该怎么做? 如何缓解?“AI 助手会根据大量日志分析给出相应的缓解建议, 加快决策与操作。有了AI 助手帮助, 安全运维人员将有更多时间专注于创新性的问题。

然而, 生成AI 也带来了一些挑战和风险。首先是AI 可能带来新的安全漏洞, 或被黑客滥用生成攻击工具。事实上, 日本已抓获一名利用生成AI 制造勒索病毒的黑客。其次是” 幻觉” 问题, 即AI 给出的结论可能是错误的。我们需要克服这种幻觉, 避免被AI 蒙蔽。第三是数据隐私问题, 特别是在检索增强生成(RAG) 中, 可能会涉及个人信息。最后是质量控制, 至少在目前阶段, 仍需要人工干预和调优, 以确保AI 应用程序的质量。

为解决上述挑战, 演讲者提出了一种” 虚拟安全助手” 的概念。通过与大型语言模型的自然语言交互, 该助手可为安全运维人员提供便利。但同时也强调, 目前AI 助手仍无法完全取代人工专家, 需要人工干预和调优。他举了一个客户案例, 某大客户的IAM 策略写了上百条, 已超过亚马逊云科技服务限额, 无法继续添加。一般情况下, 亚马逊的IAM 专家需要6 周时间来分析客户环境、角色、策略、工作流程等, 并给出优化建议。但如果使用AI 助手, 它可以快速给出1 、2 、3 、4 、5 几个优化步骤的建议。不过, 演讲者也提醒,AI 助手只能作为非权威指南, 不能完全按照它的建议操作, 需要人工专家参与, 并通过越多互动让AI 越来越智能, 给出更好的建议。此外, 还需确保AI 助手获取的知识库内容与业务相关, 并设计自动化和手动测试来验证优化策略。

接下来, 演讲者的同事沈文慧介绍了亚马逊云科技在这一领域的具体技术方案和架构。该架构利用了向量搜索、大模型推理、Lambda 函数编排等亚马逊云科技技术, 可以对安全日志、代码等进行分析并生成可读报告。同时也融合了亚马逊的安全服务如WAF 、GuardDuty 等。

首先, 沈文慧询问在场是否有同事遭受过安全攻击, 并分享了一个客户遭受SQL 注入攻击的案例。该客户的Redis 开放到公网上且未设置密码, 导致被植入挖矿程序, 最终通过观测CPU 利用率异常发现异常。这种情况通常是由于前端代码存在安全漏洞, 如在渲染HTML 时将用户输入的脚本当成可执行代码执行, 导致越权攻击风险。

为解决这一问题, 代码审计工具可以告知开发者代码中存在SQL 注入、XSS 等漏洞, 但无法指导如何修复。这时就需要” 代码伴侣” 这一生成AI 应用, 帮助开发者修复代码漏洞。沈文慧还展示了WAF 和GuardDuty 的安全日志, 并挑战现场观众在1 分钟内找出日志中的安全事件, 以说明安全日志对人类来说是难以直接阅读的。

接着, 沈文慧通过现场演示展示了该虚拟助手的全流程应用。他首先请助手分析某小时段内WAF 的日志, 看是否存在安全问题。助手通过Lambda 函数调用相关日志, 发现两个路径受到XSS 攻击, 并建议在代码中增加渲染方法和编码, 避免浏览器直接执行可执行代码。

其次, 沈文慧让助手分析4 月20 日的GuardDuty 日志, 助手发现两台EC2 实例的22 端口一直被暴力破解尝试, 并通过调用Lambda 函数, 使用安全组规则封锁这两台实例的SSH 端口, 以缓解风险。

最后, 沈文慧要求助手将WAF 和GuardDuty 日志分析、发现的风险及处置过程生成报告并发送给上级。助手生成了一份人类可阅读的报告文本。

沈文慧解释说, 上述功能的实现是通过亚马逊云科技ByteWork 服务中的大模型API 服务、知识库和智能体Agent 实现的。开发者可以在ByteWork 中选择基础模型、编辑Agent 行为、调用Lambda 函数等, 并通过提示词与模型进行自然语言交互。

随后, 沈文慧介绍了该架构的进一步演进, 即增加了向量搜索引擎Amazon Kendra 。通过Kendra, 可以将企业内部的安全规则、处理流程等知识库存入其中, 使AI 助手能基于这些知识做出更准确的分析和建议。同时, 通过Amazon Step Functions 等工具, 可以将人工审批流程编排到AI 助手的工作流中, 避免自动化过程中的潜在风险。

此外, 该解决方案还融合了多个亚马逊云科技安全服务:WAF 用于边缘侧应用防护、GuardDuty 用于主机和网络防护、CodeGuru 用于代码审查发现安全风险、Amazon Security Hub 集成各安全工具见解、Amazon Security Lake 用于存储安全日志等。通过这些服务, 可以覆盖从CI/CD 到运行时的全生命周期安全防护。

最后, 沈文慧总结了生成AI 在安全领域的应用的几点核心要点:1) 生成AI 目前仍无法完全取代人工专家, 但可以成为专家的工具, 提升运维效率。2) 在亚马逊云科技平台上, 可以使用熟悉的架构和安全服务, 无需广泛的培训即可构建AI 助手。3) 通过画面化工具, 可以像搭积木一样便捷地集成安全服务、编排工作流。

总的来说, 这场演讲全面阐述了生成AI 在网络安全领域的应用前景, 并结合亚马逊云科技的产品服务, 提出了一种创新的安全运维解决方案。通过自然语言交互、知识库融合、服务编排等技术, 该解决方案可自动化安全任务、发现风险、提出缓解措施并生成可读报告, 大幅提升安全运维效率, 同时保留人工专家的干预和调优, 兼顾自动化和人工智能。该解决方案覆盖从代码审查、CI/CD 、运行时监控到安全分析的全生命周期, 融合了亚马逊云科技的多款安全产品服务, 为客户提供一站式的安全运维解决之道。

下面是一些演讲现场的精彩瞬间：

亚马逊云科技中国峰会2024: 探讨了两种方式为人工智能模型提供上下文知识, 一种是通过RAG 技术将知识向量化并存储在数据库中, 另一种是通过实时提供日志和指标数据作为上下文。

在亚马逊云科技中国峰会2024 上, 演讲者强调了与模型交互时需要提供三类上下文: 安全知识、相关技术知识以及当前工作负载的具体信息。

亚马逊云科技中国峰会2024 上, 演讲者详细解释了RAG(Retrieval-Augmented Generation) 智能体的工作原理, 包括用户提问、知识检索、大模型推理和最终回答生成的完整流程。

亚马逊云科技推出了安全湖, 一个专门用于存储和分析安全日志数据的数据湖, 可跨账户跨区域收集各种安全信息, 为客户提供全面的安全洞见。

亚马逊云科技推出了一款企业级搜索引擎, 它采用无服务器架构和深度学习算法, 可以根据用户反馈不断优化召回准确度。

在亚马逊云科技上, 我们可以轻松构建基于安全服务的代理, 无需广泛记忆和学习相关深入培训, 就像搭积木一样方便。

总结

亚马逊云科技安全团队正在探索如何利用生成式人工智能来增强安全防护能力。这种方法的核心是构建一个虚拟安全助手, 通过与大型语言模型的自然语言交互, 为安全运维人员提供快速的建议和指导。

该虚拟助手的关键在于为语言模型提供适当的上下文信息, 包括安全知识、技术知识和当前工作负载的具体信息。这可以通过检索增强生成器(RAG) 和企业级搜索引擎来实现, 它们可以从安全数据湖等数据源中获取相关的安全日志和配置信息。

在与虚拟助手交互时, 需要遵循以下原则:1) 将其视为非权威指南, 需要人工干预;2) 确保工作流程中有专家参与;3) 提供与业务相关的知识库内容;4) 设计自动化和手动测试来验证策略和改进。

该方法的优势在于:1) 自动化运行安全任务, 减少脑力劳动;2) 加快决策和操作, 发现问题时可获得快速建议;3) 节省时间, 安全人员可专注于创新工作。虽然生成式AI 目前无法完全取代安全专家, 但它可以成为提高安全运维效率的有力工具。

亚马逊云科技提供了一整套无服务器架构和安全服务, 如SageMaker 的大型语言模型API 、CodeCommit 代码存储、GuardDuty 主机和网络防护等, 使开发人员能够方便地构建和部署此类虚拟安全助手。通过这种方式, 安全小白也可以获得专家级别的安全技能, 提高工作效率。

2024 年 5 月 29 日，亚马逊云科技中国峰会在上海召开。峰会期间，亚马逊全球副总裁、亚马逊云科技大中华区总裁储瑞松全面阐述了亚马逊云科技如何利用在算力、模型、以及应用层面丰富的产品和服务，成为企业构建和应用生成式 AI 的首选。此外，活动还详细介绍了亚马逊云科技秉承客户至尚的原则，通过与本地合作伙伴一起支持行业客户数字化转型和创新，提供安全、稳定、可信赖的服务，以及持续深耕本地、链接全球，助力客户在中国和全球化发展的道路上取得成功。