如今，在一家大型企业担任网络安全分析师，有点像大海捞针，而这片“海草”正以光纤速度朝你飞速逼近。
每天，员工和客户都会产生大量数据，从而确立一套正常的行为模式。攻击者在使用各种技术渗透系统时也会产生数据；目标是找到那根“针”，并在其造成任何损害之前将其阻止。
这项任务的数据密集型特点，非常适合机器学习的数值运算能力，而这些年来，人工智能驱动的系统确实大量涌入网络安全市场。但此类系统也有其自身问题，即源源不断的误报，这可能使它们对安全分析师而言更多是耗时之物，而非省时之器。
麻省理工学院初创企业 PatternEx 的出发点是：算法无法独自保护系统。该公司开发了一种闭环方法：机器学习模型标记可能的攻击，人类专家提供反馈。随后，这些反馈被纳入模型，提升其日后仅标记分析师所关注活动的能力。
“网络安全领域的大多数机器学习系统一直在进行异常检测，”PatternEx 联合创始人、麻省理工学院首席研究科学家 Kalyan Veeramachaneni 表示。“这种方式的问题首先在于，你需要一个基线[正常活动的基线]。另外，模型通常是无监督的，因此会显示大量警报，人们最终会将其关闭。最大的不同在于，PatternEx 允许分析师告知系统，然后系统利用这些反馈来过滤掉误报。”
结果是分析师的工作效率有所提升。与通用异常检测软件程序相比，PatternEx 的虚拟分析师平台在每天相同数量的警报下，成功识别出的威胁多出10倍；即使通用系统向分析师提供的每日警报多出五倍，该优势依然持续存在。
该系统于2016年首次部署，如今已被多个行业的大型企业安全分析师使用，同时也被提供网络安全服务的公司所采用。
融合人类与机器的网络安全方法
Veeramachaneni 于2009年以博士后身份来到麻省理工学院，现任信息与决策系统实验室的一个研究小组负责人。他在麻省理工学院的工作主要涉及大数据科学和机器学习，但直到2013年与 PatternEx 联合创始人 Costas Bassias、Uday Veeramachaneni 和 Vamsi Korrapati 进行的一次头脑风暴会议之前，他并未深入思考将这些工具应用于网络安全。
Ignacio Arnaldo 于2013年至2015年间曾与 Veeramachaneni 一同在麻省理工学院担任博士后，此后不久加入该公司。Veeramachaneni 和 Arnaldo 在麻省理工学院为机器学习研究人员开发工具期间便已认识到，一个成功的解决方案需要将机器学习与人类专业知识无缝整合。
“人们在机器学习方面遇到的许多问题，源于机器必须与分析师并肩工作，”Veeramachaneni 表示，并指出，被检测到的攻击仍须以易于理解的方式呈现给人类，以便进一步调查。“它不能独自完成所有工作。大多数系统，即便是像发放贷款这样简单的事情，也属于增强，而不是让机器学习把决策权从人类手中夺走。”
该公司的首个合作伙伴是一家大型网上零售商，这使创始人得以利用真实世界的数据训练其模型，以识别潜在的恶意行为。他们逐一训练算法，利用 Wi-Fi 接入日志、身份验证日志以及网络中的其他用户行为等来源，标记不同类型的攻击。
早期模型在零售领域表现最佳，但 Veeramachaneni 从其在麻省理工学院与众多企业高管的大量交流中得知，其他行业的企业在运营中应用机器学习面临多大困难（PatternEx 近期发表了关于此主题的一篇论文）。
“自我10年前来到麻省理工学院以来，该校在引入产业界方面做得非常出色，”Veeramachaneni 表示。他估计，在过去六年中，作为麻省理工学院产业联络计划的成员，他已与私营部门人士举行了200次会议，讨论他们面临的问题。他还利用这些交流，确保其实验室的研究针对相关问题展开。
除企业客户外，该公司还开始向安全服务提供商，以及专门在网络中搜寻未被发现的网络攻击的团队提供其平台。
如今，分析师无需编写一行代码，即可通过 PatternEx 的平台构建机器学习模型，降低了人们使用机器学习的门槛。这是行业更广泛趋势的一部分，Veeramachaneni 将这一趋势称为人工智能的民主化。
“网络安全领域没有足够的时间；不能花费数小时甚至数天来弄清攻击发生的原因，”Veeramachaneni 表示。“因此，让分析师有能力构建和调整机器学习模型，是我们系统中最关键的环节。”
为安全分析师配备一支“军队”
PatternEx 的虚拟分析师平台旨在让安全分析师感觉自己仿佛拥有一支助手大军，在数据日志中梳理，并向其呈现网络中最可疑的行为。
该平台利用机器学习模型处理50多条数据流并识别可疑行为。随后，它将这些信息呈现给分析师以供反馈，并附带图表及其他数据可视化内容，帮助分析师决定如何处理。在分析师确定该行为是否为攻击后，该反馈会被纳入模型，而这些模型会在 PatternEx 的全部客户群中得到更新。
“在机器学习出现之前，有人可能会发现攻击，但大概会有些晚，他们可能会为其命名并公布，而其他所有公司都会打电话来了解情况，并去检查自己的数据，”Veeramachaneni 表示。“对我们而言，如果出现攻击，我们会获取该数据；由于我们拥有多个客户，我们必须将其实时传输至其他客户的数据中，以查看他们是否也遭遇了同样情况。我们每天都非常高效地做这件事。”
系统一旦在新客户处启动并运行，便能够利用170个预封装的机器学习模型，识别40种不同类型的网络攻击。Arnaldo 指出，随着公司努力扩大这些数字，客户也在通过在平台上构建针对其所面临特定威胁的解决方案，为 PatternEx 的模型库添砖加瓦。
即使客户不在平台上构建自己的模型，他们也可以直接部署 PatternEx 的系统，无需任何机器学习专业知识，并看着它自动变得更加智能。
通过提供这种灵活性，PatternEx 正将最新的人工智能工具带给最了解其所在行业的人。这一切都回到了公司的创立原则：以人工智能赋能人类，而非取代人类。
“该系统的目标用户并非熟练的数据科学家或机器学习专家（这类人才是网络安全团队难以招聘的），而是已在其员工名册上、对其数据和使用场景有最深刻理解的领域专家，”Arnaldo 表示。
