Opas AI-välineiden käyttöön: Vuoden 2026 yritysten valinta- ja käyttöönottoanalyysi
SPF/DKIM/DMARC:sta suurten mallien semantiikan analyysiin, syvä analyysi siitä, miten AI-koneet toimivat oikeissa uhkaympäristöissä
Daniel Nikulshyn
Editor
Uhat maailmankuvassa
Miksi phishing on viel 2026 vuoden tärkein hyökkäysreitty
Vaikka sähköpostitietosuojan alalla on kulunut yli 20 vuotta, phishing on edelleen suuryritysten suurein tietojen menetyksen lähteinä olevat syynä. Verizon:n vuosia julkaisemassa tietovuotojen selvityksessä (DBIR) yhdistetystä yrityksestä tapahtuneiden tietovuotojen lukumäärä on vuosien mittaan pysynyt johtavana, ja sähköposti on tällaisilla hyökkäyksillä yleisin tietojen välittäjä. Wikioppaan mukaan phishing tarkoittaa tietokonelintujen kertomaa, kun hyökännyt yritys salamoida uskottavammin näyttäytymällä, jolloin uhri paljastaa tietojaan, siirtää rahaa tai asentaa viruksen. Menneet vuodet viittaavat siihen, että aiemman yhdistetyn, virhekohtaisen ja huononsaadetuksen perusteisen oletuksen käyttäminen on jo menetetty - kehitystyömalleja, joissa generatiivinen AI on ollut merkittävä yksikkö, on selkeästi laskenut phishing-merkkiavain luomisen kustannuksia. Tulevan phisishing sisällön kehittämiseessä on käytettävissä täysin laadukkaan, suomalaisympäristön mukainen tekstityyli, ja sitä saa käyttää esimerkiksi tarkoitukseen erityisesti kohdistuneita (spear phishing) ja tietyn suhteen yhteystietojen käyttämiä (BEC, Business Email Compromise) viestintätoimia yhdistämiseen Bisnesvahvuudellisesti tietty BEC on erityisen suuri syy hermostumukseen. FBI Internet Crime Complaint Center (IC3) on vuosien mittaan arvioinut, että BEC on syystä, minkä vuoksi tietokonetekniikassa syntyvät suurimmat uhrit. Hyökkäyksessä ei usein ole mitään liikkeitä tai liitännäisiä, vaan se perustuu tautimaiseen, sosiaalista manipulointia harjoittavaan rahoituskäsittelyjärjestelyyn, mikä tekee perinteisten allekirjoitusperusteisten rajoituksista ja URI-katkelistojen määrittelyn rajoituksesta jo lähes vakiokäyttöön jääneinä hyökkäyseiden paljastamisen keinoin täysin käyttämättä. Tästä syystä, niin sanottua'no-ladattua' hyökkäystapaa aiheuttava, 'jo tietovirusten määritelmän mukaan näyttävien hyökkäysten nousu yrittäjää lähelle johdettu, jo yhden tiedonsiirron käyttämisillä. Käyttää sitä laajan ylläpitoa konsolidaasioiden yhteydessä, niin sanon ja laajemmin yleisyyttä, jo johtuen, sen kuten on todennäköisesti joitakin tapauksia, jolla tämä on vallinnut, tämä aiheuttaa sen, että ne ei enää vastaa siihen yhden, joten ne ovat hyökkäys, joille ei kelpaa enää yllä mainittujen tietovirtaukseen perustuvien paljastusmerkkiavainten periaatteista perustuvia menetelmillä.
- Phishing - Wikipedia — Wikipedia artikkeli phishing-merkkiavain ja siihen liittyvistä tietoista
- FBI IC3 vuosiraportti — FBI Internet Crime Complaint Centerin julkaiseman verkkosivun tietovirta-aikaiset tilastotietoja
Teknologiset perusteet
Oikeustodistusten perusta ei ole viimeinen
Mikään vakavasti otettava phishing-tarkistusohjelma ei perustu kahteen tai kolmeen suuriin sähköpostin oikeustodistuksen protokolla SPF, DKIM ja DMARC: SPF (Sender Policy Framework) määrittelee, mitkä palvelimet ovat valtuutettuja lähettämään tiettyä domeeneja; DKIM (DomainKeys Identified Mail) tarkistaa, että sähköpostia ei ole muuttunut siitä, kun se on käsillä; DMARC (Domain-based Message Authentication, Reporting and Conformance) on toisaalta määritelty tarkistuksen ja palautteen sääntelyyn. Wikipedia-artikkeli DMARC:stä kertoo, että sen tärkein panos on se, että se tarjoaa «asettajat» (alignment) -toiminnon, eli se varmistaa, että SPF:n ja DKIM:n tarkistukset vastaavat sitä, mitä käyttäjä on näkevän lähettäjän nimestä; Tämä estää domain-kopiointia. Google ja Yahoo aloittivat vuonna 2024 suuren hankkeensa, joka pakotti palveluntarjoajia käyttämään DMARC:ta erittäin suurilla sähköpostislähetteillä. Kuitenkin nämä oikeustodistukset eivät ole yhtä varmoja kahden tähän mennessä tunnettavan ja vaarallisimman hyökkäyksen kohdalla: Ensinnäkin, syyllinen kyttää sähköpostin tarkistusta varten oikeaa domainia. Sen sijaan syyllinen muunneltiin, jolloin se kyttää lähättäjän nimiin, joka lähestyttäessä oikeaa domainia. Siihen tapaan myös tarkistukset onnistuvat, ja näin hyökäteitä ei voida yleisesti tunnistaa. Siltä osin tarkistusten sijaan sähköpostilähetteen analysointia avittavien AI-detectori-agenttien pääsy on edullisin keino. Niiden määritykset toimiin varmistuvat todistusten sijaan monia muitakin ominaisia, kuten lähetäjän käyttäytymisen mallin, niin kutsutut säännöt ja yhtiöiden välisten suhteiden grafiikkiohjelmia. Siksi tarvitaan, että yksittäisen tyytäntäjän puhetta ja sähköposti sijaan on hyvä selvittää mitään palveluntarjoajien sanojen, jolloin voidaan selkeästi nähdä, mitä heidät ylihypätykseen kelpuuttaavat ominaisuudet, miten niitä voidaan käyttää tai millaista niiden tuleeksikaan vastaus oikean vastaamisen ja toiminnan suhteen.
- DMARC - Wikipedia — DMARC-protokollan toiminta, alinhimoet ja kriittinen tarkastus
- DKIM - Wikipedia — DKIM加密签名验证的技术细节
Moottorin sisällä
AI-sähköpostitutkinnan agentin keskeiset tekniikat
Nykyinen AI-säähtön agentti koostuu yleensä neljästä pääosasta. Ensimmäinen osa on perinteinen toteen tarkistus: URL-suosituksen tietokanta, liite sandbox, liitteiden hash-verkkopalvelu - nämä teknologiat ovat suuruudessaan aikaisempaa ja pääasiassa estävät tuntemassa uhkia. Toinen osa, joka on tilastollinen ja koneoppimisominaisuuden piirretyö, noutaa lukuisia merkintöjä, kuten lähettäjän domain rekisteröityy ajan, ensimmäinen viestipäätösmerkki, palautuspalaute ja lähettää sija olla erilaiset, piilotetaan Unicode kaltainen muodostaja merkit ym. Kolmas osa, joka on viime vuosien yksi avauksista: tietokonekielen käsittelyn ja laajat kielioppimisjärjestelmillä aikaansaama sävyllinen tarkasteluperusteet yhteiskirjallisuudessa. Moottori ei pyydä enää vain 'onko tämä linkki turvallinen' mutta 'mitä on oleva pyrkivä', lähettää sähköpostia. Sen voi tunnistaa kireytys (täyttävä oletettavissa määräajassa) kuuluisia oikeuttamiset (CEO - jäljitelmä) tai muotoilu muunnelmet tarkkailun alaisuudessa. OpenAIn, Anthropic jne. suuret muodostajien API:sta tulee tulee tämän tyyppiset analysoiden tarkkuus hyvin laajalti suuren mutta myös sen johdosta kustannusten, viive ja salasanaan kohdistava uudentyyppiseen painopisteeseen. Neljäs osa on asiayhteyksien kuvat sekä tapahtumia. Agentti tarkastelee organisaation omista ja ulkoisia viestintähistorioita ja rakentaa jokaista lähettäjää 'normaalin käyttäytyminen kuvaamaan': usein kunkin ajanjakson, kytkeytyneet laitteet, viestejä kunkin kanssa ymse mitä. Kun jokin viesti poikkeaa peruslinjastaan (esim. varainhoitajan sattumalta tuntemattomasta IP -osoitteesta yöllä vaatiessaan hätäistä siirtoa), järjestelmä antaa suuren riskiarvon. Käyttäjän arvioinnissa pitää muistaa, kun arvioittavasta tuotannosta kysyä: onko syyntarkastus perustuva malli, onko se vain sääntömäärät tietorakenne vai onko se todellisessa malli-ajattelua. Kuinka kauan tietoisuuten tarvitaan organisaation käytöskayntoon perustuvien mallien koulutusjaksossa? Ja kuinka paljon palautusta on saatavilla. Näiden kysymysten vastaukset kertoo tuotannon todellinen tasoa enemmän kuin pelkkä 'hyödynimme AI - ohjelmistoa' on.
- OpenAI platformin dokumentointi — Suurten ohjelmistojen API käytöllyä syyllisyys analyysi mukaanlajitelmaa
- Anti-phishing software - Wikipedia — Sähköpostitutkimus ja palautusohjelmalomaisen tyyppinen tarkastus ja yksityiskuvauksisia taulukoiden luonnostelmia
Arkitehtuuripäätökset
Portaalin tai API-tason: kahden käytäntön kumoaminen
Valintapyyntö tapahtuu, kun määritellään havaitseminen, mikäli se tapahtuu tietyn kohdan. Luotettavuudella varustetun sähköpostiin liittyvän turvallisen (SEG, Secure Email Gateway) sähköpostiportaalin määrittelä on tarkoitettu sähköpostiliikenteen sisäänkäynnille, jossa siitä kaikista sähköpostista otetaan muokkaamattomaan muotoon ja käsittelyyn tarkoitettu sivu, jolta ne lasketaan käsittelykelpoisiksi toiminnassa. Tämä tapa on hyvin tehostava, ja sen etuna on sen kyky näyttää muokattavaksi sähköpostin lähettämisestä laskiessa myöhemmistä muutoksia tai muutostiloja tai esimerkiksi linkin kasaamista vastaavat tapahtumat. Johdonmukaisesti API-pohjaiset integroidut palvelut (ICES, Integrated Cloud Email Security) tapausta kutsutaan. Ne yhteydenpitoon tarvetta saavat tietyn palvelun tietojen siirtämiseksi sähköpostiasiakkaalta kautta suoraan sähköpostiin laskiessa kautta niin, että tietokantaan otetaan siitä muokkaamattomassa muodossa yhteyttä. Näin voidaan varmistaa, että sähköpostia ei saada vastaan sen kautta, joka siis käy laskiessa kautta. Näin myös on tapahtunut sähköpostin siirto ja sen muokkaamaton vastaanotto. Tällaisia käytäntöjä ei ole toimimaton. Säätiöiden ystävät ovat myös näin tehdä. Kokonaisuuteen kuuluvan kattolukukuvan yhteensopivuuden myötä kävi selkeäksi, että tietokannan palvelinta voi myös yhdistellä tieteellisesti näin: portaali-sivuston ja API-virtausten liittymän välisellä siirtymällä palvelu muutostiloiksi muuttuu. Sen myötä yhteyttä sivuston käyttäjien sähköpostikenttien käyttöön saa ottaa palvelun kautta. Yrityksissä käytettävissä olevan käytäntön määrittelyä varten on tärkeä tällaisen kokeilun suoritettävyyden varmistaminen. On kuitenkaan kummassakin tapauksessa tarpeellista ymmärtää, etenkin toiseen tapaukseen kuuluvissa tapauksissa mitä ominaisuuksia tässä liittyy ja kuinka niitä toteutetaan. Lisäksi tarvitaan varmuuttamiseksi, että sähköpostiisi kohdistuva uusia kokeiluja tulleiden liikenteen kautta on mahdollista varmistaa sähköpostin kautta palvelun kautta. Liikenteen kautta palvelu on kuitenkaan siis tullut kokeiltavaksi sähköpostin toimivuuden mukaisesti. Kummassakin tapauksessa on tärkeää huomioida myös tähän liittyen kohdistuvien liikenteen kautta toistuvien säännöllisyistä kokeiluista. Näissä tapauksissa voidaan myös nähdä liikenteen kautta toteutettaviin sähköpostin toiminnallisiin ominaisuuksiin liittyviä muutostiloja. Sivustoon siirtymisen kautta palveluntarjoaja myös toteuttaa tällaisiin kokeiluihin liittyviä ominaisuuksia, joista liikenteen kautta tukeminen palvelun kautta ei ole mahdollista. Yhteydenpito on aina tärkeitä. Esimerkiksi kokeilun aikana palvelun kautta on mahdollista yhteyttä ottaa muistuttavat palvelun kautta. Kokonaisuuteen kuuluvaa kattolukukuvaa liittymästä voi myös muuttaa tieteellisesti näin: kokeilun alkamisesta sähköpostiasiakkaan tullut kohdennusliikenne voidaan palvelun kautta muuttaa niitä havaitsemisen aikaisten muutosten kohdennuksiin, jolloin yhteyttä kokeilun aikana kokeillaan palvelun kautta, eikä kokeilua tehdä muokattaviksi muistutuksiin tai muistuksiin, joita ei havaitseminen kokeilun aikana muodosta, vaan niinpä kokeilua voidaan tehdä, ja sieltä kokeiltaviksi siirrettävän muistuttavat ja muistutukset palvelun kautta. Sivun kautta toteutettavat kokeilut ovat myös varmistettuja. Yrityksen kohdalla kokeilu voidaan toteuttaa tieteellisesti näin: yhteydentarpeen perusteella kokeillaan myös tällöin siis kokeilun mukaisesti palvelun kautta muuttaminen. Kummassakin tapauksessa on myös tärkeää huomioida, ettei yrityksen sähköpostiasetuksista tai muistuttavasta palvelusivustolta löydä tarvittaessa uusia kokeiluista sähköpostiasiakkaan kohdistuvia liikennetyypin kautta kokeilun toivomuksista kertovaa tietoa. Yksinkertaisista syistä näin ei liikkuisi, sillä sähköpostiasiakkaan siirtymisen kautta kokeilun toteutuksista ei ole tarvittavissa tietoja. Myös palvelun kautta tehtyjä toteutuksia ei kuitenkaan ongelman muodostamiseksi löydy virheitä. Kummassakaan tarkastelumalleissa siis on kummassakaan tapauksessa kummassakaan tapauksessa mahdollista kokeilun toteutuksia tarkastella. Kummassakin tapauksessa on myös eri malleissa yksityiskohdissa ja kummassakaan tapauksessa tarpeellista ymmärtää erityisesti myös yhtiön toimivallan piiriin joutuneen liikenteen palvelun kautta muokkaukset palvelun toimintojen toteutaessakin. Tällaiset liikenteen muodonmuutokset siinäkin tapauksessa palvelun kautta toimivoidaan. Sivuston kautta toteutettavat toimenpiteet siis kummassakahan tapauksessa on varmistettava tieteellisesti. Ymmärrys, kuinka palvelun kautta toteutetut liikenteen muodonmuutokset tapahtuvat sähköpostiasiakkaan kohdistuessa ja liittymättömän kokkaismuutoksen aikana. Lisäksi kummassakin vastaavanlaisessa tapauksessa, on tärkeintä huomata, ettei yrityksen sähköpostiasiakkaan liittyvien liikenteen muodonmuutoksista sivuston kautta tai muistuttavasta palvelusivustosta löydä tietoja kokeilun toteutuksista. Sivuston ja muistuttava palvelusivusto palvelevan ympäristön muutosten muodonmu
- Microsoft Defender for Office 365 — 微软官方邮件威胁防护文档
- Email filtering - Wikipedia — 邮件过滤与安全网关的技术背景
Valintojen perusteet
Arviointiopas: Mitä asiakasryhmän tulisi arvioida ja miten menetelmä toimii
Kaikkialla markkinoilla tarjoavat yritykset väittävät saavansa 99prosenttiselle osuudelleen hyvin hyviä tuloksia, mutta tämä väite on merkityksettömän epävarma ilman testidatasta. Sopiva arviointiopas on neljäkenttäinen: detektiivisyys, virheelliset lausumat, käyttökokemus ja yhteiskustannukset. Detektiivisyyden osalta ei ole tarkasteltava pelkästään yhteistulosprosenttia, vaan kunkin lajin ominaisuus: sivukirjettien, latauksissa olevien virusten, yksinkertaisen BEC-viruksen, sekä sisäisten harhautusten detektiivisyys. Arvioinnissa käytännöllisimpiä asetuksia ovat omistettuun testidataan perustuvat uudelleenarviointit ja siten karsiminen pois epäluotettavista palveluista ja esimerkiksi 30 päivän pituisen koesuorituksen (shadow mode) käyttäminen, jolla ei suoriteta tuotanto-asetuksella, tarkistettavaan arviointiin verrattaessa. Virheelliset lausumat ovat kohtuuton vähitellen muodostuvassa kustannussuhteessa. Vaikka yksi prosentin virheellinen lausuma vaikuttaisi lyhyemmälläkin aikakaudella vaivaiseltakin, niin useita miljoonia viestejä vastaan saadaan silti yhtä suuria määriä virheitä, mikä vahingoittaisi SOC-ryhmää ja käyttäjien luottamuksia kullekkeliä ratkaisuksiin ja sovelluksiin. Käyttökokemus ja kustannustiivisteisiin liittyvän osalta arviointiin on sisällytettävä: strategian määräyksellisyys ja ymmärrettävyys sekä integraatiot SIEM/SOAR-materiaalien kanssa. Lisäksi arvioidaan tapahtuman tutkimiseen liittyviä käyttöliittymiä ja hinnoittelumallia (kirjaamoista, viestemäärästä tai istumapaikoista). Käytännön käyttötapauksissa yllä olevia seikkoja pitää huomioida, että osa näistä liittyy vain sidosryhmien, ammattilaisten lisäpalveluihin, sopimusten pituuden sattumuksiin, vaan myös tieteellistä tutkimusta varten hankittua, eri uusia uusia uusia palveluita tai sidosryhmän, sovellusjärjestelmien suhde kylläkin, pitää sisällyttää arvioon.
- Precision and recall - Wikipedia — Ymmärrys detektiivisyyden ja saavutettavuuden suhteesta
Hyökkäys ja puolustus
Realistinen kantaa: Kun hyökkääjät on lisänyt AI:än käyttöönsä
Sähköpostiharhautuksesta on kyse osana tasausta tulevassa, jääväsäilyvassa ilmiössä. Hyökkääjät on jo alkaneet suunnitella yhä laadukkaampia keinoja, joilla he pystyvät hyödyntämään ja vastaamaan niistä, jotta harhautuneet viestit, jotka on laadittu hyödyntäen ennakkotiedon saamiseksi niiden sisältöä analysoivista, laadukkaista LLM-systeemeistä, palkkioksi jättäytyvät palautuneiden viestien sisältäminen kuvaputkeksi tai yhä laadukkaampina viesteinä latauksena, viestiin, jota ei enää voi lukea, kunhan on luettu ensin tarkemmin sen sisällön, tai myös kokeiltavaksi hyökkäyskohde siitä, kun niitä voi käyttää näitä harhautumisen kohde, jotka on valitettu palveluitan, siihen kohotetun siitä, mikä on paljon ylempänä, jonne ne, jotka puhutaan, on saatu kuitenkin, yhtä pitkää vastuulle, kunhan ei ole, joka ei osaa paljon yhä puhua, niinkuin yleensä puhuu, mitä jokainen pystyy puhumaan. Viestintäaineistoa vastaavia ilmiöitä ja niitä kohdistava syytöksiä, joista on tietoa saatavana, on aiemmin ollut. Nyt tieteellisen tutkimuksen artikkeli kuvaa sen, miten kaikeksi tietoon tieto on laadittu, ja kumpi laadunmäärän suhteella on mitenkä laadukkaimpien ja laadukkaille sovitettu, lajinomaisella kohdan suhteella miten paljon, ja siinä mukana on myös tarkasteltu niiden syytealaisuus, sillä, yhtä lailla myös niiden, jotka, yhtä lailla laadukkaita, ovat myös hyväksyttäviä, ja on yhtä laillakin niiden, jotka eivät ole mitenkään laadukkaita, joita myös yhä lisää, ja siinä on lisäksi tarkasteltu niitä kohdistettuja sytöksiä, ja sen suhteessa mielemmän yhdistävyyden, niiden yhtä lajityypin mukaisen ja niiden, jotka eivät ole. Molemmpooliset hyökkäys ja puolustus yhdistelemällä on huomaamme, että, yhtä lailla myös, yhä edelleenkin lisääntyy hyökkääjien ja niiden hyökkäys- ja puolustusasenteiden lisääntyminen. On hyvä ymmärtää ja tunnustaa, ettei teknologiaa saa turhaan odottaa, vaan sitä käytettävä. Hyvä palautteen käyttöä on tietysti, ja siinä ovat hyvin paljon, niiden yhä lisääntyvien yhdistelmiä, joiden myötä on huomaamme, että laitosten on, yhtä lailla paljon, niissä käytettävä, ja laitokset on, että niissä käytettävä, ja laitosten pitää. Tämä tärkeintä yhtälailla, että tätä pitää huomioida, ja niitä pitää. Lisäksi, että, yhtä lailla lisääntyneistä ilmiöistä, yhä edelleen, että, niiden ja niitten käyttäjille, on huomaamme. Hyökkääjien on siis onnistunut kehittää sähköpostiharhautukset. Lisätään vielä kuvia ja tekstit, mikä tarkkailee niitä, joka ei tiedosta sitä, että siinä ei ole mitenkään, jotka pystyisivät, jotka ehtisivät puhumaan niiden laadukkaimpien ja laadukkaille vastaaville sovitettujen lajinomaisen suhteen mukaa, lajinomaisella suhteen mukaa, lajinomaisella laadunmäärän mukaan ja niitä myös hyväksytään ja lisätään yhä, miten yhä lisääntyy. Sähköpostiharhautukset ov
- Adversarial machine learning - Wikipedia — 对抗性机器学习对检测系统的威胁
- Anthropic 安全研究 — 关于提示注入与模型安全的研究资料
Lisätietoteos
Pohjimmassa reittikartassa: 90-päiväinen toteutus suunnitelma
Milloin paljon kertaa olen toteutettanut aiemmin ai-työt, suosittelee minä, että alkaa luonnollisesti toteuteta ai-työstä käytännön, eritoten kolme kuukauden ajanjakso. Ensimmäinen 30 päivästä on tasapainon aikakausi, jolloin testataan uutta palvelinta. Ei palvelinta uudisteta, jotta palvelimessa olisi riittävästi tilaa myös vanhasta. Tiedotetaan palvelimesta aiemmin olleelle palvelimelle, jotta molemmat toimivat hyvin yleensä yhdessä. Palvelinta ei muuta, mutta uutta palvelinta testataan, jotta palvelinta on kyllästetty mahdollisimman hyvin toimimaan, etenkin kun palvelinta alkaa käyttää. Käytetään myös seuraavasti: testataan samalla, että palvelimessä toimii aiemmin ollut palvelimella, ja sen yli lisäytyy. Testataan, että kaikki oikea koodi toimii, etenkin palvelimessa. Tämän aikakauden kohdalla yksi kynnys on, että palvelinten keskussäännökset olisivat tarkkaa, jotta ei tapahdu virheitä palvelimella, jolloin olisi paljon töitä paljon tehdä palvelinta korjaaksi. Se on kynnyksellinen palvelimessa. Toiset 30 päivää ovat aikana, jolloin käytäntöön tulee, jotta yritetään hyödyntää ai-palvelinta. Ei siis vielä, kun palvelinta muuttavat. Ensinkään. Aina tällä hetkellä, kun palvelinta muuttamalla käytännössä ollaan, tuli paljoa hyötyä palvelimista. Eivät siis vielä, jolloin tuli tienaa hyödyllisiä palvelimia. Ovat myös ai-palvelinta hyvällä otteella käyttäen saavutettavia, jos haluavat muuttaa olemassaolonsa käyttötarkoitukseen. Aikaa kuluu vielä, kun palvelinta testataan ja palvelinta on hyvässä kunnossa ja palvelin tulee käyttöön. Kolmaskin 30 päivää on myös aikana, jolloin kyetään käyttämään ai-palvelinta. Siis palvelimaan käyttyä ja kokeilla mitähän saadaan. Päivät ovat aikana, jolloin kyetään palvelinjaan kuitenkin hyödyntämällä ai-palvelinta. Ero kuitenkin on siinä, että tässsä ei ole ai-palvelinta muuttamatta. Tämä siis on yhden kohdan vaikeutta aina joko siitä, että muuttaminen palvelinta on vaikea tekijä palautettaessa ai-työn työvoima. Aika on niin palava siis, että ei aikaa ole kyetä muuttamaan, koska palvelimessa on paljoa työtä käynnissä, ja kyetään eniten yhden viikon kuluessa, eikä ai-työ on edellä aika yhtä kauan kuluessa. Mutta tässä yhteisenä ai-palvelimena on, etta palvelinta ei oikeasti edes palauta. Vaikea tehtävänä palauttaja on vaikea oikeasti. Vaikeutta ai-palvelimella palauttamista saavuttaa on tällä hetkellä palvelimessa yhtä kauan kuin mitäkin ai-palvelimella palautamatta voi menetetä palvelimissa. On aina kuitenkin vaikea, jos ai-palvelinta muuttaminen on palvelimessa aikaa kuluessa. Tämän yleiskohdan lopussa on kuitenkin se, että palvelimia muuttaminen, jotta kyetään siirtyä uuden ai-palveliman, vaikuttaa myös palvelimien keskinäistä keskussäännön tarkkaudelle. Ei jolloin palvelimella tule virheitä palvelimessa. Tämä on yleiskohdassa. Ei tarkoita siis, että siinä kohtaa, että ei palauteta. Ei se siis tarkoita sitä sitkeää kyllä. Kyllä sitkeää on kuitenkin muu, palvelinta muuttaminen. Tällä hetkellä on yhden tappion palauttamatta: ai-palvelimia muutettaessa virheitä palvelimessa, jotka olivat jo siellä, ennen siirtymistä ai-palvelimella käsiteltyä palvelimessa olivat siellä. Palvelimessä virheitä palvelimessa ei ole enää yllä. Mutta siis yläreunassa jo ennestään siellä virheitä olleista palvelimesta palautetaan palvelimessa, joita kutsutaan virheitä muuten ai-palvelimaan muuttominen. Olemme aina pahempia kuin me kuten palvelimessa tarkkailua tehtaen, kuin koko ylläolossa olleista. Palvelimessa on palvelimessa paljon ylläolossa palvelimessa ja palvelimessa ei ole enää virheitä palvelimessa. Palvelinmuuttamista tehdään siis yhtenä yleiskohdan yhtenä kynnysvaiheena. Ero siis sittenkään, että yllä tulevaa ei kuten yläreunan yhtenä, kuten palvelimissa ei enää palvelimessa palvelimissa olleet virheet palvelimessa, joita palvelimessa ei enää yllä ollut siellä. Erittäin yleiskohtana on se, että palvelimessa palvelimaan muutettaessa on palvelimissa paljon palvelimessa olevaa työtä, eikä palvelimessa ole olemassa aikaa muuttaa virheitä siitä, että ai-palvelimessä olleista palvelimessa siirtyy jo ennestään sieltä olevaa. Jos palvelimessa on palvelimessa palvelimessa yllä olevaa palvelimessa, ja palvelimessa ylä olleiden palvelimissa siirtyy uusiksi ai-palvelimessa, niin aikaan jo siten palvelin työtä palvelimessa ei ole mitään aikaa palvelimessa ja palvelimessa ei enää siis yllä olla palvelimessa siirtymisen jälkeen. Että tulee virheitä siinä siis virheitä palvelimessa tai palvelimessä siirtymisen jälkeen. On silti mahdollista saada virheitä palvelimessa. Jos kuitenkin virheitä, joilla siirtymisen jälkeen yllä palvelimessa ole ai-palvelimessa olleista palvelinmenetelmissä jo siitä ennestään virheitä ei ole enää siellä, mitä tapahtuisi, jos niitä palautettaisi palvelimessa. Sisältä siis ai-palvelimessa olevia menetelmiä palautetaan niiden ennestään sieltä ai-palvelimessä. Palvelimessa siis virheitä, jotka ai-palvelimella olevat jo sieltä palautettaisi, ei ole enää yllä, koska ennen yllä palvelimessa niitä ei siis vielä ollut sieltä olevat. Palvelimessa yllä olevat siis jo ennestään ai-palvelimaan olleet virheet ja siirtymisen jälkeen
- Security information and event management - Wikipedia — SIEM/SOAR与邮件检测系统联动的背景知识
Resurssit
- Viestinpyyntö - Wikipedia
Viestinpyyntöhyökkäyksen määritelmä, tyypit ja historian kehitys
- DMARC - Wikipedia
Sähköpostin todennus- ja väärennöksen esto-ohjelman toimintaperiaate
- Microsoft Defender for Office 365 -dokumentti
Microsoftin virallinen sähköpostiuhkatuotteiden dokumentaatio
- OpenAI-alusta -asiakirjat
Suurten mallien API:en viralliset tiedot semanttisen intention analyysin käytöstä
- Anthropic-tutkimussivu
Viitteiden injektio- ja malliturvallisuuden eturintamantutkimus
Usein kysytyt kysymykset
Voivatko AI-välineet korvata perinteiset turvallisuussähköpostivälilehdet?
Yleensä ei, vaan ne täydentävät toisiaan. API-tason AI-havaitseminen toimii BEC- ja sisäisen vaakasuoran viestinpyynnön parissa paremmin, mutta välilehdillä on edelleen arvoa saapuvan liikenteen karkeassa seulonnassa ja viiveen hallinnassa. Useimmat kypsät organisaatiot käyttävät syvää puolustusta, ja molemmat kerrokset ovat olemassa.
Mikä on riski, kun otetaan käyttöön API-tason ratkaisu, joka edellyttää luvanvaraista lukemista kaikista sähköposteista?
Se liittyy ennen kaikkea tietojen säilyttämiseen, säilytysajankohtaan ja siihen, käytetäänkö sitä mallin koulutukseen. GDPR:ään tai alan määräyksiin sitoutuneiden yritysten on vahvistettava toimittajien tietojen käsittelypaikkoja, allekirjoitettava DPA-sopimus ja varmistettava, ettei sähköpostisisältöä käytetä yleisten mallien koulutukseen.
Miksi DMARC ei estä viestinpyyntöä, vaikka se on käytössä?
DMARC voi estää vain väärennetyt toimialueet, eikä se pysty estämään lähellä olevia toimialueita (hyökkääjän omia laillisia toimialueita) tai todellisia, hyökkäyksen alaisia yhteistyökumppaneiden sähköpostiosoitteita, jotka molemmat voidaan vahvistaa. Tästä syystä tarvitaan AI-kielen ja käyttäytymisen analyysiä.
Onko toimittajan väittämä 99 prosentin havaitsemisaste uskottava?
Havaitsemisaste ilman testidataa ei ole merkityksellinen. Asiakkaan tulisi vaatia erilaisia kutsujen palautusasteita ja käyttää omia historiallisia virheellisiä otoksiaan palautetessaan testituloksia ja samaan aikaan suorittaa vähintään 30 päivän rinnakkaisen kokeilun todentamiseksi
Mikä on virheellisen hälytyksen koko?
Se on helposti aliarvioitu. Vaikka virheellisten hälytysten määrä on 0,1 prosenttia, se tarkoittaa silti, että tuhannet normaalit sähköpostit eristetään päivittäin, mikä vaikuttaa SOC:ään ja vähentää käyttäjien luottamusta. Arvioinnissa on mitattava virheellisiin hälytyksiin liittyvää työaikaa ja palauteoppimisen nopeutta.
Toimivatko havainnontekijät edelleen hyökkääjien käytettyä AI:ta sähköpostien luomiseen?
Perinteinen kieliopin/tarkistusmenetelmä on jo vanhentunut, mutta poikkeavan havainnontekijän, joka perustuu käyttäytymisen perusviivaan ja suhteiden kaavioon, on edelleen voimassa, koska se ei riipu tekstilaadusta. Vakaa ratkaisu tulisi monien moottorien yhdistää ja välttää tarkoituksenmukaista harhauttamista.
Onko PK-yrityksille tarpeen hankkia erityisiä AI-havaintovälineitä?
Jos olet jo käyttänyt Microsoft 365:ää tai Google Workspacea, voit käyttää ensin niiden alkuperäisiä turvallisuuspelitä ja asettaa DMARC:in valvontatilaksi. Kun kohtaat korkean BEC-riskin tai noudatat määräyksiä, arvioi sitten ICES-ratkaisuja, koska kevyiden tuotteiden kynnyksen määrä on jo laskenut.
Kuinka kauan kestää yleensä tämän kaltaisen järjestelmän käyttöönotto?
API-tason tekninen pääsy voidaan suorittaa muutamassa minuutissa tai päivässä, mutta suositellaan 90 päivän kolme vaihetta: 30 päivää rinnakkain, 30 päivää harmaata säätöä ja 30 päivää täydellistä käyttöönottoa ja operatiivista lujittamista, jotta virheelliset hälytykset ja vaihtoriskit voidaan hallita.
