Intelligenza artificiale (IA)

La tecnologia utilizzata dai cybercriminali per aggirare le tue difese è la stessa tecnologia di cui hai bisogno per fermarli. Ciò crea un problema per le organizzazioni che non adottano la sicurezza basata sull'intelligenza artificiale, perché restano indietro in termini di capacità e velocità.

Il World Economic Forum ha scoperto che Il 47% delle organizzazioni cita l'intelligenza artificiale generativa come la loro principale preoccupazione per la sicurezza , e quello L'86% dei leader aziendali si è verificato almeno un incidente correlato all'intelligenza artificiale nell'ultimo anno. Anche l'FBI ha documentato un Aumento del 37% degli attacchi di compromissione della posta elettronica aziendale assistiti dall'intelligenza artificiale . L'intelligenza artificiale ha abbassato le barriere per gli aggressori, rendendo tecniche sofisticate accessibili a chiunque abbia competenze tecniche di base.

Le soluzioni tradizionali non funzionano più. I dati mostrano che Il 76% del malware è ora costituito da minacce zero-day che l'antivirus tradizionale non riconosce. Questa differenza tra il rilevamento di tre quarti delle minacce e la loro mancata rilevazione spiega perché i team di sicurezza stanno passando al rilevamento basato sull'intelligenza artificiale.

Il ruolo dell'intelligenza artificiale generativa nella sicurezza informatica

I team di sicurezza utilizzano l'intelligenza artificiale generativa per identificare più rapidamente le minacce, analizzare il codice malware e monitorare il comportamento della rete, per contrastare le minacce alla sicurezza informatica di GenAI. L'intelligenza artificiale viene utilizzata nella sicurezza informatica nei seguenti ambiti:

• Migliorare il rilevamento e la risposta alle minacce: Organizzazioni che integrano l'intelligenza artificiale nelle proprie operazioni di sicurezza per aumentare la velocità e il volume di rilevamento delle minacce rispetto ai metodi tradizionali. Per avere successo in questo contesto, le organizzazioni devono ora utilizzare l'intelligenza artificiale e l'automazione della sicurezza nei loro centri operativi per gestire la selezione degli avvisi e l'analisi comportamentale. Ciò deve essere fatto per analizzare i modelli di dati e segnalare anomalie che indicano potenziali attacchi.
• Reverse engineering di attacchi di phishing e malware: I sistemi di intelligenza artificiale possono analizzare i file dannosi per capire come funzionano, quali vulnerabilità sfruttano e come comunicano con i server di comando e controllo. Questi sistemi possono disassemblare il codice malware, tracciare i percorsi di esecuzione e identificare le tecniche utilizzate dagli aggressori per eludere il rilevamento. La tecnologia è in grado di estrarre indicatori di compromissione da campioni crittografati, consentendo ai team di sicurezza di sviluppare firme e regole di rilevamento più rapidamente di quanto consentirebbe l'analisi manuale. Questa automazione è in grado di gestire il volume di nuove varianti di malware che compaiono quotidianamente, identificando famiglie di minacce correlate e monitorando il modo in cui gli aggressori modificano i propri strumenti.
• Miglioramento della sicurezza degli endpoint e della rete: L'intelligenza artificiale può monitorare i modelli di traffico per identificare anomalie che potrebbero indicare compromessi o violazioni delle policy. Questi sistemi stabiliscono le linee di base del comportamento normale per utenti, dispositivi e applicazioni, quindi segnalano le deviazioni che potrebbero giustificare un'indagine. La tecnologia funziona alla velocità di una macchina, analizzando migliaia di eventi al secondo per rilevare minacce che potrebbero mettere in difficoltà gli analisti umani. L'intelligenza artificiale può adattare dinamicamente i controlli di accesso in base al comportamento e al contesto dell'utente, limitando i privilegi quando rileva attività sospette o concedendo l'accesso quando il comportamento corrisponde a modelli stabiliti.

Rischi per la sicurezza dell'intelligenza artificiale

Gli aggressori utilizzano l'intelligenza artificiale per automatizzare gli attacchi, creare tecniche di ingegneria sociale convincenti e individuare vulnerabilità più velocemente di quanto i difensori riescano a risolverle. Di seguito sono riportati alcuni esempi di tali rischi per la sicurezza dell'IA.

• Avversari e bot basati sull'intelligenza artificiale: Una parte significativa del traffico Internet è ora gestita da bot automatizzati, con bot dannosi che eseguono attacchi di credential stuffing, estraggono dati e testano i siti web alla ricerca di vulnerabilità. Questi bot integrano l'apprendimento automatico per adattare il loro comportamento in tempo reale, ruotando gli indirizzi IP, imitando i modelli di navigazione umani e modificando le loro tattiche quando incontrano controlli di sicurezza. Gli strumenti di intelligenza artificiale hanno abbassato la barriera tecnica per lanciare attacchi bot, consentendo anche ad attori privi di conoscenze approfondite di programmazione di implementare botnet sofisticate che in precedenza richiedevano competenze specialistiche per funzionare.
• Phishing, ingegneria sociale e deepfake: L'intelligenza artificiale ha eliminato gli errori grammaticali e le frasi poco chiare su cui gli utenti facevano affidamento per identificare i tentativi di phishing. I modelli linguistici generano contenuti di posta elettronica convincenti che corrispondono agli stili di comunicazione aziendale, rendendo più difficile distinguere i messaggi legittimi dagli attacchi. La tecnologia Deepfake crea audio e video che impersonano dirigenti, consentendo agli aggressori di autorizzare bonifici fraudolenti o di indurre i dipendenti a condividere le credenziali. Questi attacchi hanno successo perché sfruttano i rapporti di fiducia e aggirano i controlli di sicurezza tecnica prendendo di mira il processo decisionale umano.
• Sfruttamento delle vulnerabilità: La finestra temporale tra la divulgazione e lo sfruttamento delle vulnerabilità si è ridotta poiché l'intelligenza artificiale automatizza il processo di analisi delle patch, il reverse engineering delle vulnerabilità e la generazione di exploit funzionanti. Gli aggressori utilizzano agenti di intelligenza artificiale per analizzare le reti alla ricerca di sistemi vulnerabili, testare il codice exploit e muoversi lateralmente attraverso ambienti compromessi senza intervento manuale. Questa automazione riduce i tempi di attacco da settimane a ore, dando ai difensori meno tempo per correggere i sistemi prima che gli aggressori sfruttino le vulnerabilità appena scoperte.

L'apprendimento automatico fornisce analisi predittive, rilevamento delle anomalie e altro ancora

Gli algoritmi di apprendimento automatico identificano modelli nei dati storici degli attacchi per riconoscere le firme della preparazione dell'attacco, dando ai difensori il tempo di bloccare l'accesso o isolare gli account compromessi prima che gli aggressori eseguano il loro payload attraverso l'uso dell'analisi comportamentale e del rilevamento delle anomalie.

Gli strumenti di sicurezza stabiliscono le linee di base dell'attività normale osservando come gli utenti accedono ai sistemi, quali dati toccano e quando eseguono queste azioni. I modelli di apprendimento automatico rilevano le deviazioni da queste linee di base perché operano in base alle probabilità anziché in base a regole fisse.È possibile applicare l'analisi comportamentale per rilevare le minacce che gli antivirus basati sulle firme non rilevano, contribuendo a un aumento delle rilevazioni .

L'ascesa dell'automazione nelle operazioni di sicurezza

I centri operativi di sicurezza ricevono migliaia di avvisi ogni giorno, la maggior parte dei quali sono falsi positivi o eventi di bassa priorità. L'automazione gestisce il lavoro ripetitivo che consuma tempo agli analisti correlando gli avvisi provenienti da più fonti, arricchendoli con informazioni sulle minacce ed eseguendo azioni di risposta iniziali senza intervento umano.

Esempi di strumenti di automazione della sicurezza:

1. XDR (rilevamento e risposta estesi)

Piattaforme XDR aggregare i dati di sicurezza provenienti da endpoint, reti, e-mail e servizi cloud in un'unica vista. Gli strumenti di sicurezza tradizionali operano in modo isolato, costringendo gli analisti a passare da una console all'altra e a correlare manualmente gli eventi. XDR automatizza questa correlazione.

2. SOAR (Orchestrazione, automazione e risposta della sicurezza)

Le piattaforme SOAR eseguono playbook predefiniti quando si verificano condizioni specifiche. Questi sistemi si integrano con gli strumenti di sicurezza esistenti tramite API, orchestrando risposte che altrimenti richiederebbero il coordinamento manuale tra più prodotti.

3. Gestione delle vulnerabilità

Gli scanner di vulnerabilità automatizzati testano costantemente reti e applicazioni alla ricerca di punti deboli noti. Quando viene pubblicato un nuovo CVE, questi sistemi analizzano immediatamente l'ambiente per identificare i sistemi interessati e stabilire la priorità delle patch in base alla sfruttabilità e all'esposizione.

4. AIOps (Intelligenza Artificiale per le Operazioni IT)

AIOps applica l'apprendimento automatico ai dati delle operazioni IT, identificando degradi delle prestazioni o anomalie che indicano problemi di sicurezza. Gli strumenti AIOps rilevano queste anomalie nelle metriche operative che gli strumenti di sicurezza tradizionali non monitorano.

Preservare l'elemento umano

L'automazione aiuta a gestire il volume, ma gli esseri umani prendono decisioni che le macchine non sono in grado di prendere. Sono necessari professionisti della sicurezza per esaminare i casi che l'automazione non riesce a risolvere, indagare sugli attacchi sofisticati che non corrispondono a modelli noti e prendere decisioni sui rischi accettabili.

Il lavoro stesso sta cambiando. In passato, gli analisti dedicavano la maggior parte del loro tempo a smistare gli avvisi, determinando quali richiedessero un'indagine e quali fossero falsi positivi. Ora progettano le regole di rilevamento che generano tali avvisi, ottimizzano i modelli di apprendimento automatico che filtrano il rumore e creano i playbook di risposta che l'automazione esegue. Questo cambiamento implica che i professionisti della sicurezza debbano comprendere sia le minacce aziendali da cui si stanno difendendo sia le capacità tecniche dei loro strumenti. Stanno diventando architetti di sistemi di sicurezza anziché operatori che rispondono manualmente a ogni incidente.

Adozione etica dell'intelligenza artificiale nella sicurezza

I sistemi di intelligenza artificiale addestrati principalmente per attacchi contro un settore potrebbero non riconoscere tecniche comuni in un altro. Un modello che ha imparato dalle violazioni dei servizi finanziari non sarà necessariamente in grado di individuare modelli di attacco specifici del settore sanitario. I team di sicurezza devono convalidare i propri strumenti di intelligenza artificiale negli ambienti reali e nelle minacce che devono affrontare, non solo fidarsi delle dichiarazioni dei fornitori in merito alla loro accuratezza. Anche le azioni di risposta automatizzate comportano dei rischi: un falso positivo che blocca gli utenti legittimi durante un'emergenza aziendale crea danni di altro tipo. La supervisione umana è importante perché qualcuno deve rivedere le decisioni in materia di automazione e mantenere la responsabilità delle azioni intraprese in nome dell'organizzazione.