What is AI Security?

Comprender el papel de la IA en la ciberseguridad moderna

Los sistemas tradicionales de ciberseguridad se centraban en preservar el estado operativo de una red o un dispositivo.

Sin embargo, las amenazas modernas casi nunca buscan causar interrupciones, sino que apuntan a:

• Robar datos corporativos valiosos
• Implementar cepas complejas de malware detrás de las protecciones perimetrales

Para alinear las protecciones con estos objetivos, se requiere que el personal de seguridad supervise más datos.

El auge de SIEM y EDR

Este objetivo cambiante se puede seguir en las herramientas de seguridad que se popularizaron con el tiempo: el auge de las herramientas de gestión de información y eventos de seguridad (SIEM) a principios de la década de 2010 supuso un impulso hacia la ingesta y el análisis de grandes cantidades de archivos de registro.

Desde entonces, la cantidad de datos ingeridos ha aumentado.

La detección y respuesta de terminal (EDR), por ejemplo, monitorea continuamente las actividades internas de cada laptop, teléfono y PC de la empresa, mientras que los firewalls hacen lo mismo para la actividad a nivel de red. Estos datos individuales se crean más rápido de lo que se puede investigar manualmente.

Sin embargo, igual deben convertirse en información procesable.

Aquí es donde la IA, como el aprendizaje automático, ha logrado avances significativos.

La adopción de la IA

Se trata de entrenar algoritmos en grandes conjuntos de datos, a partir de los cuales organiza los datos de la red o del malware en patrones reconocibles. Estos patrones se pueden aplicar a nuevos conjuntos de datos, lo que permite reconocer automáticamente anomalías, tales como:

• Intentos de inicio de sesión inusuales
• Patrones de acceso a datos

Con el tiempo, los modelos de aprendizaje automático se adaptan y mejoran su precisión mediante el aprendizaje continuo de nuevos datos.

Es solo una de las formas en que la IA permite a los equipos humanos de ciberseguridad trabajar más rápido, de forma más eficiente y evaluar espectros de inteligencia sobre amenazas más amplios de lo que pueden percibir los ojos.

Riesgos para la seguridad de la IA

Aunque la IA es muy prometedora y puede reportar beneficios en numerosos sectores, también puede introducir riesgos para la seguridad, como los siguientes:

• Violación de datos: Los modelos de IA requieren grandes volúmenes de datos para su entrenamiento. La recopilación y el uso de estos grandes conjuntos de datos presenta el riesgo potencial de que un atacante los viole.
• Ataques de adversarios: La integración de la AI en varios procesos introduce el riesgo de que los ciberatacantes tengan como objetivo la AI. Por ejemplo, los atacantes pueden intentar corromper los datos de entrenamiento o entrenar sistemas de IA adversarios para identificar errores en el modelo de la IA que permitan eludirla o explotarla.
• Sesgo y discriminación: Los modelos de IA se construyen a partir de datos de entrenamiento etiquetados. Si esos datos contienen sesgos -como contener predominantemente imágenes de determinados grupos demográficos-, entonces el modelo de IA aprenderá los mismos sesgos.
• Falta de transparencia: La IA puede identificar tendencias y detectar relaciones complejas. Sin embargo, sus modelos no son transparentes ni interpretables, lo que hace inviable la identificación de errores o sesgos en el modelo final.

¿Cómo puede la IA ayudar a prevenir ciberataques?

La proliferación de IA de alta potencia fortalece los controles de seguridad y los flujos de trabajo más estrictos y precisos. Dado que la IA se puede implementar en formatos muy diferentes según los datos con los que se haya entrenado, los siguientes casos de uso se agrupan en función de las herramientas de seguridad que implementan la IA.

IA en la seguridad de redes

La implementación de la IA en la seguridad de la red puede abarcar desde la identificación de conexiones externas sospechosas hasta la implementación de una segmentación de red más estricta.

Detección automatizada de identidades

El control de acceso basado en roles (RBAC) es una forma de implementar la seguridad de red según el principio del privilegio mínimo.

En lugar de asignar permisos generales a grupos estáticos de personas, lo cual requiere mucho tiempo y recursos, RBAC vincula roles específicos a los permisos que reflejan sus responsabilidades laborales. A continuación, los usuarios se asignan a estos roles y heredan automáticamente los permisos asociados.

Por ejemplo, si se vincula un nuevo empleado a la función de “administrador de base de datos”, tendría los siguientes permisos:

• Creación y eliminación de bases de datos
• Realizar copias de seguridad y restaurar datos

Estos permisos explícitos se verían completamente diferentes de aquellos en un rol de “contador”.

La IA está acelerando la adopción del RBAC gracias a su capacidad para descubrir identidades automáticamente. Las nuevas herramientas de seguridad de red pueden escanear inicios de sesión, acceso a archivos y uso de aplicaciones entre departamentos, para luego compilar un perfil de lo que los empleados reales acceden en el día a día.

Si detecta que un grupo específico accede regularmente al software de contabilidad, maneja los datos de nómina y ejecuta informes mensuales, puede recomendar un rol de “analista financiero” de forma automática. A los nuevos empleados con funciones laborales similares se les puede asignar automáticamente este rol, lo que agiliza la incorporación de RBAC.

Clasificación de amenazas en tiempo real

La seguridad de la red está dominada por el firewall con estado. Es un enfoque probado y comprobado que supervisa las conexiones entrantes y salientes entre los dispositivos empresariales y la Internet pública. Sigue siendo un bastión de seguridad desde que Check Point lo inventó en 1993.

Sin embargo, con la IA, los firewall pueden automatizar en mayor medida el flujo de trabajo de detección de amenazas: esto se puede aplicar tanto al tráfico entrante como a la evaluación de la legitimidad de los sitios externos.

Por ejemplo, los firewalls compatibles con IA están preentrenados con datos de red de tráfico etiquetados.

Dado que el modelo de IA se vuelve muy hábil para reconocer y etiquetar la actividad maliciosa de la red, el firewall puede vincular violaciones dispares de políticas con el panorama más amplio de un ataque real.

Cortafuegos de última generación

Los firewalls de última generación llevan esta capacidad más allá de las etiquetas de alerta y ofrecen capacidades de respuesta automatizada según el tipo de ataque que se sospeche. Esto podría incluir:

• Actualización automatizada de políticas internas de tráfico
• Aislamiento de comunicaciones a una subred infectada

Las capacidades de respuesta de último recurso, como mover el tráfico a servidores de conmutación por error dedicados, deben agregarse manualmente al firewall a través de cuadernos de estrategias, para garantizar la continuidad del negocio.

La IA de firewall no solo puede evaluar el tráfico interno; según el proveedor de firewall que tenga, algunos también ofrecen clasificación de URL. Esta utiliza inteligencia artificial basada en el procesamiento del lenguaje natural (NLP) para clasificar las URL según su seguridad.

Los sitios peligrosos o inapropiados se pueden bloquear a nivel del firewall, lo que garantiza la máxima seguridad.

Prevención de ataques de día cero

Si bien la gran mayoría de los ataques se basan en vectores de ataque preestablecidos, existe un mercado negro muy lucrativo para las vulnerabilidades de día cero. Son muy valiosos precisamente porque estas vulnerabilidades aún no tienen parches.

(Y cuando se aplica contra los firewalls, puede suponer un problema importante de seguridad).

Un firewall mejorado con IA puede defenderse contra los ataques de día cero mediante el establecimiento de una línea de base de la actividad normal de la red. Por ejemplo, puede trazar un gráfico con los volúmenes de transferencia típicos de cada rol de usuario. Si el firewall detecta un aumento repentino en la transferencia de datos a un servidor externo a una hora inusual, marca la actividad como potencialmente maliciosa o la bloquea.

Esta misma técnica también puede proteger aplicaciones que de otro modo no estarían parcheadas.

IA en la seguridad de terminales

Los terminales seguros son ahora un componente integral para la seguridad empresarial. Básicamente, la detección y respuesta en los terminales (EDR) recopila datos telemétricos detallados de estos terminales, tales como:

• Ejecución del proceso
• Relaciones de procesos principales y secundarios
• Interacciones de archivos como creación, modificación y eliminación

Estos datos son ricos pero complejos, por lo que son ideales para el análisis de IA.

Análisis del comportamiento basado en terminales

La IA permite la detección predictiva de amenazas, ya que aprende cómo es el comportamiento normal y detecta anomalías sutiles que pueden indicar una actividad maliciosa.

Esto lo hace particularmente apto para detectar malware complejo o diseñado con precisión que utiliza técnicas de ofuscación como el vaciado de procesos, o incluso cuando un proceso malicioso tiene un nombre que parece legítimo. Dado que EDR supervisa qué proceso interactúa con qué archivo, su IA puede detectar cuándo un proceso en segundo plano accede a archivos confidenciales a los que normalmente no tendría acceso.

Esta desviación permite que se active una alarma mucho antes de que se implemente un ataque exitoso.

Analítica predictiva

Dado que las diferentes cepas de malware actúan de maneras distintas, una IA EDR es capaz de identificar patrones de tendencia dentro de un ataque en curso y predecir qué sistemas o usuarios podrían ser los próximos objetivos. Por ejemplo, si se sospecha que la apropiación de cuenta es la causa raíz de un ataque, puede examinar a qué bases de datos puede tener acceso la cuenta.

Si el EDR está integrado con el firewall, esto puede convertirse de forma automática en cambios correspondientes en la política del firewall.

Ventajas de aprovechar las tecnologías de IA en la seguridad

La IA ofrece importantes beneficios potenciales para la ciberseguridad de las empresas, entre los que se incluyen:

• Detección mejorada de amenazas: La IA puede analizar grandes volúmenes de alertas de seguridad e identificar con precisión las verdaderas amenazas. Esto permite a los equipos de seguridad detectar y responder más rápidamente a posibles intrusiones.
• Rápida remediación de incidentes: Una vez identificado un incidente de seguridad, la IA puede llevar a cabo una reparación automatizada basada en playbooks. Esto agiliza y agiliza el proceso de respuesta a incidentes, lo que reduce la capacidad de los atacantes para causar daños a la organización.
• Visibilidad mejorada de la seguridad: La IA puede analizar grandes volúmenes de datos y extraer información útil e inteligencia sobre amenazas. Esto puede proporcionar a las organizaciones una mayor visibilidad del estado actual de su infraestructura de TI y seguridad.
• Mayor eficiencia: La IA puede automatizar muchas tareas de TI repetitivas y de bajo nivel. Esto no solo reduce la carga del personal de TI, mejorando la eficiencia, sino que también garantiza que estas tareas se realicen de forma regular y correcta.
• Aprendizaje continuo: La IA puede aprender continuamente y actualizar sus modelos mientras está en activo. Esto le permite aprender a detectar y responder a las últimas campañas de amenazas cibernéticas.

Recomendaciones y mejores prácticas de seguridad de la IA

Algunas de las mejores prácticas de seguridad para implantar la IA son las siguientes:

• Garantice la calidad de los datos de entrenamiento: La IA sólo es tan precisa y eficaz como sus datos de entrenamiento. Cuando se construyen sistemas y modelos de IA, es fundamental garantizar la corrección de los datos de entrenamiento etiquetados.
• Abordar las implicaciones éticas: El uso de la IA tiene implicaciones éticas debido al potencial de sesgo o mal uso de los datos personales para el entrenamiento. Asegúrese de que se implementen medidas de seguridad para garantizar que los datos de capacitación estén completos y que se haya otorgado el consentimiento necesario.
• Realice pruebas y actualizaciones periódicas: Los modelos de IA pueden contener errores o quedar desfasados con el tiempo. Las pruebas y actualizaciones periódicas son esenciales para garantizar la precisión y utilidad del modelo de IA.
• Implemente políticas de seguridad para la IA: Los actores de ciberamenazas pueden apuntar a los sistemas de IA en sus ataques. Implemente políticas y controles de seguridad para proteger los datos y modelos de entrenamiento de la IA frente a posibles explotaciones.