Cos'è la sicurezza dell'IA?

Comprendere il ruolo dell'IA nella sicurezza informatica moderna

I sistemi di sicurezza informatica tradizionali si concentravano sulla preservazione dello stato operativo di una rete o di un dispositivo.

Le minacce moderne, tuttavia, raramente cercano di causare interruzioni, ma mirano invece a:

• Rubare dati aziendali preziosi
• Distribuire varianti complesse di malware dietro le difese perimetrali

Per allineare le difese a questi obiettivi, il personale di sicurezza deve monitorare un maggior numero di dati.

L'ascesa di SIEM e EDR

Questo cambiamento di obiettivo può essere tracciato negli strumenti di sicurezza che sono diventati popolari nel tempo: l'ascesa degli strumenti di Security Information and Event Management (SIEM) nei primi anni 2010 ha portato a una spinta verso l'analisi e l'elaborazione di grandi quantità di file di log.

Da allora, la quantità di dati elaborati è aumentata.

L'Endpoint Detection and Response (EDR), ad esempio, monitora continuamente le attività interne di ogni laptop, telefono e PC aziendale, mentre i firewall fanno lo stesso per le attività a livello di rete. Questi singoli pezzi di dati vengono creati più velocemente di quanto possano essere investigati manualmente.

(Ma devono comunque essere trasformati in informazioni utilizzabili.)

È qui che l'IA, come il machine learning, ha compiuto passi significativi.

L'adozione dell'IA

Funziona addestrando algoritmi su grandi set di dati, dai quali organizza dati di rete o malware in schemi riconoscibili. Questi modelli possono poi essere applicati a nuovi set di dati, consentendo di riconoscere automaticamente le anomalie, ad esempio:

• Tentativi di accesso insoliti
• Schemi di accesso ai dati

Nel corso del tempo, i modelli ML si adattano e migliorano la loro accuratezza grazie all'apprendimento continuo di nuovi dati.

È solo uno dei modi in cui l'IA consente ai team di sicurezza informatica di lavorare più rapidamente ed efficientemente e di valutare una gamma più ampia di threat intelligence rispetto a quanto sarebbe possibile con il solo sguardo umano.

Rischi per la sicurezza dell’IA

Sebbene l'IA abbia promesse significative e potenziali vantaggi in numerosi settori, può anche introdurre rischi per la sicurezza, tra cui:

• Violazioni dei dati: i modelli IA richiedono grandi volumi di dati per l'addestramento. La raccolta e l'utilizzo di questi set di dati di grandi dimensioni introduce il rischio potenziale che vengano violati da un utente malintenzionato.
• Attacchi contraddittori: l'integrazione dell'IA in vari processi introduce il rischio che gli aggressori informatici prendano di mira l'IA. Ad esempio, gli aggressori possono tentare di corrompere i dati di addestramento o addestrare i sistemi di IA avversari a identificare errori nel modello di IA che ne consentono l'aggiramento o lo sfruttamento.
• Bias e discriminazione: i modelli IA sono costruiti sulla base di dati di addestramento etichettati. Se tali dati contengono pregiudizi, ad esempio contengono prevalentemente immagini di particolari gruppi demografici, allora il modello IA apprenderà gli stessi pregiudizi.
• Mancanza di trasparenza: l’IA può identificare tendenze e rilevare relazioni complesse. Tuttavia, i suoi modelli non sono trasparenti o interpretabili, rendendo impraticabile l'identificazione di errori o distorsioni nel modello finale.

Come può l'IA aiutare a prevenire gli attacchi informatici?

La proliferazione dell'IA ad alta potenza è una forza trainante dietro controlli e flussi di lavoro di sicurezza più rigorosi e accurati. Poiché l'IA può essere implementata in formati drasticamente diversi a seconda dei dati su cui è addestrata, i seguenti casi d'uso sono raggruppati in base agli strumenti di sicurezza che implementano l'IA.

L'intelligenza artificiale nella sicurezza delle reti

L'implementazione dell'IA nella sicurezza della rete può spaziare dall'identificazione di connessioni esterne sospette all'implementazione di una segmentazione della rete più rigorosa.

Rilevamento automatico dell'identità

Il controllo degli accessi basato sui ruoli (RBAC) è un modo per implementare la sicurezza di rete secondo il principio del privilegio minimo.

Invece di assegnare permessi generali a gruppi statici di individui, cosa che richiede molto tempo e risorse, l'RBAC collega ruoli specifici ai permessi che riflettono le loro responsabilità lavorative. Gli utenti vengono quindi assegnati a questi ruoli, ereditando automaticamente i permessi associati.

Ad esempio, un nuovo dipendente potrebbe essere associato al ruolo di "amministratore del database" e le autorizzazioni coinvolte sarebbero:

• Creazione ed eliminazione di database
• Backup e ripristino dei dati

Questi permessi espliciti sarebbero completamente diversi da quelli previsti per il ruolo di "contabile".

L'IA sta accelerando l'adozione di RBAC grazie alla sua capacità di scoprire automaticamente le identità. I nuovi strumenti di sicurezza di rete possono scansionare login, accesso ai file e utilizzo delle applicazioni tra i dipartimenti, per poi costruire un profilo di ciò a cui i dipendenti reali accedono quotidianamente.

Se rileva che un gruppo specifico accede regolarmente al software di contabilità, gestisce i dati delle buste paga ed esegue report mensili, è in grado di suggerire automaticamente il ruolo di "Analista finanziario". I nuovi dipendenti con funzioni simili possono quindi essere assegnati automaticamente a questo ruolo, semplificando l'onboarding di RBAC.

Classificazione delle minacce in tempo reale

La sicurezza della rete è dominata dal firewall con stato. Un approccio collaudato che monitora le connessioni in entrata e in uscita tra i dispositivi aziendali e Internet pubblico, e che rimane un baluardo della sicurezza da quando Check Point lo ha inventato nel 1993.

Con l'IA, tuttavia, i firewall sono in grado di automatizzare gran parte del flusso di lavoro di rilevamento delle minacce: questo può essere applicato sia al traffico in entrata che alla valutazione della legittimità dei siti esterni.

Ad esempio, i firewall supportati dall'IA sono pre-addestrati su dati di rete di traffico etichettati.

Poiché il modello di IA diventa altamente abile nel riconoscere e etichettare attività di rete dannose, il firewall può collegare violazioni di politiche disparate al quadro più ampio di un attacco reale.

Next Generation Firewall

I firewall di nuova generazione portano questa capacità oltre le etichette di allarme e offrono capacità di risposta automatica in base al tipo di attacco sospetto. Questo potrebbe includere:

• Aggiornamento automatico delle politiche interne sul traffico
• Isolamento delle comunicazioni verso una rete secondaria infetta

Per garantire la continuità aziendale, è necessario aggiungere manualmente al firewall funzionalità di risposta di ultima istanza, come lo spostamento del traffico su server di failover dedicati, tramite playbook.

Non è solo il traffico interno che l'IA del firewall può valutare: a seconda del fornitore del firewall, alcuni offrono anche la categorizzazione degli URL. Utilizza l'IA dell'elaborazione del linguaggio naturale (NLP) per classificare gli URL in base alla loro sicurezza.

I siti pericolosi o inappropriati possono essere bloccati a livello di firewall, garantendo la massima sicurezza.

Prevenzione degli attacchi Zero Day

Sebbene la stragrande maggioranza degli attacchi si basi su vettori di attacco prestabiliti, esiste un mercato nero molto redditizio per le vulnerabilità zero-day. Sono così preziose proprio perché per queste vulnerabilità non sono ancora state create delle patch.

(E quando applicato contro firewall, può rappresentare una grave preoccupazione per la sicurezza.)

Un firewall potenziato dall'IA è in grado di difendersi dagli zero-day stabilendo una baseline di normale attività di rete. Ad esempio, è in grado di tracciare un grafico dei volumi di trasferimento di dati tipici per ciascun ruolo utente. Se il firewall rileva un improvviso picco di trasferimento dati verso un server esterno a un'ora insolita, segnala o blocca l'attività come potenzialmente dannosa.

Questa stessa tecnica può anche proteggere applicazioni altrimenti non corrette.

L'intelligenza artificiale nella sicurezza degli endpoint

Gli endpoint sicuri sono ora parte integrante della sicurezza aziendale. In sostanza, Endpoint Detection and Response (EDR) raccoglie dati di telemetria dettagliati da questi endpoint, come:

• Esecuzione del processo
• Relazioni di processo genitore-figlio
• Interazioni tra file come creazione, modifica ed eliminazione

Questi dati sono ricchi ma complessi, rendendoli ideali per l'analisi dell'IA.

Analisi comportamentale basata sugli endpoint

L'IA consente di rilevare le minacce in modo predittivo, imparando a conoscere il comportamento normale e individuando le sottili anomalie che possono indicare un'attività dannosa.

Questo la rende particolarmente abile nel rilevare malware complessi o progettati con precisione che impiegano tecniche di offuscamento come il process hollowing, o anche quando un processo malevolo viene denominato in modo legittimo. Poiché l'EDR monitora quale processo interagisce con quale file, l'IA può quindi individuare quando un processo in background accede a file sensibili a cui normalmente non accederebbe.

Questa deviazione permette di lanciare un allarme molto prima che venga eseguito un attacco riuscito.

Analisi predittiva

Poiché diversi ceppi di malware agiscono in modi differenti, un'IA EDR è in grado di identificare i trend all'interno di un attacco in corso e prevedere quali sistemi o utenti saranno probabilmente presi di mira successivamente. Ad esempio, se la presa di controllo dell'account è la causa sospetta di un attacco, è in grado di esaminare a quali database l'account potrebbe avere accesso.

Se l'EDR è integrato con il firewall, questo può essere automaticamente trasformato in corrispondenti cambiamenti nelle politiche del firewall.

Vantaggi derivanti dall'utilizzo delle tecnologie IA nella sicurezza

L’IA offre notevoli vantaggi potenziali per la sicurezza informatica aziendale, tra cui:

• Rilevamento avanzato delle minacce: l'IA può analizzare grandi volumi di avvisi di sicurezza e identificare con precisione le vere minacce. Ciò consente ai team di sicurezza di rilevare e rispondere più rapidamente a potenziali intrusioni.
• Correzione rapida degli incidenti: dopo che un incidente di sicurezza è stato identificato, l'IA può eseguire una riparazione automatizzata basata su playbook. Ciò accelera e semplifica il processo di risposta agli incidenti, riducendo la capacità degli aggressori di causare danni all'organizzazione.
• Visibilità della sicurezza migliorata: l'IA può analizzare grandi volumi di dati ed estrarre informazioni utili e threat intelligence. In questo modo le organizzazioni possono avere una maggiore visibilità sullo stato attuale della loro infrastruttura IT e di sicurezza.
• Maggiore efficienza: l'IA può automatizzare molte attività IT ripetitive e di basso livello. In questo modo non solo si riduce il carico di lavoro del personale IT, migliorando l'efficienza, ma si garantisce anche che queste attività vengano eseguite regolarmente e correttamente.
• Apprendimento continuo: l'IA può apprendere e aggiornare continuamente i propri modelli durante il funzionamento attivo. Ciò consente di imparare a rilevare e rispondere alle più recenti campagne di minacce informatiche.

Raccomandazioni e migliori pratiche sulla sicurezza IA

Alcune best practice di sicurezza per l'implementazione dell'IA includono quanto segue:

• Garantire la qualità dei dati di addestramento: l'IA è precisa ed efficace quanto lo sono i suoi dati di addestramento. Quando si creano sistemi e modelli IA, è fondamentale garantire la correttezza dei dati di addestramento etichettati.
• Affrontare le implicazioni etiche: l'utilizzo dell'IA ha implicazioni etiche a causa del rischio di pregiudizi o uso improprio dei dati personali per la formazione. Assicurarsi che siano in atto misure di sicurezza per garantire che i dati di training siano completi e che sia stato concesso il consenso necessario.
• Eseguire test e aggiornamenti periodici: i modelli IA potrebbero contenere errori o diventare obsoleti nel tempo. Test e aggiornamenti periodici sono essenziali per garantire l'accuratezza e l'usabilità del modello IA.
• Implementare policy di sicurezza IA: gli autori delle minacce informatiche possono prendere di mira i sistemi IA nei loro attacchi. Implementare politiche e controlli di sicurezza per proteggere i dati e i modelli di addestramento dell’IA da potenziali sfruttamenti.