I penetration tester umani, ovvero quegli hacker etici assunti per simulare attacchi informatici e mettere alla prova le difese informatiche di un’azienda, guardano con crescente apprensione all’avvento di una nuova ondata di strumenti di pen-testing basati sull’intelligenza artificiale, e sono preoccupati. A ragione.
Con nient’altro che un indirizzo Internet come guida, questi strumenti di intelligenza artificiale sono in grado di mappare e valutare rapidamente (e più velocemente degli esseri umani) lo stato di sicurezza della rete informatica e delle applicazioni web di un’azienda, individuare le vulnerabilità ed eseguire comandi o persino sferrare attacchi di ingegneria sociale per mettere alla prova tali punti deboli, registrando nel contempo ogni aspetto del test e redigendo un rapporto in pochi secondi.
Naturalmente, non è tutto qui. Quegli stessi strumenti spesso falliscono laddove gli esseri umani riescono costantemente a ottenere risultati positivi. Il tasso di falsi positivi (individuazione di minacce inesistenti) e di falsi negativi (mancata individuazione di minacce reali) è in calo, ma rimane comunque significativo, il che può comportare costi elevati per qualsiasi impresa. Inoltre, questi strumenti non comprendono ancora appieno il contesto delle attività che svolgono – il che significa che è difficile garantire che i pen tester basati sull’intelligenza artificiale operino nel rispetto dei limiti etici e legali o che non causino tempi di inattività o danni al sistema non intenzionali.
Senza dubbio, l’intelligenza artificiale migliorerà nei prossimi mesi e tali limiti diventeranno probabilmente meno evidenti o scompariranno del tutto. Nelle moderne operazioni di sicurezza (SecOps), l’intelligenza artificiale (AI) potenzia attualmente molte funzioni svolte dagli analisti umani, quali la classificazione degli allarmi e l’analisi iniziale degli stessi al fine di individuare potenziali attività dannose. I moderni sistemi di intelligenza artificiale sono in grado di analizzare set di dati sempre più vasti per individuare modelli di attacco che potrebbero sfuggire all’attenzione degli osservatori umani, in particolare quelli che operano in reparti che sono sovraccarichi di lavoro e a corto di personale. Inoltre, gli strumenti di intelligenza artificiale possono automatizzare attività essenziali e dispendiose in termini di tempo (analisi dei log, correlazione dei dati, risposta iniziale agli incidenti), redigere rapporti di intelligence sulle minacce e prevedere potenziali attacchi.
I primi indicatori dimostrano che l’intelligenza artificiale rappresenta un investimento oculato. Secondo un rapporto dell’ IBM sulle violazioni dei dati, disponibile all’indirizzo marzo 2022 e consultabile su marzo 2023, le organizzazioni che hanno fatto ampio ricorso all’intelligenza artificiale (IA) e all’automazione nel campo della sicurezza hanno risparmiato 1,76 milioni di dollari in costi legati alle violazioni dei dati rispetto ai gruppi che non hanno utilizzato né l’IA né l’automazione.
Pertanto, dato che l’intelligenza artificiale sta assumendo un ruolo sempre più centrale nelle operazioni di sicurezza, vale la pena chiedersi: Quale sarà il ruolo degli esseri umani? Fortunatamente per i professionisti della sicurezza, gli esperti di intelligenza artificiale e del settore ritengono che gli esseri umani continueranno a svolgere un ruolo in questo ambito ancora per qualche tempo.
«La tecnologia farà ampio ricorso all’intelligenza artificiale, ma il ruolo centrale delle persone rimarrà immutato», afferma Anton Chuvakin, consulente per la sicurezza presso l’ufficio del CISO di Google Cloud. Sebbene l’intelligenza artificiale possa modificare il modo in cui i professionisti della sicurezza svolgono il proprio lavoro quotidiano, egli riconosce che «il quadro generale rimane lo stesso di sempre: persone, processi e tecnologia».
Nell’ambito delle operazioni di sicurezza – sia che la vostra organizzazione si avvalga di professionisti SecOps in generale, sia che abbia potenziato un centro operativo di sicurezza (SOC) specializzato in cui i team di sicurezza condividono informazioni e collaborano – gli esperti individuano cinque aree principali in cui le persone rimarranno la risorsa fondamentale o in cui i lavoratori coesisteranno probabilmente con l’intelligenza artificiale nel prossimo futuro:
1. L'analisi delle informazioni sulle minacce
I team di intelligence sulle minacce soffrono da tempo di un sovraccarico di dati di sicurezza di tipo “ ”, e il volume sempre crescente e la natura in continua evoluzione delle minacce informatiche odierne non fanno che aggravare la situazione. Randy Lariar, direttore del settore tecnologico del centro operativo di sicurezza presso il fornitore di servizi di sicurezza Optiv, afferma di aver osservato che i team di sicurezza utilizzano l’intelligenza artificiale per «analizzare minuziosamente le ricerche sulle minacce e ricavare le informazioni utili dal rumore di fondo in modo più rapido».
«La tecnologia farà ampio ricorso all’intelligenza artificiale, ma il ruolo centrale delle persone rimarrà immutato.”Anton Chuvakin, consulente per la sicurezza presso l’ufficio del CISO, Google Cloud
L’intelligenza artificiale è in grado di automatizzare alcuni processi di analisi dei dati particolarmente noiosi e dispendiosi in termini di tempo; gli strumenti di analisi comportamentale basati sull’intelligenza artificiale consentono di stabilire rapidamente valori di riferimento e individuare scostamenti nell’attività degli utenti o del sistema; infine, l’elaborazione del linguaggio naturale, che permette agli strumenti di intelligenza artificiale di comprendere la comunicazione umana, può aiutare i team a setacciare il dark web alla ricerca di complotti informatici e profili utente. Lariar aggiunge che i team di threat intelligence utilizzano l’intelligenza artificiale anche per redigere le prime bozze dei propri rapporti e per migliorare la propria comunicazione.
Sebbene in futuro l’intelligenza artificiale si occuperà dell’elaborazione intensiva dei dati, gli esseri umani continueranno a essere i principali interpreti di tali dati. Lariar e altri esperti ritengono che gli analisti umani continueranno a far parte del ciclo di intelligence sulle minacce per fornire un contesto fondamentale alle informazioni complesse e per prendere decisioni strategiche sulla base dei risultati ottenuti dall’intelligenza artificiale in materia di intelligence sulle minacce. Saranno inoltre i lavoratori a creare e perfezionare i modelli di intelligenza artificiale.
2. Rilevamento e analisi delle minacce
Al fine di proteggere i sistemi interni da potenziali minacce, i sistemi di intelligenza artificiale sono in grado di monitorare costantemente grandi quantità di dati relativi all’attività delle applicazioni e della rete, necessari per individuare modelli di comportamento dannosi. E l’intelligenza artificiale è in grado di farlo in modo costante e senza affaticarsi.
«[L’intelligenza artificiale può aiutare i team SecOps] a esaminare attentamente le ricerche sulle minacce e a individuare le informazioni rilevanti tra la mole di dati in modo più rapido.”Randy Lariar, direttore del settore tecnologico del centro operativo di sicurezza, Optiv
Tuttavia, nonostante tali vantaggi, non ci si può fidare completamente dei sistemi di intelligenza artificiale se utilizzati senza la supervisione umana, afferma Andrew Storms, vicepresidente responsabile della sicurezza presso Replicated, fornitore di una piattaforma di distribuzione software. L’intelligenza artificiale, che rimane soggetta alle cosiddette “allucinazioni” (ovvero errori) e può essere compromessa da dati di addestramento difettosi o distorti, deve essere tenuta sotto stretto controllo, e gli esseri umani devono continuare a decidere quali segnalazioni richiedano un’analisi più approfondita e, eventualmente, una risposta immediata.
«Bisogna fidarsi dell’intelligenza artificiale fino a un certo punto e avere un’idea della [sua] validità, ma occorre comunque un tocco umano per confermare i risultati forniti dall’intelligenza artificiale e prendere le decisioni finali», afferma Storms.
3. Test di penetrazione
I tester di sicurezza basati sull’intelligenza artificiale assomiglieranno più a partner umani che a sostituti degli esseri umani. Gli strumenti basati sull’intelligenza artificiale sono in grado di eseguire scansioni di reti, applicazioni e sistemi per individuare vulnerabilità e lacune di sicurezza che gli autori degli attacchi potrebbero sfruttare. Tali strumenti di pen-testing basati sull’intelligenza artificiale svilupperanno inoltre modelli di attacco complessi che potrebbero essere sfruttati e prevederanno con elevata precisione in che modo gli aggressori potrebbero adattarsi ai cambiamenti nelle difese.
Per quanto ciò possa rivelarsi utile, Storms sostiene che i tester di sicurezza basati sull’intelligenza artificiale continueranno a essere un’estensione dei tester umani, i quali avranno ora più tempo a disposizione per migliorare tali risultati con soluzioni creative e controlli compensativi. E gli esseri umani continueranno a svolgere un ruolo fondamentale quando si tratterà di comunicare i risultati ai dirigenti.
4. Rendicontazione in materia di conformità normativa
Proprio come l’intelligenza artificiale è in grado di analizzare e valutare le reti e le applicazioni aziendali alla ricerca di indizi relativi ad attori malintenzionati, essa può determinare lo stato di conformità normativa di un’organizzazione e monitorare costantemente eventuali situazioni in cui le applicazioni, i dati o l’accesso non rispettino più i principi stabiliti da normative nuove e in continua evoluzione.
«: Bisogna fidarsi dell’intelligenza artificiale fino a un certo punto.» Tuttavia, è ancora necessario un intervento umano per confermare i risultati dell’intelligenza artificiale e prendere le decisioni finali.”Andrew Storms, vicepresidente responsabile della sicurezza presso Replicated
Ad esempio, analizzando le pratiche aziendali, le attività della catena di approvvigionamento e l’impatto ambientale, l’intelligenza artificiale può aiutare una multinazionale a «elaborare strategie efficaci per promuovere la sostenibilità riducendo al contempo i rischi di non conformità», scrive Mathura Prasad, CISSP, in un post pubblicato sul blog per l’organizzazione no profit ISC2, specializzata nella formazione in materia di sicurezza informatica. I chatbot basati sull’intelligenza artificiale, come ChatGPT, se forniti di prompt adeguati, sono in grado di generare rapidamente dichiarazioni di rischio e bozze di polizze, sintetizzare leggi e regolamenti in un linguaggio semplice e comprensibile, oppure tradurre tale materiale in altre lingue.
Gli esperti sottolineano che gli esseri umani sono ancora indispensabili e lo saranno ancora per un po’ di tempo. I membri del team addetto alle operazioni di sicurezza e alla conformità normativa continueranno a fornire rapporti esaustivi che mettano in evidenza l’andamento della situazione normativa nel tempo e, eventualmente, segnalino le aree in cui è possibile potenziare i controlli compensativi. Tali relazioni richiedono quel tipo di sfumature e di valutazione lungimirante che l’intelligenza artificiale non è in grado (e forse non sarà mai in grado) di riprodurre.
5. Gestione del SOC
I responsabili della sicurezza umana, supportati dall’intelligenza artificiale all’interno dei SOC, constateranno che le loro organizzazioni di sicurezza saranno in grado di gestire volumi maggiori di dati di sicurezza, ridurre l’affaticamento da allarmi tra gli analisti di sicurezza umani e mantenere un livello di sicurezza costantemente elevato.
Eppure è improbabile che la gestione complessiva del SOC venga assunta dall’intelligenza artificiale nel breve termine, poiché le capacità creative e strategiche umane, fondamentali per qualsiasi programma agile di difesa informatica, non possono essere sostituite. "Ritengo che la tendenza sarà quella di tenere le persone al corrente", afferma Lariar. "Si riporrà sempre maggiore fiducia in alcune forme di automazione di basso livello guidate dai processi decisionali basati sull’intelligenza artificiale, ma anche in tal caso i team di sicurezza di alto livello continueranno a esaminare con estrema attenzione tali processi decisionali. «Non ho mai sentito parlare di un SOC completamente automatizzato», afferma.
È improbabile che, per un certo periodo, se mai ciò dovesse accadere, si arrivi a un SOC o a un team di sicurezza completamente automatizzato.
"Se si affidano le attività operative del SOC a macchine, da dove provengono tali macchine?" chiede Chuvakin. “Chi ha costruito le macchine? «Oggi, in misura considerevole, sono gli esseri umani a costruire le macchine.»
E anche se si disponesse di un SOC prevalentemente autonomo, aggiunge, chi si occuperebbe di creare e gestire l’intelligenza artificiale, di collegarla nel modo corretto e di farle valutare e gestire l’ambiente in modo adeguato? "Saranno gli esseri umani."
