Man mano che un numero crescente di aziende investe nell’automazione digitale per gestire ogni aspetto, dalle operazioni di assistenza clienti alla gestione dei reclami relativi alle frodi, i responsabili IT si trovano a dover affrontare alcune questioni complesse: gli algoritmi finiranno per rendere superflui i loro team o li reindirizzeranno verso ruoli diversi?
C’è tuttavia un settore specifico nell’ambito dell’IT che sta accogliendo l’automazione a braccia aperte: i team di sicurezza informatica, che soffrono di una grave carenza di personale e sono sovraccarichi di lavoro. Da oltre un decennio, l’offerta di analisti della sicurezza è rimasta nettamente inferiore alla domanda. Nel 2021, secondo Cybersecurity Ventures, oltre 3,5 milioni di posti di lavoro nel settore della sicurezza informatica rimarranno vacanti.
Nel frattempo, il numero di minacce a cui queste squadre devono far fronte sta aumentando vertiginosamente. Secondo una ricerca condotta da , gli attacchi ransomware nel 2020 sono aumentati di sette volte rispetto al livello registrato nel 2019 , secondo quanto emerge da una ricerca condotta da Bitdefender. Un sondaggio condotto da Ponemon, nel frattempo, ha rivelato che il 60% del personale dei centri operativi di sicurezza (SOC) dichiara di stare valutando la possibilità di lasciare il proprio posto di lavoro o addirittura di cambiare carriera.
Per i professionisti della sicurezza disposti a resistere ancora un po’, gli aiuti sono in arrivo. Un numero crescente di strumenti di automazione della sicurezza (si apre in una nuova scheda) , progettati per gestire attività ripetitive di basso livello, è in grado di eliminare gran parte della monotonia tipica della maggior parte dei lavori nel campo della sicurezza informatica, nonché un numero crescente di funzioni di livello superiore.
«Il burnout nel settore SOC non è solo uno slogan, è una realtà», afferma Neal Dennis, specialista in intelligence sulle minacce presso Cyware, un’azienda di sicurezza informatica con sede a New York. «L’implementazione dell’automazione consentirebbe di risolvere la stragrande maggioranza dei problemi che gli analisti del SOC devono affrontare.»
L'automazione offre ai team di sicurezza informatica ben più di un semplice sollievo. Riduce i costi legati alla criminalità informatica e accelera i tempi di risoluzione. Uno studio intitolato “ luglio 2020 ” () , condotto da IBM e Ponemon, ha rilevato che gli strumenti di automazione rappresentano un fattore chiave nella riduzione dei costi legati alle violazioni dei dati. L’implementazione di software che automatizza il processo di identificazione e mitigazione delle minacce sta consentendo alle organizzazioni di risparmiare in media quasi 3,6 milioni di dollari per ogni violazione (a fronte di un costo totale medio per violazione di poco superiore a 6 milioni di dollari) e di ridurre i tempi di risoluzione di circa il 25% (da una media di 308 giorni a 234).
Non sorprende che il numero di organizzazioni che adottano una qualche forma di automazione della sicurezza sia aumentato dal 49% al 59% a partire dal 2018. La domanda principale, quindi, è ovvia: perché non sono più numerose le organizzazioni che lo fanno?
Il fattore non umano
Uno dei motivi è che molti team di risposta agli incidenti di sicurezza non dispongono delle competenze necessarie per sfruttare appieno i vantaggi dell’automazione, afferma Richard Stiennon, capo analista di ricerca presso IT-Harvest.
«Automatizzare la reimpostazione delle password è semplice», afferma Stiennon. «Tuttavia, la ricerca delle minacce e il blocco automatico delle connessioni di rete rappresentano un caso d’uso più sofisticato. “Sono sempre meno le aziende in grado di farlo.”
Negli anni passati, i SOC richiedevano che fossero gli operatori umani a rispondere agli avvisi, analizzare le minacce e redigere o programmare le regole di risposta. Oggi, le macchine e gli algoritmi si occupano di numerose attività di sicurezza necessarie ma ripetitive, quali la gestione dei privilegi di accesso, l’analisi dei log o la risposta alle minacce di basso livello.
L’impennata del numero di persone che lavoravano da remoto nei primi giorni della pandemia ha accelerato la necessità di automatizzare un aspetto fondamentale per qualsiasi team di sicurezza: la gestione degli accessi. Secondo Manav Mital, CEO della società di sicurezza dei dati nel cloud Cyral, i sistemi manuali di emissione dei ticket che convalidano e autorizzano i dipendenti non sono riusciti a tenere il passo con la domanda, rallentando il processo e causando errori.
«Noi di Cyral puntiamo molto sull’automazione della sicurezza», afferma Mital. «Il nostro principio operativo fondamentale è “la sicurezza come codice”».
Sostituendo il provisioning manuale con script e file di configurazione gestiti automaticamente, i responsabili del SOC possono ridurre al minimo gli errori umani e garantire che solo le persone autorizzate abbiano accesso alle risorse appropriate, aggiunge Mital.
": automatizzare la reimpostazione delle password è facile." Tuttavia, la ricerca delle minacce e il blocco automatico delle connessioni di rete rappresentano un caso d’uso più sofisticato.”Richard Stiennon, capo analista di ricerca presso IT-Harvest
Gli strumenti di automazione stanno inoltre migliorando la risposta agli incidenti grazie al consolidamento delle informazioni sulle minacce provenienti da più fonti, afferma Joe Partlow, CTO di ReliaQuest, una piattaforma SaaS che garantisce visibilità sull’intero stack di sicurezza. Sono persino in grado di fornire risposte predefinite a minacce di basso livello, quali il blocco di indirizzi IP sospetti o il ripristino automatico delle password.
«Non saremo mai in grado di automatizzare tutto», afferma Partlow. «Ma se riusciamo a ridurre il tempo che gli analisti impiegano per accedere a diversi strumenti e per rispondere ad avvisi superflui o di scarso impatto, essi potranno dedicare più tempo all’analisi effettiva degli eventi rilevanti.»
È ora di spiccare il volo
Le organizzazioni che intendono ampliare i vantaggi dell’automazione stanno iniziando a utilizzare una gamma più ampia di strumenti, denominati piattaforme SOAR (Security Orchestration, Automation, and Response). Questi consentono ai SOC di integrare risorse che altrimenti potrebbero non funzionare insieme, come i firewall o gli strumenti di rilevamento e risposta agli attacchi di tipo “ ” ( endpoint ) (EDR ) di fornitori concorrenti, afferma Dennis di Cyware.
Grazie a SOAR, gli analisti del centro operativo possono generare un ticket sulla base di un allarme di sicurezza, arricchirlo con informazioni provenienti da altre fonti di intelligence, sottoporlo a un motore di analisi dei rischi per generare un punteggio di minaccia, quindi contrassegnare la minaccia come falso positivo oppure inoltrarla a un analista umano per un’ulteriore valutazione.
«Ciò che potrebbe richiedere a un analista SOC di primo livello 10 o 15 minuti potrebbe richiedere a una piattaforma di orchestrazione solo pochi secondi», aggiunge Dennis. «Ciò consente agli analisti di dedicarsi a una vera e propria attività di ricerca su episodi più critici.»
Il ritorno sull'investimento può essere significativo. Le agenzie federali, quali il Dipartimento per la Sicurezza Interna e le forze armate statunitensi, utilizzano le piattaforme SOAR come moltiplicatore di forza, consentendo ai centri operativi di sicurezza (SOC) a corto di personale di ridurre drasticamente il tempo necessario per l’analisi delle minacce. Secondo un caso di studio intitolato “ ” ( ), condotto da Swimlane, fornitore di soluzioni SOAR, un’agenzia governativa che elaborava manualmente oltre 10.000 avvisi di sicurezza al giorno ha ridotto di oltre il 75% il tempo necessario per analizzare e risolvere le minacce, mantenendo invariato l’organico e migliorando il morale del personale.
Naturalmente, vi sono dei limiti ai tipi di attività di sicurezza che qualsiasi organizzazione può automatizzare. Man mano che le minacce diventano sempre più sofisticate e di portata sempre più ampia, i team di sicurezza continueranno ad affidarsi al giudizio umano per prendere decisioni difficili.
«Non è opportuno isolare il dispositivo dell’ CEO dalla rete solo perché si è verificato un falso positivo», afferma Partlow di ReliaQuest. «È opportuno verificare più fonti attendibili prima di compiere un’azione del genere.» «Non appena inizierà a mettere fuori uso i macchinari, il Suo progetto di automazione giungerà rapidamente al termine.»
Il giorno dopo domani
Per i responsabili IT che non riescono ancora a completare l’organico dei propri team con figure professionali esterne o con dipendenti riqualificati, i flussi di lavoro automatizzati possono rappresentare una protezione fondamentale di fronte alla certezza che i rischi non faranno che aumentare.
Poiché nei prossimi anni decine di milioni di nuovi dispositivi si collegheranno a Internet, ampliando notevolmente la superficie di attacco di ogni organizzazione, la necessità di risposte automatizzate crescerà in modo esponenziale, osserva Kenneth Mendelson, amministratore delegato senior di Guidepost Solutions, una società di consulenza globale nel settore della sicurezza.
«Con la crescente presenza di dispositivi IoT nelle reti, sarà fondamentale automatizzare l’attività di identificazione di tutti i dispositivi presenti in rete, nonché valutare le vulnerabilità di tali dispositivi e correggere eventuali punti deboli», afferma.
Le organizzazioni che si occupano di sicurezza e che non hanno ancora adottato l’automazione si espongono a nuovi rischi, in parte perché gli stessi hacker utilizzano strumenti di automazione. «Abbiamo già assistito a exploit che si diffondono automaticamente, come il worm NotPetya », afferma Stiennon, «e ad attacchi preprogrammati come Stuxnet in grado di operare in modo autonomo».
La situazione sta per peggiorare notevolmente. Gli attacchi ransomware futuri, aggiunge, utilizzeranno probabilmente una qualche forma di intelligenza artificiale per analizzare la rete, estrarre le credenziali dagli endpoint e sottrarre dati. «Gli attacchi si concretizzeranno nel giro di pochi minuti e, un giorno, in pochi secondi», aggiunge. «L’unico modo per contrastare questa tendenza è ricorrere all’automazione.»
