Negli ambienti della sicurezza informatica è comunemente nota come “” (stanchezza da allarmi)" – ovvero un sovraccarico mentale causato da una raffica di allarmi di anomalie generati dagli strumenti di rilevamento – e può essere la ragione per cui minacce gravi passano inosservate, poiché i team di sicurezza si concentrano sui falsi positivi o semplicemente ignorano il “rumore”.
Tuttavia, ultimamente gli esperti di sicurezza sperano che presto possa esserci una soluzione per alleviare la “fatica da avvisi”: GenAI. Grazie alla sua capacità di fornire un contesto significativo, è in grado di filtrare le informazioni superflue per identificare e dare priorità alle minacce più urgenti, per poi proporre potenziali strategie di mitigazione – oltre a (potenzialmente) molto altro ancora, qualora la tecnologia si evolvesse come , come prevedono alcuni esperti.
Il monitoraggio delle anomalie (termine utilizzato nel gergo informatico per indicare qualsiasi evento insolito o inaspettato all’interno di un sistema, come un’applicazione o una rete) è complesso e impegnativo, spiega Scott Crawford, responsabile della ricerca sulla sicurezza informatica presso 451 Research. L’elevato tasso di allarmi è dovuto alla complessità dei sistemi moderni, alla difficoltà di raccogliere tutto il contesto relativo all’ambiente, alla natura dell’attacco e alla necessità di disporre di strumenti di sicurezz i configurati per monitorare al fine di rilevare correttamente le anomalie.
Storicamente, i motori di rilevamento delle anomalie funzionano bene su insiemi di dati molto specifici e con una linea di riferimento ben definita, spiega Wim Remes, responsabile operativo presso la società di servizi di sicurezza Spotit. Secondo Remes, un rilevamento delle anomalie efficace deve fornire una risposta a due domande specifiche: si sta osservando qualcosa di anomalo rispetto all’ambiente? E a cosa è più probabilmente correlata tale anomalia?
La capacità di rispondere a questa seconda domanda è ciò che distingue il rilevamento tradizionale delle anomalie, di portata limitata, dalle iterazioni di nuova generazione basate sull’intelligenza artificiale.
Se il sistema di rilevamento delle anomalie è in grado di fornire una risposta solo alla prima domanda, funge principalmente da motore di rilevamento molto approssimativo, con un elevato tasso di falsi positivi. "Se il rilevamento delle anomalie basato sull’intelligenza artificiale è destinato a durare, ritengo che debba evolversi fino a consentire l’analisi di insiemi di dati più ampi con una maggiore precisione", afferma Remes.
Il futuro del rilevamento delle anomalie tramite l'intelligenza artificiale
Il rilevamento di anomalie può indicare che qualcosa non va, come ad esempio un malware di tipo “ ” o la presenza di aggressori attivi.
«Se il rilevamento delle anomalie basato sull’intelligenza artificiale è destinato a durare, ritengo che debba evolversi fino a consentire l’analisi di insiemi di dati più ampi con una maggiore precisione.»”Wim Remes, responsabile operativo, Spotit
Storicamente, i sistemi di rilevamento delle intrusioni e i software anti-malware hanno utilizzato le firme per Detect l’esecuzione di malware ed exploit. Nel corso del tempo, sono state integrate funzionalità di apprendimento automatico (ML) e di analisi comportamentale in Detect alcuni elementi non ancora identificati. E ora si prospetta che la GenAI possa migliorare le precedenti capacità di IA e apprendimento automatico. Grazie alle sue avanzate capacità di riconoscimento dei modelli e di generazione di dati, la GenAI ha il potenziale per costruire modelli ambientali e comportamentali sempre più accurati, in grado di identificare sottili deviazioni dal comportamento normale, simulare potenziali scenari di attacco e adattarsi in tempo reale a minacce in continua evoluzione .
"Il dibattito odierno è alimentato dalle innovazioni nell’uso dell’intelligenza artificiale generativa", afferma David Gruber, analista principale per la sicurezza informatica presso la società di ricerche di mercato Enterprise Strategy Group. "I modelli tradizionali di apprendimento automatico basati sull'intelligenza artificiale che sono stati utilizzati finora hanno svolto un ottimo lavoro nel mettere insieme segnali che indicano potenziali schemi di comportamento sospetto", afferma Gruber. "L'IA generativa sta contribuendo ad aggiungere questo nuovo livello ai modelli di rilevamento tradizionali per l'apprendimento automatico e l'IA, ma sta aiutando l'analista ad automatizzare e mettere in correlazione molte delle attività che prima doveva svolgere in parte manualmente, avvalendosi della propria base di conoscenze", aggiunge.
Tuttavia, l’intelligenza artificiale va oltre l’apprendimento automatico tradizionale nel rilevamento delle minacce di tipo “ ”.
In che modo l’intelligenza artificiale arricchisce il rilevamento delle anomalie con capacità di ragionamento
Quando il sistema è configurato correttamente, l’apprendimento automatico tradizionale è in grado di individuare efficacemente le anomalie all’interno dei modelli di dati. I sistemi GenAI promettono di integrare un "ragionamento" relativo al contesto dei risultati e di fornire suggerimenti basati su variabili complesse.
«[L’intelligenza artificiale] sta aiutando gli analisti ad automatizzare e mettere in correlazione molte delle attività che prima dovevano svolgere in parte manualmente, avvalendosi delle proprie conoscenze».”David Gruber, analista capo per la sicurezza informatica, Enterprise Strategy Group
Ciò significa che, per i professionisti della sicurezza, l’intelligenza artificiale identifica innanzitutto una minaccia, quindi valuta in che modo quella specifica minaccia potrebbe influire sull’ambiente e, infine, fornisce una serie di potenziali strategie di mitigazione.
Gruber spiega che tali applicazioni di GenAI stanno contribuendo a modificare il modo in cui i professionisti della sicurezza concepiscono l’uso dell’IA nel contesto delle operazioni di sicurezza. Non si tratta solo di individuare le anomalie, ma di comprenderle appieno nel contesto dell’ambiente in cui si verificano. "Stiamo rilevando qualcosa di sospetto alla luce dell’infrastruttura, del profilo di rischio definito, della cronologia delle minacce subite dall’organizzazione o dell’attuale contesto economico?" chiede Gruber. La GenAI può indirizzare gli analisti nella giusta direzione.
I sistemi GenAI multi-agente si dimostrano promettenti
Sebbene i sistemi multi-agente (che utilizzano più componenti per analizzare l’ambiente anziché un’unica entità centralizzata) non siano una novità nel campo della sicurezza informatica, la GenAI promette di rivoluzionare il modo in cui gli agenti di sicurezza dedicati a compiti diversi possono collaborare tra loro. Numerosi agenti autonomi che operano all’unisono saranno in grado di valutare il contesto completo dell’ambiente di un’organizzazione, le minacce rilevate e le migliori modalità di risposta.
Grazie ad agenti che monitorano il traffico di rete, ad altri che controllano i log di sistema, i comportamenti degli utenti, le configurazioni errate del sistema e le vulnerabilità, e ad altri ancora che individuano le minacce attive, il sistema GenAI potrebbe sviluppare una comprensione approfondita di una situazione potenzialmente rischiosa. Ciò rappresenterebbe inoltre un notevole sollievo per i team di intelligence sulle minacce, che oggi sono messi a dura prova dalla necessità di valutare e rispondere a ogni singola minaccia casuale.
Ci auguriamo che ciò consenta una valutazione più approfondita della situazione e contribuisca a stabilire le priorità tra gli avvisi che richiedono un intervento immediato.
La comprensione contestuale più ampia di GenAI
I sistemi GenAI promettono di comprendere non solo il contesto dell’ambiente tecnologico interno, ma anche eventi di più ampia portata, quali le circostanze geopolitiche, le minacce specifiche per le aziende e la natura degli autori delle minacce che prendono di mira determinati settori.
«LaGenAI può occuparsi di gran parte del lavoro preliminare per… fornire maggiori informazioni contestuali sullo schermo.”Gruber
Grazie alla sua capacità di rappresentare le relazioni tra condizioni esterne e interne, anziché limitarsi a inviare un avviso quando viene individuata una minaccia in un modello, è possibile effettuare un’analisi delle minacce molto più sofisticata.
«La GenAI è in grado di svolgere gran parte del lavoro preliminare necessario per ottenere questo contesto per conto degli analisti, il che consente di visualizzare sullo schermo davanti a loro un maggior numero di informazioni contestuali e di metterle in relazione in modo tale da facilitare l’individuazione di quei momenti di grande illuminazione riguardo a ciò che sta accadendo e al potenziale impatto», afferma Gruber.
Collaborazione tra esseri umani e intelligenza artificiale – e cautela
Con il tempo, secondo gli esperti, i sistemi GenAI di potrebbero collaborare con gli analisti umani in modi specifici, in base ai punti di forza e alle inclinazioni dei singoli membri del team. Ad esempio, grazie al feedback degli analisti, alle valutazioni delle competenze e all’analisi dei modelli di lavoro, l’intelligenza artificiale comprenderà i punti di forza, i punti deboli e eventuali pregiudizi di specifici membri del team e collaborerà con loro tenendo conto del loro livello di competenza e consapevolezza. Per quanto riguarda le minacce, il sistema potrebbe suggerire l’abbinamento di determinati analisti in base alle loro competenze.
C'è grande entusiasmo riguardo al potenziale di questa tecnologia, ma siamo ancora nelle prime fasi del suo sviluppo e non tutti sono convinti che possa davvero mantenere le promesse. "Purtroppo, non ho riscontrato grandi risultati con i sistemi di rilevamento delle anomalie nelle informazioni ambientali basati sulla GenAI. «Funzionano bene solo in ambienti con un unico fornitore», afferma Remes. Aggiunge che pochissime organizzazioni, per lo più di dimensioni molto più grandi, hanno scelto di adottare una strategia di sicurezza monolitica. «Neanch’io ritengo che sia una strategia ottimale, quindi non mi aspetto che molti decidano di fare quel passo», afferma Remes.
Sebbene tale cautela abbia i suoi fondamenti, la tecnologia è innegabilmente promettente e non potrà che migliorare d’ora in poi. Considerando il numero di ore che un tipico analista della sicurezza dedica alla ricerca dei falsi positivi, qualsiasi sistema futuro che prometta di ridurre drasticamente tale carico di lavoro sarà sicuramente accolto con favore dalla maggior parte degli addetti.
