L'IA ha fornito ai team di sicurezza un vero moltiplicatore di forza: analisi più rapide, riconoscimento di modelli su larga scala, rilevamento automatizzato. Ha anche fornito le stesse funzionalità alle persone che cercano di entrare. E ha introdotto un terzo problema che tende a ricevere meno attenzione: i dipendenti di ogni organizzazione si connettono abitualmente a sistemi di intelligenza artificiale esterni, condividono i dati che tali sistemi conservano ed elaborano e la maggior parte dei programmi di sicurezza non può vederlo accadere.
Questa convergenza ha aumentato considerevolmente il costo delle lacune di visibilità. Ma prima di affrontare le novità, vale la pena esaminare il motivo per cui il problema fondamentale, ovvero sapere cosa c’è nella tua proprietà, cosa sta facendo e se è normale, rimane irrisolto per così tante organizzazioni.
Una chiacchierata al caminetto che ho ospitato recentemente ha illustrato questo. Ho chiesto a un esperto di sicurezza che cosa significasse la visibilità per la sua organizzazione e la sua risposta è arrivata in due parti: cosa significava quando hanno iniziato e cosa significa ora. Queste due cose erano quasi irriconoscibili come lo stesso concetto.
Dall'inventario all'intelligenza
Il punto di partenza per la maggior parte delle organizzazioni è stato l’inventario delle risorse: quali dispositivi sono presenti in rete, chi li utilizza e quali software sono in esecuzione. Ciò rimane fondamentale, eppure è ancora irrisolto in troppe organizzazioni. E anche per coloro che fanno progressi, la sfida si evolve continuamente per diventare sempre più difficile.
Il mio intervistato ha descritto come il suo team ora utilizza la telemetria degli endpoint in tempo reale per monitorare i dispositivi durante i cicli di aggiornamento del software, non solo per confermare che un aggiornamento è stato completato, ma per confrontare i dati comportamentali in tempo reale, stabilire come appare "normale" in quel momento e utilizzare tale intelligenza per prevedere come si comporteranno implementazioni simili in altre regioni e configurazioni. Non si tratta di fare un inventario. Si tratta di intelligenza operativa derivata da una visibilità a un livello di fedeltà che non era considerato necessario fino a pochi anni fa. L’ endpoint, ovvero il punto in cui un utente interagisce con i sistemi, il punto in cui i dati vengono creati e vi si accede, il punto in cui vengono eseguiti gli strumenti di IA, è l’unità più critica di questo problema.
La tenuta che ha superato la mappa
Parte del motivo per cui la visibilità di base rimane sfuggente è strutturale. Le proprietà digitali nelle grandi organizzazioni non crescono bene. Crescono organicamente, modellati dai cicli di budget, dalle esigenze dei progetti e dalle crisi che costringono anni di cambiamento a mesi.
Ho passato del tempo a lavorare presso il Ministero della Difesa, che, nei primi anni 2000s, gestiva quella che era in qualche misura la più grande rete IT singola al mondo. Anche allora, eseguivamo scansioni di rete solo ogni sei settimane, non per preferenza, ma perché scansioni più frequenti avrebbero sovraccaricato l'infrastruttura. Un'immagine di sei settimane del tuo immobile in un ambiente in cui le minacce possono materializzarsi in poche ore non è una capacità di visibilità. È un documento storico. E questo prima di tenere conto del caporale di una base remota che ha collegato una console di gioco a una porta di rete, o delle smart TV nelle sale riunioni che erano ancora collegate al Wi-Fi interno settimane dopo che l'ultimo occupante se ne era andato.
Un'immagine di sei settimane del tuo immobile in un ambiente in cui le minacce possono materializzarsi in poche ore non è una capacità di visibilità. È un documento storico.
Il COVID ha esacerbato questa situazione in tutti i settori. Le organizzazioni che non avevano mai supportato il lavoro da remoto si sono distribuite completamente quasi da un giorno all’altro. I dispositivi sono proliferati al di fuori dei perimetri di visibilità stabiliti e, da allora, in molte organizzazioni, la proprietà non è mai stata completamente rimappata.
E tutte queste sfide esistevano prima che l’IA entrasse nell’equazione.
Il problema della visibilità dell’IA è triplice
La prima sfida IA è sul lato delle minacce. L’IA consente agli aggressori di scoprire vulnerabilità che non compaiono in alcun database esistente, trovate non abbinando modelli noti, ma ragionando direttamente su codice e sistemi. La finestra di sfruttamento tra l’identificazione di un difetto e l’utilizzo di un’arma era già scomodamente breve. L’IA lo sta restringendo ulteriormente, e lo sta facendo a un ritmo che supera la maggior parte dei cicli di patch e di risposta.
La seconda questione è di tipo comportamentale. I dipendenti si collegano a modelli linguistici esterni di grandi dimensioni, alcuni sanzionati, la maggior parte no, e nel processo potrebbero inserire informazioni riservate in sistemi al di fuori di qualsiasi quadro di governance o protezione dei dati. Questo non è un rischio futuro. Sta accadendo ora, su larga scala, nelle organizzazioni con programmi di sicurezza maturi, e nella maggior parte dei casi sta accadendo senza una visibilità significativa.
La terza è interna. Le funzionalità di IA sono ora integrate negli stessi strumenti di sicurezza e visibilità. Questo introduce una serie di domande che le organizzazioni stanno appena iniziando a porsi: quale modello viene utilizzato, quanto è accurato e cosa fa con le informazioni che elabora? L'applicazione di rigorosi standard di visibilità alla vostra proprietà, ma non agli strumenti che la governano è un punto cieco che vale la pena esaminare.
Il patch gap e il terzo percorso
Il tempo medio che intercorre tra l’identificazione delle vulnerabilità e la disponibilità delle patch è ancora superiore a 90 giorni. Lo sfruttamento attivo spesso inizia in pochi giorni. Per una categoria crescente di vulnerabilità zero-day, l'attacco arriva prima che esista una patch.
Questo divario ha tradizionalmente lasciato alle organizzazioni due opzioni: accettare il rischio e continuare a operare, oppure rimuovere il sistema interessato e accettare l’interruzione operativa. Nessuno dei due è soddisfacente. Per i sistemi critici, nessuno dei due può essere attuabile.
C’è un terzo percorso, ma dipende dalla qualità della visibilità. Se comprendi in tempo reale come viene sfruttata una vulnerabilità specifica, come appare l'attacco all' endpoint, puoi creare rilevamenti mirati attorno a quel modello di comportamento prima che arrivi una patch. È quindi possibile continuare a operare, come si sa come appare l'exploit in movimento, e si possono automatizzare le reazioni al punto di tentativo piuttosto che dopo il fatto.
Le organizzazioni che lo fanno in modo efficace stanno attingendo alle informazioni sulle minacce attuali per creare rilevamenti personalizzati a livello di endpoint , limitando il raggio di esplosione e mantenendo la continuità operativa durante la patch window. Questa è una capacità reale, ma richiede visibilità con fedeltà in tempo reale, non istantanee settimanali o cicli di scansione misurati in settimane.
Questa capacità dipende anche da qualcosa che spesso non viene esaminato: la certezza che i tuoi strumenti di visibilità stiano effettivamente facendo ciò che riportano. Molte organizzazioni ritengono che questo sia coperto, perché l' EDR è stato distribuito, la copertura è pari o vicina al 100%; il dashboard è verde. Ma gli agenti EDR a volte vengono disabilitati durante la risoluzione dei problemi e non vengono riattivati. Oppure non sono aggiornati su macchine che non sono state gestite attivamente. In un recente proof-of-concept presso una grande organizzazione, abbiamo scoperto che i dispositivi funzionavano senza il loro agente EDR standard attivo, ma la piattaforma EDR stava segnalando la piena implementazione.
Il divario tra ciò che uno strumento segnala e ciò che è effettivamente vero nella tenuta è la sua categoria di errore di visibilità, e probabilmente il tipo più pericoloso: il punto cieco che non sai di avere. La scoperta continua e indipendente, che verifica non solo che le risorse esistano, ma che le protezioni su di esse siano presenti, attuali e funzionanti, non è un supplemento a un regime di visibilità. È una parte fondamentale di uno.
Operare all'interno dello spazio
Il gap di patch di 90 giorni esiste per ogni organizzazione e l’IA ha reso il funzionamento al suo interno più consequenziale e più complesso. Ciò che differisce tra le organizzazioni che contengono incidenti e quelle che diventano casi di studio è se la loro visibilità è in tempo reale, completa e abbastanza affidabile da poter agire quando è necessario.
Le organizzazioni che lo gestiscono bene hanno smesso di considerare la visibilità come un problema che hanno risolto e hanno iniziato a trattarla come una disciplina che deve tenere il passo con una proprietà che non smette mai di cambiare e un ambiente di minacce che ora utilizza attivamente gli stessi strumenti che sono. La domanda che dovete porvi è: avete una soluzione adatta all’ambiente di minaccia in cui vi trovate?
