L’intelligenza artificiale ha fornito ai team di sicurezza un vero e proprio moltiplicatore di forza: analisi più rapide, riconoscimento di modelli su larga scala e rilevamento automatizzato. Ha inoltre fornito le stesse capacità a coloro che tentano di introdursi illegalmente. E ciò ha introdotto un terzo problema che tende a ricevere meno attenzione: i dipendenti di ogni organizzazione si connettono ormai regolarmente a sistemi di intelligenza artificiale esterni, condividendo i dati che tali sistemi conservano ed elaborano, e la maggior parte dei programmi di sicurezza non è in grado di rilevare tali attività.
Tale convergenza ha aumentato notevolmente il costo delle lacune in materia di visibilità. Ma prima di soffermarci sulle novità, vale la pena analizzare perché il problema fondamentale — sapere cosa comprende il proprio parco macchine, come funziona e se tale funzionamento è normale — rimanga irrisolto per così tante organizzazioni.
Una chiacchierata informale che ho condotto di recente ne è stata un esempio. Ho chiesto a un esperto di sicurezza di lunga esperienza cosa significasse il concetto di “visibilità” per la sua organizzazione, e la sua risposta si è articolata in due parti: cosa significasse all’inizio della loro attività e cosa significhi oggi. Quelle due cose erano quasi irriconoscibili come lo stesso concetto.
Dall’inventario all’analisi dei dati
Il punto di partenza per la maggior parte delle organizzazioni è stato l’inventario delle risorse: quali dispositivi sono presenti sulla rete, chi li utilizza e quali software sono in esecuzione su di essi. Questo aspetto rimane fondamentale, eppure è ancora irrisolto in un numero fin troppo elevato di organizzazioni. E anche per coloro che stanno facendo progressi, la sfida si evolve continuamente, diventando sempre più ardua.
Il mio interlocutore, durante la nostra conversazione davanti al caminetto, ha descritto come il suo team utilizzi ora la telemetria in tempo reale di endpoint per monitorare i dispositivi durante i cicli di aggiornamento del software: non solo per confermare che un aggiornamento sia stato completato, ma anche per confrontare i dati comportamentali in tempo reale, stabilire quale sia il comportamento “normale” in quel momento e utilizzare tali informazioni per prevedere come si comporteranno implementazioni simili in altre regioni e configurazioni. Questo non significa fare un inventario. Si tratta di intelligence operativa derivata da un livello di visibilità e precisione che, solo pochi anni fa, non veniva affatto ritenuto necessario. L’ endpoint — ovvero il punto in cui l’utente interagisce con i vostri sistemi, dove vengono creati i dati e dove si accede ad essi, e dove vengono eseguiti gli strumenti di intelligenza artificiale — rappresenta l’elemento più critico di questo problema.
La tenuta che ha superato i confini della mappa
Uno dei motivi per cui la visibilità di base continua a essere difficile da raggiungere è di natura strutturale. Il patrimonio digitale delle grandi organizzazioni non cresce in modo ordinato. Si sviluppano in modo organico, influenzati dai cicli di bilancio, dalle esigenze dei progetti e dalle crisi che condensano anni di cambiamenti in pochi mesi.
Ho lavorato per un certo periodo presso il Ministero della Difesa, il quale, all’inizio del 2000s, gestiva quella che, secondo alcuni parametri, era la più grande rete informatica al mondo. Anche allora, effettuavamo scansioni di rete solo ogni sei settimane — non per scelta, ma perché scansioni più frequenti avrebbero sovraccaricato l’infrastruttura. Un quadro della vostra infrastruttura risalente a sei settimane fa, in un contesto in cui le minacce possono concretizzarsi nel giro di poche ore, non costituisce una capacità di visibilità. Si tratta di un documento storico. E questo senza contare il caporale di una base remota che aveva collegato una console per videogiochi a una porta di rete, né le smart TV nelle sale riunioni che rimanevano connesse alla rete Wi-Fi interna anche settimane dopo che l’ultimo utente se n’era andato.
Un quadro della vostra infrastruttura risalente a sei settimane fa, in un contesto in cui le minacce possono concretizzarsi nel giro di poche ore, non costituisce una capacità di visibilità. Si tratta di un documento storico.
Il COVID ha aggravato questa situazione in tutti i settori. Le organizzazioni che non avevano mai sostenuto il lavoro a distanza sono passate a un modello completamente distribuito quasi dall’oggi al domani. I dispositivi si sono moltiplicati al di fuori dei perimetri di visibilità prestabiliti e, in molte organizzazioni, il parco dispositivi non è mai stato completamente ricalibrato da allora.
E tutte queste sfide esistevano già prima ancora che l’intelligenza artificiale entrasse in gioco.
Il problema della visibilità dell’IA si articola in tre aspetti
La prima sfida legata all’intelligenza artificiale riguarda il versante delle minacce. L’intelligenza artificiale consente agli autori degli attacchi di individuare vulnerabilità che non figurano in nessun database esistente — individuate non tramite il confronto con modelli noti, bensì attraverso un’analisi diretta del codice e dei sistemi. Il lasso di tempo a disposizione per sfruttare una vulnerabilità, dal momento in cui veniva individuata a quello in cui veniva trasformata in un’arma, era già scomodamente breve. L'intelligenza artificiale sta restringendo ulteriormente tale margine, e lo sta facendo a un ritmo che supera la maggior parte dei cicli di correzione e risposta.
La seconda questione è di natura comportamentale. I dipendenti si stanno collegando a modelli linguistici esterni di grandi dimensioni — alcuni autorizzati, la maggior parte no — e, così facendo, potrebbero inserire informazioni riservate in sistemi che esulano da qualsiasi quadro normativo in materia di governance o protezione dei dati. Non si tratta di un rischio futuro. Ciò sta avvenendo proprio ora, su larga scala, all’interno di organizzazioni dotate di programmi di sicurezza consolidati e, nella maggior parte dei casi, senza che vi sia una visibilità significativa.
Il terzo è di natura interna. Le funzionalità di intelligenza artificiale sono ormai integrate negli stessi strumenti di sicurezza e visibilità. Ciò solleva una serie di interrogativi che le organizzazioni stanno appena iniziando a porsi: quale modello viene utilizzato, quanto è accurato e come vengono trattate le informazioni che elabora? Applicare rigorosi standard di visibilità al proprio patrimonio, ma non agli strumenti che lo regolano, costituisce un punto cieco che vale la pena esaminare.
Il divario tra le patch e il terzo percorso
Il tempo medio che intercorre tra l'individuazione di una vulnerabilità e la disponibilità della patch è ancora superiore a 90 giorni. Lo sfruttamento attivo ha spesso inizio nel giro di pochi giorni. Per una categoria sempre più ampia di vulnerabilità “zero-day”, l’attacco si verifica prima ancora che sia disponibile una patch.
Tale lacuna ha tradizionalmente lasciato alle organizzazioni due opzioni: accettare il rischio e continuare a operare, oppure rimuovere il sistema interessato e accettare l’interruzione operativa. Nessuna delle due soluzioni è soddisfacente. Per i sistemi critici, nessuna delle due soluzioni potrebbe risultare praticabile.
Esiste una terza soluzione, ma dipende dalla qualità della visibilità. Se si comprende in tempo reale in che modo viene sfruttata una specifica vulnerabilità — ovvero come si presenta l’attacco a livello di “ endpoint” — è possibile sviluppare sistemi di rilevamento mirati basati su tale modello comportamentale prima che sia disponibile una patch. Potrete quindi continuare a operare, poiché sapete come si manifesta l’exploit in azione e potete automatizzare le reazioni nel momento stesso in cui si verifica il tentativo, anziché a posteriori.
Le organizzazioni che adottano questa strategia in modo efficace si avvalgono delle informazioni aggiornate sulle minacce per creare meccanismi di rilevamento personalizzati a livello di endpoint , limitando così l’entità dell’impatto e garantendo la continuità operativa durante la finestra di applicazione delle patch. Si tratta di una capacità concreta, ma richiede una visibilità con un livello di precisione in tempo reale, non istantanee settimanali o cicli di scansione che si protraggono per settimane.
Tale capacità dipende anche da un aspetto che spesso viene trascurato: la certezza che i vostri strumenti di monitoraggio stiano effettivamente svolgendo le funzioni che dichiarano. Molte organizzazioni ritengono che questo aspetto sia già coperto, poiché EDR è stato implementato, la copertura risulta pari o vicina al 100%; la dashboard è verde. Tuttavia, talvolta gli agenti di “ EDR ” vengono disattivati durante la risoluzione dei problemi e non vengono riattivati. Oppure diventano obsoleti sui computer che non sono stati gestiti in modo attivo. In un recente test di fattibilità condotto presso una grande organizzazione, abbiamo riscontrato che i dispositivi funzionavano senza che l’agente standard di EDR fosse attivo, nonostante la piattaforma EDR segnalasse una distribuzione completa.
Il divario tra ciò che uno strumento riporta e ciò che effettivamente accade in realtà costituisce una categoria a sé stante di mancanza di visibilità, e probabilmente la più pericolosa: il punto cieco di cui non si è consapevoli. Un processo di individuazione continuo e autonomo — volto a verificare non solo l’esistenza delle risorse, ma anche che le misure di protezione ad esse associate siano presenti, aggiornate e operative — non costituisce un complemento a un sistema di visibilità. È una parte fondamentale di esso.
Operare all’interno dello spazio
Il divario di 90 giorni nella gestione delle patch è una realtà per ogni organizzazione e l’intelligenza artificiale ha reso l’operare in tale contesto più rilevante e più complesso. Ciò che distingue le organizzazioni che riescono a contenere gli incidenti da quelle che finiscono per diventare casi di studio è il fatto che la loro visibilità sia in tempo reale, completa e sufficientemente affidabile da consentire di intervenire quando è necessario.
Le organizzazioni che gestiscono efficacemente questo aspetto hanno smesso di considerare la visibilità come un problema già risolto e hanno iniziato a considerarla come una disciplina che deve stare al passo con un panorama tecnologico in continua evoluzione e con un contesto di minacce che ora utilizza attivamente gli stessi strumenti da loro impiegati. La domanda che deve porsi è la seguente: dispone di una soluzione adeguata al contesto di minaccia in cui si trova effettivamente?
