La sicurezza informatica aziendale non consiste soltanto nel bloccare malware, virus o tentativi di accesso non autorizzati. Una parte importante della cybersecurity moderna riguarda la capacità di individuare comportamenti anomali all'interno dell'infrastruttura prima che possano trasformarsi in un incidente. Un account che effettua un accesso da una posizione insolita, un computer che inizia improvvisamente a comunicare con numerosi sistemi interni oppure un server che genera un volume di traffico completamente diverso dal comportamento abituale sono esempi di situazioni che possono richiedere un'analisi.
L'intelligenza artificiale può essere utilizzata proprio per analizzare grandi quantità di eventi e individuare deviazioni rispetto ai comportamenti normalmente osservati. Attraverso tecniche di machine learning e analisi comportamentale, un sistema può costruire un modello delle attività considerate normali e segnalare quelle che presentano caratteristiche differenti.
Questo approccio è particolarmente interessante nelle infrastrutture aziendali dove vengono generati continuamente log, eventi di autenticazione, connessioni di rete, attività sugli endpoint e informazioni provenienti dai sistemi di sicurezza. Analizzare manualmente una quantità così elevata di dati non è realisticamente sostenibile, mentre un sistema automatizzato può elaborare questi eventi in modo continuo.
Che cosa significa rilevare un'anomalia
Un'anomalia non coincide necessariamente con un attacco informatico. Dal punto di vista tecnico, rappresenta una deviazione rispetto a un comportamento considerato normale dal sistema.
Questo aspetto è fondamentale perché un'attività insolita può avere una spiegazione perfettamente legittima. Un dipendente potrebbe lavorare eccezionalmente da un'altra sede, un server potrebbe generare un traffico superiore al normale durante un aggiornamento oppure un amministratore potrebbe effettuare numerosi accessi durante un intervento programmato.
L'obiettivo dell'intelligenza artificiale non è quindi stabilire automaticamente che ogni comportamento anomalo rappresenti una minaccia, ma identificare gli eventi che meritano un'analisi. Il sistema può assegnare una priorità o un livello di rischio e fornire agli operatori di sicurezza un elemento aggiuntivo per decidere come intervenire.
Machine learning e comportamento normale
Per individuare anomalie è necessario definire, in modo esplicito o attraverso l'analisi dei dati, quale sia il comportamento normalmente osservato nell'ambiente monitorato. Le tecniche di machine learning possono analizzare gli eventi storici e individuare pattern ricorrenti.
Nel caso degli utenti, il sistema può considerare informazioni come orari di accesso, dispositivi utilizzati, applicazioni normalmente utilizzate e modalità di accesso alle risorse. Nel caso della rete possono essere analizzati indirizzi IP, porte, protocolli, volumi di traffico e frequenza delle connessioni.
Il modello può quindi identificare deviazioni statisticamente significative. Se un comportamento si discosta fortemente dal profilo osservato in precedenza, l'evento può essere sottoposto a una valutazione più approfondita.
La qualità del risultato dipende però dalla qualità dei dati utilizzati per costruire il modello. Un ambiente aziendale molto variabile richiede una fase di apprendimento e calibrazione adeguata per evitare che normali variazioni operative vengano interpretate continuamente come minacce.
Rilevare anomalie negli account aziendali
Gli account degli utenti rappresentano uno dei principali punti di interesse per i sistemi di rilevamento comportamentale. Un attaccante che entra in possesso delle credenziali di un dipendente potrebbe infatti utilizzare un account perfettamente valido, rendendo più difficile l'identificazione attraverso i soli controlli tradizionali.
L'AI può analizzare il comportamento dell'account nel tempo e individuare variazioni significative. Un accesso in un orario insolito, l'utilizzo di un dispositivo mai associato all'utente, una sequenza anomala di autenticazioni o l'accesso improvviso a risorse normalmente non utilizzate possono generare un evento di sicurezza.
Queste informazioni possono essere correlate tra loro. Un singolo accesso insolito potrebbe non essere particolarmente significativo, mentre una combinazione di più comportamenti anomali può aumentare il livello di attenzione richiesto.
AI e analisi del traffico di rete
L'analisi del traffico rappresenta un altro importante campo di applicazione. Una rete aziendale produce continuamente connessioni tra workstation, server, dispositivi IoT, firewall e servizi esterni.
Un sistema di anomaly detection può analizzare il comportamento della rete e identificare variazioni rispetto ai pattern normalmente osservati. Un computer che inizia a stabilire connessioni verso numerosi sistemi interni, un server che comunica improvvisamente con un'infrastruttura esterna sconosciuta o un incremento anomalo del traffico possono rappresentare segnali da sottoporre a verifica.
L'intelligenza artificiale può inoltre correlare queste informazioni con altri eventi presenti nei sistemi di sicurezza, aumentando la capacità di individuare scenari complessi che difficilmente emergerebbero osservando un singolo log.
Rilevamento delle anomalie sugli endpoint
Computer, notebook e server rappresentano un'altra fonte importante di informazioni. Gli endpoint possono generare dati relativi ai processi in esecuzione, alle modifiche dei file, alle connessioni di rete, alle applicazioni utilizzate e alle attività degli utenti.
Le piattaforme EDR possono raccogliere questi eventi e utilizzare meccanismi di analisi automatizzata per individuare comportamenti sospetti. L'intelligenza artificiale può contribuire all'analisi di sequenze di eventi che, prese singolarmente, potrebbero sembrare normali ma che nel loro insieme possono presentare caratteristiche anomale.
Per esempio, l'esecuzione di un processo seguito dalla modifica di numerosi file e dalla successiva comunicazione verso un sistema esterno potrebbe richiedere un'analisi approfondita. L'EDR può raccogliere la telemetria dell'endpoint mentre i sistemi di analisi possono correlare gli eventi per identificare eventuali pattern sospetti.
AI e SIEM: correlare migliaia di eventi
Un SIEM raccoglie e centralizza eventi provenienti da numerose componenti dell'infrastruttura IT. Firewall, server, sistemi operativi, applicazioni, dispositivi di rete e sistemi di autenticazione possono generare una quantità molto elevata di log.
L'intelligenza artificiale può essere utilizzata per supportare l'analisi di questi dati e individuare correlazioni tra eventi differenti. Il vantaggio principale non consiste soltanto nell'analizzare più velocemente i singoli log, ma nella possibilità di collegare informazioni provenienti da sistemi diversi.
Un tentativo di accesso anomalo, seguito da un'autenticazione riuscita, da un aumento dei privilegi e dall'accesso a una risorsa normalmente non utilizzata dall'account può rappresentare uno scenario più significativo rispetto ai singoli eventi considerati separatamente.
La correlazione automatizzata permette quindi di passare dall'analisi di eventi isolati alla ricostruzione di comportamenti più complessi.
Individuare comportamenti anomali prima dell'incidente
Uno degli aspetti più interessanti dell'anomaly detection consiste nella possibilità di individuare segnali preliminari. Un attacco informatico non sempre produce immediatamente un comportamento facilmente riconoscibile come malevolo.
Un aggressore potrebbe inizialmente effettuare ricognizione, accedere a sistemi differenti, verificare le autorizzazioni disponibili e successivamente spostarsi verso altre risorse dell'infrastruttura. Alcune di queste attività possono apparire singolarmente normali, ma una loro combinazione può risultare anomala rispetto al comportamento abituale dell'ambiente.
L'AI può quindi contribuire alla fase di detection evidenziando variazioni e correlazioni che devono essere successivamente analizzate dal personale incaricato della sicurezza.
Il problema dei falsi positivi
Uno dei principali problemi dei sistemi di rilevamento delle anomalie è rappresentato dai falsi positivi. Se il sistema segnala continuamente attività legittime come sospette, gli operatori possono trovarsi sommersi da alert e diventare meno efficienti nell'identificazione degli eventi realmente importanti.
Per questo motivo un sistema di AI per la cybersecurity deve essere calibrato sul comportamento specifico dell'azienda. Gli algoritmi devono poter distinguere, per quanto possibile, tra variazioni operative normali e deviazioni realmente significative.
La contestualizzazione è altrettanto importante. Un accesso effettuato alle tre del mattino potrebbe essere anomalo per un determinato utente ma perfettamente normale per un amministratore di sistema che lavora su un server durante una finestra di manutenzione.
L'intelligenza artificiale deve quindi essere utilizzata insieme alle informazioni sul contesto aziendale e non come unico criterio decisionale.
AI supervisionata e non supervisionata
Nel rilevamento delle anomalie possono essere utilizzati differenti approcci di machine learning. Nei sistemi supervisionati il modello viene addestrato utilizzando dati classificati, nei quali gli eventi sono associati a categorie conosciute. Questo approccio può essere utile quando sono disponibili dataset sufficientemente rappresentativi.
Per la ricerca di comportamenti sconosciuti possono invece risultare interessanti tecniche non supervisionate o semi-supervisionate, nelle quali il sistema analizza i dati cercando pattern e deviazioni senza richiedere necessariamente una classificazione preventiva di ogni evento.
La scelta dell'approccio dipende dall'obiettivo, dalla quantità e qualità dei dati disponibili, dal tipo di infrastruttura e dal livello di precisione richiesto. In un ambiente aziendale reale possono inoltre essere combinati diversi meccanismi di detection.
AI e rilevamento delle minacce sconosciute
I sistemi tradizionali basati esclusivamente su firme conosciute possono avere difficoltà quando devono identificare minacce nuove o varianti non ancora catalogate. L'analisi comportamentale introduce un approccio differente perché non si concentra soltanto sulla conoscenza preventiva della minaccia.
Se un software sconosciuto produce una sequenza di comportamenti fortemente anomala rispetto al profilo dell'endpoint, il sistema può segnalarlo anche senza disporre necessariamente di una firma specifica associata a quel software.
Questo non significa che l'intelligenza artificiale possa individuare automaticamente qualsiasi attacco sconosciuto. La detection rimane soggetta alla qualità dei dati, alla configurazione del sistema e alla capacità del modello di distinguere le attività legittime da quelle sospette.
L'importanza della correlazione dei dati
L'efficacia dell'AI aumenta quando il sistema può utilizzare più fonti informative. Analizzare esclusivamente il firewall, il sistema operativo o il comportamento dell'utente può fornire una visione parziale.
Correlando eventi provenienti da endpoint, autenticazione, rete, firewall, server e applicazioni è possibile costruire un quadro più completo dell'attività osservata.
Questa correlazione rappresenta uno degli elementi fondamentali delle moderne piattaforme di sicurezza. L'AI può supportare l'analisi di grandi quantità di informazioni e contribuire alla prioritizzazione degli eventi che richiedono l'attenzione degli operatori.
Automazione della risposta agli incidenti
Il rilevamento di un'anomalia può essere collegato anche a sistemi di risposta automatizzata. Quando viene individuato un evento con determinate caratteristiche, il sistema può generare un alert, aprire automaticamente un ticket o avviare procedure predefinite.
In scenari specifici e adeguatamente controllati possono essere automatizzate anche alcune azioni di contenimento, come isolare un endpoint dalla rete o bloccare temporaneamente determinate comunicazioni.
Queste operazioni devono però essere progettate con attenzione. Un'automazione eccessivamente aggressiva potrebbe interrompere servizi legittimi o isolare sistemi importanti sulla base di un falso positivo. Per questo è spesso opportuno definire differenti livelli di automazione in funzione della gravità e della certezza dell'evento.
AI nella sicurezza informatica: non sostituisce gli strumenti esistenti
L'intelligenza artificiale non deve essere considerata una sostituzione automatica di firewall, antivirus, EDR, sistemi di autenticazione o SIEM. Il suo valore consiste nella capacità di aggiungere un livello di analisi ai dati prodotti dall'infrastruttura.
Firewall e sistemi di sicurezza continuano a svolgere le proprie funzioni specifiche, mentre l'AI può analizzare i comportamenti e correlare gli eventi provenienti da più componenti.
Una strategia efficace può quindi combinare controlli deterministici, firme, regole di sicurezza, analisi comportamentale e machine learning. La combinazione di questi livelli permette di affrontare il problema della sicurezza da prospettive differenti.
Come ALLIT può supportare le aziende
L'introduzione dell'intelligenza artificiale nella sicurezza informatica richiede una progettazione coerente con l'infrastruttura esistente. Prima di implementare un sistema di anomaly detection è necessario comprendere quali dispositivi sono presenti, quali log vengono prodotti, quali sistemi di sicurezza sono già attivi e quali informazioni possono essere centralizzate.
ALLIT può supportare le aziende nell'analisi dell'infrastruttura IT e nella progettazione di soluzioni orientate al monitoraggio e alla sicurezza, integrando sistemi di raccolta dei log, strumenti di endpoint protection, monitoraggio della rete e piattaforme di analisi.
L'intelligenza artificiale può essere inserita all'interno di questa architettura per supportare l'individuazione di anomalie, la correlazione degli eventi e la prioritizzazione degli alert. L'obiettivo è costruire un sistema nel quale la tecnologia aiuti gli operatori a individuare più rapidamente i comportamenti che richiedono una verifica.
L'AI come livello aggiuntivo della cybersecurity aziendale
L'anomaly detection basata sull'intelligenza artificiale rappresenta quindi un'evoluzione importante della sicurezza informatica. Analizzando il comportamento degli utenti, il traffico di rete, gli endpoint e i log provenienti dai diversi sistemi, l'AI può individuare deviazioni che meritano un'analisi e contribuire a ridurre il tempo necessario per identificare determinati eventi.
La tecnologia deve però essere inserita all'interno di un'architettura di sicurezza più ampia. Qualità dei dati, configurazione dei sistemi, gestione degli alert, riduzione dei falsi positivi, controllo degli accessi e supervisione degli operatori rimangono elementi fondamentali.
Per le aziende, il vero valore dell'intelligenza artificiale nella cybersecurity non consiste quindi nell'affidare alla macchina l'intera gestione della sicurezza, ma nel fornire agli strumenti e ai tecnici una capacità di analisi aggiuntiva. L'AI può elaborare grandi quantità di eventi, riconoscere pattern comportamentali e mettere in evidenza situazioni anomale, mentre le persone e i sistemi di sicurezza stabiliscono come analizzarle e quali azioni intraprendere.
