Il debutto di Zscaler Agentic SOC inauguraun nuovo approccio alle security operations, ideato per abbattere in maniera proattiva le esposizioni, valorizzare le competenze degli analisti e accelerare il rilevamento ed il contenimento degli attacchi che sfruttano l’AI e che si svolgono a “velocità macchina”.
“Di fronte ad attacchi potenziati dall’AI o ad attività più tradizionali condotte a velocità sempre maggiore, abbiamo bisogno di un modello operativo agentico”, commenta David Cenciotti, Senior Sales Engineer di Zscaler.
Indice degli argomenti
Zscaler Agentic SOC per contenere le minacce basate sull’AI
Nell’attuale scenario delle minacce, non basta introdurre funzionalità AI all’interno dello stack di sicurezza esistente; serve un nuovo approccio.
Zscaler Agentic SOC nasce per affrontare questa esigenza, combinando la telemetria esclusiva della piattaforma, la rete mesh di decoy, agenti specializzati, i controlli integrati di Zero Trust e le integrazioni con le tecnologie di terze parti.
“Nello scenario attuale, non è efficace aggiungere l’AI a un SOC tradizionale, ma serve adottare un modello agentico”, continua David Cenciotti, “che parta da fonti di telemetria complementari, metta in relazione gli eventi con il contesto di rischio e chiuda il ciclo attraverso controlli capaci di intervenire rapidamente”.
I vantaggi dell’Agentic SOC
Nella lunga estate calda degli attacchi basati sull’AI, a partire dal caso Hugging Face, l’approccio agentico mira ad accelerare le attività di rilevamento, analisi e risposta, riducendo il lavoro manuale di correlazione degli eventi e aiutando gli analisti a concentrarsi sugli incidenti prioritari.
“L’obiettivo di Zscaler Agentic SOC è unificare tutti gli alert provenienti sia dal nostro stack sia da terze parti, arricchendoli con il contesto necessario per identificare con precisione gli asset, le identità coinvolte e il loro livello di esposizione. Trasformando i singoli eventi in incidenti classificati, la piattaforma ne valuta l’impatto e propone azioni tempestive basate su playbook mirati, applicando misure di contenimento immediate attraverso i controlli Zero Trust nativi o tramite integrazioni esterne”, avverte David Cenciotti.
L’obiettivo è ridurre tempi, ambiguità e impatto sul business.
Queste azioni possono essere automatizzate o sottoposte ad approvazione, sempre nei limiti definiti dalle policy e dalle autorizzazioni aziendali, garantendo in ogni caso la supervisione e la decisione finale all’operatore del SOC.
Infatti, Zscaler Agentic SOC “mette a disposizione una serie di tool e agenti, che agiscono molto velocemente, sono in grado di ricostruire la storia di un attacco, attribuiscono agli incidenti una classificazione secondo criteri di triage (come in un Pronto Soccorso), forniscono un verdetto sulla pericolosità degli stessi e mappano le evidenze al ciclo di vita di un attacco e alle tecniche utilizzate dagli attaccanti, suggerendo quindi all’analista le azioni da intraprendere. In questo modo l’analista può concentrarsi su ciò che conta davvero e decidere più rapidamente come intervenire”, aggiunge David Cenciotti.
Come mitigare un attacco
L’Agentic SOC riduce i tempi tra la fase di scoperta dell’eventuale vulnerabilità e i tempi di remediation.
“Nell’epoca delle AI, il SOC tradizionale impiegherebbe diverse ore, se non giorni, a completare tutta questa serie di operazioni”, avverte David Cenciotti.
Il SOC agentico invece “può comprimere drasticamente alcune di queste fasi e, in determinati scenari, portare dal rilevamento al contenimento in pochi minuti”, continua David Cenciotti.
“Possiamo immaginare l’Agentic SOC come il punto di arrivo di una serie di attività svolte da agenti automatizzati, sempre sotto la supervisione di un operatore umano, che mantiene il controllo sulle decisioni. Facciamo un esempio: un decoy, ovvero un target fittizio, intercetta un tentativo di enumerazione di Active Directory, mentre parallelamente un altro componente, come un Secure Web Gateway, rileva un aumento dei tentativi di phishing o di altre attività malevole”, avverte David Cenciotti.
Il ruolo degli agenti è quindi quello di “unificare i diversi segnali in un unico incidente, correlandoli tra loro e mappando le esposizioni note lungo l’intero percorso d’attacco. L’agent di triage produce un verdetto con delle evidenze, suggerendo, anche in base ai playbook, un’azione coerente che abbia il minimo impatto sul business, cosicché il SOC approvi o deleghi in autonomia il contenimento che può consistere nel bloccare un utente, isolare un’app privata oppure effettuare l’instradamento verso un ulteriore decoy, chiudendo il cosiddetto loop”, spiega David Cenciotti.
Zscaler Agentic SOC “consente all’operatore di SOC di concentrarsi e di effettuare le proprie valutazioni su un percorso già ripulito dal rumore di fondo, permettendo quindi di intervenire in maniera sicuramente più efficace”, secondo David Cenciotti.
L’integrazione diretta di Zscaler Agentic SOC con i modelli AI di frontiera
La sinergia con i principali laboratori di sviluppo consente di incorporare i risultati delle analisi di vulnerabilità realizzate anche con il supporto di modelli AI avanzati, rendendoli utilizzabili nei flussi operativi del SOC. L’obiettivo è andare oltre l’individuazione teorica di una minaccia e comprenderne la rilevanza nell’ambiente da proteggere.
“I modelli AI di frontiera possono offrire un contributo importante alla ricerca e all’analisi delle vulnerabilità, aiutando a comprendere le condizioni che potrebbero consentirne lo sfruttamento”, avverte David Cenciotti.
La conoscenza della vulnerabilità, tuttavia, è soltanto il primo passaggio. È necessario stabilire se i sistemi interessati siano presenti nell’organizzazione, se siano raggiungibili da un attaccante e quali identità, applicazioni e dati possano essere coinvolti.
“Identificare una falla è importante, ma comprenderne il rischio reale per una specifica organizzazione è fondamentale. Una vulnerabilità con un punteggio di gravità relativamente basso può richiedere un intervento più urgente di una vulnerabilità classificata come critica, se interessa una risorsa esposta e strategica per il business”, precisa Cenciotti.
“Il salto di qualità consiste nel trasformare le informazioni in decisioni e azioni concrete nel minor tempo possibile. Combinando i risultati delle analisi con la telemetria Zero Trust, la threat intelligence e il contesto operativo, passiamo dalla descrizione astratta del rischio alla sua prioritizzazione e alla gestione dei processi di mitigazione e risposta”, conclude.
Le collaborazioni di Zscaler
Le collaborazioni con i laboratori che sviluppano modelli AI di frontiera contribuiscono all’evoluzione delle capacità di analisi. Per contrastare minacce sempre più veloci ed elusive, però, occorre unire queste capacità alla conoscenza dell’ambiente e ai controlli di sicurezza.
Zscaler ha annunciato collaborazioni con alcuni dei principali player in questo settore, tra cui OpenAI ed Anthropic.
“Ma la qualità di un SOC non dipende soltanto dall’intelligenza del modello utilizzato; dipende anche dai dati su cui questo modello è chiamato a ragionare. Noi integriamo le capacità di ragionamento di questi modelli più avanzati con qualcosa che i modelli in realtà da soli non possiedono, ovvero la conoscenza del contesto di sicurezza e la capacità di intervenire concretamente sull’infrastruttura da proteggere”, evidenzia David Cenciotti.
“Integriamo le capacità di analisi dei modelli con la nostra telemetria, la threat intelligence e l’esperienza maturata nelle attività di detection, incident response e threat hunting. Questo patrimonio di conoscenze contribuisce allo sviluppo di agenti specializzati, capaci di svolgere compiti operativi specifici e non soltanto di generare risposte in linguaggio naturale”, aggiunge.
L’impiego degli agenti deve essere accompagnato da meccanismi che garantiscano la verificabilità delle evidenze, un’adeguata supervisione umana e il controllo sulle azioni che gli agenti sono autorizzati a eseguire. Le possibilità di automazione variano in funzione delle configurazioni e delle autorizzazioni adottate.
I quattro elementi distintivi della SecOps di Zscaler
Gli elementi distintivi della proposta SecOps di Zscaler sono quattro: gestione unificata delle esposizioni e delle minacce, telemetria Zero Trust, Agenti AI specializzati, fondati su un’esperienza concreta sul campo e, infine, la remediation inline a ciclo chiuso.
“Il primo elemento fondamentale è quello della gestione unificata delle esposizioni e delle minacce”, avverte David Cenciotti.
“Tradizionalmente, chi individua e classifica le vulnerabilità opera separatamente da chi rileva gli attacchi e risponde agli incidenti. Questa separazione può introdurre ritardi”, sottolinea David Cenciotti.
“Il secondo elemento è la telemetria di Zero Trust Exchange. La piattaforma Zscaler elabora circa 750 miliardi di transazioni al giorno: una fonte di segnali sui comportamenti di utenti, dispositivi, applicazioni e workload, nei limiti della visibilità garantita dai servizi effettivamente adottati. Questa telemetria può rivelare segnali complementari rispetto a quelli raccolti da altri strumenti”, mette in guardia David Cenciotti.
Il terzo elemento è rappresentato dagli agenti AI specializzati. Non si tratta di offrire agli operatori un semplice chatbot, ma di impiegare agenti dedicati al triage, all’arricchimento degli alert, alla ricostruzione degli incidenti, all’analisi delle cause e alla valutazione delle evidenze. Le loro metodologie sono alimentate anche dall’esperienza maturata in anni di security operations, incident response e threat hunting.
“Infine, il quarto elemento, è la capacità di chiudere rapidamente il ciclo tra rilevamento e azione. In questo contesto richiamo spesso l’OODA Loop: Observe, Orient, Decide, Act. Il SOC deve osservare gli eventi, interpretarli nel loro contesto, decidere come intervenire e applicare i controlli disponibili. Collegando investigazione e risposta possiamo ridurre i tempi di contenimento, anche attraverso azioni automatizzate”, conclude David Cenciotti.
L’integrazione con un ecosistema aperto
L’integrazione con un ecosistema aperto è uno dei punti di forza di Zscaler Agentic SOC, che si distingue per il Context Graph ricco di dati, gli Agenti AI specializzati, il rilevamento avanzato basato sulla Threat intelligence e il Threat hunting continuo, supportato anche dall’esperienza degli analisti.
“Proprio in fase di modellazione di un Agentic SOC, è fondamentale contrastare la frammentazione delle informazioni. Ogni tecnologia rappresenta di fatto un sensore che genera eventi, alert e indicatori che, presi singolarmente, hanno un valore abbastanza limitato. Tuttavia, sul “campo di battaglia” in cui agisce il SOC è importante riuscire a correlare le informazioni che provengono da sistemi differenti e costruire una rappresentazione condivisa della situazione, utile sia agli analisti, sia agli agenti”, spiega David Cenciotti.
In particolare, Context Graph collega la telemetria Zero Trust con le informazioni rese disponibili dalle integrazioni di terze parti, mettendo in relazione identità, dispositivi, applicazioni, vulnerabilità ed esposizioni. L’obiettivo non è semplicemente aggregare più dati, ma ricostruire le connessioni che aiutano a valutare possibili percorsi di attacco.
Identificare precocemente le minacce e i possibili percorsi d’attacco
“I dati da soli non raccontano una storia. Serve correlarli e attribuire loro un significato per far emergere ciò che è davvero prioritario. L’analisi, se svolta correttamente, permette di individuare segnali precoci di attività malevole o compromissione che potrebbero sfuggire ai controlli tradizionali, e rilevare traiettorie di attacco che potrebbero non emergere da una lettura isolata dal contesto degli alert”.
“Qui si osserva, inoltre, l’importanza dell’integrazione con un ecosistema di tecnologie di terze parti che permette, da un lato, di conseguire una superiorità informativa, o Information Superiority, rispetto all’attaccante e, dall’altro, di condividere le informazioni utili con le tecnologie di sicurezza, anche di terze parti, per attivare le misure di contrasto più appropriate. L’obiettivo resta sempre lo stesso: ridurre il tempo che separa l’individuazione della minaccia dal suo contenimento”, conclude David Cenciotti.
Contributo editoriale realizzato con il contributo di Zscaler.
Partecipa alla community