Secondo un’indagine globale, il 66% dei professionisti della sicurezza in Italia ritiene possibile che la propria organizzazione abbia subito una violazione senza che questa sia stata rilevata. In altre parole, due terzi dei team di sicurezza non sanno quale parte della propria azienda sia stata compromessa.
È quella che viene chiamata “minaccia sconosciuta”, un problema che negli ultimi due anni ha preso sempre più piede in conseguenza del rapido passaggio a servizi, storage, applicazioni e identità su cloud ibrido.
Indice degli argomenti
Minacce sconosciute: il più grande rischio cyber
Le minacce sconosciute, che siano basate sul cloud, sull’acquisizione di account o su attacchi alla supply chain, hanno semplicemente molti più modi per infiltrarsi e muoversi lateralmente all’interno delle organizzazioni ed è per questo che si ritiene rappresentino oggi il più grande rischio di cyber security.
Lo conferma anche il rapporto “Cost of a Data Breach 2022” di IBM, secondo cui quasi la metà (45%) delle violazioni è basata sul cloud. Il rapporto “2022 Data Breach Investigations” di Verizon ha rilevato che quasi la metà di tutte le violazioni di dati sono causate dal furto di credenziali.
Secondo lo stesso report, le minacce persistenti avanzate (APT) che attaccano le supply chain rappresentano il 62% degli incidenti di intrusione nei sistemi aziendali.
Ma perché le organizzazioni oggi sono più esposte alle minacce sconosciute? Il problema si riduce a tre questioni, tutte legate al tentativo di affrontare il “più” di minacce con un “più” di soluzioni. In sostanza:
- più superficie di attacco significa più strumenti, quindi maggiore complessità;
- un maggior numero di attaccanti equivale a un maggior numero di regole, quindi a un maggior numero di avvisi e di impostazioni;
- più regole di allerta da adottare e mantenere significano più analisti, più lavoro e più stanchezza.
Ciò che è scoraggiante è che l’industria della sicurezza continua a cercare di combattere “più” con “più”, ma è ormai evidente che non si tratta della risposta giusta.
Aumentare le soluzioni non elimina le minacce ignote, anzi le alimenta. E aggrava ancor di più il problema di fiducia nella propria infrastruttura che i responsabili della sicurezza si trovano ad affrontare.
Rompere la spirale del “più”
Due fattori guidano questa spirale del “più”. Il primo è strutturale al settore della sicurezza e riguarda l’esistenza di troppi prodotti puntuali per il rilevamento e la risposta alle minacce. L’unica soluzione davvero pratica è rappresentata invece da piattaforme di rilevamento e risposta alle minacce che abbiano un’ampia copertura della superficie di attacco e che siano in grado di unificare e semplificare in modo nativo.
Il secondo è il linguaggio utilizzato dagli strumenti di rilevamento ancora comunemente utilizzati, in particolare IDS (intrusion detection system) e SIEM (security information and event management system).
Ciò deriva da un’attenzione decennale alla creazione di capacità di intelligence sulle minacce per comunicare e trovare rapidamente indicatori di compromissione (IoC) noti, come domini C2, hash dei file, nomi di processi dannosi, chiavi di registro, regex nei pacchetti. I linguaggi delle regole di rilevamento sono stati naturalmente ottimizzati per trovare questi IoC noti.
Oggi il panorama è cambiato e questi approcci non riescono a tenere il passo. Le minacce moderne si muovono troppo velocemente, lasciando i difensori costantemente alla ricerca dell’ultima vulnerabilità o dominio. I metodi dei moderni attaccanti non possono essere caratterizzati da semplici firme e regole e le nuove minacce, sempre più evasive, sono capaci di eludere i sistemi di prevenzione e passare inosservate per mesi.
Pensiamo all’individuazione di un attaccante che utilizza una credenziale di amministratore rubata per muoversi lateralmente con un protocollo di amministrazione di Windows. Se si dispone dei dati giusti, le regole e le firme possono indicare ogni volta che viene utilizzata una credenziale di amministratore con strumenti di amministrazione di Windows utilizzati per eseguire codice in remoto.
Le potenziali attività di attacco saranno però sepolte sotto il gran numero di avvisi che arrivano agli analisti ogni volta che un amministratore svolge il proprio lavoro. Da qui i tentativi di perfezionare questa regola, che non finiranno mai: forse la regola sarà efficace, forse no. Di sicuro, è il modo giusto per avere più punti ciechi e aumentare il rischio di burnout degli analisti, lasciando vincere la minaccia sconosciuta.
Affidarsi a buoni modelli di ML/AI
L’attività di ricerca e sviluppo nel campo dell’Intelligenza Artificiale per la sicurezza deve avere l’obiettivo di eliminare l’ignoto e di farlo non con “più”, ma con meno. La premessa centrale di una buona Security AI non è la raccolta di più dati, ma la raccolta e l’analisi dei dati giusti nel modo giusto.
Raccogliere i dati giusti e analizzarli nel modo corretto consente ai team di sicurezza di fare di più con meno strumenti, meno lavoro e meno tempo. Per sconfiggere le minacce sconosciute, l’Artificial Intelligence e il Machine Learning devono aiutare i team di sicurezza a fare tre semplici cose in modo efficace ed efficiente:
- pensare come un attaccante, per andare oltre le firme e le anomalie, e comprenderne il comportamento, concentrandosi sulle TTP (tattiche, tecniche e procedure) lungo la catena dell’attacco informatico;
- sapere cosa è davvero malevolo, analizzando i modelli di rilevamento unici per il proprio ambiente per far emergere gli eventi rilevanti e ridurre il rumore di fondo degli avvisi di sicurezza;
- concentrarsi sull’urgenza con una visione delle minacce che tenga conto della gravità e dell’impatto delle stesse, così da consentire agli analisti di concentrarsi sulla risposta alle minacce critiche e sulla riduzione del rischio aziendale.
Applicare l’intelligence ai segnali di attacco
L’unico bisogno di “più” sicurezza è una maggiore intelligence dei segnali di attacco. Essa svolge per le minacce ignote la stessa funzione che la threat intelligence svolge per le minacce note. A differenza di altri approcci di AI che cercano semplici anomalie per dire ai team di sicurezza cosa c’è di diverso, l’intelligence applicata ai segnali di attacco dice ai team di sicurezza cosa è importante.
Monitorando continuamente l’uso dei metodi degli attaccanti con una serie di modelli programmati con una comprensione dei TTP (si pensi a MITRE ATT&CK) e sottoponendo i risultati di questo monitoraggio a un ulteriore livello di intelligenza artificiale, che combina la comprensione dell’ambiente nel suo complesso con i modelli di minaccia e l’intelligence umana sulle minacce, è possibile far emergere le minacce più importanti.
Se la threat intelligence offre agli specialisti della security la sicurezza di ridurre ciò che è noto, l’intelligence applicata ai segnali di attacco dà la sicurezza di ridurre ciò che era precedentemente sconosciuto. Così i team di sicurezza sono in grado di eliminare l’ignoto, contrastare gli attaccanti e rendere il mondo un posto più sicuro e più giusto.
