Giacomo Lanzi

Machine learning e cybersecurity: Applicazioni UEBA e sicurezza

Estimated reading time: 6 minutes

Il costo del cybercrimine ha ormai superato la capacità di tenere il passo. Gartner, società multinazionale che si occupa di sicurezza e analisi nel campo della tecnologia, ha previsto che la spesa mondiale per la sicurezza informatica sarà 16 volte inferiore ai danni causati. Per affrontare questa sfida, le organizzazioni si rivolgono oggi al machine learning e all’intelligenza artificiale per la cybersecurity, tentando di colmare le lacune.

La grande maggioranza dei malware prende di mira le vulnerabilità conosciute, ma le botnet passano spesso inosservate all’interno delle organizzazioni vittime per circa 12 giorni. Il problema in molti casi è la scarsità di risorse a disposizione.

Negli ultimi anni si è espansa la superficie di attacco con l’adozione di dispositivi IoT e il diffondersi di ambienti di lavoro BYOD (Bring Your Own Device). Questo, combinato con la crescente sofisticazione degli attacchi e l’aumento del divario delle competenze di sicurezza, ha sopraffatto molti team.

In risposta, i fornitori di servizi MSSP implementano sempre più spesso un sistema di machine learning nelle loro soluzioni di cybersecurity. Questo è sicuramente un campo interessante e molti capi della sicurezza sono alla ricerca di una soluzione definitiva nella lotta contro i cybercriminali. Ma la domanda è se il machine learning offerto dall’intelligenza artificiale possa aggiungere nuovo valore al regno della sicurezza.

Machine learning e Cybersecurity

Rilevamento e prevenzione delle minacce

Buona parte delle aziende sta operando con un kit standard di sicurezza. Le loro stanze sono piene di dispositivi che affermano di poter rilevare e prevenire le ultime minacce attraverso il rilevamento signature-based, politiche predefinite o configurazioni personalizzate. I sensori in questa categoria includono firewall, DLP (Data Loss Prevention), IPS (Intrusion Prevention System) e WCF (Web Content Filter). Una considerazione allarmante, dato che questi sensori continuano ad essere adottati in grandi quantità, molti di loro potrebbero non essere configurati correttamente.

Inoltre, molti di questi dispositivi operano in completo isolamento, incapaci di condividere o correlare le informazioni o di rispondere alle minacce con qualsiasi tipo di strategia coordinata. Di conseguenza, anche il controllo di questi dispositivi richiede un livello ulteriore di sensori, insieme a membri aggiuntivi del team di sicurezza. Naturalmente, più sensori e più dati richiedono più persone e data l’attuale carenza di competenze di sicurezza, questa strategia è insostenibile sul lungo periodo.

Attraverso un sistema completo come un SOC, invece, questo non accade. La raccolta, la correlazione e l’analisi avvengono in modo coordinato in un SOAR (Security Orchestration, Automation and Response) pensato per essere un flusso di lavoro univoco. Parte di questi compiti è svolto da intelligenza artificiale e machine learning messe al servizio della cybersecurity. Lo scopo è quello di analizzare il comportamento degli utenti e individuare anomalie, oltre che imparare dalle analisi passate.

Machine learning per la cibersecurity

Il Machine Learning (ML) è un sottoinsieme dell’IA (Intelligenza Artificiale). AI e ML possono aumentare le nostre capacità umane permettendoci di scavare attraverso grandi serie di dati e individuare modelli di comportamento o segnali che sarebbero quasi impossibili da scovare per gli esseri umani. Questo moltiplicatore di forze consente ai tecnici a disposizione di individuare i comportamenti insoliti. In seguito l’analisi comportamentale con strumenti UEBA (User Entity Behavior Analytics) per la sicurezza farà il resto. I compiti banali e ripetitivi possono anche essere automatizzati con il machine learning, permettendo alle scarse risorse del personale per la cybersecurity di concentrarsi su compiti di più alto valore.

UEBA e sicurezza

Il machine learning e l’intelligenza artificiale si basano sui cosiddetti “big data”. La loro efficienza e accuratezza migliorano con la quantità di dati che gli vengono passati. L’importante, però, è raccogliere i dati giusti. È qui che entrano in gioco i sistemi UEBA per la sicurezza. La combinazione di dati comportamentali accurati ed essenziali con il machine learning è la forza di questo sistema di cybersecurity. Questo connubio consente di monitorare in modo accurato gli utenti, fornendo una profonda visibilità su ciò che fanno regolarmente.

Una volta stabilita una routine di comportamento, quando un utente compie azioni che il sistema considera anomale, si genera una notifica. Il team operativo viene così avvisato di ogni azione fuori dalle routine definite. Se l’attività rilevata è legittima, gli analisti possono semplicemente etichettare l’attività come parte della routine. Il machine learning integra quei dati nelle successive analisi dei dati per la cybersecurity aziendale. La fase cruciale è la normalizzazione del comportamento, che fa in modo che quella precisa azione non genererà più notifiche.

Ovviamente, nelle prime fasi temporali di installazione del sistema, le notifiche saranno numerose. Poiché l’intelligenza artificiale riduce questi falsi positivi “imparando”, ogni volta che ci si allontana dal comportamento normale, le notifiche diventano più urgenti per la sicurezza.

Machine learning

I benefici della combinazione UEBA, machine learning e sicurezza

L’utilizzo del machine learning insieme ai dati sul comportamento degli utenti fornisce un livello di proattività alla cybersecurity che non è possibile avere quando ci si affida ai tradizionali sistemi di prevenzione e rilevamento sign-based. Questo è dovuto al fatto che si è in grado di rilevare sottili cambiamenti nel comportamento che è difficile individuare con i sistemi tradizionali. Semplicemente, non è possibile configurare un sistema con ogni singola permutazione di regole per rilevare tutti gli attacchi.

Rilevare attività di ricognizione di basso livello utilizzando UEBA e il machine learning ha molte più probabilità di far scattare i vostri sensi di ragno rispetto ad altri metodi. Questo fornisce un enorme vantaggio, rendendo molto più difficile per gli attaccanti eludere il controllo volando sotto qualsiasi radar basato sulle regole.

Il valore aggiunto

I vantaggi di utilizzare una soluzione di sicurezza UEBA costruita su una piattaforma di machine learning per la cybersecurity sono molti. Poiché la loro capacità di gestione delle routine dell’attività di rete è raffinata, non solo possono rilevare cambiamenti anomali nel comportamento, ma queste informazioni possono diventare parte di un processo proattivo, identificando e prevenendo certi comportamenti prima che si verifichino.

Ma forse la cosa più importante è che il machine learning sta entrando in scena in un momento molto delicato per la cybersecurity. Il numero di analisti necessari per setacciare i dati a mano e identificare le minacce sta superando il numero di professionisti disponibili. Rimuovendo l’uomo da un compito per il quale non è particolarmente adatto, è libero di concentrarsi su quelle aree in cui può aggiungere valore, come ad esempio sviluppare ulteriormente i protocolli di cybersecurity.

Quindi, il machine learning aggiunge valore alla cybersecurity? Noi crediamo proprio di sì.

Costi e soluzioni proposte

In termini di costi in generale, con un sistema UEBA la manutenzione è ridotta e non richiede l’assunzione nuovi professionisti, soprattutto se si considera l’utilizzo del servizio in soluzione SaaS.

Noi di SOD offriamo il sistema di machine learning e UEBA, assieme a un SIEM Next Gen in una soluzione ideale per chi non vuole investire nell’installazione di hardware dedicato. Il nostro SOC as a Service è pensato per ottimizzare l’investimento e massimizzare il ritorno in termini di qualità delle procedure di sicurezza.

Per saperne di più visita la pagina del servizio oppure contattaci per sapere come questa soluzione può essere utile per la tua azienda. Risponderemo a ogni vostro dubbio.

Link utili:

Link utili:

Improving Staff Workflow with Cloud Technology

UEBA: L’analisi del comportamento spiegata

Condividi


RSS

Piu’ articoli…

Categorie …

Tags

RSS CSIRT

RSS Dark Reading

RSS Full Disclosure

  • Disclosing Vulnerability of CLink Office 2.0 Maggio 23, 2022
    Posted by chan chan on May 23Dear Sir/Madam, I would like to submit a vulnerability found on CLink Office 2.0. I had contacted the vendor 60 days before but in vain. # Exploit Title: Multiple blind SQL injection vulnerabilities in in CLink Office 2.0 Anti-Spam management console # Date: 30 Mar 2022 # Exploit Author: […]
  • [tool] tplink backup decryptor. Maggio 23, 2022
    Posted by retset on May 23Yet another "tool" to decrypt a backup configs for some tplink wifi routers. Only tested on latest fw for "Archer C7". I hope that it will be useful for someone. https://github.com/ret5et/tplink_backup_decrypt_2022.bin
  • SEC Consult SA-20220518-0 :: Multiple Critical Vulnerabilities in SAP® Application Server, ABAP and ABAP® Platform (Different Software Components) Maggio 18, 2022
    Posted by SEC Consult Vulnerability Lab, Research via Fulldisclosure on May 18SEC Consult Vulnerability Lab Security Advisory < 20220518-0 > ======================================================================= title: Multiple Critical Vulnerabilities product: SAP® Application Server ABAP and ABAP® Platform (Different Software Components) vulnerable version: see section "Vulnerable / tested versions" fixed version: see SAP security notes...
  • PHPIPAM 1.4.4 - CVE-2021-46426 Maggio 18, 2022
    Posted by Rodolfo Augusto do Nascimento Tavares via Fulldisclosure on May 18=====[ Tempest Security Intelligence - ADV-03/2022 ]========================== PHPIPAM - Version 1.4.4 Author: Rodolfo Tavares Tempest Security Intelligence - Recife, Pernambuco - Brazil =====[ Table of Contents ]================================================== * Overview * Detailed description * Timeline of disclosure * Thanks & Acknowledgements * References =====[ Vulnerability […]
  • LiquidFiles - 3.4.15 - Stored XSS - CVE-2021-30140 Maggio 18, 2022
    Posted by Rodolfo Augusto do Nascimento Tavares via Fulldisclosure on May 18=====[ Tempest Security Intelligence - ADV-12/2021 ]========================== LiquidFiles - 3.4.15 Author: Rodolfo Tavares Tempest Security Intelligence - Recife, Pernambuco - Brazil =====[ Table of Contents]================================================== * Overview * Detailed description * Timeline of disclosure * Thanks & Acknowledgements * References =====[ Vulnerability...
  • Watch multiple LockBit Ransom get DESTROYED Mass PWNAGE at scale! Maggio 18, 2022
    Posted by malvuln on May 18Watch multiple LockBit Ransom get DESTROYED Mass PWNAGE at scale! https://www.youtube.com/watch?v=eg3l8a_HSSU
  • github.com/malvuln/RansomDLLs / Catalog of current DLLs affecting vulnerable Ransomware strains. Maggio 18, 2022
    Posted by malvuln on May 18Reference list for my Ransomware exploitation research. Lists current DLLs I have seen to date that some ransomware search for, which I have used successfully to hijack and intercept vulnerable strains executing arbitrary code pre-encryption. https://github.com/malvuln/RansomDLLs
  • APPLE-SA-2022-05-16-2 macOS Monterey 12.4 Maggio 17, 2022
    Posted by Apple Product Security via Fulldisclosure on May 16APPLE-SA-2022-05-16-2 macOS Monterey 12.4 macOS Monterey 12.4 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT213257. AMD Available for: macOS Monterey Impact: An application may be able to execute arbitrary code with kernel privileges Description: A memory corruption issue was addressed […]
  • APPLE-SA-2022-05-16-6 tvOS 15.5 Maggio 17, 2022
    Posted by Apple Product Security via Fulldisclosure on May 16APPLE-SA-2022-05-16-6 tvOS 15.5 tvOS 15.5 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT213254. AppleAVD Available for: Apple TV 4K, Apple TV 4K (2nd generation), and Apple TV HD Impact: An application may be able to execute arbitrary code with kernel […]
  • APPLE-SA-2022-05-16-5 watchOS 8.6 Maggio 17, 2022
    Posted by Apple Product Security via Fulldisclosure on May 16APPLE-SA-2022-05-16-5 watchOS 8.6 watchOS 8.6 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT213253. AppleAVD Available for: Apple Watch Series 3 and later Impact: An application may be able to execute arbitrary code with kernel privileges Description: A use after free […]

Customers

Newsletter