Machine learning e cybersecurity: Applicazioni UEBA e sicurezza

Estimated reading time: 6 minuti

Il costo del cybercrimine ha ormai superato la capacità di tenere il passo. Gartner, società multinazionale che si occupa di sicurezza e analisi nel campo della tecnologia, ha previsto che la spesa mondiale per la sicurezza informatica sarà 16 volte inferiore ai danni causati. Per affrontare questa sfida, le organizzazioni si rivolgono oggi al machine learning e all’intelligenza artificiale per la cybersecurity, tentando di colmare le lacune.

La grande maggioranza dei malware prende di mira le vulnerabilità conosciute, ma le botnet passano spesso inosservate all’interno delle organizzazioni vittime per circa 12 giorni. Il problema in molti casi è la scarsità di risorse a disposizione.

Negli ultimi anni si è espansa la superficie di attacco con l’adozione di dispositivi IoT e il diffondersi di ambienti di lavoro BYOD (Bring Your Own Device). Questo, combinato con la crescente sofisticazione degli attacchi e l’aumento del divario delle competenze di sicurezza, ha sopraffatto molti team.

In risposta, i fornitori di servizi MSSP implementano sempre più spesso un sistema di machine learning nelle loro soluzioni di cybersecurity. Questo è sicuramente un campo interessante e molti capi della sicurezza sono alla ricerca di una soluzione definitiva nella lotta contro i cybercriminali. Ma la domanda è se il machine learning offerto dall’intelligenza artificiale possa aggiungere nuovo valore al regno della sicurezza.

Rilevamento e prevenzione delle minacce

Buona parte delle aziende sta operando con un kit standard di sicurezza. Le loro stanze sono piene di dispositivi che affermano di poter rilevare e prevenire le ultime minacce attraverso il rilevamento signature-based, politiche predefinite o configurazioni personalizzate. I sensori in questa categoria includono firewall, DLP (Data Loss Prevention), IPS (Intrusion Prevention System) e WCF (Web Content Filter). Una considerazione allarmante, dato che questi sensori continuano ad essere adottati in grandi quantità, molti di loro potrebbero non essere configurati correttamente.

Inoltre, molti di questi dispositivi operano in completo isolamento, incapaci di condividere o correlare le informazioni o di rispondere alle minacce con qualsiasi tipo di strategia coordinata. Di conseguenza, anche il controllo di questi dispositivi richiede un livello ulteriore di sensori, insieme a membri aggiuntivi del team di sicurezza. Naturalmente, più sensori e più dati richiedono più persone e data l’attuale carenza di competenze di sicurezza, questa strategia è insostenibile sul lungo periodo.

Attraverso un sistema completo come un SOC, invece, questo non accade. La raccolta, la correlazione e l’analisi avvengono in modo coordinato in un SOAR (Security Orchestration, Automation and Response) pensato per essere un flusso di lavoro univoco. Parte di questi compiti è svolto da intelligenza artificiale e machine learning messe al servizio della cybersecurity. Lo scopo è quello di analizzare il comportamento degli utenti e individuare anomalie, oltre che imparare dalle analisi passate.

Machine learning per la cibersecurity

Il Machine Learning (ML) è un sottoinsieme dell’IA (Intelligenza Artificiale). AI e ML possono aumentare le nostre capacità umane permettendoci di scavare attraverso grandi serie di dati e individuare modelli di comportamento o segnali che sarebbero quasi impossibili da scovare per gli esseri umani. Questo moltiplicatore di forze consente ai tecnici a disposizione di individuare i comportamenti insoliti. In seguito l’analisi comportamentale con strumenti UEBA (User Entity Behavior Analytics) per la sicurezza farà il resto. I compiti banali e ripetitivi possono anche essere automatizzati con il machine learning, permettendo alle scarse risorse del personale per la cybersecurity di concentrarsi su compiti di più alto valore.

UEBA e sicurezza

Il machine learning e l’intelligenza artificiale si basano sui cosiddetti “big data”. La loro efficienza e accuratezza migliorano con la quantità di dati che gli vengono passati. L’importante, però, è raccogliere i dati giusti. È qui che entrano in gioco i sistemi UEBA per la sicurezza. La combinazione di dati comportamentali accurati ed essenziali con il machine learning è la forza di questo sistema di cybersecurity. Questo connubio consente di monitorare in modo accurato gli utenti, fornendo una profonda visibilità su ciò che fanno regolarmente.

Una volta stabilita una routine di comportamento, quando un utente compie azioni che il sistema considera anomale, si genera una notifica. Il team operativo viene così avvisato di ogni azione fuori dalle routine definite. Se l’attività rilevata è legittima, gli analisti possono semplicemente etichettare l’attività come parte della routine. Il machine learning integra quei dati nelle successive analisi dei dati per la cybersecurity aziendale. La fase cruciale è la normalizzazione del comportamento, che fa in modo che quella precisa azione non genererà più notifiche.

Ovviamente, nelle prime fasi temporali di installazione del sistema, le notifiche saranno numerose. Poiché l’intelligenza artificiale riduce questi falsi positivi “imparando”, ogni volta che ci si allontana dal comportamento normale, le notifiche diventano più urgenti per la sicurezza.

I benefici della combinazione UEBA, machine learning e sicurezza

L’utilizzo del machine learning insieme ai dati sul comportamento degli utenti fornisce un livello di proattività alla cybersecurity che non è possibile avere quando ci si affida ai tradizionali sistemi di prevenzione e rilevamento sign-based. Questo è dovuto al fatto che si è in grado di rilevare sottili cambiamenti nel comportamento che è difficile individuare con i sistemi tradizionali. Semplicemente, non è possibile configurare un sistema con ogni singola permutazione di regole per rilevare tutti gli attacchi.

Rilevare attività di ricognizione di basso livello utilizzando UEBA e il machine learning ha molte più probabilità di far scattare i vostri sensi di ragno rispetto ad altri metodi. Questo fornisce un enorme vantaggio, rendendo molto più difficile per gli attaccanti eludere il controllo volando sotto qualsiasi radar basato sulle regole.

Il valore aggiunto

I vantaggi di utilizzare una soluzione di sicurezza UEBA costruita su una piattaforma di machine learning per la cybersecurity sono molti. Poiché la loro capacità di gestione delle routine dell’attività di rete è raffinata, non solo possono rilevare cambiamenti anomali nel comportamento, ma queste informazioni possono diventare parte di un processo proattivo, identificando e prevenendo certi comportamenti prima che si verifichino.

Ma forse la cosa più importante è che il machine learning sta entrando in scena in un momento molto delicato per la cybersecurity. Il numero di analisti necessari per setacciare i dati a mano e identificare le minacce sta superando il numero di professionisti disponibili. Rimuovendo l’uomo da un compito per il quale non è particolarmente adatto, è libero di concentrarsi su quelle aree in cui può aggiungere valore, come ad esempio sviluppare ulteriormente i protocolli di cybersecurity.

Quindi, il machine learning aggiunge valore alla cybersecurity? Noi crediamo proprio di sì.

Costi e soluzioni proposte

In termini di costi in generale, con un sistema UEBA la manutenzione è ridotta e non richiede l’assunzione nuovi professionisti, soprattutto se si considera l’utilizzo del servizio in soluzione SaaS.

Noi di SOD offriamo il sistema di machine learning e UEBA, assieme a un SIEM Next Gen in una soluzione ideale per chi non vuole investire nell’installazione di hardware dedicato. Il nostro SOC as a Service è pensato per ottimizzare l’investimento e massimizzare il ritorno in termini di qualità delle procedure di sicurezza.

Per saperne di più visita la pagina del servizio oppure contattaci per sapere come questa soluzione può essere utile per la tua azienda. Risponderemo a ogni vostro dubbio.

Link utili:

Link utili:

Improving Staff Workflow with Cloud Technology

UEBA: L’analisi del comportamento spiegata