Giacomo Lanzi

Machine learning e cybersecurity: Applicazioni UEBA e sicurezza

Estimated reading time: 6 minuti

Il costo del cybercrimine ha ormai superato la capacità di tenere il passo. Gartner, società multinazionale che si occupa di sicurezza e analisi nel campo della tecnologia, ha previsto che la spesa mondiale per la sicurezza informatica sarà 16 volte inferiore ai danni causati. Per affrontare questa sfida, le organizzazioni si rivolgono oggi al machine learning e all’intelligenza artificiale per la cybersecurity, tentando di colmare le lacune.

La grande maggioranza dei malware prende di mira le vulnerabilità conosciute, ma le botnet passano spesso inosservate all’interno delle organizzazioni vittime per circa 12 giorni. Il problema in molti casi è la scarsità di risorse a disposizione.

Negli ultimi anni si è espansa la superficie di attacco con l’adozione di dispositivi IoT e il diffondersi di ambienti di lavoro BYOD (Bring Your Own Device). Questo, combinato con la crescente sofisticazione degli attacchi e l’aumento del divario delle competenze di sicurezza, ha sopraffatto molti team.

In risposta, i fornitori di servizi MSSP implementano sempre più spesso un sistema di machine learning nelle loro soluzioni di cybersecurity. Questo è sicuramente un campo interessante e molti capi della sicurezza sono alla ricerca di una soluzione definitiva nella lotta contro i cybercriminali. Ma la domanda è se il machine learning offerto dall’intelligenza artificiale possa aggiungere nuovo valore al regno della sicurezza.

Machine learning e Cybersecurity

Rilevamento e prevenzione delle minacce

Buona parte delle aziende sta operando con un kit standard di sicurezza. Le loro stanze sono piene di dispositivi che affermano di poter rilevare e prevenire le ultime minacce attraverso il rilevamento signature-based, politiche predefinite o configurazioni personalizzate. I sensori in questa categoria includono firewall, DLP (Data Loss Prevention), IPS (Intrusion Prevention System) e WCF (Web Content Filter). Una considerazione allarmante, dato che questi sensori continuano ad essere adottati in grandi quantità, molti di loro potrebbero non essere configurati correttamente.

Inoltre, molti di questi dispositivi operano in completo isolamento, incapaci di condividere o correlare le informazioni o di rispondere alle minacce con qualsiasi tipo di strategia coordinata. Di conseguenza, anche il controllo di questi dispositivi richiede un livello ulteriore di sensori, insieme a membri aggiuntivi del team di sicurezza. Naturalmente, più sensori e più dati richiedono più persone e data l’attuale carenza di competenze di sicurezza, questa strategia è insostenibile sul lungo periodo.

Attraverso un sistema completo come un SOC, invece, questo non accade. La raccolta, la correlazione e l’analisi avvengono in modo coordinato in un SOAR (Security Orchestration, Automation and Response) pensato per essere un flusso di lavoro univoco. Parte di questi compiti è svolto da intelligenza artificiale e machine learning messe al servizio della cybersecurity. Lo scopo è quello di analizzare il comportamento degli utenti e individuare anomalie, oltre che imparare dalle analisi passate.

Machine learning per la cibersecurity

Il Machine Learning (ML) è un sottoinsieme dell’IA (Intelligenza Artificiale). AI e ML possono aumentare le nostre capacità umane permettendoci di scavare attraverso grandi serie di dati e individuare modelli di comportamento o segnali che sarebbero quasi impossibili da scovare per gli esseri umani. Questo moltiplicatore di forze consente ai tecnici a disposizione di individuare i comportamenti insoliti. In seguito l’analisi comportamentale con strumenti UEBA (User Entity Behavior Analytics) per la sicurezza farà il resto. I compiti banali e ripetitivi possono anche essere automatizzati con il machine learning, permettendo alle scarse risorse del personale per la cybersecurity di concentrarsi su compiti di più alto valore.

UEBA e sicurezza

Il machine learning e l’intelligenza artificiale si basano sui cosiddetti “big data”. La loro efficienza e accuratezza migliorano con la quantità di dati che gli vengono passati. L’importante, però, è raccogliere i dati giusti. È qui che entrano in gioco i sistemi UEBA per la sicurezza. La combinazione di dati comportamentali accurati ed essenziali con il machine learning è la forza di questo sistema di cybersecurity. Questo connubio consente di monitorare in modo accurato gli utenti, fornendo una profonda visibilità su ciò che fanno regolarmente.

Una volta stabilita una routine di comportamento, quando un utente compie azioni che il sistema considera anomale, si genera una notifica. Il team operativo viene così avvisato di ogni azione fuori dalle routine definite. Se l’attività rilevata è legittima, gli analisti possono semplicemente etichettare l’attività come parte della routine. Il machine learning integra quei dati nelle successive analisi dei dati per la cybersecurity aziendale. La fase cruciale è la normalizzazione del comportamento, che fa in modo che quella precisa azione non genererà più notifiche.

Ovviamente, nelle prime fasi temporali di installazione del sistema, le notifiche saranno numerose. Poiché l’intelligenza artificiale riduce questi falsi positivi “imparando”, ogni volta che ci si allontana dal comportamento normale, le notifiche diventano più urgenti per la sicurezza.

Machine learning

I benefici della combinazione UEBA, machine learning e sicurezza

L’utilizzo del machine learning insieme ai dati sul comportamento degli utenti fornisce un livello di proattività alla cybersecurity che non è possibile avere quando ci si affida ai tradizionali sistemi di prevenzione e rilevamento sign-based. Questo è dovuto al fatto che si è in grado di rilevare sottili cambiamenti nel comportamento che è difficile individuare con i sistemi tradizionali. Semplicemente, non è possibile configurare un sistema con ogni singola permutazione di regole per rilevare tutti gli attacchi.

Rilevare attività di ricognizione di basso livello utilizzando UEBA e il machine learning ha molte più probabilità di far scattare i vostri sensi di ragno rispetto ad altri metodi. Questo fornisce un enorme vantaggio, rendendo molto più difficile per gli attaccanti eludere il controllo volando sotto qualsiasi radar basato sulle regole.

Il valore aggiunto

I vantaggi di utilizzare una soluzione di sicurezza UEBA costruita su una piattaforma di machine learning per la cybersecurity sono molti. Poiché la loro capacità di gestione delle routine dell’attività di rete è raffinata, non solo possono rilevare cambiamenti anomali nel comportamento, ma queste informazioni possono diventare parte di un processo proattivo, identificando e prevenendo certi comportamenti prima che si verifichino.

Ma forse la cosa più importante è che il machine learning sta entrando in scena in un momento molto delicato per la cybersecurity. Il numero di analisti necessari per setacciare i dati a mano e identificare le minacce sta superando il numero di professionisti disponibili. Rimuovendo l’uomo da un compito per il quale non è particolarmente adatto, è libero di concentrarsi su quelle aree in cui può aggiungere valore, come ad esempio sviluppare ulteriormente i protocolli di cybersecurity.

Quindi, il machine learning aggiunge valore alla cybersecurity? Noi crediamo proprio di sì.

Costi e soluzioni proposte

In termini di costi in generale, con un sistema UEBA la manutenzione è ridotta e non richiede l’assunzione nuovi professionisti, soprattutto se si considera l’utilizzo del servizio in soluzione SaaS.

Noi di SOD offriamo il sistema di machine learning e UEBA, assieme a un SIEM Next Gen in una soluzione ideale per chi non vuole investire nell’installazione di hardware dedicato. Il nostro SOC as a Service è pensato per ottimizzare l’investimento e massimizzare il ritorno in termini di qualità delle procedure di sicurezza.

Per saperne di più visita la pagina del servizio oppure contattaci per sapere come questa soluzione può essere utile per la tua azienda. Risponderemo a ogni vostro dubbio.

Link utili:

Link utili:

Improving Staff Workflow with Cloud Technology

UEBA: L’analisi del comportamento spiegata

Condividi


RSS

Piu’ articoli…

Categorie …

Tags

RSS CSIRT

RSS Dark Reading

RSS Full Disclosure

  • APPLE-SA-2023-01-24-1 tvOS 16.3 Gennaio 27, 2023
    Posted by Apple Product Security via Fulldisclosure on Jan 26APPLE-SA-2023-01-24-1 tvOS 16.3 tvOS 16.3 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT213601. AppleMobileFileIntegrity Available for: Apple TV 4K (all models) and Apple TV HD Impact: An app may be able to access user-sensitive data Description: This issue was addressed […]
  • [SYSS-2022-047] Razer Synapse - Local Privilege Escalation Gennaio 27, 2023
    Posted by Oliver Schwarz via Fulldisclosure on Jan 26Advisory ID: SYSS-2022-047 Product: Razer Synapse Manufacturer: Razer Inc. Affected Version(s): Versions before 3.7.0830.081906 Tested Version(s): 3.7.0731.072516 Vulnerability Type: Improper Certificate Validation (CWE-295) Risk Level: High Solution Status: Open Manufacturer Notification: 2022-08-02 Solution Date: 2022-09-06 Public Disclosure:...
  • [RT-SA-2022-002] Skyhigh Security Secure Web Gateway: Cross-Site Scripting in Single Sign-On Plugin Gennaio 26, 2023
    Posted by RedTeam Pentesting GmbH on Jan 26RedTeam Pentesting identified a vulnerability which allows attackers to craft URLs to any third-party website that result in arbitrary content to be injected into the response when accessed through the Secure Web Gateway. While it is possible to inject arbitrary content types, the primary risk arises from JavaScript […]
  • t2'23: Call For Papers 2023 (Helsinki, Finland) Gennaio 24, 2023
    Posted by Tomi Tuominen via Fulldisclosure on Jan 23Call For Papers 2023 Tired of your bosses suspecting conference trips to exotic locations being just a ploy to partake in Security Vacation Club? Prove them wrong by coming to Helsinki, Finland on May 4-5 2023! Guaranteed lack of sunburn, good potential for rain or slush. In […]
  • Re: HNS-2022-01 - HN Security Advisory - Multiple vulnerabilities in Solaris dtprintinfo and libXm/libXpm Gennaio 24, 2023
    Posted by Marco Ivaldi on Jan 23Hello again, Just a quick update. Mitre has assigned the following additional CVE IDs: * CVE-2023-24039 - Stack-based buffer overflow in libXm ParseColors * CVE-2023-24040 - Printer name injection and heap memory disclosure We have updated the advisory accordingly: https://github.com/hnsecurity/vulns/blob/main/HNS-2022-01-dtprintinfo.txt Regards, Marco
  • APPLE-SA-2023-01-23-8 Safari 16.3 Gennaio 24, 2023
    Posted by Apple Product Security via Fulldisclosure on Jan 23APPLE-SA-2023-01-23-8 Safari 16.3 Safari 16.3 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT213600. WebKit Available for: macOS Big Sur and macOS Monterey Impact: Processing maliciously crafted web content may lead to arbitrary code execution Description: The issue was addressed with […]
  • APPLE-SA-2023-01-23-7 watchOS 9.3 Gennaio 24, 2023
    Posted by Apple Product Security via Fulldisclosure on Jan 23APPLE-SA-2023-01-23-7 watchOS 9.3 watchOS 9.3 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT213599. AppleMobileFileIntegrity Available for: Apple Watch Series 4 and later Impact: An app may be able to access user-sensitive data Description: This issue was addressed by enabling hardened […]
  • APPLE-SA-2023-01-23-6 macOS Big Sur 11.7.3 Gennaio 24, 2023
    Posted by Apple Product Security via Fulldisclosure on Jan 23APPLE-SA-2023-01-23-6 macOS Big Sur 11.7.3 macOS Big Sur 11.7.3 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT213603. AppleMobileFileIntegrity Available for: macOS Big Sur Impact: An app may be able to access user-sensitive data Description: This issue was addressed by enabling […]
  • APPLE-SA-2023-01-23-5 macOS Monterey 12.6.3 Gennaio 24, 2023
    Posted by Apple Product Security via Fulldisclosure on Jan 23APPLE-SA-2023-01-23-5 macOS Monterey 12.6.3 macOS Monterey 12.6.3 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT213604. AppleMobileFileIntegrity Available for: macOS Monterey Impact: An app may be able to access user-sensitive data Description: This issue was addressed by enabling hardened runtime. CVE-2023-23499: […]
  • APPLE-SA-2023-01-23-4 macOS Ventura 13.2 Gennaio 24, 2023
    Posted by Apple Product Security via Fulldisclosure on Jan 23APPLE-SA-2023-01-23-4 macOS Ventura 13.2 macOS Ventura 13.2 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT213605. AppleMobileFileIntegrity Available for: macOS Ventura Impact: An app may be able to access user-sensitive data Description: This issue was addressed by enabling hardened runtime. CVE-2023-23499: […]

Customers

Newsletter