Che cos’è il rilevamento delle minacce interne guidato dall’IA?

Il rilevamento delle minacce interne guidato dall’IA funziona per identificare le minacce interne utilizzando una combinazione di analisi comportamentale, apprendimento automatico e rilevamento delle anomalie. Le minacce interne, che includono insider malevoli, utenti negligenti e dipendenti compromessi, rappresentano una delle principali sfide per la sicurezza poiché la minaccia ha già accesso legittimo all’ambiente di un’organizzazione. Questo rende queste minacce difficili da identificare utilizzando soluzioni di sicurezza tradizionali, e l’accesso privilegiato può amplificare l’impatto che la minaccia ha sull’organizzazione.

L’IA offre la possibilità di identificare e bloccare questi tipi di minacce sfruttando il rilevamento di schemi e anomalie per cogliere i segnali di avvertimento di questi rischi. È particolarmente efficace quando implementata come parte di un’architettura Secure Access Service Edge (SASE), dove la visibilità centralizzata offre accesso ai dati di cui l’IA ha bisogno, e l’integrazione di Zero Trust Network Access (ZTNA) fornisce la capacità di identificare e bloccare richieste anomale e potenzialmente malevole.

Come evolvono le minacce interne negli ambienti SASE moderni?

Le minacce interne rappresentano un potenziale rischio per la sicurezza dell’organizzazione che ha già accesso legittimo ai suoi sistemi, eliminando la necessità di sfruttare vulnerabilità o intraprendere altre azioni “rumorose” per ottenere quella prima posizione. Le minacce interne si presentano in diverse forme, tra cui insider malevoli, account compromessi e utenti negligenti.

Queste minacce interne sono più difficili da rilevare rispetto a quelle esterne, e fattori come il lavoro remoto, la migrazione al cloud e l’accesso ibrido complicano la questione. In questo ambiente, il SASE è uno strumento prezioso, offrendo la possibilità di vedere il traffico degli utenti, i modelli di accesso e gli eventi di sicurezza in un unico posto.

Quali tipi di minacce interne sono più rilevanti oggi?

Non tutte le minacce interne stanno cercando deliberatamente di danneggiare l’azienda. I tre principali tipi di minacce interne includono:

• Insider Malevoli: Alcune minacce interne sono dipendenti fidati che agiscono deliberatamente per danneggiare l’azienda. Esempi includono un dipendente scontento o un attore di minaccia che ha accettato un lavoro con l’azienda per ottenere accesso al suo ambiente.
• Utenti Compromessi: Gli utenti compromessi sono dipendenti legittimi che possono aiutare a consentire a un attaccante di terze parti. Questo potrebbe includere qualcuno che ha accettato una tangente per consegnare dati sensibili.
• Dipendenti Negligenti: Alcuni rischi interni rappresentano una minaccia per l’azienda non seguendo correttamente le politiche di sicurezza e proteggendo le risorse aziendali. Ad esempio, un dipendente che copia dati sensibili in un LLM o in un account di archiviazione cloud personale potrebbe essere la fonte di una violazione dei dati.

Le minacce interne possono esistere ovunque all’interno di un’organizzazione, ma alcuni ruoli aziendali sono più rischiosi di altri. Ad esempio, gli sviluppatori con accesso ai repository di codice, i professionisti finanziari e il personale delle risorse umane hanno accesso a dati o risorse altamente sensibili che possono causare impatti significativi per l’azienda.

Inoltre, il concetto di “minaccia interna” non è limitato ai dipendenti che lavorano in sede. Con il lavoro remoto, i contrattisti e l’accesso di terze parti, la parte fidata potrebbe essere qualcuno fisicamente o organizzativamente esterno all’azienda.

Perché le Minacce Interne sono Difficili da Rilevare con Strumenti Tradizionali

Gli attori delle minacce che partono dall’esterno dell’organizzazione devono compiere azioni rumorose come sfruttare vulnerabilità o eseguire attacchi di phishing per ottenere una prima base. Al contrario, le minacce interne hanno già questo accesso, permettendo loro di utilizzare credenziali valide e dispositivi approvati per eseguire i loro attacchi. Questo rende la loro attività più legittima poiché esercitano in gran parte i privilegi e le autorizzazioni che già possiedono.

Per una minaccia interna, un attacco potrebbe comportare il download di più dati del solito o l’accesso graduale a nuovi dati e applicazioni. Questi tipi di attività sono facili da considerare come benigne e possono perdersi nel rumore dei molti avvisi che gli analisti di sicurezza devono valutare. Il volume stesso degli avvisi può anche spingere i team SOC a regolare le impostazioni per ignorare questi tipi di minacce di basso livello e probabili falsi positivi a favore dell’identificazione degli attacchi più appariscenti eseguiti da attori delle minacce esterne.

Di conseguenza, i sistemi tradizionali possono avere difficoltà a identificare le minacce interne che non necessitano di malware, sfruttamento di vulnerabilità o accesso non autorizzato per raggiungere i loro obiettivi. Gestire queste minacce richiede analisi comportamentali progettate per identificare deviazioni dal comportamento normale per un particolare utente, account o dispositivo.

Come Migliora SASE la Visibilità per il Rischio Interno?

SASE è definito dalla convergenza dell’ottimizzazione della rete e delle funzionalità SSE in una singola piattaforma cloud. Questo offre una visione del traffico degli utenti, delle decisioni di accesso, dell’applicazione delle politiche di sicurezza e della navigazione web attraverso l’intero WAN aziendale.

Con questa centralizzazione, è possibile monitorare il comportamento di un utente in tutto l’ambiente IT aziendale da una singola soluzione. Sostituire le soluzioni di sicurezza puntuale con una piattaforma integrata riduce anche il rischio di perdere minacce a causa di una mancanza di contesto o di punti ciechi tra strumenti di sicurezza autonomi. Questo dataset completo e normalizzato è anche ideale per addestrare soluzioni basate sull’IA poiché evita lacune di copertura o potenziali problemi nel correlare e tradurre informazioni tra diversi strumenti e formati.

Cosa significa la rilevazione delle minacce interne guidata dall’IA nella pratica?

Nella pratica, la rilevazione delle minacce interne guidata dall’IA utilizza l’IA per cercare i modelli e le anomalie che indicano la presenza di una potenziale minaccia nell’ambiente dell’organizzazione. Gli strumenti di IA possono costruire baseline di comportamento normale e poi identificare deviazioni da questo comportamento che potrebbero indicare un potenziale rischio per l’azienda. Distillando i dati grezzi in segnali ad alta fedeltà, l’IA riduce il volume degli avvisi e il carico sugli analisti umani, proteggendo contro il burnout e accelerando la rilevazione e la risposta agli incidenti.

Come funzionano le baseline comportamentali e la rilevazione delle anomalie?

L’analisi comportamentale utilizza l’apprendimento non supervisionato per identificare le baseline di comportamento normale per gli utenti. Nel tempo, l’IA monitora i dati riguardanti gli orari di accesso, le posizioni, i dispositivi, le applicazioni accessibili, i volumi di trasferimento dati e le combinazioni di risorse tipiche dell’utente. Da questo, può estrarre modelli e una comprensione del comportamento normale dell’utente.

Con questa baseline in atto, l’IA può passare a identificare variazioni statisticamente significative dal comportamento normale dell’utente. Ad esempio, un utente potrebbe improvvisamente accedere a database contenenti dati sensibili dei clienti quando non lo ha mai fatto in passato.

Queste variazioni potrebbero essere benigne, potenzialmente il risultato di una promozione o di un trasferimento a un nuovo team. Oppure potrebbero essere indicative di una potenziale minaccia. Se queste anomalie aumentano il punteggio di rischio dell’utente oltre un certo livello, vengono segnalate per revisione e indagine. Il risultato di questa indagine può quindi essere reinserito nell’IA, consentendo alle baseline di evolversi nel tempo per riflettere cambiamenti legittimi nel comportamento.

Il ruolo dell’analisi comportamentale degli utenti e delle entità (UEBA)

L’analisi comportamentale degli utenti e delle entità (UEBA) si concentra sulla comprensione e sulla valutazione del comportamento degli utenti e delle entità non umane come gli account di servizio, i server e i dispositivi. L’UEBA raccoglie dati da varie fonti, andando oltre l’analisi dei log per analizzare grafi di relazione tra utenti e risorse, confronti con i loro gruppi di pari e tendenze a lungo termine.

L’UEBA è utile per la rilevazione delle minacce interne perché le deviazioni dal comportamento passato di un utente o da quello del suo gruppo di pari potrebbero indicare una potenziale minaccia. UEBA può anche utilizzare l’apprendimento automatico per raggruppare comportamenti simili e identificare anomalie che potrebbero indicare un uso improprio o una compromissione.

Come vengono operazionalizzati gli approfondimenti guidati dall’IA dai team di sicurezza?

Gli approfondimenti guidati dall’IA sono progettati per garantire che gli analisti di sicurezza umani concentrino la loro attenzione sulle minacce più probabili e significative per l’azienda. Gli analisti ricevono punteggi di rischio, avvisi prioritari, cronologie di eventi correlati e contesto come il ruolo dell’utente e la criticità delle risorse per una potenziale minaccia tramite dashboard SIEM, playbook SOAR, sistemi di ticketing e strumenti di gestione dei casi.

Se una potenziale minaccia viene esaminata e convalidata da un analista umano, il sistema può implementare automaticamente varie risposte ad essa. Ad esempio, agli utenti potrebbe essere richiesto di eseguire passaggi di autenticazione aggiuntivi o di essere soggetti a politiche di sicurezza più rigorose. Durante il corso dell’indagine, gli utenti potrebbero anche essere soggetti a restrizioni temporanee progettate per gestire il rischio fino a quando non viene raggiunto un verdetto.

Quali segnali comportamentali e fonti di dati sono più importanti?

I sistemi di analisi comportamentale necessitano di accesso a segnali di alto valore per aiutare a identificare le minacce e differenziarle da attività anomale ma benigne. Alcuni esempi di dati che dovrebbero essere raccolti in tutta l’azienda includono:

• Registri di identità e accesso
• Telemetria di rete
• Dati DNS e TLS
• Attività degli endpoint
• Registri SaaS
• Eventi DLP

Con queste fonti di dati, i sistemi di IA possono identificare sistemi comportamentali di alto valore, come accessi fuori orario, combinazioni di risorse insolite, download eccessivi di dati o accessi da posizioni insolite. Queste informazioni possono anche essere correlate a casi d’uso comuni interni, come l’esfiltrazione di dati, la ricognizione furtiva, l’abuso di privilegi e le violazioni delle politiche, per determinare il rischio e i potenziali impatti sull’organizzazione.

Quale telemetria di rete e cloud necessita l’IA?

A livello di rete e cloud, l’IA ha bisogno di accesso a vari dati per l’analisi comportamentale. Le principali telemetrie da raccogliere includono:

• Registrazioni di flusso
• Log DNS
• Log del proxy o SWG
• Metadati TLS
• Eventi del firewall
• Log di accesso al cloud dalle piattaforme SaaS

Combinare questi vari punti dati può aiutare a ricostruire il percorso dell’utente per un attore di minaccia interno. Ad esempio, un utente può richiedere accesso a dati aziendali sensibili, eseguire un grande download e poi spostare i dati su un account cloud personale.

Mettere insieme questi pezzi richiede che l’IA abbia accesso a dati completi e normalizzati. Se i dati non sono normalizzati, mancano di contesto riguardo a utenti e dispositivi, o presentano lacune, i sistemi di IA potrebbero trascurare un potenziale incidente.

Come i segnali di identità e accesso influenzano i punteggi di rischio interni?

L’identità è una parte fondamentale della rilevazione delle minacce interne. Alcuni dei segnali principali includono:

• Successi e fallimenti di autenticazione
• Richieste di MFA
• Controlli della postura del dispositivo
• Assegnazioni di ruolo
• Escalazioni di privilegi

Con questi dati di identità, i sistemi di IA possono regolare dinamicamente i punteggi di rischio in base alla minaccia percepita che un utente rappresenta per l’azienda. Ad esempio, molti tentativi di accesso falliti o cambiamenti nei privilegi subito prima dell’accesso a dati o applicazioni sensibili comportano un rischio elevato. Allo stesso modo, eventi insoliti, come tentativi di accesso da nuovi dispositivi o località, dovrebbero aumentare il punteggio di rischio.

Quale ruolo svolgono i segnali di prevenzione della perdita di contenuti e dati?

I segnali di prevenzione della perdita di contenuti e dati (DLP) si concentrano sulle risorse che una minaccia interna potrebbe prendere di mira. I segnali comuni includono:

• Eventi di classificazione dei file
• Utilizzo degli appunti
• Caricamenti su app non autorizzate
• Allegati email
• Stampa di documenti sensibili

Con le linee di base in atto, un’IA può aiutare a identificare i segni precoci di esfiltrazione e differenziarli dall’uso legittimo e normale. Ad esempio, un sistema potrebbe scoprire che un utente ha effettuato download significativi di dati sensibili poco prima di dimettersi o subito dopo il licenziamento.

Il contesto delle politiche può anche svolgere un ruolo significativo, dove le azioni possono essere consentite anche se considerate “rischiose”. Ad esempio, a un utente può essere consentito di scaricare grandi volumi di dati dal database clienti; tuttavia, l’atto di farlo aumenta il loro punteggio di rischio e la probabilità di indagine.

Come si inserisce il rilevamento delle minacce interne guidato dall’IA nel SASE e nel Zero Trust

Il modello di sicurezza Zero Trust è focalizzato sulla gestione dell’esposizione al rischio eliminando la fiducia implicita all’interno di un’organizzazione. Questo si allinea bene con il rilevamento delle minacce interne, poiché gli insider sono più probabilmente coloro che sono implicitamente fidati dall’azienda.

Il SASE supporta il rilevamento delle minacce interne guidato dall’IA offrendo i dati necessari per identificare le minacce e gli strumenti necessari per applicare i controlli di accesso a privilegi minimi e le politiche di sicurezza aziendale. La visibilità centralizzata delle operazioni sulla rete aziendale migliora il rilevamento delle minacce, e strumenti come la verifica continua e la segmentazione della rete offrono la possibilità di monitorare continuamente le sessioni utente e intervenire quando il rischio cresce troppo.

Come i principi del Zero Trust supportano i programmi di minacce interne.

Il modello di sicurezza Zero Trust si basa sui principi del minimo privilegio e della validazione esplicita delle richieste di accesso. Il minimo privilegio riduce l’impatto potenziale che un insider può avere sull’organizzazione, mentre la verifica continua ed esplicita assicura che il monitoraggio e la gestione degli accessi avvengano durante l’intera sessione dell’utente, non solo all’inizio.

Con la validazione esplicita di ogni richiesta di accesso, i sistemi Zero Trust possono considerare il contesto, come la salute del dispositivo, la posizione e il comportamento dell’utente, quando prendono decisioni di accesso. I sistemi di rilevamento delle minacce interne basati su AI possono utilizzare questi dati per identificare modelli o anomalie che indicano rischi significativi per l’azienda.

Qual è il ruolo di ZTNA nella rilevazione delle minacce interne guidata da AI?

ZTNA applica i principi di Zero Trust alla rete aziendale. Ciò include la concessione agli utenti di accesso granulare a livello di applicazione piuttosto che un accesso ampio a livello di rete in risposta a una richiesta. Di conseguenza, è una base perfetta per un programma di rilevamento delle minacce interne guidato da AI.

La granularità e la ricchezza di questi dati li rendono ideali per i modelli di rilevamento delle minacce interne guidati da AI. Con una visione su tutto ciò che un utente richiede e fa nel sistema – inclusa l’identità dell’utente, la postura del dispositivo, le app richieste e le politiche applicate – l’AI può costruire una solida base di comportamento normale dell’utente e identificare in modo più efficace deviazioni significative da essa.

ZTNA ha anche il potenziale di implementare ulteriori misure di sicurezza in risposta ai segnali dell’AI. Ad esempio, se l’AI aumenta il punteggio di rischio di un utente, ZTNA potrebbe implementare un’autenticazione a passaggio, terminare la loro sessione o inasprire le politiche di sicurezza.

Come unifica SASE i dati per l’analisi del comportamento?

SASE è definito dalla sua convergenza di varie capacità – inclusi SWG, CASB, ZTNA e FWaaS – in una singola piattaforma cloud-deliverata. Questo assicura che tutti i dati siano accessibili centralmente e coerenti, eliminando la necessità per i sistemi di AI di assemblare informazioni da una varietà di prodotti di sicurezza puntuali.

Questo aiuta anche a monitorare un utente durante l’intero percorso dell’utente. Un singolo utente può lavorare da remoto o da un ufficio secondario e accedere a risorse on-prem e basate su cloud. Con SASE, tutte queste attività sono monitorate dalla stessa soluzione con una raccolta di dati coerente e un’applicazione delle politiche. Di conseguenza, l’AI può costruire migliori basi, ha meno punti ciechi e può rilevare in modo più affidabile anomalie che indicano potenziali minacce.

Quali sono i principali rischi e limiti di sicurezza dell’AI per la rilevazione delle minacce interne?

L’IA offre il potenziale di migliorare notevolmente la rilevazione delle minacce interne analizzando grandi volumi di dati per identificare anomalie e tendenze che indicano potenziali incidenti. Tuttavia, l’introduzione della sicurezza basata sull’IA può anche creare nuovi rischi per la sicurezza se l’IA commette errori o viene presa di mira dagli attaccanti. Le organizzazioni dovrebbero comprendere le sfide associate all’uso di modelli di IA opachi con limitata spiegabilità e implementare politiche e controlli per gestire questi rischi.

Come possono essere attaccati o manipolati i modelli di IA?

Gli strumenti basati sull’IA costruiscono modelli a partire dai dati di addestramento, e la qualità di questi dati è fondamentale per il modello risultante. Se i dati contengono pregiudizi o sono avvelenati dagli attaccanti, il modello risultante avrà gli stessi problemi e produrrà risultati errati.

Oltre ad avvelenare i dati di addestramento o di feedback, gli attaccanti possono utilizzare la loro comprensione dello strumento di IA per eludere la rilevazione. Ad esempio, un attaccante con una comprensione delle soglie di rischio che attivano ulteriori indagini o azioni potrebbe adattare le proprie attività malevole per rimanere al di sotto di queste soglie ed eludere la rilevazione. Ciò potrebbe includere un attacco “lento e basso” o la distribuzione di attività malevole su più account compromessi.

Per gestire queste minacce, le organizzazioni dovrebbero implementare registrazione e monitoraggio del sistema di IA stesso. Qualsiasi deviazione dal comportamento normale potrebbe segnalare una minaccia e attivare ulteriori indagini.

Quali governance e controlli aiutano a ridurre il rischio?

Gestire i rischi associati all’IA richiede governance e controlli dell’IA implementati su scala aziendale. Alcune pratiche migliori chiave includono:

• Chiarezza nella proprietà dei modelli di IA
• Obiettivi documentati
• Processi di approvazione definiti per le modifiche.
• Versionamento dei modelli
• Test su set di dati di riserva
• Monitoraggio delle deviazioni
• Implementare meccanismi di rollback per aggiornamenti problematici
• Validazione regolare del modello, controlli di bias e verifica che le soglie soddisfino la tolleranza al rischio aziendale
• Richiedere l’approvazione umana per azioni automatizzate ad alto impatto e cambiamenti irreversibili

Oltre a garantire la sicurezza dell’IA, è anche saggio collegare i risultati e le decisioni prese dagli strumenti guidati dall’IA alle politiche di sicurezza consolidate e ai framework di rischio. Questo aiuta a garantire la spiegabilità delle decisioni di sicurezza durante le verifiche di conformità o come parte dei processi di risposta agli incidenti.

Come dovrebbero comunicare i team di sicurezza le limitazioni dell’IA?

L’IA è uno strumento utile, ma la sua utilità e accuratezza possono essere esagerate. Alcuni modi in cui i team di sicurezza possono comunicare le limitazioni e gli svantaggi dell’IA includono:

• Trasparenza: I leader della sicurezza dovrebbero spiegare agli executive cosa l’IA può e non può rilevare in modo affidabile.
• Esempi Concreti: Identificare esempi concreti delle limitazioni dell’IA, come la difficoltà nella gestione di situazioni uniche e comportamenti nuovi, la dipendenza da dati di addestramento e telemetria di alta qualità, e il potenziale per decisioni di falsi positivi e falsi negativi.
• Risultati Operazionalizzati: Quando si presentano i risultati dell’IA, includere punteggi di confidenza, assunzioni chiave e passaggi successivi raccomandati.
• Aspettative Realistiche: Evitare di promettere troppo e sottolineare che l’IA può migliorare il rilevamento delle minacce interne ma non elimina completamente il rischio interno.
• Difesa in Profondità: Implementare strumenti potenziati dall’IA come un elemento di una strategia di difesa in profondità che include politiche, formazione, monitoraggio e capacità di risposta agli incidenti.

Domande frequenti

In che modo il rilevamento delle minacce interne guidato dall’IA è diverso dagli strumenti UEBA tradizionali?

Gli strumenti UEBA tradizionali si concentrano principalmente su modelli storici di attività, mentre i moderni sistemi di IA analizzano intelligentemente i dati per modelli, anomalie o segni di potenziali minacce. I sistemi di intelligenza artificiale generalmente hanno una migliore copertura dei dati e la capacità di correlare e arricchire i dati per migliorare l’accuratezza della classificazione.

Quali dati dobbiamo fornire a un programma di rilevamento degli insider guidato dall’IA?

Un programma di rilevamento degli insider guidato dall’IA è più efficace quando ha accesso a una vasta varietà di segnali di alto valore. I registri di identità, la telemetria di rete, i metadati DNS e TLS, i registri SaaS e di collaborazione, e gli eventi DLP sono esempi comuni di dati da fornire a questi programmi. È anche importante garantire una copertura coerente e completa in tutti i siti e ambienti cloud di un’organizzazione.

Come misuriamo l’efficacia del rilevamento degli insider guidato dall’IA?

Alcuni indicatori chiave per valutare l’efficacia dei programmi di rilevamento delle minacce interne guidati dall’IA includono il tempo medio di rilevamento (MTTD), la fedeltà degli avvisi, il carico di lavoro degli analisti e la riduzione degli incidenti non rilevati. Questi indicatori possono essere regolati e valutati tramite test controllati, come test di penetrazione o simulazioni di attacco e violazione.

Dove si inserisce il rilevamento degli insider guidato dall’IA nel nostro stack SOC esistente?

Il rilevamento delle minacce interne guidato dall’IA dovrebbe essere integrato con gli strumenti SOC esistenti, inclusi SIEM, SOAR, gestione dei casi e flussi di lavoro di intelligence sulle minacce. Questi strumenti aumentano la capacità del SOC di identificare le minacce interne e completano i flussi di lavoro, gli strumenti e i processi esistenti.

Come dovremmo pensare alla privacy e all’etica quando monitoriamo il comportamento degli insider?

Le politiche per il monitoraggio del comportamento degli insider dovrebbero essere definite sulla base di una collaborazione tra sicurezza, risorse umane, legale e conformità. Le migliori pratiche includono trasparenza, chiare politiche di utilizzo accettabile e allineamento con le normative regionali.

Come l’IA affronta le minacce interne

Gli strumenti di scoperta delle minacce interne guidati dall’IA utilizzano analisi comportamentali e monitoraggio continuo per quantificare il rischio posto da insider fidati e intraprendere azioni quando i punteggi di rischio diventano troppo elevati. Queste soluzioni sono più efficaci come parte di una piattaforma SASE integrata, che offre la visibilità e l’accesso ai dati necessari per il rilevamento delle minacce guidato dall’IA e la capacità di applicare modifiche all’accesso e alle politiche basate sui segnali dell’IA.

Tuttavia, l’IA non è una soluzione perfetta, potendo cadere vittima di falsi positivi, avvelenamento dei dati e attacchi di evasione. Di conseguenza, le aziende dovrebbero trattare il rilevamento degli insider guidato dall’IA come una capacità in evoluzione che dovrebbe essere abbinata a un forte design zero-trust, governance dell’identità e competenza umana.