Il rilevamento delle minacce interne guidato dall’IA funziona per identificare le minacce interne utilizzando una combinazione di analisi comportamentale, apprendimento automatico e rilevamento delle anomalie. Le minacce interne, che includono insider malevoli, utenti negligenti e dipendenti compromessi, rappresentano una delle principali sfide per la sicurezza poich\u00e9 la minaccia ha gi\u00e0 accesso legittimo all’ambiente di un’organizzazione. Questo rende queste minacce difficili da identificare utilizzando soluzioni di sicurezza tradizionali, e l’accesso privilegiato pu\u00f2 amplificare l’impatto che la minaccia ha sull’organizzazione.<\/p>\n\n\n\n
L’IA offre la possibilit\u00e0 di identificare e bloccare questi tipi di minacce sfruttando il rilevamento di schemi e anomalie per cogliere i segnali di avvertimento di questi rischi. \u00c8 particolarmente efficace quando implementata come parte di un’architettura Secure Access Service Edge (SASE)<\/a>, dove la visibilit\u00e0 centralizzata offre accesso ai dati di cui l’IA ha bisogno, e l’integrazione di Zero Trust Network Access (ZTNA)<\/a> fornisce la capacit\u00e0 di identificare e bloccare richieste anomale e potenzialmente malevole.<\/p>\n\n\n\n Le minacce interne rappresentano un potenziale rischio per la sicurezza dell’organizzazione che ha gi\u00e0 accesso legittimo ai suoi sistemi, eliminando la necessit\u00e0 di sfruttare vulnerabilit\u00e0 o intraprendere altre azioni “rumorose” per ottenere quella prima posizione. Le minacce interne si presentano in diverse forme, tra cui insider malevoli, account compromessi e utenti negligenti.<\/p>\n\n\n\n Queste minacce interne sono pi\u00f9 difficili da rilevare rispetto a quelle esterne, e fattori come il lavoro remoto, la migrazione al cloud e l’accesso ibrido complicano la questione. In questo ambiente, il SASE \u00e8 uno strumento prezioso, offrendo la possibilit\u00e0 di vedere il traffico degli utenti, i modelli di accesso e gli eventi di sicurezza in un unico posto.<\/p>\n\n\n\n Non tutte le minacce interne stanno cercando deliberatamente di danneggiare l’azienda. I tre principali tipi di minacce interne includono:<\/p>\n\n\n\n Le minacce interne possono esistere ovunque all’interno di un’organizzazione, ma alcuni ruoli aziendali sono pi\u00f9 rischiosi di altri. Ad esempio, gli sviluppatori con accesso ai repository di codice, i professionisti finanziari e il personale delle risorse umane hanno accesso a dati o risorse altamente sensibili che possono causare impatti significativi per l’azienda.<\/p>\n\n\n\n Inoltre, il concetto di “minaccia interna” non \u00e8 limitato ai dipendenti che lavorano in sede. Con il lavoro remoto, i contrattisti e l’accesso di terze parti, la parte fidata potrebbe essere qualcuno fisicamente o organizzativamente esterno all’azienda.<\/p>\n\n\n\n Gli attori delle minacce che partono dall’esterno dell’organizzazione devono compiere azioni rumorose come sfruttare vulnerabilit\u00e0 o eseguire attacchi di phishing per ottenere una prima base. Al contrario, le minacce interne hanno gi\u00e0 questo accesso, permettendo loro di utilizzare credenziali valide e dispositivi approvati per eseguire i loro attacchi. Questo rende la loro attivit\u00e0 pi\u00f9 legittima poich\u00e9 esercitano in gran parte i privilegi e le autorizzazioni che gi\u00e0 possiedono.<\/p>\n\n\n\n Per una minaccia interna, un attacco potrebbe comportare il download di pi\u00f9 dati del solito o l’accesso graduale a nuovi dati e applicazioni. Questi tipi di attivit\u00e0 sono facili da considerare come benigne e possono perdersi nel rumore dei molti avvisi che gli analisti di sicurezza devono valutare. Il volume stesso degli avvisi pu\u00f2 anche spingere i team SOC a regolare le impostazioni per ignorare questi tipi di minacce di basso livello e probabili falsi positivi a favore dell’identificazione degli attacchi pi\u00f9 appariscenti eseguiti da attori delle minacce esterne.<\/p>\n\n\n\n Di conseguenza, i sistemi tradizionali possono avere difficolt\u00e0 a identificare le minacce interne che non necessitano di malware, sfruttamento di vulnerabilit\u00e0 o accesso non autorizzato per raggiungere i loro obiettivi. Gestire queste minacce richiede analisi comportamentali progettate per identificare deviazioni dal comportamento normale per un particolare utente, account o dispositivo.<\/p>\n\n\n\n SASE \u00e8 definito dalla convergenza dell’ottimizzazione della rete e delle funzionalit\u00e0 SSE in una singola piattaforma cloud. Questo offre una visione del traffico degli utenti, delle decisioni di accesso, dell’applicazione delle politiche di sicurezza e della navigazione web attraverso l’intero WAN aziendale.<\/p>\n\n\n\n Con questa centralizzazione, \u00e8 possibile monitorare il comportamento di un utente in tutto l’ambiente IT aziendale da una singola soluzione. Sostituire le soluzioni di sicurezza puntuale con una piattaforma integrata riduce anche il rischio di perdere minacce a causa di una mancanza di contesto o di punti ciechi tra strumenti di sicurezza autonomi. Questo dataset completo e normalizzato \u00e8 anche ideale per addestrare soluzioni basate sull’IA poich\u00e9 evita lacune di copertura o potenziali problemi nel correlare e tradurre informazioni tra diversi strumenti e formati.<\/p>\n\n\n\n Nella pratica, la rilevazione delle minacce interne guidata dall’IA utilizza l’IA per cercare i modelli e le anomalie che indicano la presenza di una potenziale minaccia nell’ambiente dell’organizzazione. Gli strumenti di IA possono costruire baseline di comportamento normale e poi identificare deviazioni da questo comportamento che potrebbero indicare un potenziale rischio per l’azienda. Distillando i dati grezzi in segnali ad alta fedelt\u00e0, l’IA riduce il volume degli avvisi e il carico sugli analisti umani, proteggendo contro il burnout e accelerando la rilevazione e la risposta agli incidenti.<\/p>\n\n\n\n L’analisi comportamentale utilizza l’apprendimento non supervisionato per identificare le baseline di comportamento normale per gli utenti. Nel tempo, l’IA monitora i dati riguardanti gli orari di accesso, le posizioni, i dispositivi, le applicazioni accessibili, i volumi di trasferimento dati e le combinazioni di risorse tipiche dell’utente. Da questo, pu\u00f2 estrarre modelli e una comprensione del comportamento normale dell’utente.<\/p>\n\n\n\n Con questa baseline in atto, l’IA pu\u00f2 passare a identificare variazioni statisticamente significative dal comportamento normale dell’utente. Ad esempio, un utente potrebbe improvvisamente accedere a database contenenti dati sensibili dei clienti quando non lo ha mai fatto in passato.<\/p>\n\n\n\n Queste variazioni potrebbero essere benigne, potenzialmente il risultato di una promozione o di un trasferimento a un nuovo team. Oppure potrebbero essere indicative di una potenziale minaccia. Se queste anomalie aumentano il punteggio di rischio dell’utente oltre un certo livello, vengono segnalate per revisione e indagine. Il risultato di questa indagine pu\u00f2 quindi essere reinserito nell’IA, consentendo alle baseline di evolversi nel tempo per riflettere cambiamenti legittimi nel comportamento.<\/p>\n\n\n\n L’analisi comportamentale degli utenti e delle entit\u00e0 (UEBA) si concentra sulla comprensione e sulla valutazione del comportamento degli utenti e delle entit\u00e0 non umane come gli account di servizio, i server e i dispositivi. L’UEBA raccoglie dati da varie fonti, andando oltre l’analisi dei log per analizzare grafi di relazione tra utenti e risorse, confronti con i loro gruppi di pari e tendenze a lungo termine.<\/p>\n\n\n\n L’UEBA \u00e8 utile per la rilevazione delle minacce interne perch\u00e9 le deviazioni dal comportamento passato di un utente o da quello del suo gruppo di pari potrebbero indicare una potenziale minaccia. UEBA pu\u00f2 anche utilizzare l’apprendimento automatico per raggruppare comportamenti simili e identificare anomalie che potrebbero indicare un uso improprio o una compromissione.<\/p>\n\n\n\n Gli approfondimenti guidati dall’IA sono progettati per garantire che gli analisti di sicurezza umani concentrino la loro attenzione sulle minacce pi\u00f9 probabili e significative per l’azienda. Gli analisti ricevono punteggi di rischio, avvisi prioritari, cronologie di eventi correlati e contesto come il ruolo dell’utente e la criticit\u00e0 delle risorse per una potenziale minaccia tramite dashboard SIEM, playbook SOAR, sistemi di ticketing e strumenti di gestione dei casi.<\/p>\n\n\n\n Se una potenziale minaccia viene esaminata e convalidata da un analista umano, il sistema pu\u00f2 implementare automaticamente varie risposte ad essa. Ad esempio, agli utenti potrebbe essere richiesto di eseguire passaggi di autenticazione aggiuntivi o di essere soggetti a politiche di sicurezza pi\u00f9 rigorose. Durante il corso dell’indagine, gli utenti potrebbero anche essere soggetti a restrizioni temporanee progettate per gestire il rischio fino a quando non viene raggiunto un verdetto.<\/p>\n\n\n\n I sistemi di analisi comportamentale necessitano di accesso a segnali di alto valore per aiutare a identificare le minacce e differenziarle da attivit\u00e0 anomale ma benigne. Alcuni esempi di dati che dovrebbero essere raccolti in tutta l’azienda includono:<\/p>\n\n\n\n Con queste fonti di dati, i sistemi di IA possono identificare sistemi comportamentali di alto valore, come accessi fuori orario, combinazioni di risorse insolite, download eccessivi di dati o accessi da posizioni insolite. Queste informazioni possono anche essere correlate a casi d’uso comuni interni, come l’esfiltrazione di dati, la ricognizione furtiva, l’abuso di privilegi e le violazioni delle politiche, per determinare il rischio e i potenziali impatti sull’organizzazione.<\/p>\n\n\n\n A livello di rete e cloud, l’IA ha bisogno di accesso a vari dati per l’analisi comportamentale. Le principali telemetrie da raccogliere includono:<\/p>\n\n\n\n Combinare questi vari punti dati pu\u00f2 aiutare a ricostruire il percorso dell’utente per un attore di minaccia interno. Ad esempio, un utente pu\u00f2 richiedere accesso a dati aziendali sensibili, eseguire un grande download e poi spostare i dati su un account cloud personale.<\/p>\n\n\n\n Mettere insieme questi pezzi richiede che l’IA abbia accesso a dati completi e normalizzati. Se i dati non sono normalizzati, mancano di contesto riguardo a utenti e dispositivi, o presentano lacune, i sistemi di IA potrebbero trascurare un potenziale incidente.<\/p>\n\n\n\n L’identit\u00e0 \u00e8 una parte fondamentale della rilevazione delle minacce interne. Alcuni dei segnali principali includono:<\/p>\n\n\n\n Con questi dati di identit\u00e0, i sistemi di IA possono regolare dinamicamente i punteggi di rischio in base alla minaccia percepita che un utente rappresenta per l’azienda. Ad esempio, molti tentativi di accesso falliti o cambiamenti nei privilegi subito prima dell’accesso a dati o applicazioni sensibili comportano un rischio elevato. Allo stesso modo, eventi insoliti, come tentativi di accesso da nuovi dispositivi o localit\u00e0, dovrebbero aumentare il punteggio di rischio.<\/p>\n\n\n\n I segnali di prevenzione della perdita di contenuti e dati (DLP) si concentrano sulle risorse che una minaccia interna potrebbe prendere di mira. I segnali comuni includono:<\/p>\n\n\n\n Con le linee di base in atto, un’IA pu\u00f2 aiutare a identificare i segni precoci di esfiltrazione e differenziarli dall’uso legittimo e normale. Ad esempio, un sistema potrebbe scoprire che un utente ha effettuato download significativi di dati sensibili poco prima di dimettersi o subito dopo il licenziamento.<\/p>\n\n\n\n Il contesto delle politiche pu\u00f2 anche svolgere un ruolo significativo, dove le azioni possono essere consentite anche se considerate “rischiose”. Ad esempio, a un utente pu\u00f2 essere consentito di scaricare grandi volumi di dati dal database clienti; tuttavia, l’atto di farlo aumenta il loro punteggio di rischio e la probabilit\u00e0 di indagine.<\/p>\n\n\n\n Il modello di sicurezza Zero Trust \u00e8 focalizzato sulla gestione dell’esposizione al rischio eliminando la fiducia implicita all’interno di un’organizzazione. Questo si allinea bene con il rilevamento delle minacce interne, poich\u00e9 gli insider sono pi\u00f9 probabilmente coloro che sono implicitamente fidati dall’azienda.<\/p>\n\n\n\n Il SASE supporta il rilevamento delle minacce interne guidato dall’IA offrendo i dati necessari per identificare le minacce e gli strumenti necessari per applicare i controlli di accesso a privilegi minimi e le politiche di sicurezza aziendale. La visibilit\u00e0 centralizzata delle operazioni sulla rete aziendale migliora il rilevamento delle minacce, e strumenti come la verifica continua e la segmentazione della rete offrono la possibilit\u00e0 di monitorare continuamente le sessioni utente e intervenire quando il rischio cresce troppo.<\/p>\n\n\n\nCome evolvono le minacce interne negli ambienti SASE moderni?<\/h2>\n\n\n\n
Quali tipi di minacce interne sono pi\u00f9 rilevanti oggi?<\/h3>\n\n\n\n
\n
Perch\u00e9 le Minacce Interne sono Difficili da Rilevare con Strumenti Tradizionali<\/h3>\n\n\n\n
Come Migliora SASE la Visibilit\u00e0 per il Rischio Interno?<\/h3>\n\n\n\n
Cosa significa la rilevazione delle minacce interne guidata dall’IA nella pratica?<\/h2>\n\n\n\n
Come funzionano le baseline comportamentali e la rilevazione delle anomalie?<\/h3>\n\n\n\n
Il ruolo dell’analisi comportamentale degli utenti e delle entit\u00e0 (UEBA)<\/h3>\n\n\n\n
Come vengono operazionalizzati gli approfondimenti guidati dall’IA dai team di sicurezza?<\/h3>\n\n\n\n
Quali segnali comportamentali e fonti di dati sono pi\u00f9 importanti?<\/h2>\n\n\n\n
\n
Quale telemetria di rete e cloud necessita l’IA?<\/h3>\n\n\n\n
\n
Come i segnali di identit\u00e0 e accesso influenzano i punteggi di rischio interni?<\/h3>\n\n\n\n
\n
Quale ruolo svolgono i segnali di prevenzione della perdita di contenuti e dati?<\/h3>\n\n\n\n
\n
Come si inserisce il rilevamento delle minacce interne guidato dall’IA nel SASE e nel Zero Trust<\/h2>\n\n\n\n
Come i principi del Zero Trust supportano i programmi di minacce interne.<\/h3>\n\n\n\n