Cybersecurity e Intelligenza Artificiale

Sempre più spesso oggi si sente parlare di Intelligenza Artificiale, ma possono le IA essere d’aiuto proprio nel campo informatico che ha dato loro i natali? In definitiva, le macchine sono in grado di difendere altre macchine? E’ arrivato il giorno in cui il principio distopico “never send a human to do a machine’s job” trova compiuta applicazione?

Se fino a pochi anni fa sarebbe stato lecito chiedersi se un calcolatore avrebbe mai potuto sostituirsi all’uomo nello svolgimento di una qualunque attività lavorativa, oggi l’unico interrogativo ancora ammesso è probabilmente: quanto tempo ci vorrà perché un’intelligenza artificiale sostituisca l’uomo in questa o quella mansione?

L’introduzione dell’intelligenza artificiale

Il settore informatico è uno di quelli in cui l’introduzione dell’intelligenza artificiale^[1]per semplicità utilizzeremo il termine intelligenza artificiale in quanto comunemente e commercialmente di larga diffusione, ma sarebbe certamente corretto fare un distinguo tra il concetto di IA e quello di machine learning (anche detto apprendimento automatico), termine più proprio per definire … continua... può già beneficiare di un cospicuo apporto. Nello specifico poi, è interessante analizzare come il contributo delle IA possa incrementare il livello di sicurezza di una architettura informatica, tanto più in un periodo storico in cui la cybersecurity è fondamentale non solo per le aziende ma anche per le infrastrutture istituzionali.

Il rapporto Clusit 2022

A conferma di quanto sopra, secondo l’ultimo rapporto Clusit^[2]Il Clusit, nato nel 2000 presso il Dipartimento di Informatica dell’Università degli Studi di Milano, è la più numerosa ed autorevole associazione italiana nel campo della sicurezza informatica. Oggi rappresenta oltre 500 organizzazioni, appartenenti a tutti i settori del Sistema-Paese. dell’ottobre 2022, nel corso del primo semestre dell’anno sono stati registrati 1.141 attacchi (+8,4% rispetto al primo semestre 2021) con una media di 190 attacchi al mese (era di 171 l’anno scorso).

Finalità di attacco

Secondo i dati, poi, il conflitto russo-ucraino porta a ripercussioni anche nel mondo cyber: il cybercrime è sempre la principale causa di cyber attacchi, ma per la prima volta dal 2018 scende percentualmente sotto l’80% causando il 78% del totale degli attacchi dei primi 6 mesi (era l’86% nel 2021).
Vi è un incremento invece di cyber-espionage / sabotage (13%, +2% rispetto al 2021) e information warfare (5%, +3%).

Cresce leggermente anche il fenomeno dell’hacktivism (3%, +2%), sfruttato spesso per rivendicazioni da parte di hackitivisti a supporto del conflitto bellico. Gli attacchi non di settore specifico crescono (22%, +9% rispetto al 2021), seguiti da quelli indirizzati verso sanità (12%), Gov / Mil / LE^[3]Abbreviazione per: Governative, Military, Law Enforcement (12%) e ICT (11%). Crescono anche gli attacchi verso il settore finanziario e assicurativo (9%, +2%), la manifattura (6%, +2%) ed i media e gli organi di informazione (5%, +2%).

Distribuzione geografica

L’analisi su base geografica mostra un incremento degli attacchi verso l’Europa (26%, +5% rispetto al 2021, record assoluto), mentre scendono in percentuale quelli verso l’America (38%, -7%, anche questo un record). Scendono infine gli attacchi verso Asia (8%, -4%) e Oceania (1%, -1%), mentre sono in aumento quelli complessivamente verso bersagli con sedi distribuite in diversi paesi (26%, +7%).

Tecniche d’attacco

Il malware si riconferma la prima tecnica di attacco, ma per la prima volta dal 2018 scende sotto la soglia del 40% (38%, -3% rispetto al 2021). Seguono le tecniche sconosciute (22%, +1%), il phishing e social engineering (13%, +3%) e lo sfruttamento delle vulnerabilità (11%, -5%). Aumenta rispetto all’anno scorso il ricorso a tecniche multiple (8%, +3%) e DDoS (4%, +2%).

Impatto

E’ evidente, poi, che la distribuzione della severity degli attacchi resti sostanzialmente invariata: sono critici oltre un terzo degli attacchi (33%, +1%), mentre quasi la metà (45%, -2%) hanno una gravità alta: gli attacchi sono meno mirati rispetto all’anno scorso (ma sempre in crescita) ma il fatto che aumentino tutti i fattori “multipli” (multiple targets, multiple techniques, several/multiple locations) testimonia un generale aumento della complessità, a parità di fattore di rischio.

Dall’attacco alla difesa

A seconda del livello di confidenza che avete con la sicurezza informatica potrà sembrarvi più o meno sorprendente ma, in realtà, prima ancora che per scopi difensivi, l’uso delle IA è sfruttato a fini offensivi.

E’ però anche vero che nella cyberwar (come nella strategia bellica più tradizionale) il confine tra difesa e offesa è spesso labile: si pensi, a titolo esemplificativo, all’attività di penetration testing: conoscere le tecniche di attacco a un sistema è indispensabile per chi difende un perimetro informatico al fine di identificare eventuali vulnerabilità ed avere la possibilità di porvi rimedio prima di ricevere un attacco: le stesse competenze e gli stessi strumenti possono essere usati dagli attaccanti per arrecare offesa a un sistema obiettivo.

Non sorprende quindi l’affermare che, in fin dei conti, non sono gli strumenti in uso ad identificare attaccanti e difensori, ma è come questi strumenti vengono usati a distinguere i “buoni” dai “cattivi”.

Come un attaccante può trarre vantaggio dall’uso dell’IA

Un agente malevolo (un cosiddetto blackhat hacker) può avvalersi dell’ausilio dell’intelligenza artificiale per incrementare la portata di un attacco, la possibilità di successo e velocità di esecuzione dell’attacco stesso.

I modelli di apprendimento automatico possono essere utilizzati per raccogliere, analizzare e classificare dati al fine di identificare vulnerabilità o punti deboli di un sistema: il set informativo così costituito diventa perciò il mezzo stesso per sfruttare le vulnerabilità rilevate e ottenere un accesso non autorizzato al sistema, nonché per portare gli attacchi su ampia scala in modo più efficace.

Inganno umano

L’intelligenza artificiale può essere utilizzata non solo contro i sistemi informatici, ma anche con il fine di trarre in inganno un obiettivo umano, creando e-mail di phishing o attacchi di social engineering più sofisticati, convincenti e mirati, che possono indurre gli utenti a condividere informazioni sensibili o a installare malware sui loro sistemi.

Un agente malevolo può infine trarre vantaggio dall’uso dell’intelligenza artificiale anche nell’attività di software engineering, sfruttando il training e le capacità predittive della macchina per creare malware sempre più avanzati (a partire ad esempio da SQL injections realizzati in modo completamente automatico o attacchi brute force che utilizzano data breach precedenti per ‘indovinare’ la password di una vittima) in grado di eludere il rilevamento da parte dei sistemi di sicurezza tradizionali.

È sempre importante tenere a mente che, come abbiamo sottolineato in precedenza, se da un lato l’intelligenza artificiale può essere utilizzata dagli hacker per danneggiare i sistemi informatici, dall’altro può essere utilizzata dai professionisti della sicurezza informatica per difendersi dagli attacchi e migliorare la postura difensiva.

Un T-800 può dormire sonni tranquilli?

Purtroppo la risposta è no: la creazione di un modello di cyborg composto da una lega mimetica di metallo liquido ha messo in difficoltà anche una macchina di comprovata efficienza come il Terminator di prima generazione (chiedete ad Arnold Schwarzenegger). Se c’è una cosa che la fantascienza insegna, è che c’è sempre un modello più evoluto da cui guardarsi.

Fuor di metafora: non bisogna mai sottovalutare il fatto che persino un’IA possa essere superata da un sistema più evoluto (o, incredibilmente, persino da un essere umano), può essere attaccata, ed eventualmente exploitata: il progresso tecnologico porta dunque con sé il rischio di nuove e impredicibili vulnerabilità di cui è necessario avere consapevolezza.

Sfruttamento delle vulnerabilità

Lo sfruttamento della vulnerabilità di un’IA può avvenire per mezzo di esseri umani che ne intuiscono o conoscono le debolezze, così come per mezzo di un’altra IA, appositamente addestrata per contrastare la prima. Nel primo caso, si pensi ad esempio ad una chatbot la cui istruzione viene demandata ad una comunità di utenti che, con finalità malevole, decida di influenzare il sistema con messaggi e logiche scorrete, portando la chatbot stessa a comportamenti erronei se non dannosi. Un esempio del secondo tipo è quello di un’IA istruita per ingannare sistemi di riconoscimento biometrico (generando fotografie o video non distinguibili dal soggetto originale per facilitare il furto d’identità, così come immagini di persone non esistenti per creare falsi documenti digitali).

E’ evidente, in prospettiva futura, la sostanziale impossibilità da parte del solo operatore umano di sostenere il confronto con un sistema automatico appositamente addestrato a fini offensivi: la massima never send a human to do a machine’s job assume l’aspetto oggi di un precetto ineludibile e che determina la necessità dei difensori di adottare strategie e mezzi equiparabili a quelli degli attaccanti.

Che relazione tra intelligenza artificiale e cybersecurity?

Chiarita quindi la necessità da parte di una qualsiasi organizzazione di dotarsi di strutture difensive supportate dall’intelligenza artificiale, in che modo quest’ultima può contribuire dunque ad incrementare il livello di difesa di un perimetro informatico?

Già ad oggi, esistono diversi campi applicativi nei quali un approccio AI driven può contribuire a migliorare la postura difensiva di un sistema: a valle di un’attenta analisi da parte dell’organizzazione dello specifico rapporto costi/benefici, alcuni dei settori di rilievo possono essere i seguenti.

Threat detection and response

Un’intelligenza artificiale è in grado di elaborare grosse moli di dati da un punto di vista non solo quantitativo, ma anche qualitativo: analizzando log e modelli comportamentali del traffico di rete, può identificare attività considerabili inusuali o sospette che forniscano un indizio su un tentativo di cyber-attacco in atto (ciò può includere l’analisi dei dati provenienti da varie fonti, come firewall, intrusion detection system e sistemi di sicurezza degli endpoint). In tal modo, un’organizzazione potrà rilevare le potenziali minacce con con molta più velocità ed efficienza, approntando una adeguata risposta a protezione di sistemi e dati.

A titolo esemplificativo, un sistema di intelligenza artificiale potrebbe, in tale contesto, analizzare i modelli di traffico di rete e identificare un improvviso picco di traffico da una particolare fonte che indichi un potenziale attacco denial of service. Oppure, potrebbe analizzare i file di registro e identificare ripetuti tentativi di accesso falliti da un singolo indirizzo IP che potrebbero sottendere un attacco di forza bruta.

Utilizzando quindi l’intelligenza artificiale per analizzare i dati provenienti da varie fonti e identificare le potenziali minacce, le organizzazioni possono rilevare e rispondere più rapidamente agli attacchi informatici, contribuendo a proteggere i sistemi e i dati da eventuali danni.

Vulnerability management

L’IA può automatizzare il processo di identificazione e classificazione per priorità delle vulnerabilità dell’organizzazione, consentendo di concentrare l’effort richiesto su attività di messa in sicurezza prioritarie.

L’intelligenza artificiale può dunque essere utilizzata per sollevare l’operatore umano dall’onere del processo di identificazione e prioritizzazione delle vulnerabilità nei sistemi e nelle applicazioni di un’organizzazione: ciò può avvenire ad esempio attraverso l’analisi dei software e sistemi aziendali per identificare vulnerabilità note e quindi assegnare loro una priorità in base ai rischi potenziali che rappresentano per l’organizzazione (secondo fattori quali la gravità della vulnerabilità, la probabilità che venga sfruttata e l’impatto potenziale di un exploit sulla continuità aziendale).

Ad ogni modo, oltre che per identificare e dare priorità alle vulnerabilità, l’intelligenza artificiale può essere utilizzata anche per monitorare i sistemi e le applicazioni alla ricerca di segnali di un exploit o di un attacco e per avvisare il personale addetto alla sicurezza se una vulnerabilità viene sfruttata attivamente.

Automazione dei processi di sicurezza

L’intelligenza artificiale può essere utilizzata per migliorare la postura di sicurezza di un’organizzazione, attraverso l’automazione di diverse tipologie di attività: dal monitoraggio delle reti alla ricerca di tracce di un attacco, all’identificazione e al blocco del traffico malevolo per finire con l’analisi dei file di log e la ricerca di attività sospette.

L’analisi del traffico di rete in real time può ad esempio contribuire ad identificare modelli noti di attività dannose, come il download di malware o i tentativi di phishing (tale traffico può conseguentemente essere filtrato e bloccato in maniera del tutto automatico, con un contestuale alerting diramato al personale addetto alla sicurezza, che si occuperà a quel punto solo delle opportune verifiche di controllo.

Rafforzamento della security awareness dell’organizzazione e formazione del personale

L’intelligenza artificiale può essere utilizzata per creare programmi di formazione e simulazioni personalizzate che aiutino a formare i dipendenti sulle migliori pratiche di sicurezza informatica oltre che a sviluppare le competenze necessarie per una efficace identificazione e prevenzione degli attacchi informatici (tanto più estesa è la popolazione aziendale, tanto più utile sarà l’apporto dell’IA che permetterà un livello di personalizzazione – in base ad esempio ai loro ruoli e responsabilità all’interno dell’organizzazione – del percorso di apprendimento impossibile con metodi tradizionali, necessariamente più generalisti ed approssimativi).

Implementazione commerciale dell’IA per la cybersecurity

Ovviamente ci sono diverse aziende che offrono soluzioni diverse per un approccio AI driven alla cybersecurity. Senza esprimere in questa sede una preferenza per l’uno o l’altro market leader, ci limiteremo a segnalare alcuni tra i produttori più noti sul mercato, rimandando ad uno specifico articolo sul tema per un eventuale approfondimento comparativo:

1. Darktrace: Darktrace è stata fondata nel 2013 a Cambridge, in collaborazione con le agenzie di intelligence britanniche e con Invoke Capital, una società di proprietà di Mike Lynch^[4]Lynch è stato cofondatore di Autonomy, venduta a Hewlett-Packard nel 2011 in una transazione che ha portato ad accuse di frode e a una battaglia legale per l’estradizione negli Stati Uniti. Nei documenti di registrazione della sua quotazione in borsa, Darktrace ha valutato come “a … continua....
2. Cylance: Cylance è un’azienda americana di software con sede a Irvine, in California, che ha sviluppato programmi antivirus e altri tipi di software per computer che cercano di prevenire, anziché rilevare in modo reattivo, virus e malware. E’ nota come una delle prime aziende ad aver applicato l’intelligenza artificiale, gli algoritmi e l’apprendimento automatico alla sicurezza informatica. Nel febbraio 2019, l’azienda è stata acquisita da BlackBerry.
3. FireEye: nel giugno 2021, FireEye ha venduto il suo nome e la sua attività di prodotti a Symphony Technology Group (STG). STG, a seguito dell’acquisizione, ha unito FireEye con la le attività enterprise di McAfee per lanciare Trellix, una società di rilevamento e risposta estesa (XDR).
4. Symantec: Symantec Endpoint Protection, di proprietà di Broadcom dal 2019, è una suite di software di sicurezza che comprende funzioni anti-malware, di prevenzione delle intrusioni e firewall per computer server e desktop. Ha la più grande quota di mercato di qualsiasi altro prodotto per la sicurezza degli endpoint.
5. Check Point: Check Point è una multinazionale americano-israeliana che fornisce software e prodotti combinati hardware e software per la sicurezza informatica, tra cui sicurezza di rete, sicurezza degli endpoint, sicurezza del cloud, sicurezza mobile, sicurezza dei dati e gestione della sicurezza. Le sedi centrali sono a Tel Aviv, in Israele, e a San Carlos, in California.