Cybersecurity i sistemi sono maturi per la rottura. Nel corso degli anni sono proliferati i singoli strumenti, ognuno con il proprio formato di dati, provocando un diluvio di dati disparati. Inoltre, c'è una carenza globale di analisti esperti di sicurezza informatica in grado di valutare quei dati (e sono molto costosi se riesci a trovarli). Infine, e gli hacker diventano sempre più intelligenti e creativi. L'intelligenza artificiale doveva essere la cura per questi problemi, ma è stata di utilità limitata nell'affrontare il problema su larga scala perché richiede un'infrastruttura ampia e pianificata in modo ponderato. In questo articolo, esamineremo il ruolo di IA nella sicurezza informatica sistemi e come può diventare una tecnologia veramente trasformativa.
AI come olio di serpente
L'IA è menzionata molto nella letteratura di marketing che descrive le soluzioni di sicurezza informatica, ma finora non è stata così trasformativa come si potrebbe pensare. Nonostante una dimensione del mercato che cresce a Tasso di crescita annuale composto del 20.5%., l'IA rimane ancora operativamente difficile da implementare per problemi di sicurezza. Se dovessi entrare in un moderno centro operativo di sicurezza (SOC), probabilmente troverai alcune grandi TV con dashboard e CNN difficili da leggere, e analisti della sicurezza che probabilmente trovano doloroso il loro lavoro, perché trascorrono il loro tempo correlando manualmente i dati e cercando di discernere cosa sta succedendo nella loro azienda in di fronte ad attacchi sempre più complessi. Se gli umani lo stanno facendo, questo pone la domanda, "Dov'è l'IA?"
Cybersecurity è un problema operativo disordinato, e questo è il breve motivo per cui l'IA è stata lenta nel trasformarlo. Trovare le minacce in un'azienda attraverso centinaia di fonti di telemetria quando le minacce spesso sembrano identiche all'attività normale è un problema molto difficile. Inoltre, i dati di ciascuno strumento di sicurezza possono assumere forme diverse e devono essere normalizzati prima di poter essere utilizzati per addestrare un sistema di intelligenza artificiale.
Indipendentemente dal settore e dal caso d'uso, l'IA impara dai dati: il motore di intelligenza artificiale deve essere addestrato con i dati in modo che possa iniziare a imparare cosa è o non è un'anomalia. Questo è ciò che rende così disordinato il problema della sicurezza: i dati di sicurezza di ogni azienda sembrano, come minimo, leggermente diversi, con strumenti e modelli di comportamento diversi e, al massimo, i dati sembrano molto diversi. Non esiste un set di dati di addestramento d'oro in sicurezza che possa essere concesso in licenza come potrebbe esserlo per i sistemi di riconoscimento vocale o di immagini. Se vuoi utilizzare l'IA per affrontare il problema di sicurezza, devi creare e acquisire i tuoi dati.
Normalizzare i dati in modo che siano utili per un motore di intelligenza artificiale è una sfida enorme. Il problema è così importante che Scale AI, una startup che crea API di dati per lo sviluppo dell'IA focalizzata principalmente su applicazioni per auto senza conducente, ha ottenuto una valutazione di $ 7 miliardi a meno di cinque anni dalla sua fondazione. Scale AI conta già molte delle organizzazioni più innovative del mondo come suoi clienti.
Cosa ci vorrà per l'IA trasformativa
L'IA nella sicurezza alla fine sarà trasformativa, probabilmente sia per l'attacco che per la difesa, ma questa è una storia per un altro giorno. Qui, "trasformativo" significa ampiamente trasformativo, in tutte le parti della sicurezza, quindi altera sostanzialmente il modo in cui un'azienda affronta la sicurezza. Per ora, dobbiamo accontentarci di alcune applicazioni limitate in cui l'IA può migliorare la sicurezza.
Tuttavia, ci sono alcuni punti positivi per l'IA nella sicurezza; questi sono facili da trovare pensando al problema dei dati. Quali parti dello stack di sicurezza generano dati puliti e addestrabili? Le frodi e-mail e il rilevamento di malware sono due ottimi esempi: il motore di intelligenza artificiale può imparare dagli esempi di phishing disponibili o dalle firme di malware e individuare exploit simili. I dati delle e-mail dei clienti e delle sandbox di malware possono essere utilizzati per addestrare modelli di intelligenza artificiale che alimentano i prodotti aziendali. La stessa formazione è molto più difficile da implementare su problemi come il rilevamento di attacchi che si spostano lateralmente attraverso una rete (ad esempio, dal firewall al server Active Directory a un server di dati), perché questo movimento laterale avrà un aspetto leggermente diverso in ogni azienda.
La creazione di un'intelligenza artificiale che protegga ampiamente un'impresa in tutte le sue operazioni digitali assomiglierà in un certo senso agli sforzi intrapresi oggi dalle case automobilistiche senza conducente. Ad esempio, dal 2009, il software per auto senza conducente di Waymo si è allenato 15 miliardi di miglia di guida simulata e oltre 20 milioni di miglia di esperienza di guida pubblica. Waymo ha un approccio rigoroso ai test a diversi livelli di fedeltà (simulazione, percorso chiuso, mondo reale), eseguendo scenari con migliaia di variazioni, raccogliendo nel contempo dati a scopo di miglioramento.
Questa non è un'analogia perfetta per l'IA nella sicurezza, ma è piuttosto buona: test con dati simulati, test in ambienti di laboratorio con attacchi simulati o reali e test in operazioni reali in un insieme diversificato di aziende. I problemi di sicurezza con l'accesso naturale a dati più puliti emergeranno con prodotti realmente basati sull'intelligenza artificiale prima dei problemi di dati più difficili nell'intero stack di sicurezza aziendale. Ci vorrà tempo e capitale per arrivarci, e le innovazioni che sono spietatamente focalizzate sul problema dei dati saranno innanzitutto e soprattutto per sbloccare un'ampia trasformazione. Oggi, molti strumenti di sicurezza semplicemente non si concentrano sulla normalizzazione dei dati perché tendono a essere isolati in specifici punti critici dell'infrastruttura complessiva.
Che aspetto avrà l'IA trasformativa nella sicurezza
Immagina che ogni iniziativa, configurazione, registro di sicurezza e avviso IT possano essere esaminati dal principale esperto mondiale di sicurezza umana in quella determinata area in tempo reale, senza interruzioni delle operazioni aziendali. Immagina che gli analisti aziendali possano consultare e ottenere indicazioni da quell'esperto. L'IA nella sicurezza alla fine sembrerà così.
Come? I prodotti basati su risorse di dati ponderate, che riducono la complessità dei dati, alla fine saranno i re della categoria, altrimenti il prodotto non funzionerà da cliente a cliente e sarà un prodotto con margini simili al servizio e non sarà scalabile. (Andreesen Horowitz ha scoperto in modo interessante che la maggior parte delle loro società di intelligenza artificiale hanno margini molto più bassi rispetto ad aziende SaaS comparabili a causa dei costi intrinseci di creazione e ridimensionamento dell'IA.)
Questi futuri re della categoria dovranno prima investire nell'infrastruttura e nella raccolta dei dati, probabilmente per anni, prima che i loro dati possano essere veramente considerati una risorsa e aiutare nella natura di auto-miglioramento del loro prodotto. Tuttavia, una volta che questi re dell'azienda otterranno un vero patrimonio di dati per l'IA, il loro ritmo di innovazione sarà difficile se non impossibile da eguagliare dai concorrenti e saranno incoronati re di categoria, purché riescano comunque a mantenere un prodotto intuitivo. Quindi, proprio come la categoria Motore di ricerca si è rapidamente consolidata in Google, lo stesso accadrà con le soluzioni di sicurezza informatica ad alta intensità di dati. In particolare, cerca un consolidamento maggiore in Informazioni sulla sicurezza e Gestione eventi (SIEM), Rilevamento e risposta estesi (XDR), Rilevamento e risposta degli endpoint (EDR)e Rilevamento e risposta di rete (NDR) mercati.
Quindi, l'IA sta emergendo prima nella sicurezza su problemi più piccoli dove c'è una minore complessità dei dati, come notato negli esempi di frode e-mail e malware in precedenza. L'intelligenza artificiale verrà quindi implementata lentamente per problemi di dati più complessi, ma emergeranno solo prodotti che sono spietatamente focalizzati sulla gestione della complessità dei dati Motori di intelligenza artificiale. Per essere efficace, un programma di sicurezza basato sull'intelligenza artificiale deve essere in grado di raccogliere dati da tutti gli strumenti di sicurezza disponibili e dai feed delle minacce, quindi normalizzare tali dati in modo che siano utili per addestrare il motore di intelligenza artificiale. Ecco come sarà il futuro dell'IA nella sicurezza informatica.
L'autore
Sam Jones è vicepresidente della gestione dei prodotti presso Stellar Cyber, Inc. È un leader esperto nello sviluppo di prodotti con un track record nella creazione di prodotti per la sicurezza e l'intelligenza artificiale che i clienti adorano. Ha una solida esperienza in AI/ML, infrastruttura dati, sicurezza, SaaS, design del prodotto e difesa. Sam ha ricoperto posizioni di prodotto e ingegneria in aziende tra cui Palantir Technologies e Shield AI e ha lavorato per l'aeronautica americana sulla strategia di difesa informatica. Ha conseguito la laurea in Ingegneria Elettrica e Informatica presso la Cornell University.
