Migliorare la cyber grazie all’intelligenza artificiale: quattro casi di successo

L’intelligenza artificiale può essere la risposta adeguata alla necessità di rendere più efficace la difesa cyber ottimizzando gli investimenti.

Tema cruciale per il futuro della cybersecurity e infatti la Camera di commercio italiana in Canada lo approfondirà durante il Forum sulla Intelligenza Artificiale organizzato a Montreal (23-24 settembre). Il Forum vedrà numerosi stakeholders ed esperti del settore confrontarsi sul tema della cybersecurity. La scelta del Canada per questa conferenza sulla cybersecurity. Il Canada infatti è  tra i Paesi fondatori della Global Partnership on Artificial Intelligence.

AI e Cyber, tre scenari di attacco

Durante la conferenza condivideremo buone pratiche iniziando con coloro che la AI la utilizzano da tempo e con successo, ovvero gli attaccanti.

In cybersecurity infatti non solo il confine tra chi attacca e chi difende è molto sottile. Si pensi al penetration test per esempio. Il penetration test è utilizzato da chi si difende per identificare vulnerabilità e risolverle prima di ricevere un attacco. Gli stessi strumenti possono essere usati dagli attaccanti. Insomma, non sono gli strumenti ad identificare attaccanti e difensori, ma spesso è come questi strumenti vengono usati, il loro contesto.

Partiamo dal modo in cui gli attaccanti usano l’AI, perché da questo si possono derivare interessanti strumenti di difesa.

Sono tre gli scenari osservati.

Uso della AI per fare attacchi

La AI è usata per strumenti che imparano a fare attacchi di tipo SQLi (SQL Injection) o per twittare post di phishing indirizzando utenti specifici.

• Lo strumento è istruito per imparare cosa è maggiormente appealing per i target selezionati in modo da aumentare le possibilità di un click sul posto sbagliato. Allo stesso modo lo strumento usa AI per identificare target maggiormente sensibili a cadere vittima di tranelli.
• Non solo phishing, ma anche brute force. AI infatti viene usata o può essere usata per indovinare le password non conosciute osservando password esistenti in data bases rubati.

Se la steganografia è l’arte di nascondere informazioni segrete all’interno di informazioni che non sono segrete, la steganalisi è la scienza per identificare questi messaggi e AI è usata efficacemente in questa scienza.

Attacco della AI

Non possiamo e non dobbiamo dimenticare che l’AI può a sua volta essere attaccata.

• Ad esempio è possibile istruire male, o meglio, se si lascia ad una comunità la opportunità di istruire una chatbot, è possibile che una parte di comunità malevola ed efficiente decida di influenzare la chatbot con messaggi scorretti e la chatbot reagisca conseguentemente a quanto imparato.
• Inoltre, AI potrebbe essere usata per “ingannare” sistemi di riconoscimento biometrico (ad esempio usando fotografie della persona invece che la immagine stessa ) o per “imparare” a sfuggire ai controlli di sicurezza esistenti usando tecniche di machine learning rinforzato.

Furto della AI

Infine la AI può a sua volta essere rubata. Possono essere rubati i dati oppure i modelli di apprendimento.

Quattro casi di successo nell’uso della AI nella difesa

Il modo in cui gli attaccanti usano la AI suggerisce interessanti casi di utilizzo nella difesa.

1. Penetration test: Questo è uno di quei casi in cui la differenza tra difesa e attacco si assottiglia in termini di strumenti da usare che necessariamente sono molti simili e devono essere simili. Sarebbe gravissimo che l’attaccante potesse fare affidamento su strumenti che non sono conosciuti da chi usa le stesse tecniche per difendersi. È come se l’attaccante venga dotato di una pistola ma chi si difende lo fa solo con la spada. Abbiamo già analizzato la capacità da parte degli attaccanti di usare AI per imparare a fare attacchi di SQLi; la stessa tecnologia può e deve essere usata nell’attacco. È possibile utilizzare la AI anche per identificare le vulnerabilità che più facilmente è possibile sfruttare.
2. Access Management: è il processo con cui associamo un rischio alla transazione. Il rischio è calcolato in base a quello che si sa (utenza/password), quello che si ha (token) o quello che si è. Considerando la quantità di transazioni che usiamo nell’ecosistema digitale, regolamentazioni e direttive spesso richiedono l’adozione di sistemi di multiple e strong authentication (calcolare il rischio in funzione di due modalità differenti ) e la tipologia di modalità di autenticazione utilizzata si basa su quello che si è. L’intelligenza artificiale può essere usata per identificare anomalie nel comportamento normale e calcolare un rischio in maniera conseguente. Ad esempio, si può analizzare come si muove il mouse per essere sicuri che le transazioni vengano iniziate dal legittimo proprietario della identità.
3. Anomaly Detection: in cybersecurity non sempre si possono conoscere vulnerabilità (zero-day sono quelle vulnerabilità non conosciute) e metodologie di attacco con cui si viene attaccati. Pertanto gli strumenti (SIEM, IDS, IPS, EDR) sono specializzati nell’identificare anomalie che riguardano processi, traffico di rete, utilizzo di userid e dati in genere. Motivo per cui queste tecnologie sono facilmente adattabili a essere utilizzate in ambienti non propriamente IT, quali ad esempio quello dello Smart Farm e automotive dove grandi quantità di dati vengono analizzate; difficile comprendere la modalità di attacco ma si possono analizzare deviazioni ai pattern di dati comuni. “In ambiti complessi come l’Automotive, settore in cui Macnil opera come IoT security company con il marchio GT ALARM” dice Mario Direnzo , Responsabile Sistemi Informativi e Responsabile Progettazione e Sviluppo Informatico di Macnil “ ,  il concetto di secure by design deve necessariamente coprire l’intera catena di valore delle soluzioni IoT, dal dispositivo di bordo alle connessioni e protocolli, dall’acquisizione dei dati alla gestione in totale sicurezza degli stessi, dalle interfacce utente ai sistemi di command and control. La rapida crescita del numero di connected cars impone l’introduzione di nuove soluzioni di detection and response, specifiche per il mondo automotive: per rispondere a questa esigenza MACNIL sta realizzando il primo Vehicle SOC nel novero del progetto Secure Safe Apulia”. Invece per Angelo Parchielli, Project Manager | R&D di  Sysman Progetti & Servizi S.r.l. “nel contesto dello Smart Farming, il processo di innovazione e di trasformazione digitale è enormemente visibile se si incrociano le tendenze di crescita nell’investimento di settore con le nuove soluzioni adottate. Parliamo di investimenti sicuramente massivi per macchinari e attrezzature agricole digitali nativamente connesse nei sistemi di monitoraggio e controllo di attrezzature ed impianti e di Sistemi di Supporto alle Decisioni (DSS).  Questi investimenti introducono sicuramente un ritorno nell’investimento ben visibile sul piano, ad esempio, della produttività che sicuramente è bene affiancare ad una evoluzione metodologica e pratica intervenendo sugli aspetti di cybersecurity dei dispositivi introdotti. Come sappiamo safety e security non si equivalgono soprattutto in settori dove l’OT è preponderante.  È bene sicuramente investire in strumenti cyber che, da un lato permettono la riduzione del perimetro aziendale esposto e ne consentono il controllo, e dall’altro introducono, grazie all’utilizzo dell’Intelligenza Artificiale, di rilevare anomalie sui dati coinvolti nei processi di produzione e di mitigare il rischio cyber-fisico verticalizzando il più possibile il know-how del settore”.
4. Incident Analysis/Response. Gli attaccanti spesso usano diverse modalità di attacco per compromettere i sistemi. Comprendere le relazioni tra i vari attacchi richiede un’analisi di diverse fonti di dati spesso non strutturati. Digerire questa enorme quantità di informazioni, creare un corpus della conoscenza sempre aggiornato, è una delle aree in cui l’AI è utilizzata in maniera efficace. Questo è l’obiettivo di Sherlock 4 Cybersecurity. Antonio Pontrelli, Security Project Manager in Exprivia dice che “ Sherlock 4 Cybersecurity nasce dall’esigenze di supportare sia in modo proattivo che in fase di analisi il team di analisti di sicurezza all’interno di un Security Operation Center (SOC). Sherlock è in grado di raccogliere in tempo reale ingenti quantità di indici di compromissione, provenienti da diverse fonti dati di Threat Intelligence e tramite meccanismi di apprendimento automatico (Machine Learning), con un mix di regole su base statistica, ricostruisce i pattern d’attacco più comuni. Infine, un grafo riassuntivo (composto da campi come domini e indirizzi IP) mostra tutte le correlazioni tra informazioni raccolte dal sistema di monitoraggio (SIEM) e la Threat Intelligence, effettuate partendo da un determinato IP o utente in un intervallo di tempo”.

In conclusione

Malgrado nel 3Q2022 l’Osservatorio di Exprivia sulla cybersecurity registri un calo di attacchi ed incidenti sul territorio italiano e malgrado nello stesso periodo la forbice tra attacco e difesa sembra leggermente riaprirsi (e quindi sembra che gli attaccanti facciamo maggiormente fatica ad avere successo), se confrontiamo i dati del 3Q2022 con quelli del 3Q2021 notiamo un sensibile peggioramento.

A questo aggiungiamo che anche nel 3Q2021 si era osservato un generale miglioramento per poi riprendere a crescere nel 4Q2021.

Insomma, lo scenario attuale lascia poco spazio all’ottimismo.

D’altra parte non dovremo essere sorpresi.

Internet è stata creata per condividere informazioni, per accelerare le transazioni, per connettere, ma non è stata pensata per essere sicura. Si ricordi che inizialmente, quando abbiamo cominciato a usare internet, accedere ad un computer da un’altra parte del mondo era considerato un successo, oggi le chiamiamo botnet.

Inoltre chi attacca fa questo mestiere, chi riceve l’attacco normalmente fa un altro mestiere. Un po’ come Leonida con gli Ateniesi, quando domanda loro quale fosse il loro mestiere: “Voi siete avvocati, medici, vasai, invece dall’altra parte ci sono quelli specializzati, il cui mestiere è quello di affrontarvi”. Già questo potrebbe bastare, ma non è l’unico problema. Ne abbiamo un altro ancor più grande: l’impossibilità di conoscere quando si viene attaccati. Saremo attaccati. Chi attacca, infatti, decide quando attaccare; chi si difende non sa quando verrà attaccato.

Internet poco sicura, sproporzione in competenze tra chi attacca e chi si difende, possibilità per l’attaccante di scegliere il momento dell’attacco suggeriscono una forte prudenza negli investimenti che possono poi essere messi in discussione da una nuova vulnerabilità, da una metodologia di attacco nuova. Nel mondo della difesa fisica questo è accettato. La differenza tra i castelli rotondi e quelli di forma quadrata sta nella invenzione della polvere da sparo.

Grazie alla polvere da sparo i cannoni erano in grado di sparare palle di metallo che su mura piatte avevano effetti devastanti. I colpi di cannone risultavano essere meno devastanti su mura arrotondate,queste ultime più adatte ad assorbire la forza inerziale del cannone. Cosa è successo ai castelli di forma quadrata? Cosa è successo agli investimenti fatti per costruire quei castelli?

La stessa cosa succede nell’ecosistema digitale dove di invenzioni come quella della polvere da sparo avvengono ogni giorno, non ogni secolo.

È necessario pertanto ottimizzare gli investimenti osservando quello che la innovazione digitale offre. Infatti se gli attaccanti usano i cannoni, possono usare i cannoni anche coloro che si difendono e viceversa. Anzi, se gli attaccanti usano i cannoni, chi si difende deve usare i cannoni ed usare contromisure adeguate ai cannoni, altrimenti finirà per soccombere.

1. Detect. L’analista in un SOC (Security Operation Center) è spesso da solo e deve prendere delle decisioni velocemente analizzando tanti elementi. L’AI è utilizzata per dare priorità a incidenti, suggerire pattern di analisi e di risposta.