Machine Learning e dati non strutturati per la cybersecurity

di Danilo Poccia, Principal Evangelist, Serverless, Amazon Web Services

I dati hanno cambiato radicalmente il modo in cui lavorano le aziende, ridefinendo i modelli di business, creando nuovi segmenti di mercato e aprendo nuovi flussi di reddito. Solo negli ultimi cinque anni gli utilizzatori di Internet sono aumentati di oltre l’82% e Gartner  prevede che il volume dei dati sia destinato a crescere dell’800% entro il 2022, con l’80% dei dati non strutturati.

Anche se non si può negare che si tratta di un’enorme opportunità per le aziende di tutto il mondo, il flusso di dati non strutturati rappresenta anche una sfida in continua evoluzione e sempre maggiore, soprattutto per il team dedicato alla sicurezza informatica.

Che si tratti di una moltitudine di dispositivi IoT, servizi web, log, video, chat utente, applicazioni mobili, foto o dati in streaming che ora inondano la rete, ogni fonte deve ancora essere studiata e valutata sul rischio che rappresenta.

Il Machine Learning e l’Intelligenza Artificiale sono stati a lungo elogiati come soluzioni per estrarre il valore dai dati non strutturati e per evolvere e valutare le condizioni di sicurezza di un’azienda. Ma questo è più facile a dirsi che a farsi e, prima di tutto, richiede la capacità di comprendere dati non strutturati.

L’interpretazione dei dati non strutturati

Storicamente, uno dei problemi chiave per le aziende che cercano di estrarre il vero valore dai propri dati è stato che la stragrande maggioranza dei dati non strutturati non è stata configurata per essere elaborata a macchina. Fondamentalmente, i computer non sono stati in grado di comprendere il contesto con le emozioni, gli accenti dei relatori e altri dettagli che gli esseri umani danno per scontati, impossibili da analizzare o catturare. Questo rappresenta una sfida importante, poiché le aziende cercano di utilizzare contenuti come immagini, audio, video, e-mail, fogli di calcolo e documenti di videoscrittura per orientare le decisioni aziendali.

È qui che l’apprendimento automatico e l’intelligenza artificiale possono fare la differenza con la capacità di ricavare senza soluzione di continuità le intuizioni da una moltitudine di fonti.

Grazie alle tecnologie AWS, i sistemi di intelligenza artificiale, i dispositivi e i programmi come i chatbot, sono ora in grado di riconoscere, interpretare, elaborare e simulare le emozioni umane. Utilizzando l’apprendimento automatico, gli IVR (interactive voice response) e i chatbot indirizzeranno i clienti verso il giusto flusso di servizio in modo più veloce e più accurato, tenendo conto delle emozioni e del tono di voce – unendo i set di dati non strutturati e strutturati. Di conseguenza, quando il sistema rileva un utente arrabbiato o scontento, questi possono essere indirizzati a un canale specifico che servirà meglio a far conoscere la situazione.

Mentre le aziende traggono vantaggio dall’apprendimento automatico per comprendere i dati non strutturati, non sorprende che ciò si sia riflesso nel settore della sicurezza informatica.

Rilevamento intelligente

Mentre le strategie di sicurezza informatica evolvono per proteggersi da un panorama di minacce in rapida evoluzione, gli hacker stanno sviluppando metodi sempre più sofisticati per bypassare queste protezioni. Utilizzando l’apprendimento automatico delle macchine per automatizzare i propri attacchi, gli hacker rendono le violazioni sempre più difficili da rilevare. Con oltre il 40% delle aziende che hanno subito attacchi informatici negli ultimi 12 mesi, le aziende devono sconfiggere i criminali informatici al loro stesso gioco utilizzando l’apprendimento automatico per proteggere meglio i propri dati, i dipendenti e soprattutto il proprio marchio.

Le tradizionali soluzioni di sicurezza informatica sono in grado di rilevare gli attacchi aggregando informazioni quali directory, URL, parametri e input utente accettabili. Tuttavia, questo approccio non è più sufficiente a causa dei nuovi dati, e le applicazioni e codici che ampliano la minaccia di attacchi è costante.

Inserire l’IA e l’apprendimento automatico consente un approccio più intelligente al rilevamento delle minacce. Queste tecnologie sono in grado di comprendere i modelli di comportamento dei database e delle applicazioni aziendali. Comprendendo l’aspetto “normale” possono individuare rapidamente le anomalie che potrebbero indicare un attacco. Si tratta di un compito complesso che non può essere eseguito manualmente, ma è un compito critico che può migliorare una strategia di difesa informatica aziendale.

Il machine learning elabora e organizza i dati in modo rapido ed efficace, il che significa che i team dedicati alla sicurezza sono in grado di valutare le minacce nel contesto di una visione completa e ben organizzata, piuttosto che essere sommersi da una quantità enorme di informazioni. Questo è fondamentale per aiutare i team a concentrare le proprie ricerche sulle minacce reali anziché sui falsi positivi. Inoltre, l’analisi basata sull’apprendimento automatico assicura che qualsiasi attacco che potrebbe essere oscurato dal flusso di eventi di sicurezza non passi inosservato e possa essere mitigato rapidamente e senza soluzione di continuità.

Gli strumenti di ragionamento automatizzati oggi forniscono funzionalità ai clienti attraverso servizi AWS quali: Config, Inspector, GuardDuty, Macie, Trusted Advisor e il servizio di storage S3. Ad esempio, i clienti che utilizzano la console Web S3 ricevono avvisi – tramite un ragionamento basato su SMT – quando i criteri del proprio bucket S3 sono probabilmente mal configurati. AWS Macie utilizza lo stesso motore per trovare possibili percorsi di estrazione dati. Il servizio dietro questa funzionalità riceve regolarmente 10s di milioni di chiamate al giorno. GuardDuty utilizza un ragionamento automatizzato per rilevare le attività anomale di account e di rete. Ad esempio, GuardDuty avvisa l’utente se rileva chiamate API remote da un indirizzo IP malevolo noto, indicando le credenziali AWS potenzialmente compromesse. GuardDuty rileva anche minacce dirette all’ambiente AWS che indicano un’istanza compromessa, come un’istanza EC2 di Amazon che invia dati codificati all’interno di query DNS.

Il futuro è il machine learning

Non si può negare che l’apprendimento automatico è investimento per le aziende e una componente vitale di qualsiasi strategia di sicurezza informatica. Mentre le società di tutto il mondo cercano di proteggersi dalla più recente ondata di minacce, avere la capacità di dare un senso ai dati non strutturati e avere una visione chiara degli incidenti di sicurezza e dei rischi per un’azienda non è mai stato così importante.

Grazie all’apprendimento automatico delle macchine per automatizzare il rilevamento degli attacchi, la risposta e la razionalizzazione dei dati non strutturati, le aziende disporranno di un sistema di difesa informatica rapido e robusto che evolve con il proprio business. In questo modo, le aziende possono mettere i clienti al centro dei  processi e proteggere dalle minacce, prima, durante e dopo un attacco.