Difendersi dagli attacchi zero-day con l’Intelligenza Artificiale

L’uso di vulnerabilità sconosciute (o appena scoperte) è una delle tecniche più pericolose e diffuse tra i cybercriminali. Per contrastare questo tipo di attacchi (chiamati zero-day) è però possibile avvalersi di soluzioni di prevenzione basate sull’Intelligenza Artificiale (AI). Difatti queste possono analizzare il comportamento degli attaccanti e fornire ai team di security un segnale affidabile.

È esattamente quello che sostiene Alessio Mercuri, Security Engineer di Vectra AI, che ci ha illustrato come l’AI può mitigare le minacce informatiche che sfruttano le vulnerabilità dei software.

Il fenomeno degli attacchi zero-day

Un attacco zero-day è essenzialmente un attacco informatico che sfrutta una vulnerabilità di un software che non è stata ancora resa nota o corretta dal produttore. Questo significa che gli utenti e i sistemi di sicurezza non hanno modo di difendersi da questa minaccia, che può causare danni ingenti e irreversibili.

Secondo il report del Clusit, l’Associazione Italiana per la Sicurezza Informatica, nei primi sei mesi del 2023 il 17% delle tecniche di attacco adottate dai cybercriminali ha mirato a sfruttare delle vulnerabilità. Tra queste, molte sono state di tipo zero-day, usate anche da gruppi cybercriminali per realizzare campagne ransomware.

Per avere un’idea dell’andamento di questi attacchi, possiamo prendere come riferimento il Patch Tuesday di Microsoft, un aggiornamento mensile che corregge le vulnerabilità dei suoi prodotti. Inoltre la MSRC Security Updates Guide, una guida che accompagna il Patch Tuesday, indica se la vulnerabilità è stata sfruttata prima del rilascio dell’aggiornamento e se è stata divulgata pubblicamente, il che ci dice quanto il settore sia stato informato in merito.

Un aumento preoccupante degli attacchi zero-day

Analizzando i dati degli ultimi quattro anni e mezzo, possiamo osservare un aumento sorprendente del numero di attacchi zero-day nel 2021. Anche il numero di divulgazioni pubbliche è cresciuto, ma non in proporzione al numero di vulnerabilità sfruttate. Un dato che, come sottolinea anche Mercuri, è piuttosto preoccupante.

Sebbene il 2023 sembri mostrare una diminuzione rispetto al picco del 2021, il ritmo attuale di 17 vulnerabilità sfruttate a metà anno fa pensare che si possa tornare ai livelli massimi del 2021.

Il numero di attacchi zero-day può sembrare piccolo rispetto al numero totale di vulnerabilità segnalate ogni anno, ma è l’aumento percentuale dal 2021 in poi che dovrebbe allarmare i responsabili della sicurezza informatica. Inoltre, più della metà delle vulnerabilità non sono state divulgate pubblicamente. Questo significa che i team di sicurezza non hanno avuto la possibilità di adottare delle misure di mitigazione in attesa di una patch.

Gli attacchi zero-day possono avere conseguenze devastanti quando si verificano le condizioni favorevoli per gli attaccanti. Questi cercano di trovare una vulnerabilità che sia accessibile, d’impatto e pervasiva, ovvero che colpisca un gran numero di sistemi.

Le tendenze mostrano anche un aumento delle segnalazioni di campagne ransomware, che spesso usano le vulnerabilità zero-day come vettore di infezione. Questo scenario rappresenta una sfida enorme per i team di security, che devono affrontare una minaccia sempre più sofisticata e motivata.

Il ruolo dell’Intelligenza Artificiale nella prevenzione

Per difendersi dagli attacchi zero-day, non basta affidarsi alle soluzioni di sicurezza tradizionali. Queste soluzioni, infatti, non sono in grado di riconoscere una vulnerabilità sconosciuta o appena scoperta. Di conseguenza non possono bloccare l’attacco.

Per questo motivo, è necessario integrare le soluzioni di prevenzione con l’Intelligenza Artificiale. Qusta può analizzare il comportamento degli attaccanti e rilevare le anomalie che indicano un tentativo di sfruttare una vulnerabilità. L’AI, infatti, non si basa su informazioni pregresse, ma su algoritmi di apprendimento che si adattano al contesto (e alle nuove minacce).

L’Attack Signal IntelligenceTM di Vectra AI

Un esempio di Intelligenza Artificiale applicata alla sicurezza è l’Attack Signal IntelligenceTM di Vectra AI, una tecnologia che utilizza una serie di tecniche di Machine Learning per individuare i comportamenti degli attaccanti, indipendentemente dagli strumenti che utilizzano per perseguire i loro obiettivi.

Concentrandosi sui comportamenti degli attaccanti successivi alla compromissione, l’Attack Signal IntelligenceTM può produrre un segnale di attacco affidabile ed efficace, che si distingue dal rumore di fondo degli alert e che è in grado di avvisare i team di cybersecurity della presenza di un attaccante prima che questi raggiunga gli obiettivi desiderati.

Mercuri ritiene che, invece di basare la propria strategia contro gli attacchi zero-day sulla speranza di poter applicare una patch prima che venga superata dagli attaccanti, sarebbe meglio adottare un approccio alla sicurezza “assumed compromise”. Un approccio quindi che prepari l’azienda ad affrontare eventuali attacchi.