Es posible que los aficionados a «RoboCop», la película de acción y ciencia ficción sobre un robot policial diseñado para ser la combinación perfecta entre el juicio humano y la automatización mecánica, no se den cuenta de que hay una buena razón para volver a verla: este clásico de culto ofrece algunas orientaciones sorprendentes sobre la ciberseguridad actual.
En serio, si hace tiempo que no la ha visto —o si nunca la ha visto—, RoboCop merece la pena verla en streaming, ya que los temas que aborda son notablemente similares a los que afrontan los responsables empresariales y de seguridad a la hora de plantearse cómo aprovechar mejor la inteligencia artificial para mejorar la ciberseguridad en general, especialmente en el ámbito de la orquestación, la automatización y la respuesta en materia de seguridad (SOAR), donde los avances en inteligencia artificial parecen capaces de aportar mejoras rápidas.
Breve reseña: Hace cuarenta años, Orion Pictures adquirió el guion de « RoboCop», , pero tardó dos años en encontrar un director y llevar a cabo la producción de la película. Paul Verhoeven lo rechazó en dos ocasiones antes de aceptar dirigir la que hoy se considera su obra maestra cinematográfica. Esta mezcla de sátira sobre la cultura corporativa, humor negro y violencia extrema narra las hazañas de Murphy, un detective de policía que estuvo a punto de morir a manos de unos matones y que, posteriormente, fue resucitado por unos científicos que lo transformaron en un híbrido mitad hombre, mitad máquina, con una funda de pistola incrustada en el muslo de titanio. Oye, ¿qué podría salir mal, verdad?
Las consecuencias imprevistas de su programación (y un atisbo de humanidad inquietante que persiste en el interior de todo ese metal) hacen que las cosas se tuerzan, dejando perplejos a los responsables científicos y empresariales del cíborg.
Y esta es, en gran medida, la situación en la que se encuentran los profesionales de la ciberseguridad en la actualidad.
Dado que los ciberataques están afectando a las organizaciones a un ritmo sin precedentes, muchas grandes empresas han invertido en sus capacidades SOAR para integrarlas con las herramientas de seguridad existentes y automatizar las tareas rutinarias de seguridad. Ya se trate de iniciar automáticamente investigaciones sobre alertas de seguridad y respuestas ante amenazas, aislar equipos infectados o coordinar flujos de trabajo de seguridad complejos —también conocidos como «playbooks»—, el objetivo ha sido siempre el mismo: reducir el tiempo que se tarda en detectar y responder a los incidentes de seguridad.
Las empresas también invierten en estas plataformas SOAR con la esperanza de hacer frente a la fatiga por alertas y al personal sobrecargado. Scott Crawford, director de investigación del canal de seguridad de la información de S&P Global Market Intelligence, afirma que aproximadamente la mitad de las empresas usuarias finales a las que ha asesorado se ven tan desbordadas por las alertas de seguridad que no pueden responder a todas ellas en un plazo razonable. Según la empresa de estudios de mercado B2B MarketsandMarkets, esa es una de las razones por las que el mercado mundial de herramientas SOAR alcanzó unos 1.1 000 millones de dólares en 2022 y alcanzará casi 2.3 000 millones de dólares para 2027.
Muchas empresas han considerado decepcionante la implantación de sus plataformas y procesos SOAR. Las razones son muchas y es probable que sean un indicio de los retos a los que se enfrentarán las empresas a la hora de integrar la inteligencia artificial en sus sistemas SOAR.
Por qué las guías de actuación evolucionan (o no) con SOAR
La integración de los sistemas SOAR en las herramientas y los procesos de seguridad existentes es compleja y requiere una personalización especializada; además, muchas organizaciones se enfrentan a dificultades relacionadas con la correspondencia de datos, la calidad y la coherencia entre fuentes de datos dispares, lo que afecta a la eficacia de los sistemas SOAR.
«. Hay muchos casos de uso que vienen a la mente cuando se aplica la tecnología de los modelos de lenguaje grandes (LLM) a la seguridad; el más obvio es el de la inteligencia y el análisis de amenazas.»Scott Crawford, director de investigación del canal de seguridad de la información de S&P Global Market Intelligence
El resultado es que muchos de los «manuales de actuación» y sus «flujos» y «subflujos» —hojas de ruta o flujos de trabajo preestablecidos, automatizados o semiautomatizados, que guían a los responsables de la respuesta a la hora de actuar correctamente ante tipos específicos de incidentes, ya se trate de ransomware o de indicadores de compromiso detectados en los sistemas internos— no van más allá de tareas de seguridad relativamente sencillas, como realizar instantáneas forenses o desconectar los sistemas.
«Aunque resultan útiles, estos sistemas no han cumplido del todo lo prometido», afirma Michael Farnum, CISO asesor de la empresa de servicios tecnológicos Trace3. «La automatización implantada se limita a las tareas más sencillas, y el resultado es que no ha supuesto el aumento de la productividad que muchos esperaban».
Otros, sin embargo, siguen mostrándose optimistas y consideran que la inteligencia artificial supondrá un valor añadido, especialmente para las tareas de seguridad más complejas.
[Lea también: Guía definitiva sobre ciberseguridad basada en la IA: ventajas, riesgos y beneficios]
Jason Rader, director de seguridad de la información (CISO) a nivel mundial de Insight Technology Solutions, fue uno de los primeros en adoptar las capacidades de la IA generativa integradas en las herramientas que utilizaba su equipo de operaciones de seguridad. «Nos complace contar con funciones de inteligencia artificial en varios productos distintos», afirmó Rader.
Si bien ha contribuido a agilizar algunas tareas, otras áreas de la IA —especialmente la incorporación de la IA generativa — han demostrado ser de gran ayuda para el equipo de operaciones de seguridad en tareas que requieren mucho tiempo pero que son esenciales, como la redacción de scripts en Python o consultas SQL y la elaboración de informes. Por otra parte, algunas de las capacidades integradas de IA generativa en las plataformas de orquestación y otras relacionadas que ha observado han sido «menos que óptimas», añadió Rader, en lo que respecta al análisis y a los guiones operativos más complejos con procesos que requieren varios pasos. «No esperábamos que esta [IA] fuera ya perfecta para su finalidad», añadió Rader.
Los equipos de seguridad tienen nuevas esperanzas de que los modelos de lenguaje a gran escala (LLM) de puedan contribuir a mejorar las tecnologías SOAR y ayudar a los equipos de seguridad a responder ante las amenazas de forma más rápida e inteligente. El reto consiste en lograr la combinación adecuada entre la madurez de los programas, el criterio humano y la toma de decisiones basada en la inteligencia artificial y la automatización.
La transformación de las operaciones SOAR: los modelos de lenguaje grandes (LLM) avanzados impulsan el potencial de la IA
Los avances en los modelos de lenguaje grande (LLM) prometen transformar las operaciones SOAR de las empresas al ofrecer una clasificación automatizada de incidentes, detección de amenazas, respuesta a incidentes, seguridad análisis de datos, interfaces de lenguaje natural, guías de actuación adaptativas y capacidades predictivas. Se espera que, con el tiempo, las capacidades de inteligencia artificial integradas en estas herramientas (o los modelos de lenguaje grande [LLM] personalizados que las empresas desarrollan internamente) puedan ayudar a los equipos de seguridad a analizar mejor toda la inteligencia sobre amenazas , las alertas de seguridad y los datos de eventos generados por las redes y las aplicaciones, a identificar rápidamente las amenazas más relevantes para su sector y su organización, y a responder de forma automática siempre que sea posible.
«. De momento no es posible, pero en el futuro los «playbooks» serán creados por sistemas de IA, quizá incluso generados o, al menos, ajustados sobre la marcha.»Michael Farnum, CISO asesor, Trace3
Los expertos en seguridad identifican cuatro formas en las que los modelos de lenguaje grande (LLM) ya están empezando a transformar las plataformas SOAR:
Análisis de datos de seguridad. Estos sistemas pueden detectar posibles amenazas mediante el análisis de la información sobre amenazas y de los datos de eventos de los sistemas de la empresa. «Hay muchos casos de uso que vienen a la mente cuando se aplica la tecnología de los modelos de lenguaje grandes (LLM) a la seguridad; el más evidente es el de la inteligencia y el análisis de amenazas», afirma Crawford.
Clasificar automáticamente las alertas de seguridad. Ese análisis de datos también puede utilizarse para priorizar la respuesta ante incidentes en función de la importancia estratégica de los datos y los sistemas en riesgo, así como de la configuración y el estado de los sistemas de seguridad que protegen dichos activos. Estos sistemas pueden proporcionar a los analistas guías de actuación adecuadas. «En la actualidad, la inteligencia artificial está ayudando con los guiones más rutinarios, pero es probable que, con el tiempo, estos se vuelvan más sofisticados y puedan gestionar tareas más complejas», afirma Farnum.
Para ello se necesitará tanto innovación (la palabra de moda que impulsa hoy en día todas las decisiones empresariales y las mejores prácticas, y que, por lo tanto, gusta a los líderes empresariales) como pruebas (que requieren mucho tiempo, son costosas y poco atractivas; es decir, todo aquello que a los directores de seguridad de la información les cuesta tanto vender a los directores generales y al consejo de administración).
[Lea también: Cómo los CISO pueden hablar de riesgo cibernético para que los CEO realmente escuchen]
«Los playbooks son combinaciones de los scripts y las integraciones que lleva utilizando desde hace tiempo, y cualquier playbook desarrollado por IA debe someterse a pruebas antes de activarlo en el entorno», afirma Rader.
Creación y optimización de estrategias. La IA puede analizar los datos históricos de incidentes, identificar al instante los patrones de lo que ha funcionado y lo que no, y orientar a los analistas de seguridad para que elaboren los manuales de actuación más eficaces, centrándose únicamente en los pasos necesarios para llevar a cabo la tarea. «De momento no es posible, pero en el futuro los manuales de estrategias serán elaborados por sistemas de inteligencia artificial, quizá incluso creados o, al menos, adaptados sobre la marcha», afirma Farnum.
Orquestación predictiva automatizada. Al utilizar el mismo volumen de datos para analizar la información sobre amenazas y el entorno informático, la inteligencia artificial puede investigar el incidente en tiempo real, desarrollar o seleccionar las mejores herramientas de respuesta e incluso reasignar recursos de forma inteligente en función de los cambios en el panorama de amenazas. «Algunas de estas empresas afirman que ya pueden realizar tareas básicas, hasta cierto punto, con la esperanza de que la tecnología madure con el tiempo.» ¿Qué grado de eficacia tendrá aquí? «Aún no hay una conclusión definitiva», afirmó Crawford.
Arrastrarse, caminar, correr… automatizar
Si bien estas capacidades relacionadas con la IA y el SOAR son factibles para las empresas, sin un trabajo previo en materia de gobernanza de datos y procesos de seguridad, las empresas corren el riesgo de enfrentarse hoy en día, al intentar implementar el SOAR, a los mismos retos a los que se enfrentaron al intentar implantar generaciones anteriores de herramientas SOAR: complejidad y baja calidad de los datos.
«No se puede omitir la etapa de madurez para pasar a las etapas de IA y automatización.»Jason Rader, director global de seguridad de la información (CISO) de Insight Technology Solutions
Antes de adoptar la automatización basada en la inteligencia artificial en el ámbito de la ciberseguridad, las organizaciones deben analizar detenidamente su nivel de madurez en materia de seguridad. La automatización de esos procesos no será óptima si los métodos SOAR actuales no son óptimos. La automatización corre el riesgo de agravar las debilidades existentes e incluso de crear nuevos puntos ciegos. Los programas de seguridad consolidados cuentan con flujos de trabajo claramente definidos, datos de alta calidad y equipos con experiencia capaces de formar y supervisar adecuadamente los sistemas de inteligencia artificial.
«Es necesario que su programa de seguridad alcance un cierto nivel de madurez antes de poder aprovechar al máximo la inteligencia artificial y la automatización, ya que no se puede automatizar algo que no se haya definido previamente en su organización», afirma Rader. «Y no se puede omitir la fase de madurez para pasar directamente a las fases de inteligencia artificial y automatización. «Una vez que haya optimizado su programa, podrá empezar a automatizar más procesos».
Cómo prepararse de la mejor manera posible para el futuro de la integración entre la IA y SOAR
A pesar de las tensiones mundiales, la incertidumbre económica y el aumento de las amenazas cibernéticas, sigue siendo un momento apasionante para el sector de la seguridad, ya que la inteligencia artificial y la automatización comienzan a despegar y a reducir la carga de trabajo de los analistas de diversas maneras. Sin embargo, los expertos no creen que vaya a haber centros de operaciones de seguridad (SOC) o operaciones de seguridad totalmente automatizados a corto plazo, ni siquiera a medio plazo. «Nadie quiere tener que hacer frente a un ataque de denegación de servicio generalizado y provocado por la propia empresa debido a que una IA haya tomado una mala decisión», afirma Crawford.
Con el fin de prepararse para los niveles futuros de integración entre la IA y SOAR que prevén los expertos, el Sr. Rader aconseja a las organizaciones que se pongan manos a la obra para perfeccionar sus procesos actuales y mejorar sus fuentes de datos y su gobernanza. Asimismo, recomienda invertir ya en una plataforma SOAR y lograr que el equipo de seguridad se familiarice con ella.
«A medida que surjan nuevas capacidades de inteligencia artificial y automatización, podrán incorporarlas, ya que comprenderán la plataforma y estarán preparados para integrar la inteligencia artificial», aconseja.
Asimismo, es fundamental que el equipo de seguridad se mantenga involucrado con la plataforma y con la orientación general de las operaciones de seguridad. «Durante algún tiempo, las personas seguirán trabajando con la inteligencia artificial, ya que aún no hemos llegado a RoboCop », afirma Rader.
