Los fanáticos de RoboCop, la acción de ciencia ficción sobre un robot de aplicación de la ley diseñado para ser la combinación perfecta de juicio humano y automatización de máquinas, podrían no darse cuenta de que hay una buena razón para volver a verla: El clásico del culto contiene una orientación sorprendente sobre ciberseguridad hoy.
En serio, si no lo ha visto en un tiempo, o nunca, vale la pena transmitir RoboCop , porque los problemas con los que trata son notablemente similares a lo que enfrentan los líderes comerciales y de seguridad a medida que consideran cómo aprovechar mejor la IA para mejorar la ciberseguridad en general, particularmente en el ámbito de la orquestación, automatización y respuesta de seguridad (SOAR), donde los avances de IA parecen ser capaces de realizar mejoras rápidas.
Historia retroactiva rápida: Hace cuarenta años, Orion Pictures compró el script a RoboCop, pero tardó dos años en encontrar un director y hacer la película. Paul Verhoeven lo rechazó dos veces antes de iniciar sesión para dirigir lo que ahora se considera su obra maestra cinematográfica. La mezcla de sátira de cultura corporativa, humor oscuro y violencia obsoleta sigue las vulnerabilidades de Murphy, un detective policial casi asesinado por ladrones, luego resucitado por científicos que lo transforman en este híbrido de medio hombre y media máquina, con una funda de arma encerrada dentro de un muslo de titanio. Oye, ¿qué podría salir mal, verdad?
Las consecuencias no deseadas de su programación (y un poco de humanidad perseguida que persiste dentro de todo ese metal) hacen que las cosas salgan mal, dejando a los propietarios superiores científicos y corporativos del ciborg rascándose la cabeza.
Y aquí es donde se encuentran los profesionales de ciberseguridad actuales.
Con los ciberataques que afectan a las organizaciones a tasas sin precedentes, muchas grandes empresas han invertido en sus capacidades SOAR para integrarse con los conjuntos de herramientas de seguridad existentes y automatizar las tareas de seguridad de rutina. Ya sea que se trate de iniciar automáticamente investigaciones de alertas de seguridad y respuesta a amenazas, aislar máquinas infectadas u orquestar flujos de trabajo de seguridad complejos, también conocidos como manuales de estrategias, el objetivo ha sido el mismo: reducir la cantidad de tiempo que lleva detectar y responder a incidentes de seguridad.
Las empresas también invierten en estas plataformas SOAR con la esperanza de abordar la fatiga de las alertas y el personal sobrecargado. Scott Crawford, director de investigación del canal de seguridad de la información de S&P Global Market Intelligence, dice que aproximadamente la mitad de las empresas de usuarios finales que ha consultado están tan abrumadas por las alertas de seguridad que no pueden responder a todas ellas en un tiempo razonable. Según la firma de investigación de mercado B2B MarketsandMarkets, esa es una razón por la que el mercado mundial de herramientas SOAR alcanzó alrededor de 1.1 000 millones de USD en 2022 y alcanzará casi 2.3 000 millones de USD en 2027.
Muchas empresas han encontrado decepcionante la implementación de sus plataformas y procesos SOAR. Los motivos son muchos, y es probable que presencien los desafíos que las empresas enfrentarán al integrar la IA en sus sistemas SOAR.
Por qué los manuales de estrategias evolucionan (o no) con SOAR
La integración de SOAR Systems en las herramientas y procesos de seguridad existentes es compleja y requiere personalización experta, y muchas organizaciones tienen dificultades con el mapeo, la calidad y la consistencia de los datos en fuentes de datos dispares, lo que afecta la eficacia de SOAR.
“Hay muchos casos de uso que se le ocurren cuando se aplica la tecnología LLM a la seguridad; el más obvio es la inteligencia y el análisis de amenazas”.Scott Crawford, director de investigación del canal de seguridad de la información, inteligencia de mercado global de S&P
El resultado es que muchos de los “libros de estrategias” y sus “flujos” y “subflujos” de componentes, mapas de ruta/flujos de trabajo automatizados o semiautomáticos predefinidos que guían a los socorristas a través de la respuesta correcta a tipos específicos de incidentes, ya sea ransomware o indicadores de compromiso encontrados en sistemas internos, no evolucionan más allá de tareas de seguridad relativamente simples, como tomar instantáneas forenses o desconectar sistemas.
“Si bien son útiles, estos sistemas no han cumplido completamente con su promesa”, dice Michael Farnum, director de seguridad de la información asesor de la firma de servicios tecnológicos Trace3. “La automatización proporcionada sigue siendo para las tareas más simples, y el resultado es que no han traído el aumento de productividad que muchos esperaban”.
Sin embargo, otros siguen siendo optimistas de que la IA será un valor agregado, especialmente para tareas de seguridad más complejas.
[Leer también: La mejor guía de ciberseguridad de IA: beneficios, riesgos y recompensas]
Jason Rader, CISO global de Insight Technology Solutions, fue uno de los primeros en adoptar capacidades de IA generativas integradas en las herramientas que utilizaba su equipo de operaciones de seguridad. “Estamos entusiasmados de tener capacidades de IA en varios productos diferentes”, dijo Rader.
Aunque ha ayudado a agilizar algunas tareas, otras áreas de IA, especialmente la incorporación de IA generativa , han demostrado ayudar al equipo de operaciones de seguridad con tareas que consumen mucho tiempo, pero son esenciales, como escribir scripts de Python o consultas SQL y redacción de informes. Por otro lado, algunas de las capacidades de IA generativas integradas en la orquestación y las plataformas relacionadas que ha visto han sido “menos que óptimas”, agregó Rader, con respecto al análisis y los manuales de estrategias más complejos con procesos que requieren múltiples pasos. “Aún no esperábamos que esta [IA] fuera perfecta para el propósito”, agregó Rader.
[Leer también: ¿Correr para implementar GenAI? La seguridad comienza con una buena gobernanza]
Los equipos de seguridad tienen una nueva esperanza de que los modelos de lenguaje grande (LLM) puedan ayudar a mejorar las tecnologías SOAR y ayudar a los equipos de seguridad a responder a las amenazas de manera más rápida e inteligente. El desafío es obtener la combinación correcta de madurez del programa , juicio humano y toma de decisiones y automatización de IA .
Transformación de las operaciones de SOAR: Los LLM avanzados alimentan la promesa de la IA
Los avances en los LLM prometen transformar las operaciones SOAR empresariales al proporcionar una clasificación automatizada de incidentes, detección de amenazas, respuesta a incidentes, análisis de datos de seguridad, interfaces de lenguaje natural, manuales de estrategias adaptativos y capacidades predictivas. La esperanza es que, con el tiempo, las capacidades de IA creadas dentro de estas herramientas (o las empresas de LLM personalizadas que crean internamente) puedan ayudar a los equipos de seguridad a analizar mejor toda la inteligencia sobre amenazas, las alertas de seguridad y los datos de eventos generados a partir de redes y aplicaciones, identificar las amenazas más significativas para su industria y organización rápidamente, y responder automáticamente cuando sea posible.
“Todavía no es posible, pero en el futuro, los sistemas de IA crearán manuales, quizás incluso creados o al menos ajustados sobre la marcha”.Michael Farnum, CISO asesor, Trace3
Los expertos en seguridad ven cuatro maneras en que los LLM ya están comenzando a transformar las plataformas SOAR:
Análisis de datos de seguridad. Estos sistemas pueden detectar posibles amenazas analizando la inteligencia de amenazas y los datos de eventos de los sistemas empresariales. “Hay muchos casos de uso que se le ocurren cuando se aplica la tecnología LLM a la seguridad, el más obvio es la inteligencia y el análisis de amenazas”, dice Crawford.
Priorice automáticamente las alertas de seguridad. Ese análisis de datos también se puede utilizar para priorizar la respuesta a incidentes en función de la criticidad comercial de los datos y sistemas en riesgo y la configuración y el estado de los sistemas de seguridad que defienden esos activos. Estos sistemas pueden presentar a los analistas manuales de estrategias de respuesta adecuados. “Actualmente, la IA está ayudando con la rutina más rutinaria de los manuales de estrategias, pero es probable que los manuales de estrategias se vuelvan más sofisticados con el tiempo y manejen tareas más complicadas”, dice Farnum.
Eso requerirá innovación (la palabra de moda que impulsa todas las decisiones comerciales y las mejores prácticas actuales y, por lo tanto, lo que a los líderes empresariales les gusta) y pruebas (tardanza, costoso, poco sexual, es decir, todo lo que los directores ejecutivos de seguridad de la información tienen dificultades para vender a los directores ejecutivos y a la junta directiva).
[Lea también: Cómo los CISO pueden hablar de riesgo cibernético para que los CEO realmente escuchen]
“Los manuales de estrategias son combinaciones de los scripts e integraciones que ha estado utilizando durante algún tiempo, y cualquier manual desarrollado por IA debe probarse antes de activar ese manual de estrategias en el entorno”, dice Rader.
Creación y optimización de manuales de estrategias. La IA puede ver datos históricos de incidentes, identificar instantáneamente patrones de lo que funcionó y lo que no, y guiar a los analistas de seguridad para crear los manuales de estrategias más efectivos al enfocarse solo en los pasos necesarios para hacer el trabajo. “Todavía no es posible, pero en el futuro, los sistemas de IA crearán manuales, quizás incluso creados o al menos ajustados sobre la marcha”, dice Farnum.
Orquestación predictiva automatizada. Mediante el uso de la misma amplitud de datos para analizar la inteligencia de amenazas y la información del entorno de TI, la IA puede investigar el incidente en tiempo real, desarrollar o seleccionar las mejores herramientas de respuesta e incluso reasignar recursos de manera inteligente en función de los cambios en el panorama de amenazas. “Algunas de estas empresas dicen que ahora pueden realizar tareas básicas, en cierta medida, con las esperanzas de que la tecnología se desarrolle con el tiempo. ¿Qué tan eficaz será aquí? El jurado aún está fuera”, dijo Crawford.
Rastrear, caminar, correr... automatizar
Aunque estas capacidades con IA y SOAR son posibles para las empresas, sin algún trabajo inicial en la gobernanza de datos y los procesos de seguridad, las empresas se arriesgan a enfrentar los mismos desafíos hoy en día al intentar implementar SOAR que enfrentaron al intentar implementar generaciones anteriores de herramientas SOAR: complejidad y baja calidad de datos.
“No puede omitir el paso de madurez para llegar a los pasos de IA y automatización”.Jason Rader, director de seguridad de la información global, Soluciones tecnológicas de Insight
Antes de adoptar la automatización impulsada por IA en la ciberseguridad, las organizaciones deben analizar detenidamente su madurez de seguridad. La automatización de esos procesos no será óptima si los métodos SOAR actuales no son óptimos. La automatización corre el riesgo de amplificar las debilidades existentes, incluso de crear nuevos puntos ciegos. Los programas de seguridad maduros tienen flujos de trabajo claramente definidos, datos de alta calidad y equipos experimentados que pueden capacitar y supervisar correctamente los sistemas de IA.
“Debe tener un determinado nivel de madurez dentro de su programa de seguridad antes de aprovechar al máximo la IA y la automatización, porque no puede automatizar algo que no se haya definido dentro de su organización”, dice Rader. “Y no puede omitir el paso de madurez para llegar a los pasos de IA y automatización. Después de optimizar su programa, puede comenzar a automatizar más”.
Cómo prepararse mejor para el futuro de la integración de IA y SOAR
A pesar de las tensiones globales, la incertidumbre económica y el aumento de las ciberamenazas, sigue siendo un momento emocionante para la seguridad, a medida que la IA y la automatización comienzan a eliminar y reducir la carga de trabajo de los analistas de diferentes maneras. Sin embargo, los expertos no creen que habrá SOC u operaciones de seguridad completamente automatizadas a corto plazo o incluso a mediano plazo. “Nadie desea supervisar un ataque de denegación de servicio generalizado y autoinfligido porque una IA tomó una mala decisión”, dice Crawford.
Para prepararse para los eventuales niveles de integración de IA y SOAR que prevén los expertos, Rader aconseja a las organizaciones que trabajen para madurar sus procesos existentes y mejorar sus fuentes de datos y gobernanza. También recomienda invertir en una plataforma SOAR ahora y hacer que el equipo de seguridad se sienta cómodo con ella.
“A medida que surjan nuevas capacidades de IA y automatización, podrán agregar esas capacidades porque comprenderán la plataforma y estarán listos para integrar la IA”, aconseja.
También es esencial mantener al equipo de seguridad involucrado con la plataforma y la dirección general de las operaciones de seguridad. “Será gente que trabaje con IA durante algún tiempo porque aún no hemos llegado a RoboCop ”, dice Rader.
