En los círculos de ciberseguridad se conoce comúnmente como «fatiga por alertas» ("): la sobrecarga mental provocada por un aluvión de alertas de anomalías generadas por las herramientas de detección, y puede ser la razón por la que se pasan por alto amenazas graves, ya que los equipos de seguridad se dedican a investigar falsos positivos o, sencillamente, ignoran el «ruido».
Sin embargo, últimamente, los expertos en seguridad tienen la esperanza de que pronto haya una solución para aliviar la fatiga por alertas: GenAI. Gracias a su capacidad para aportar un contexto valioso, puede filtrar el ruido para identificar y priorizar las amenazas más urgentes, y a continuación ofrecer posibles estrategias de mitigación; además de (posiblemente) mucho más, si la tecnología evoluciona tal y como prevén algunos expertos.
La detección de anomalías (término utilizado en el ámbito cibernético para referirse a cualquier situación inusual o inesperada dentro de un sistema, como una aplicación o una red) es compleja y agotadora, explica Scott Crawford, director de investigación en seguridad de la información de 451 Research. La elevada tasa de alertas se debe a la complejidad de los sistemas modernos, a la dificultad para recabar todo el contexto relevante del entorno, a la naturaleza del ataque y a que las herramientas de seguridad estén configuradas para monitorizar con el fin de detectar adecuadamente las anomalías.
«Históricamente, los motores de detección de anomalías funcionan bien con conjuntos de datos muy específicos y con una línea de referencia bien definida», explica Wim Remes, director de operaciones de la empresa de servicios de seguridad Spotit. En opinión de Remes, una detección de anomalías útil debe dar respuesta a dos preguntas concretas: ¿Se está observando algo que resulte anómalo en el entorno? y ¿con qué es más probable que esté relacionada dicha anomalía?
La capacidad de responder a esa segunda pregunta es lo que distingue la detección de anomalías tradicional, de alcance limitado, de las versiones de última generación impulsadas por la inteligencia artificial.
Si el sistema de detección de anomalías solo es capaz de dar respuesta a la primera pregunta, su función principal es la de un motor de detección muy rudimentario con una elevada tasa de falsos positivos. «Si la detección de anomalías basada en la inteligencia artificial ha llegado para quedarse, considero que debería evolucionar hasta ser capaz de analizar conjuntos de datos más amplios con mayor precisión», afirma Remes.
El futuro de la detección de anomalías mediante la inteligencia artificial
La detección de anomalías puede indicar que algo no va bien, como un , un malware o atacantes activos.
«Si la detección de anomalías basada en la inteligencia artificial ha llegado para quedarse, creo que debería evolucionar para comprender conjuntos de datos más amplios con mayor precisión.»Wim Remes, director de operaciones de Spotit
Históricamente, los sistemas de detección de intrusiones y el software antimalware han utilizado firmas para detectar el malware y los exploits que se están ejecutando. Con el paso del tiempo, se han incorporado capacidades de aprendizaje automático (ML) y de análisis del comportamiento para detectar artefactos aún por identificar. Y ahora existe la posibilidad de que la IA general supere las capacidades anteriores de la IA y el aprendizaje automático. Gracias a su avanzada capacidad de reconocimiento de patrones y de generación de datos, la IA general (GenAI) tiene el potencial de crear modelos ambientales y de comportamiento cada vez más precisos, capaces de identificar desviaciones sutiles respecto al comportamiento normal, simular posibles escenarios de ataque y adaptarse en tiempo real a unas amenazas en constante evolución .
[Lea también: Guía definitiva sobre ciberseguridad basada en la IA: ventajas, riesgos y beneficios]
«El debate actual gira en torno a los avances en el uso de la IA generativa», afirma David Gruber, analista principal de ciberseguridad de la empresa de estudios de mercado Enterprise Strategy Group. «Los modelos tradicionales de aprendizaje automático basados en la inteligencia artificial que se han venido utilizando han realizado un excelente trabajo a la hora de reunir señales que indican posibles patrones de comportamiento sospechoso», afirma Gruber. «La IA generativa está contribuyendo a añadir esta nueva capa a los modelos de detección tradicionales para el aprendizaje automático y la IA, pero está ayudando al analista a automatizar y correlacionar muchas de las tareas que antes tenía que realizar de forma más o menos manual y para las que debía recurrir a su propia base de conocimientos», añade.
Sin embargo, la IA va más allá del aprendizaje automático tradicional en la detección de amenazas de tipo « ».
Cómo la IA aporta capacidad de razonamiento a la detección de anomalías
Cuando el sistema está correctamente configurado, el aprendizaje automático tradicional puede detectar de forma eficaz anomalías en los patrones de datos. Los sistemas de IA general prometen aportar «razonamiento» en relación con el contexto de los resultados y ofrecer sugerencias basadas en variables complejas.
«[La IA] está ayudando al analista a automatizar y correlacionar muchas de las tareas que antes tenía que realizar de forma más o menos manual y para las que debía recurrir a su propia base de conocimientos.»David Gruber, analista principal de ciberseguridad de Enterprise Strategy Group
Esto significa que, para los profesionales de la seguridad, la IA identifica en primer lugar una amenaza, a continuación evalúa cómo esa amenaza concreta podría afectar al entorno y, por último, ofrece una serie de posibles estrategias de mitigación.
Gruber explica que este tipo de aplicaciones de IA generativa están contribuyendo a cambiar la forma en que los profesionales de la seguridad conciben el uso de la IA en el contexto de las funciones de operaciones de seguridad. No se trata únicamente de detectar anomalías, sino de comprenderlas plenamente en su contexto, dentro del entorno en el que se producen. «¿Estamos detectando algo sospechoso en el contexto de la infraestructura, el perfil de riesgo establecido y el historial de amenazas que ha sufrido la organización, o en el contexto del clima empresarial actual?» pregunta Gruber. La IA general puede orientar a los analistas en la dirección correcta.
Los sistemas de IA generativa con múltiples agentes se muestran prometedores
Si bien los sistemas multiagente (que utilizan múltiples componentes para analizar el entorno en lugar de una única entidad centralizada) no son una novedad en el ámbito de la ciberseguridad, la IA general promete revolucionar la forma en que los agentes de seguridad dedicados a tareas dispares pueden colaborar entre sí. Numerosos agentes autónomos que actúen de forma coordinada podrán evaluar el contexto completo del entorno de una organización, las amenazas detectadas y las mejores formas de responder.
Gracias a que unos agentes supervisan el tráfico de red, otros supervisan los registros del sistema, el comportamiento de los usuarios, las configuraciones erróneas del sistema y las vulnerabilidades, y otros se encargan de detectar amenazas activas, el sistema GenAI podría desarrollar una comprensión matizada de una situación potencialmente arriesgada. Además, supondría un gran alivio para los equipos de inteligencia sobre amenazas, que en la actualidad se ven desbordados por la presión de evaluar y responder a cada amenaza aleatoria.
Esperamos que esto permita realizar una evaluación más exhaustiva de la situación y ayude a priorizar las alertas que requieren atención inmediata.
La comprensión contextual más amplia de GenAI
Los sistemas de IA general prometen comprender no solo el contexto del entorno tecnológico interno, sino también acontecimientos de mayor alcance, como las circunstancias geopolíticas, las amenazas específicas para las empresas y la naturaleza de los actores maliciosos que tienen como objetivo determinados sectores.
«. La IA generativa puede encargarse de gran parte del trabajo preliminar para… mostrar más información contextual en la pantalla.»Gruber
Gracias a su capacidad para representar las relaciones entre las condiciones externas e internas, en lugar de limitarse a enviar una alerta cuando se identifica una amenaza en un patrón, es posible realizar un análisis de las amenazas mucho más sofisticado.
«La IA general puede encargarse de gran parte del trabajo preliminar para recabar este contexto en nombre de los analistas, lo que les permite disponer de más información contextual en la pantalla y la correlaciona de tal manera que les resulta más fácil llegar a esos momentos reveladores sobre lo que está ocurriendo y el impacto potencial», afirma Gruber.
La colaboración entre personas e inteligencia artificial… y la precaución
Con el tiempo, según los expertos, los sistemas GenAI de podrían colaborar con analistas humanos de formas que se adapten a los puntos fuertes y las preferencias de cada miembro del equipo. Por ejemplo, a través de los comentarios de los analistas, las evaluaciones de competencias y el reconocimiento de los patrones de trabajo, la IA comprenderá los puntos fuertes, los puntos débiles y los posibles sesgos de miembros concretos del equipo y trabajará con ellos adaptándose a su nivel de competencia y concienciación. En lo que respecta a las amenazas, el sistema puede sugerir la asignación de determinados analistas en función de sus aptitudes.
Existe un gran entusiasmo en torno al potencial de esta tecnología, pero aún se encuentra en una fase inicial de su desarrollo, y no todo el mundo está convencido de que realmente pueda cumplir con las expectativas. «Lamentablemente, no he observado grandes resultados con los sistemas de información ambiental [de detección de anomalías] basados en la IA generativa. «Solo funcionan bien en entornos con un único proveedor», afirma Remes. Añade que son muy pocas las organizaciones —concretamente, las de mayor tamaño— que han optado por adoptar una estrategia de seguridad monolítica. «Yo tampoco creo que sea una estrategia muy acertada, así que no espero que muchos den ese paso», afirma Remes.
Aunque esa cautela tiene sus razones de ser, no se puede negar que la tecnología es prometedora y que, a partir de ahora, no hará más que mejorar. Teniendo en cuenta la cantidad de horas que un analista de seguridad típico dedica a investigar falsos positivos, cualquier sistema futuro que prometa reducir drásticamente esa carga de trabajo será, sin duda, bien acogido por la mayoría.
