Când atacurile evoluate depășesc vechile apărări: De ce este timpul pentru securitatea proactivă bazată pe IA

Dacă lucrați undeva în domeniul securității în acest moment, probabil vă simțiți ca și cum ați fi mereu în urmărire. Există o nouă încălcare a securității în știri, o nouă poveste despre ransomware, și o altă escrocherie inteligentă pe care apărătorii nu au prevăzut-o. În același timp, o mare parte a protecției se bazează încă pe idei dintr-un internet mai vechi, unde rețelele aveau granițe clare și atacatorii se deplasau mai lent.

Numerele vă spun că acesta nu este doar un sentiment. Ultimul Raport IBM privind costul unei încălcări a datelor estimează că media globală a unei încălcări a datelor este de 4,88 milioane de dolari în 2024, față de 4,45 milioane de dolari în anul precedent. Această creștere de 10% este cea mai mare creștere de la anii pandemiei, și vine chiar și pe măsură ce echipele de securitate investesc mai mult în instrumente și personal.

Raportul Verizon Data Breach Investigations pentru 2024 examinează peste 30.000 de incidente și peste 10.000 de încălcări confirmate ale datelor. Acesta subliniază modul în care atacatorii se bazează pe credențiale furate, exploatarea aplicațiilor web și acțiuni sociale, cum ar fi pretextarea, și notează că organizațiile necesită în medie aproximativ 55 de zile pentru a remedia doar jumătate din vulnerabilitățile critice după lansarea patch-urilor. Aceste 55 de zile sunt un interval foarte confortabil pentru un atacator care scanează în mod continuu.

În Europa, raportul ENISA Threat Landscape pentru 2023 arată, de asemenea, o combinație puternică de ransomware, atacuri de refuzare a serviciului, atacuri asupra lanțului de aprovizionare și inginerie socială. Un alt studiu ENISA, axat pe incidente ale lanțului de aprovizionare, a estimat că au existat probabil de patru ori mai multe astfel de atacuri în 2021 decât în 2020, și că această tendință a continuat să crească.

Așadar, imaginea este simplă, dar incomodă. Încălcările securității devin mai frecvente, mai scumpe și mai complexe, chiar și pe măsură ce instrumentele se îmbunătățesc. Există ceva structural în neregulă cu modul în care multe organizații se apără încă.

De ce modelul clasic de securitate rămâne în urmă

Pentru o perioadă lungă de timp, imaginea mentală a apărării cibernetice a fost simplă. Aveai un interior și un exterior clar. Construiai un perimetru puternic cu firewalls și filtre. Implementai antivirus pe puncte finale și căutai semnături cunoscute rele. Tunezi reguli, urmărești alerte și reacționezi atunci când ceva evident se declanșează.

Acest model are trei probleme mari în lumea actuală.

Mai întâi, perimetrul este în mare parte dispărut. Oamenii lucrează de peste tot, pe o combinație de dispozitive gestionate și negestionate. Datele sunt stocate în platforme de cloud public și instrumente de software ca serviciu. Partenerii și furnizorii se conectează direct la sistemele interne. Rapoarte precum studiul ENISA privind lanțul de aprovizionare arată cum încălcările adesea încep printr-un partener de încredere sau o actualizare a software-ului, mai degrabă decât printr-un atac frontal direct asupra unui server central.

În al doilea rând, focalizarea pe semnături cunoscute lasă o zonă orbă uriașă. Atacatorii moderni amestecă malware personalizat cu ceea ce apărătorii numesc “a trăi din resursele existente”. Ei se bazează pe instrumente de scripting încorporate, agenți de gestionare la distanță și acțiuni administrative de zi cu zi. Fiecare pas, privit individual, poate părea inofensiv. O abordare bazată doar pe semnături nu vede modelul mai mare, mai ales atunci când atacatorii schimbă detalii mici în fiecare campanie.

În al treilea rând, oamenii sunt supraîncărcați. Raportul Verizon arată că exploatarea vulnerabilităților este acum o modalitate majoră de a pătrunde în rețele și că multe organizații se luptă să aplice patch-uri suficient de repede. Cercetarea IBM adaugă că timpul lung de detectare și conținere este un motiv major pentru care costurile încălcărilor continuă să crească. Analistii stau sub o munte de alerte, jurnale și triaj manual, în timp ce atacatorii automatizează tot ce pot.

Așadar, aveți atacatori care sunt mai rapizi și mai automatizați, și apărători care se bazează încă puternic pe investigații manuale și modele vechi. În această breșă intră inteligența artificială.

Atacatorii tratează deja IA ca pe un partener

Când oamenii vorbesc despre IA în securitate, adesea imaginează instrumente defensive care ajută la prinderea actorilor răi. Realitatea este că atacatorii sunt la fel de entuziaști să folosească IA pentru a-și ușura munca.

Raportul Microsoft Digital Defense Report 2025 descrie modul în care grupurile sprijinite de state folosesc IA pentru a crea media sintetică, a automatiza părți ale campaniilor de intruziune și a scala operațiunile de influență. O sinteză separată a informațiilor de amenințare Microsoft raportează că, de la mijlocul anului 2024 la mijlocul anului 2025, incidentele care implică conținut fals generat de IA au crescut la peste 200, mai mult decât dublu față de anul precedent și de aproximativ 10 ori mai mult decât numărul înregistrat în 2023.

În practică, acest lucru arată ca mesaje de phishing care par scrise de un vorbitor nativ, în orice limbă doriți. Arată ca audio și video deepfake care ajută atacatorii să se pretindă a fi lideri seniori sau parteneri de încredere. Arată ca sistemele IA sortează prin volume uriașe de date furate pentru a găsi detalii valoroase despre mediul dvs., personalul dvs. și partenerii dvs.

Un articol recent Financial Times despre IA agentică în atacuri cibernetice descrie chiar și o operațiune de spionaj în mare parte autonomă, în care un agent de codare IA a gestionat majoritatea pașilor de la recunoaștere la extragerea datelor cu intrare umană limitată. Indiferent cum vă simțiți despre acel caz specific, direcția este clară. Atacatorii sunt foarte fericiți să lase IA să gestioneze părțile plictisitoare ale muncii.

Dacă atacatorii folosesc IA pentru a se deplasa mai repede, a se amesteca mai bine și a lovi mai multe ținte, atunci apărătorii nu pot să se bazeze doar pe instrumente perimetrale tradiționale și triaj manual de alerte. Trebuie să aducă o inteligență similară în apărare, sau breșa continuă să se lărgească.

De la apărare reactivă la gândire securității proactive

Prima schimbare reală nu este tehnică; este mentală.

O postură reactivă se bazează pe ideea că puteți aștepta semne clare de probleme, apoi răspundeți. Un binar nou este detectat. O alertă se declanșează pentru că traficul corespunde unui model cunoscut. Un cont arată un semn evident de compromis. Echipa sare în acțiune, investighează, curăță și poate actualizează o regulă pentru a preveni acel model specific să funcționeze din nou.

Într-o lume cu atacuri lente și rare, acest lucru ar putea fi în regulă. Într-o lume cu sonde constante, exploatare rapidă și campanii susținute de IA, este prea târziu. Până când o regulă simplă se declanșează, atacatorii au explorat adesea rețeaua, au atins date sensibile și au pregătit căi de retragere.

O postură proactivă pornește de la un punct diferit. Asumă că sunteți întotdeauna atins de trafic ostil. Asumă că unele controale vor eșua. Îi pasă de cât de repede puteți observa comportament neobișnuit, de cât de repede puteți conține și de cât de consecvent puteți învăța din el. În acea ramură, întrebările cheie devin foarte practice.

• Aveți vizibilitate continuă în sistemele, identitățile și depozitele de date cheie?

• Puteți observa deviații mici de la comportamentul normal, nu doar semnături cunoscute rele?

• Puteți lega acea perspicacitate de acțiune rapidă și repetabilă fără a arde echipa dvs.?

IA nu este soluția în sine, dar este un multiplicator puternic de forță. Preia supravegherea constantă, observarea modelelor și o parte a triajului inițial, astfel încât apărătorii umani să poată petrece mai mult timp cu investigații profunde și cu întrebări grele de design, cum ar fi strategia de identitate și segmentare.

Ce arată o postură de securitate cibernetică condusă de IA

IA vă ajută să treceți de la o imagine simplă da/nu a amenințărilor spre o imagine mai bogată, bazată pe comportament. Pe partea de detectare, modelele pot urmări activitatea de identitate, telemetria punctelor finale și fluxurile de rețea și pot învăța ce arată normal pentru mediul dvs. În loc să blocheze doar un fișier malicios cunoscut, ele pot ridica un steag atunci când un cont se conectează dintr-o locație neobișnuită, la un moment neobișnuit, și apoi începe să mute volume mari de date. Fiecare eveniment în parte poate fi ușor de neglijat. Modelul combinat este interesant.

Pe partea de expunere, instrumentele susținute de IA pot cartografia suprafața dvs. reală de atac. Ei pot scana conturile de cloud public, serviciile cu acces la internet și rețelele interne pentru a găsi sisteme de test uitate, stocare defectă și panouri de administrare expuse. Ei pot grupa aceste descoperiri în povești de risc practice, mai degrabă decât liste brute. Acest lucru este deosebit de important pe măsură ce IA umbrită crește în interiorul organizațiilor, cu echipe care lansează propriile modele și instrumente fără supraveghere centralizată, o tendință pe care IBM o subliniază în lucrarea sa mai recentă privind Costul unei încălcări a datelor ca o zonă de risc gravă. 

Pe partea de răspuns, IA poate ajuta la acțiune mai rapidă și mai consecventă. Unele centre de operațiuni de securitate folosesc deja sisteme susținute de IA pentru a recomanda pași de conținere în timp real și pentru a rezuma cronologii lungi de investigație pentru analiștii umani. Agenția pentru Securitate Cibernetică și Infrastructură a Statelor Unite descrie astfel de utilizări în resursele sale de inteligență artificială, arătând cum IA poate ajuta la detectarea activității neobișnuite de rețea și la analiza fluxurilor mari de date cu amenințări în sistemele federale.

Nimic din toate acestea nu elimină nevoia de judecată umană. În schimb, IA devine un multiplicator de forță. Preia supravegherea constantă, observarea modelelor și o parte a triajului inițial, astfel încât apărătorii umani să poată petrece mai mult timp cu investigații profunde și cu întrebări grele de design, cum ar fi strategia de identitate și segmentare.

Cum să începeți să vă deplasați în această direcție

Dacă sunteți responsabil pentru securitate, totul acesta poate părea mare și abstract. Vestea bună este că trecerea de la reactiv la proactiv începe de obicei cu câțiva pași concreți, mai degrabă decât cu o transformare uriașă.

Primul pas este să vă puneți fluxurile de date în ordine. IA este la fel de utilă pe cât de multe semnale poate vedea. Dacă furnizorul dvs. de identitate, instrumentele de puncte finale, controalele de rețea și platformele de cloud trimit toate jurnalele în silozuri separate, fiecare model va avea puncte oarbe și atacatorii vor avea locuri de ascunzire. Investiția într-o vedere centralizată a telemetriei dvs. cele mai importante este rareori glamuroasă, dar este fundația care face posibilă o susținere semnificativă de IA.

Al doilea pas este să alegeți cazuri de utilizare specifice, mai degrabă decât să încercați să presărați IA peste tot. Multe echipe încep cu analiza comportamentului pentru conturile de utilizator, detectarea anomaliilor în medii de cloud sau detectarea mai inteligentă a e-mailului și a phishing-ului. Scopul este să alegeți zone în care știți deja că aveți risc și în care recunoașterea modelelor pe seturi mari de date poate ajuta clar.

Al treilea pas este să asociați fiecare instrument nou susținut de IA cu un set explicit de limite de siguranță. Acesta include definirea a ceea ce modelul este autorizat să facă singur, ce trebuie să implice întotdeauna un om și cum veți măsura dacă sistemul este onest și util în timp. Aici, gândirea din cadrul NIST IA și ghidurile de la agenții precum CISA pot să vă salveze de la a reinventa totul singuri.

De ce securitatea proactivă cu IA nu poate aștepta

Atacurile cibernetice se transformă într-o condiție de fond constantă, mai degrabă decât într-o urgență rară, și atacatorii sunt foarte fericiți să lase inteligența artificială să facă o parte semnificativă a muncii grele pentru ei. Costul este în creștere, punctele de intrare se multiplică, și instrumentarul de pe partea atacatorilor devine mai inteligent în fiecare an. Un model reactiv care așteaptă alerte clare și apoi se grăbește este pur și simplu nepotrivit pentru acea lume.

O postură proactivă condusă de IA este mai puțin despre urmărirea unei tendințe strălucitoare și mai mult despre munca liniștită, neromantizată a punerii datelor în ordine, adăugării de perspicacitate bazată pe comportament și stabilirii unor limite de siguranță clare în jurul noilor sisteme IA, astfel încât acestea să ajute apărătorii, mai degrabă decât să-i surprindă. Breșa dintre atacatori și apărători este reală, dar nu este fixă, și alegerile pe care le faceți acum despre modul în care utilizați IA în stiva dvs. de securitate vor decide care parte se va deplasa mai repede în următorii ani și punând limite clare de siguranță în jurul noilor sisteme IA, astfel încât acestea să ajute apărătorii, mai degrabă decât să-i surprindă.