En ciberseguridad, la ventaja siempre ha estado en manos de los atacantes: solo tienen que acertar una vez, mientras que los defensores tienen que acertar siempre.
Pero este statu quo podría cambiar a medida que la IA y el uso eficaz de los datos se generalicen en el sector.
Para dar a la IA y a los datos la mejor oportunidad de inclinar la balanza de la ciberseguridad, son clave los datos de calidad, el talento adecuado y un enfoque flexible para utilizarlos.
En ciberseguridad, los atacantes han tenido históricamente la ventaja. La barrera de entrada para los ciberdelincuentes es baja, mientras que la defensa es cada vez más compleja. Un atacante solo necesita acertar una vez, mientras que los defensores deben acertar en todo momento.
Pero ahora, por primera vez, es posible inclinar la balanza a favor de los defensores. Ahora podemos dar a los defensores una ventaja en datos. Y la seguridad es un juego de datos.
Con los datos adecuados, las organizaciones pueden aplicar la inteligencia artificial para extraer conclusiones significativas. Cuantos más datos e inteligencia tengan, más significado podrán extraer de esa información.
Datos e IA en ciberseguridad: inclinar la balanza a favor de los defensores
Para los defensores, esta combinación de datos e IA tiene el potencial de cambiar por completo el juego. Puede ayudar a las empresas a empezar a operar a escala de máquina, no solo a escala humana. Los defensores pueden detectar más amenazas y contener los ataques más rápido para minimizar los daños. Pueden empezar a pasar de la detección y la remediación a la predicción y la prevención. Las organizaciones incluso pueden empezar a abordar la enorme escasez de recursos y competencias en ciberseguridad.
Estas son cuatro formas en que los datos y la IA pueden empezar a dar a los defensores una ventaja sobre los atacantes:
1. Asistir a los administradores de seguridad con interfaces de lenguaje natural
La gestión de las políticas de seguridad es conocida por requerir recursos altamente especializados. Con la IA, los administradores podrían pedirle al asistente que redacte nuevas políticas por ellos, identifique y resuelva conflictos entre miles de políticas existentes, encuentre políticas y reglas mal configuradas que los ciberataques podrían explotar e implemente acciones correctivas. Esto eliminaría errores y reduciría el riesgo, a la vez que ahorraría a los equipos de seguridad incontables horas y los haría más eficaces, incluso con recursos menos experimentados.
2. Correlacionar datos para detectar ataques con mayor precisión
Existe un enorme volumen de telemetría disponible en todo el entorno de TI: desde procesos en endpoints, conexiones web y de aplicaciones, tráfico de red, comportamiento de los usuarios y mucho más. Esto genera un gran número de señales, que pueden producir tantas alertas y falsos positivos que los equipos de seguridad sobrecargados no pueden revisarlos todos y, como resultado, sufren fatiga por alertas. Es lógico que ignoren las alertas de bajo nivel. Con los modelos de IA, pueden analizar y correlacionar todas las señales pequeñas que normalmente se ignoran y revelar una señal mayor de un patrón de ataque real que no debe ignorarse y que de otro modo podría pasar desapercibido. Esto significa que pasan menos ataques y que los equipos de seguridad pueden cubrir más terreno.
3. Predecir amenazas y automatizar la contención y la recuperación
Cuando los modelos de aprendizaje profundo empiezan a detectar pequeñas señales de una nueva vulnerabilidad que predicen que podría ser una amenaza potencial, la IA puede activar automáticamente una instantánea del entorno en ese mismo momento, incluso antes de que la amenaza sea verificada. Luego, si las pequeñas señales empiezan a acumularse y resulta ser ransomware, los defensores disponen de un punto de recuperación inmediato. No se pierde ningún dato. Esto cambia las reglas del juego, porque significa que, aunque los defensores no acierten siempre, pueden seguir recuperándose, conteniendo y minimizando los daños.
4. Encontrar tráfico malicioso oculto en el tráfico cifrado
En un mundo en el que la mayor parte del tráfico está cifrado, no es realista descifrar todo el tráfico para la inspección profunda de paquetes. La IA puede aprender de enormes volúmenes de datos para comprender los indicadores de comportamiento malicioso. Después, puede analizar el tráfico cifrado para inferir comportamientos anómalos en tiempo casi real y tomar automáticamente las medidas adecuadas.
Aprovechar los datos y la IA
Por prometedora que sea la combinación de datos e IA para inclinar la balanza, también existen consideraciones importantes.
La calidad de los datos es clave. A medida que los modelos de IA ingieren enormes cantidades de datos, crece la preocupación por la calidad de esa información. Los modelos corren el riesgo de aprender de contenidos que podrían considerarse "contenido basura", lo que supone un reto para las organizaciones que dependen de estos modelos para la toma de decisiones. Es fundamental seleccionar cuidadosamente el modelo y el enfoque de entrenamiento adecuados para minimizar los riesgos asociados a datos sesgados o poco fiables.
Es necesario el "desaprendizaje". En lo que respecta a los datos y los modelos de IA, la capacidad de descartar o recalibrar los datos y conocimientos adquiridos y potencialmente obsoletos es tan crucial como el proceso de aprendizaje inicial. Los modelos sobreentrenados pueden depender en exceso de datos históricos, hasta el punto de pasar por alto desarrollos más recientes. En otras palabras, aquí menos es más, y es imperativo encontrar un equilibrio entre aprender y desaprender para garantizar la precisión y la relevancia a lo largo del tiempo.
A medida que la tecnología avanza, también debemos fijarnos en las personas y las competencias necesarias para garantizar su éxito. Ampliar el grupo de talento es fundamental. Las organizaciones deben empezar a contratar activamente talento de un grupo más amplio de recursos, con perspectivas, antecedentes y experiencias más diversos, incluidas fuentes no tradicionales como diseñadores y graduados en artes liberales. La capacidad de resolver problemas, pensar de forma crítica e innovar será tan importante como la experiencia en ciberseguridad. Los equipos diversos también aportan perspectivas nuevas sobre las amenazas, lo que puede dar frutos en la eficacia del entrenamiento de la IA y ayudar a mejorar la postura de ciberseguridad de una organización. De hecho, el objetivo en ciberseguridad debe ser proteger a los 8.000 millones de personas del mundo, y el talento en ciberseguridad debe reflejar a las personas que protegemos.
Avanzar a través de la colaboración
Estamos en un momento increíblemente emocionante para el sector. Combinar los datos adecuados con el enfoque de IA correcto puede ser un multiplicador de fuerza para los profesionales de la seguridad, que empieza a transformar las defensas de la respuesta reactiva a la contención proactiva. Pero aún queda mucho trabajo por hacer.
El mundo está cada vez más interconectado. Los problemas económicos, políticos, sociales y ambientales no pueden abordarse de forma aislada. Mantener el mundo a salvo de los ciberataques requerirá asociaciones y colaboración público-privadas significativas. También requerirá nuevos niveles de intercambio de datos e interoperabilidad entre las partes interesadas del sector, a pesar de sus dinámicas competitivas. Superar estos retos no es tarea fácil, pero hacerlo inclinará la balanza de la ciberseguridad a favor de los defensores.
