Tecnologia: rete di sensori e IA
Come NetProtector raccoglie dati da una rete di sensori globale e, grazie a più livelli di IA, rileva, classifica e respinge gli attacchi.
La rete di sensori
NetProtector raccoglie dati là dove gli attacchi diventano visibili: presso i clienti stessi, nei grandi nodi di interscambio di Internet, in esche appositamente predisposte e presso i partner.
Tra i dati analizzati figurano:
- Deep Packet Inspection sui livelli da 2 a 7 del modello OSI,
- flussi di dati NetFlow/IPFIX per l'analisi del traffico,
- richieste e risposte DNS (DNS passivo),
- metadati degli handshake TLS e SSH, senza decrittografia,
- dati Syslog ed event log.
Nel complesso ne risultano milioni di eventi al secondo. Nessun essere umano è in grado di esaminare una tale mole di dati: è proprio qui che entra in gioco l'IA.
Analisi IA su quattro livelli
L'analisi si articola in più fasi, ciascuna delle quali combina diverse tecniche di machine learning. In questo modo, dalla massa di eventi si ottengono pochi allarmi prioritizzati e regole di protezione concrete.
Livello 1 – Rilevamento delle anomalie
Gli autoencoder apprendono senza regole predefinite (in modo non supervisionato) l'aspetto del traffico normale. I pattern normali possono essere compressi e ricostruiti in modo efficiente, mentre le anomalie emergono chiaramente. Le reti LSTM (Long Short-Term Memory) analizzano sequenze temporali e riconoscono pattern sospetti nell'arco di ore o giorni, come ad esempio la fase di ricognizione graduale di un attacco APT (Advanced Persistent Threat).
Livello 2 – Classificazione
Metodi ensemble come Random Forest e Gradient Boosting associano le anomalie rilevate a tipologie di attacco: DDoS, comunicazione di malware con server di Command-and-Control, lateral movement o esfiltrazione di dati. I modelli Transformer analizzano log e messaggi di errore nel loro contesto, in modo simile a come i modelli linguistici comprendono i testi, ma in questo caso specializzati negli eventi di sicurezza.
Livello 3 – Fusione della threat intelligence
Una Graph Neural Network modella le relazioni tra indirizzi IP, domini, campioni di malware e attaccanti sotto forma di grafo della conoscenza. In questo modo l'IA individua collegamenti che restano invisibili alle persone o ai database tradizionali, ad esempio il fatto che più attacchi apparentemente indipendenti provengano dallo stesso gruppo.
Livello 4 – Correlazione e decisione
La Correlation Engine riunisce i segnali di tutti i sensori e valuta ogni evento in base a probabilità, danno potenziale e urgenza. Ne derivano allarmi prioritizzati e regole di protezione che vengono distribuite a tutte le appliance.
Apprendere senza divulgare i dati
Con il Federated Learning, l'IA apprende anche dalle reti dei clienti, senza che i contenuti sensibili lascino la rispettiva rete. Vengono condivisi soltanto i miglioramenti appresi dal modello. In questo modo l'esperienza maturata sul campo contribuisce alla protezione di tutti.
L'essere umano resta parte del ciclo di apprendimento
Laddove vengono valutati numerosi segnali, si verificano anche falsi allarmi. Per questo motivo gli analisti della sicurezza confermano o correggono le valutazioni dell'IA (Supervised Learning); nei casi incerti è il sistema stesso a richiedere un riscontro mirato (Active Learning). Prima del rollout, i nuovi modelli vengono sottoposti a test controllati. L'obiettivo è un tasso di errore in costante diminuzione e previsioni sempre più precise.
Per scoprire come NetProtector si integra nella Sua rete e nei Suoi strumenti, consulti la pagina Integrazione e gestione.