Quando l’account è legittimo e il comportamento è normale, l’IA deve rilevare l’intento
Gli attacchi più pericolosi oggi non provengono da estranei. Provengono da account legittimi, in thread di discussione familiari, con richieste che corrispondono a ciò che questi account chiedono abitualmente. Un account realmente compromesso si autentica normalmente, invia messaggi dalla sua infrastruttura abituale e si comporta esattamente come sempre, perché si tratta dello stesso account. L’IA colma il resto della lacuna, consentendo a un criminale informatico di imitare sufficientemente bene lo stile di scrittura di una persona reale e le sue relazioni con i suoi fornitori, così che nemmeno il contenuto appaia più insolito. Ciò che resta, l’unica cosa non copiata dalla storia, è l’obiettivo dietro il messaggio.
I criminali informatici ora utilizzano l’IA per prendere di mira, elaborare e scalare gli attacchi in modo da rendere del tutto inefficace il confronto tra modelli. Una sola campagna potrebbe raggiungere 50 vittime con 50 email diverse, ognuna formulata in modo differente, personalizzata per il destinatario, adattata man mano che il criminale informatico vi interagisce e conquista la sua fiducia. Non esistono due messaggi uguali. Ma il loro significato sottostante è identico: stessa richiesta, stesso intento, ripetuti 50 volte in 50 forme diverse.
Ecco perché il rilevamento deve operare su due livelli contemporaneamente. Innanzitutto, deve comprendere il significato di un messaggio indipendentemente dalla sua formulazione, in modo che cinquanta email con formulazioni diverse che perseguono lo stesso obiettivo siano identificate come la stessa minaccia. In secondo luogo, deve comprendere il contesto in cui viene ricevuto un messaggio, analizzando le relazioni, la cronologia e il grafico delle conoscenze intorno a mittente e destinatario, poiché la stessa richiesta può risultare ordinaria o dannosa a seconda di chi la formula e del motivo.
La sicurezza comportamentale da sola rileva ciò che sembra diverso da una base di riferimento. Non riesce a rilevare una catena in cui ogni fase sembra normale e solo l’obiettivo sottostante è dannoso. Questa nuova era richiede di saper discernere l’intento: non si tratta di rilevare elementi insoliti, ma di comprendere quale azione cerca di compiere.
Oggi annunciamo la nuova generazione di Proofpoint Nexus, concepita per rispondere direttamente a questa domanda: il modello di rilevamento Nexus basato sull’intento e la protezione degli utenti con privilegi. Il primo estende il ragionamento basato sull’intenzione a ogni messaggio, in ogni punto di controllo. Il secondo lo applica alle persone che affrontano gli attacchi più personalizzati.
Presentazione della protezione Nexus basata sull’intento
La protezione Nexus basata sull’intento va oltre l’analisi del comportamento e si concentra sull’intento: l’obiettivo che un messaggio intende raggiungere, la plausibilità di tale obiettivo data dal contesto e la tecnica impiegata per perseguirlo. Questa combinazione permette di intercettare la richiesta fraudolenta che non corrisponde alla relazione, il criminale informatico la cui tecnica lo tradisce e l’utente interno il cui accesso è valido ma il cui obiettivo non lo è.
La soluzione opera in linea, prima e dopo la consegna, in ogni punto di controllo. In questo modo, Proofpoint diventa il primo fornitore a offrire un’analisi integrata dell’intento e del comportamento sia a livello di gateway sia di API, con una soluzione che unisce entrambe e che condividere le informazioni e adatta contestualmente i suoi rilevamenti in modo coordinato. Permette anche di rilevare i messaggi apparentemente ordinari che altrimenti nasconderebbero il loro vero obiettivo.
Un’analisi dell’intento a più livelli, concepita per la velocità richiesta da ogni decisione
I modelli comportamentali pongono una domanda: è diverso dal normale? Questo approccio fallisce contro gli attacchi che riproducono esattamente le abitudini di un mittente e genera falsi positivi per tutto ciò che è nuovo e semplicemente non dispone ancora di una base di riferimento. Il motore di IA adattiva Nexus valuta l’intento in base a tre livelli di profondità crescente, ciascuno progettato per aumentare la parte di decisioni che possono essere prese in modo autonomo, senza aspettare l’intervento di una persona:
- Il livello Flash (meno di 500 millisecondi) esegue una verifica rapida di plausibilità del contesto aziendale, confronta l’infrastruttura e le firme tecniche note del criminale informatico e verifica il profilo di rischio dell’utente. I casi con un livello a fiducia elevata vengono trattati istantaneamente, in linea.
- Il livello di Extended Thinking (fino a pochi minuti, all’interno di una zona di isolamento) individua circa l’1% dei messaggi che non possono essere valutati in tempo reale in modo affidabile, ma che sono sufficientemente sospetti da giustificare un’analisi approfondita, al di fuori della casella email. Estrae la cronologia delle relazioni e delle comunicazioni per valutare la plausibilità aziendale, correla le informazioni con una threat intelligence più ampia per identificare i modelli delle campagne, e considera il contesto comportamentale per valutare un rischio interno che un’analisi rapida non riuscirebbe a determinare in modo sufficientemente affidabile.
- Il livello Deep Thinking (attivato dalla posta segnalata o persa, dopo la consegna) ricostruisce l’integrità dell’interazione, inclusa la cronologia delle comunicazioni, la portata dell’attacco e gli account correlati, per determinare con certezza quale fosse l’intento alla base del messaggio.
I livelli apprendono l’uno dall’altro. Tutti gli elementi identificati da un livello di analisi più approfondito sollevano una domanda: avrebbe potuto essere rilevato prima? Se la risposta è sì, i livelli più veloci vengono adattatati di conseguenza. Il funzionamento congiunto di gateway e API rende l’apprendimento bidirezionale. Il gateway valuta l’intento prima della consegna, mentre l’API monitora la casella email e il traffico est-ovest per rilevare ciò che potrebbe essere sfuggito ai controlli e aver iniziato a spostarsi lateralmente. Gli elementi rilevati a questo stadio vengono analizzati nell’ambito dell’indagine e poi reimmessi nel processo per migliorare ciò che viene eseguito prima della consegna, un ciclo che nessun fornitore che utilizza solo API o solo un gateway è in grado di chiudere da solo.
Analisi a più livelli
Quando i modelli di intenti rilevano una minaccia, l’analisi non si ferma a quel messaggio. Il risultato viene automaticamente arricchito in base a cinque livelli di analisi per rispondere a una domanda che un rilevamento isolato non può risolvere: a chi altro si applica?
- Individuo. L’analisi tiene conto delle relazioni e della storia dell’individuo in questione, con il livello di precisione necessario per individuare un attacco estremamente mirato o personalizzato.
- Azienda. L’analisi viene contestualizzata in base alle abitudini dell’azienda in questione: chi interagisce con chi e su quali argomenti.
- Settore. L’analisi viene confrontata con quella di aziende dello stesso settore, in cui normative, flussi di lavoro e fornitori condivisi rendono alcune tecniche molto più riconoscibili all’interno di un gruppo di pari che su scala mondiale. Una campagna contro banche regionali può non presentare alcun segnale particolare se confrontata con il traffico mondiale ma risaltare in modo molto evidente se confrontata con quello di altre banche regionali.
Altri fornitori possono arricchire le loro analisi partendo un modello globale. Senza una community multi-tenant, non dispongono di alcun livello di analisi settoriale, organizzativa, collettiva o individuale su cui basarsi per arricchire i loro rilevamenti, né di alcun modo di offrire agli utenti ad alto rischio la protezione individuale richiesta dalla loro esposizione.
Un grafico della conoscenza fondato sulla più ampia gamma di segnali del settore
Stiamo facendo evolvere il nostro grafico comportamentale verso il Proofpoint Knowledge Graph, estendendo la profilazione dal livello di dominio ai gruppi e ai singoli utenti e aggiungendo una modellazione degli argomenti e del tono che trasmette direttamente queste nuove informazioni al gateway. Andrà oltre la sicurezza della collaborazione per coprire l’insieme della piattaforma, integrando i segnali legati ai rischi utente, alla sicurezza dei dati e alla sicurezza dell’IA, per rispondere a domande a cui nessun prodotto per la sicurezza delle email può rispondere da solo: questa persona rappresenta realmente un rischio interno e a quali dati può accedere? Un messaggio in apparenza ordinario porta a una decisione molto diversa quando il sistema rileva che il destinatario è ad alto rischio e si trova in prossimità di risorse strategiche, poiché proprio questi utenti sono all’origine di una quota sproporzionata dei danni reali.
Una comunità che rileva prima le minacce e le blocca ovunque
È ciò che chiamiamo circuito di protezione comunitaria: la rete di Proofpoint copre 3,4 milioni di clienti e elabora 2,37 bilioni di messaggi all’anno attraverso più di 13.000 sensori di rilevamento delle intrusioni in 105 paesi. Poiché la maggior parte delle grandi aziende del mondo scambia email con i nostri clienti, possiamo rilevare violazioni all’interno di aziende che non sono clienti, compresi i tuoi fornitori. Nessun concorrente può replicare questo livello di visibilità. Ogni rilevamento, indagine e segnalazione degli utenti viene valutato per stabilire se protegge tutta la comunità. La risposta raggiunge quindi l’intera rete in pochi minuti, non giorni, per ottimizzare il rilevamento senza che il cliente debba configurare, ottimizzare o mantenere nulla.
Il motore di IA adattiva Nexus è incluso nei diritti della sicurezza dell’email esistenti dei clienti Proofpoint. L’implementazione inizierà nel primo trimestre del 2027, con limitate eccezioni per i clienti con requisiti specifici in termini di residenza dei dati.
Presentazione della protezione degli utenti con privilegi
I bersagli di alto valore devono affrontare un tipo di attacco diverso: sufficientemente personalizzato da eludere il rilevamento e concepito per non ripetersi mai, in modo che nessun modello che opera a livello di popolazione dispone di una schema da cui imparare. Un tentativo di furto d’identità rivolto a un direttore finanziario non assomiglia a nient’altro nel traffico email mondiale. Diventa riconoscibile solo quando si esamina questa relazione con sufficiente attenzione per comprendere che il messaggio non trova posto al suo interno.
Questo è ciò per cui la protezione degli utenti con privilegi è stata creata. Fornito come nuova funzionalità, crea un modello di minaccia individuale per ogni utente ad alto rischio, basato sulle sue relazioni, sui suoi flussi di lavoro e sui suoi schemi di comunicazione reali, anziché confrontarli con una popolazione. Rileva attacchi personalizzati e multimodali che sfuggono ai meccanismi di rilevamento tradizionali perché sono stati concepiti per eluderli. Va anche oltre la frode via email per bloccare le comunicazioni indesiderate rivolte a individui specifici, analizzando insieme testo, voce, video e immagini.
Presentazione dell’agente di indagine sulle minacce
L’agente Proofpoint Satori Investigation Agent può essere attivato automaticamente quando un evento richiede un’analisi più approfondita. Si basa sui dati di telemetria di Proofpoint e su dati di terze parti, inclusi quelli provenienti da identità, endpoint, browser, SIEM, proxy web e altri strumenti connessi a tramite MCP, per ricostruire l’attacco, stabilire la cronologia e il raggio d’attacco e consigliare o eseguire una risposta. Gli analisti ricevono un’indagine completa anziché una serie di avvisi che devono correlare. Ogni indagine alimenta anche un processo a circuito chiuso: le informazioni tratte dai falsi positivi, dai falsi negativi o dalle segnalazione effettuate dai clienti permette di aggiornare la logica di rilevamento, riducendo la probabilità che si ripeta lo stesso errore di rilevamento
Satori agisce mentre indaga. Le misure di contenimento a basso rischio (rimozione dei messaggi di phishing già inviati dall’account compromesso, eliminazione dei messaggi recapitati ancora presenti nelle caselle email, eliminazione della regola della casella di posta del pirata informatico e aggiunta dell’URL dannoso a una lista di blocco) vengono eseguite automaticamente. Le azioni che presentano un rischio più elevato (reimpostazione delle credenziali d’accesso e revoca delle sessioni, aggiunta dell’account a una lista di controllo, assegnazione di corsi di formazione di follow-up e rafforzamento del controllo della posta in uscita) vengono messe in coda per l’approvazione con un clic, in modo che un essere umano rimanga coinvolto nel ciclo per le decisioni che richiedono un giudizio.
È lo stesso ragionamento basato sull’intento ma applicato al contrario: invece di domandarsi se un messaggio debba essere consegnato, Satori cerca di comprendere cosa ha effettivamente fatto il criminale informatico che è riuscito a eludere le difese, quindi chiude il ciclo verso il modello di rilevamento incaricato di intercettare il prossimo attacco.
Un modo diverso di misurare l’efficacia
Per anni, le prestazioni del rilevamento sono state valutate attraverso i falsi positivi e i falsi negativi. Questo non è più il parametro adatto per un sistema concepito per colmare il divario tra ciò che i criminali informatici sono ora in grado di fare e ciò che i team della sicurezza possono realmente vedere. Gli indicatori che contano ora sono più semplici da esprimere: quale parte delle minacce viene risolta autonomamente, quanto rapidamente una minaccia identificata ovunque si traduce in protezione diffusa, quale parte della reale superficie d’attacco il sistema riesce a monitorare sia nell’email sia nel browser, e se gli utenti che rappresentano una quota sproporzionata del tuo rischio ottengono un livello di protezione altrettanto sproporzionato.
Il rilevamento comportamentale e il rilevamento basato sull’intento non sono approcci in competizione, ma solo uno di essi è in grado di adattarsi agli attacchi che definiscono questa epoca. L’account è legittimo. Il comportamento è normale. L’intento non lo è. Questa è l’unica cosa che accomuna tutte le varianti di questi attacchi, che si tratti di una richiesta fraudolenta in un thread di discussione familiare o di uno script che estrae silenziosamente le credenziali d’accesso da una sessione del browser. Proofpoint sviluppa un’IA che interpreta le intenzioni ovunque sia importante: a livello di gateway, nella casella email e ora, per le persone che ne hanno più bisogno, a livello individuale.
Vuoi vedere quale percentuale di queste minacce riesce già a superare le tue difese? Richiedi una valutazione rapida e gratuita dei rischi legati all’email e identifica le lacune del tuo sistema attuale.