Il SOC umano è preistoria, non si vince leggendo i log e guardando dashboard.
Mi rendo cronto della pesante critica che sto per muovere ma i fatti recenti
La cybersecurity continua a raccontarsi una bugia rassicurante, che ci sia ancora tempo per leggere un advisory, studiare una vulnerabilità, analizzare i log e decidere cosa fare.
Quel tempo non esiste più.
Oggi, mentre un analista apre il paper per capire come funziona una vulnerabilità, sistemi automatici stanno già confrontando la patch con il codice precedente, individuando il bug, generando un exploit e distribuendolo attraverso botnet.
Non parliamo più di giorni. Parliamo di ore, a volte di minuti.
Il paradigma è già cambiato. Siamo noi a essere rimasti indietro.
Il SOC basato sulla lettura dei log è finito
Un SOC composto da decine di persone che osservano dashboard, scorrono alert e correlano manualmente gli eventi non è un modello moderno. È archeologia informatica.
Quando l'attacco viene generato, adattato ed eseguito da macchine, non può essere fermato da un essere umano che legge una riga di log alla volta.
Il problema non è la competenza degli analisti. È la velocità.
L'essere umano non può competere con sistemi capaci di analizzare migliaia di eventi, testare ipotesi e modificare la strategia in pochi secondi.
Il SOC deve diventare automatico e agentico: raccogliere gli eventi, correlarli, investigare, applicare mitigazioni e chiamare una persona soltanto quando serve davvero una decisione.
L'umano non deve stare dietro ai log.
Deve stare sopra al sistema.
Anche l'audit interno tradizionale è preistoria
Lo stesso vale per il modello classico di offensive security.
L'audit periodico del white hat, il penetration test annuale e la relazione consegnata settimane dopo fotografano un'infrastruttura che, nel frattempo, è già cambiata.
Una verifica manuale e occasionale non può competere con un attaccante automatico che controlla continuamente nuove patch, nuove configurazioni e nuove superfici esposte.
L'offensive security deve diventare continua.
Gli asset devono essere testati ogni giorno, non una volta all'anno. Le nuove vulnerabilità devono essere simulate appena emergono. Le configurazioni devono essere rivalutate a ogni modifica.
Il penetration test tradizionale non scompare, ma smette di essere il centro della strategia.
Diventa una verifica umana di un processo che deve funzionare automaticamente ventiquattro ore su ventiquattro.
Dallo zero-day allo zero-hour
La vera trasformazione è questa: il tempo necessario per rendere operativa una vulnerabilità si è compresso.
Una patch pubblica mostra cosa è stato modificato. Un sistema automatico può analizzare il diff, individuare il punto debole e produrre rapidamente una prova di concetto.
Mentre il difensore sta ancora leggendo la documentazione, l'exploit può essere già stato scritto, testato e inserito in una campagna automatizzata.
Lo zero-day sta diventando zero-hour.
E una difesa che richiede ore per capire cosa sta succedendo è già una difesa sconfitta.
Non servono più persone davanti alle dashboard
Continuare ad assumere analisti per aumentare il numero di occhi davanti ai monitor non risolve il problema.
Cinquanta persone lente non diventano una macchina veloce.
Il nuovo SOC deve essere composto da agenti automatici capaci di:
- analizzare gli eventi in tempo reale;
- collegare segnali provenienti da sistemi differenti;
- verificare automaticamente gli indicatori;
- applicare virtual patching e mitigazioni;
- isolare gli asset compromessi;
- coinvolgere gli analisti nei casi realmente critici.
Questo non elimina il lavoro umano. Lo rende finalmente utile.
Le persone devono definire strategie, valutare il rischio, gestire le eccezioni e assumersi la responsabilità delle decisioni. Non passare la giornata a chiudere alert ripetitivi.
Il futuro è già arrivato
Per anni abbiamo detto che le AI avrebbero attaccato le infrastrutture e altre AI le avrebbero difese.
Non è più una previsione.
Sta già succedendo.
Gli attacchi vengono accelerati dall'automazione, gli exploit vengono prodotti in poche ore e le campagne vengono adattate più rapidamente di quanto un team umano possa reagire.
La cybersecurity manuale non è destinata a diventare obsoleta.
Lo è già.
La domanda non è se il SOC debba cambiare.
La domanda è quanto ancora possiamo permetterci di fingere che il vecchio modello funzioni.