La IA mejora la ciberseguridad, pero la supervisión humana sigue siendo esencial

Cuando se trata de proteger computadoras y sistemas de información de ciberataques, la inteligencia artificial y el aprendizaje automático pueden ayudar —pero no son una cura para un problema creciente.

Limitaciones de la IA en ciberseguridad

A pesar de la emoción actual sobre la IA y su creciente capacidad para superar a humanos en numerosos frentes, no es una bala mágica para reforzar la ciberseguridad, dice Randy Watkins, director de tecnología en Critical Start, Inc.

La IA destaca en gestionar cantidades masivas de datos, incluyendo alertas sobre posibles brechas de seguridad. El problema está en cómo interpreta esa información.

Las alertas se abordan en el orden en que llegan. Luego se priorizan y evalúan para el nivel de amenaza apropiado. Los analistas humanos, con conocimiento profundo y experiencia del negocio, son buenos para colocar cada alerta en su contexto apropiado. Las máquinas, no tanto. Un sistema impulsado por IA puede detectar actividad anómala de usuario, pero es menos efectivo determinando si el evento involucra intención maliciosa.

«No soy un detractor de todo lo IA», dice Watkins, «pero la IA y el aprendizaje automático no tienen la capacidad de aplicar una abundancia de razón a lo que están haciendo».

Falsos positivos y el desafío del contexto

Las máquinas no son especialmente buenas minimizando falsos positivos. Tome PowerShell de Microsoft, un marco popular para automatización de tareas. Una máquina no puede determinar con precisión si un usuario dado de esa herramienta debería estar ejecutando un comando en un momento particular. La anomalía puede o no ser el resultado de un ataque malicioso.

El término «aprendizaje automático» implica que el sistema mejora con la experiencia, pero Watkins dice que esa capacidad es limitada. Entrenar el algoritmo para responder de la manera apropiada requiere alimentar grandes números de ejemplos previos, tanto buenos como malos. Y aún no resuelve el problema de falsos negativos —ataques reales que el sistema pierde. «Tienes que ser capaz de quitar los valores atípicos que van a sesgar tus datos», dice Watkins.

Determinar si un evento es malicioso no siempre se reduce a una respuesta sí-o-no. Por una cosa, las empresas deben determinar qué tan sensible quieren que sea el sistema. ¿Debería alarmar por el 100% de eventos aparentemente anómalos? ¿Qué tal el 80%? Demasiado, y te inundan con alertas y posibles apagados de sistema. Muy poco, y es probable que las brechas se escapen sin detectar.

«Cuando introduces más variables, requieres conjuntos de datos adicionales, más contexto sobre el sujeto y el comportamiento [del sistema]», nota Watkins. «Una vez que empiezas a introducir esas preguntas, la máquina se desmorona».

El factor humano: puntuación de riesgo acumulativo

La detección efectiva de ciberataques depende de puntuación de riesgo acumulativo, algo que los humanos hacen bien. «Cada vez que miramos un evento, estamos decidiendo si es sospechoso», dice Watkins. «Pero también puedes aplicar razón, y conocimiento previo sobre seguridad que los algoritmos no tienen.

«Una máquina puede rastrear a través de cantidades tremendas de datos rápidamente», continúa. «Pero dale un concepto abstracto como privilegio mínimo y aplícalo al conjunto de alertas —¿va a reconocer una escalada de privilegios? Hay mucha actividad benigna que parece maliciosa».

Evolución futura y escasez de talento

No hay duda de que el aprendizaje automático evolucionará, incluso mientras los ladrones cibernéticos idean nuevas formas de evitar detección. Microsoft ha hecho avances hacia mejorar la sofisticación de sistemas de detección automatizados, al igual que Palo Alto Networks, un líder global en ciberseguridad. «Pero al final del día», dice Watkins, «todavía necesitas un humano para decir: 'Sí, desconecte este controlador de dominio'.» Las empresas se esfuerzan constantemente por minimizar el costo de tiempo de inactividad del sistema causado por alertas erróneas.

Dicho esto, no hay suficientes expertos humanos para llenar la necesidad de ciberseguridad en todos los sectores. «Definitivamente hay falta de talento en la industria», dice Watkins. De ahí el giro hacia soporte externo, en forma de detección y respuesta gestionadas.

La escasez de talento no es nueva. «Ha existido desde que la seguridad ha existido», dice Watkins. Solo en los últimos 10 años las empresas y universidades han comenzado a despertar a la necesidad de mejor entrenamiento y educación de futuros expertos en ciberseguridad.

Tanto humanos como máquinas tienen un camino por recorrer, si han de colaborar en asegurar sistemas vitales contra la amenaza siempre creciente de ciberataque. «Empezamos en cero cuando necesitábamos estar en 60», dice Watkins. «Ahora necesitamos estar en 90, y estamos en 60».