Como tecnología de doble uso, los agentes maliciosos utilizan la IA para detectar y explotar vulnerabilidades de sistemas y aplicaciones, con un foco específico en la identidad de los usuarios y en los datos, ambos activos de gran valor.
De manera simultánea, los profesionales de la ciberseguridad aplican la IA para proteger tanto los entornos informacionales (TI) como operacionales (OT), y sus casos de uso son cada vez más numerosos, variados y avanzados.
De hecho, en nuestro informe global CGI Voice of Our Clients 2024, la importancia de la ciberseguridad, la protección de los datos y la privacidad ocupa el tercer puesto entre las principales tendencias del sector. Además, la IA, la automatización avanzada y los enfoques basados en datos están, por primera vez, entre las cinco tendencias más relevantes.
La IA ya se usa en cada una de las cinco funciones de ciberseguridad del framework de referencia NIST CSF
La IA se sitúa como la quinta prioridad de negocio y TI, siendo clave en la optimización de los procesos de negocio y en aportar valor y conocimiento; y, al igual que en 2023, encabeza de nuevo las prioridades de inversión en innovación para los próximos tres años.
Relación entre IA y ciberseguridad
La IA es una vieja conocida en el ámbito de la ciberseguridad. Su presencia se remonta como una evolución de la protección proporcionada por los antivirus tradicionales basados en patrones y firmas. Esta relación ha permitido detectar los nuevos ataques de día cero a través del análisis de comportamiento de usuario (UEBA), origen (identidad y fuentes), contenido (inspección de fichero y sandboxing) y contexto.
Estos algoritmos de machine learning (ML) y deep learning (DL) se usan desde hace más de un lustro en agentes de ciberseguridad para mejorar los niveles de protección y detección. Actualmente, la variedad de técnicas y capacidades que la IA puede habilitar es muy amplia, y su adopción en mecanismos de defensa está en constante crecimiento.
Cuando se integra en soluciones de seguridad de correo electrónico, la IA permite descubrir anomalías e indicadores de mensajes maliciosos
La IA se utiliza en cada una de las funciones clave de la ciberseguridad, desde la prevención de ataques y la detección de amenazas e intrusiones, hasta la respuesta y recuperación. Su presencia se extiende a las cinco funciones del framework de referencia NIST CSF del Instituto Nacional de Estándares y Tecnología de EE.UU., que se ordenan, de mayor a menor uso: identificación, protección, detección, respuesta y recuperación.
Prevención y detección
En la prevención, la IA se emplea para evaluar vulnerabilidades en sistemas y redes. Los algoritmos de ML se utilizan para analizar datos de múltiples fuentes (escáneres, registros de seguridad y sistemas de gestión de parches), identificar vulnerabilidades y priorizar esfuerzos de corrección.
Los fuzzers de DL son clave para descubrir vulnerabilidades, mientras que el aprendizaje por refuerzo (reinforcement learning) está muy extendido en los pentesting. Además, la IA también ayuda a realizar scoring de riesgo de redes, usuarios o datos, y puede aplicarse en la gestión de identidades y acceso.
En la fase de detección, aunque la mayoría de las aplicaciones tradicionales de ML se encuentran en esta etapa —sea spam, intrusiones, malware o ataques—, gracias a su naturaleza, la IA es capaz de analizar grandes volúmenes de datos e identificar patrones.
Cuando se integra en soluciones de seguridad de correo electrónico, la IA permite a las empresas descubrir anomalías e indicadores de mensajes maliciosos, analizando el contenido y su contexto para determinar rápidamente si son legítimos, spam o phishing.
Al mejorar la comprensión de cómo se comunican los usuarios, su comportamiento habitual y patrones textuales, la IA juega un papel crucial en la prevención de amenazas avanzadas como el spear phishing, incluyendo los ataques BEC (business email compromise), donde los ciberdelincuentes suplantan la identidad de los altos directivos de las empresas atacadas. Además, las técnicas de algoritmos ML permiten que la IA aprenda de forma continua, lo que contribuye a que el análisis sea más preciso y evolucione frente a nuevas amenazas.
Las soluciones de seguridad impulsadas por IA, como el análisis del comportamiento de usuarios y entidades (UEBA), examinan la actividad de dispositivos, servidores y usuarios para detectar comportamientos anómalos o inusuales que pueden indicar un ataque de día cero. También brindan protección a las empresas contra vulnerabilidades, incluso antes de que se informen y parcheen oficialmente.
Gracias al análisis de comportamiento, las organizaciones pueden identificar amenazas en evolución y vulnerabilidades conocidas, además de optimizar los procesos de búsqueda de amenazas. En este contexto, sobresale el servicio Automated Indicator Sharing (AIS) de la Agencia de Seguridad Cibernética y Seguridad de la Infraestructura (CISA, por sus siglas en inglés), que facilita el intercambio en tiempo real de indicadores de amenazas cibernéticas y medidas defensivas.
Respuesta y recuperación
En la función de respuesta, la IA se utiliza para automatizar la monitorización continua y en tiempo real de la seguridad de sistemas y activos, y para proporcionar inteligencia de seguridad mediante una red de información dinámica y heterogénea que procesa los registros de datos generados durante la monitorización. Anteriormente, en los SOC (security operations center), los análisis se realizaban por niveles de forma manual, lo que daba lugar a la fatiga del analista; en la actualidad, la IA se ha convertido en una valiosa ayuda para los analistas, incluidos aquellos que se encargan de los análisis forenses (DFIR).
Las técnicas de IA apoyan al equipo de respuesta ante incidentes en la atribución inteligente, la identificación de anomalías en una línea de tiempo forense y la correlación de evidencias de diferentes dispositivos. Además, permiten el uso de un marco de decisión para optimizar su investigación, destacando por su capacidad de aprendizaje y su potencia para crear análisis legales.
En la fase de recuperación, la IA contribuye al análisis y la agregación de datos e informes de incidentes
La IA también desempeña un papel importante en las acciones automáticas de mitigación y en la corrección automatizada. Facilita sistemas de recomendación que ayudan a los analistas con una configuración resistente, en la orquestación de herramientas de seguridad y en el rastreo del movimiento lateral del atacante.
En la fase de recuperación, la IA contribuye al análisis y la agregación de datos e informes de incidentes, proporcionando información muy valiosa para llevar la ciberseguridad al siguiente nivel. La IA ya se aplica para compilar información de diversas fuentes, como la procedente del Blue Team, el equipo forense y el Gabinete de Crisis, y se posiciona como un recurso fundamental para cumplir con la normativa en materia de ciberseguridad y resiliencia, tanto en forma como en tiempo.
