Attack-Path-Aware Enterprise Risk Quantification for Cloud-Native Financial Data Platforms Using AI and Cybersecurity Graphs

Nel mondo ad alto rischio del settore bancario, la protezione del denaro e dei dati personali è sempre stata un gioco diviso in due metà. Da un lato, i team di sicurezza utilizzano scanner automatizzati per trovare le debolezze nei loro sistemi informatici, classificandole in base a quanto sembrano pericolose sulla carta. Dall'altro lato, i risk manager cercano di prevedere quanto denaro la banca potrebbe perdere se un hacker avesse successo, affidandosi spesso a stime approssimative e grafici colorati. Per decenni, questi due gruppi hanno lavorato in parallelo, parlando raramente la stessa lingua. Gli scanner dicono loro quale singolo buco sia il più grande, mentre i risk manager si preoccupano del danno finanziario totale. Ma nella banca moderna, dove i dati fluiscono attraverso complesse reti cloud, un singolo grande buco è raramente il vero problema. Al contrario, un hacker di solito riesce combinando una serie di piccoli passi, apparentemente innocui — come attraversare una porta aperta, prendere in prestito una chiave da un amico fidato e poi scivolare in una cassaforte. La domanda critica non è più solo quale buco sia il più grande, ma quale catena di piccoli passi conduca effettivamente al tesoro più prezioso.

Un nuovo studio dell'architetto dei dati Gopinathan Rathinavelu propone un modo per collegare finalmente questi due mondi. La ricerca introduce un sistema che mappa l'intero percorso che un hacker potrebbe intraprendere, piuttosto che guardare solo a singole vulnerabilità isolate. Costruendo una mappa digitale della rete cloud della banca, il sistema traccia come un attaccante possa muoversi da un punto all'altro, etichettando ogni passaggio con comportamenti di hacking noti. Utilizza poi questa mappa per calcolare la probabilità reale che una violazione raggiunga i dati più sensibili, noti come "crown jewels" (i gioielli della corona), e traduce tale probabilità in un intervallo specifico di potenziali perdite finanziarie. L'obiettivo è aiutare le banche a decidere dove investire il loro limitato budget di sicurezza per bloccare i percorsi più pericolosi, piuttosto che limitarsi a correggere i difetti più evidenti.

I ricercatori hanno costruito questo sistema affinché funzionasse con le complesse piattaforme di dati basate su cloud che le banche moderne utilizzano per elaborare transazioni ed eseguire modelli di intelligenza artificiale. Queste piattaforme sono vaste e interconnesse, rendendo difficile vedere come una debolezza in un'area, come la connessione di un fornitore terzo, possa alla fine portare a una violazione del data warehouse principale. La nuova architettura inizia raccogliendo informazioni in tempo reale sulla postura di sicurezza della banca, sui permessi di identità e sulle configurazioni di sistema. Successivamente, costruisce un grafo diretto, un tipo di mappa in cui i nodi rappresentano gli asset e le linee tra di essi rappresentano le possibili mosse che un attaccante potrebbe compiere. Ogni linea è etichettata con una specifica tattica di hacking, creando una traccia chiara e verificabile di come potrebbe svilupparsi un'intrusione.

Per dare senso a questa mappa, il sistema utilizza una forma specializzata di intelligenza artificiale per stimare quanto sia probabile il successo di ogni passaggio della catena. Questo avviene con cura per garantire che i risultati rimangano trasparenti e comprensibili. Laddove vi sono dati sufficienti, un modello di machine learning valuta la probabilità di una transizione; laddove i dati sono scarsi, il sistema ricorre a un calcolo più semplice e trasparente o al giudizio degli esperti. Il sistema utilizza inoltre i modelli linguistici solo per organizzare documenti non strutturati, come i testi delle policy, nella struttura della mappa, ma solo dopo che gli esperti umani ne hanno verificato il lavoro. Ciò garantisce che la matematica fondamentale dietro il calcolo del rischio rimanga ispezionabile e affidabile, evitando il problema della "black box" (scatola nera) in cui nessuno sa come un computer sia giunto a una conclusione.

Una volta costruita la mappa e assegnato il punteggio di probabilità a ogni passaggio, il sistema esegue migliaia di simulazioni per vedere quanto spesso un attaccante possa raggiungere i "crown jewels". Invece di fornire un singolo numero, produce una distribuzione delle possibili perdite annuali, mostrando sia l'esito più probabile che gli scenari peggiori. Questo approccio consente ai comitati del rischio di vedere il quadro completo della propria esposizione finanziaria, inclusi gli eventi rari ma catastrofici che una semplice media ignorerebbe. L'ultimo tassello del puzzle è un ottimizzatore che analizza i controlli di sicurezza disponibili e i loro costi. Calcola quali specifici controlli, se aggiunti, ridurrebbero maggiormente la perdita finanziaria attesa. Ciò significa che il sistema dà priorità alle correzioni in base a quanto esse interrompano il percorso dell'attaccante, piuttosto che in base alla sola gravità della singola vulnerabilità.

I ricercatori hanno testato questo metodo su una piattaforma di dati in cloud simulata che imitava una tipica istituzione finanziaria. Hanno creato uno scenario con tredici diversi stati degli asset e diciotto possibili passaggi di attacco, assegnando costi realistici e potenziali perdite a ciascuno. In questa simulazione, il sistema ha identificato che il percorso più pericoloso verso i dati più preziosi della banca non derivava dalla vulnerabilità più evidente e ad alta severità. Al contrario, il rischio maggiore derivava da una catena di passaggi che coinvolgeva un'integrazione con un fornitore terzo. Individualmente, le debolezze in questo percorso avevano punteggi di severità moderati, ma quando messe in catena, offrivano un percorso ad alta probabilità verso i "crown jewels".

Quando i ricercatori hanno confrontato il loro nuovo metodo con l'approccio tradizionale di correggere semplicemente le vulnerabilità con il punteggio più alto, la differenza nella protezione finanziaria è stata netta. Utilizzando un budget fisso di trecento mila dollari, l'approccio tradizionale basato sulla severità riduceva la perdita annuale attesa di circa il quarantuno per cento. Al contrario, il nuovo metodo consapevole del percorso (path-aware), che si concentrava sul recidere le specifiche catene che portavano ai "crown jewels", riduceva la perdita attesa dell'ottantacinque per cento. Il sistema ha correttamente identificato che spendere denaro per isolare il fornitore terzo e ruotare le credenziali era molto più prezioso che correggere l'unica falla con la valutazione più alta, la quale si trovava su un percorso meno probabile verso i dati critici.

Lo studio conclude che questo approccio offre uno strumento di supporto alle decisioni potente per le banche, colmando il divario tra i risultati tecnici di sicurezza e la gestione del rischio finanziario. Non sostituisce il giudizio umano né agisce autonomamente; piuttosto, fornisce un argomento chiaro e basato sui dati sul perché certi controlli debbano essere prioritari. Trattando il rischio come un viaggio piuttosto che come un elenco di punti, il metodo aiuta le organizzazioni a comprendere che la minaccia più pericolosa è spesso quella che connette i puntini, non quella che si distingue di più. Sebbene i risultati mostrati qui siano basati su una simulazione sintetica, il framework è progettato per essere validato rispetto a dati del mondo reale, offrendo una via verso una gestione del rischio finanziario più precisa ed efficace in un mondo digitale sempre più complesso.