Automated Root Cause Analysis of Security Incidents Using Causal Machine Learning

Quando un sistema di sicurezza fa scattare un allarme, la sfida immediata non è semplicemente notare che qualcosa non va, ma capire esattamente dove è iniziato il problema. Le reti moderne generano un flusso costante di dati: chi ha effettuato l'accesso, quali programmi sono stati eseguiti, quali file sono stati aperti e come sono cambiate le autorizzazioni. Spesso, un singolo piccolo errore all'inizio di una reazione a catena può innescare una cascata di eventi insoliti che sembrano ugualmente sospetti. Se un investigatore guarda solo il segnale più forte o più insolito, potrebbe scambiare un sintomo per una causa, inseguendo un effetto a valle mentre il vero problema rimane nascosto a monte. Per risolvere questo problema, i ricercatori si stanno rivolgendo a un modo di pensare chiamato ragionamento causale. Invece di chiedere solo quali eventi accadono insieme, questo approccio chiede quali eventi rendano effettivamente accadere altri eventi. Tratta il sistema come un insieme di ingranaggi connessi: se un ingranaggio gira, spinge il successivo, che spinge il successivo. L'obiettivo è trovare il primo ingranaggio che è stato urtato, piuttosto che quello che ha girato più velocemente.

Una ricercatrice di nome Rehana Devani ha testato un metodo specifico per trovare quel primo ingranaggio in un ambiente simulato e controllato. Lo studio non analizza tentativi di hacking reali o reti aziendali dal vivo. Al contrario, costruisce un modello digitale di un sistema di sicurezza con sei parti distinte, che rappresentano cose come l'accesso, la policy e l'esecuzione. In questo modello, i ricercatori sanno esattamente come le parti sono connesse e come si influenzano a vicenda. Hanno poi introdotto una specifica perturbazione artificiale — uno spostamento improvviso di quattro unità nel comportamento di una delle parti iniziali — e hanno osservato come l'onda d'urto si diffonde attraverso il resto del sistema. L'esperimento pone una domanda semplice ma difficile: se vedi l'intero sistema comportarsi in modo strano, un programma informatico può identificare correttamente quale singola parte iniziale è stata quella che è cambiata, o si lascerà distrarre dal rumore delle parti che hanno reagito al cambiamento?

I ricercatori hanno confrontato due modi di guardare i dati. Il primo metodo, che chiamano punteggio marginale (marginal scoring), è come guardare ogni parte isolatamente e chiedere: "Quanto è insolita questa parte rispetto alla norma?". Questo approccio spesso fallisce perché una parte che sta semplicemente reagendo a un problema può apparmente strana quanto la parte che l'ha causato. Il secondo metodo, noto come punteggio residuo (residual scoring), è più sofisticato. Utilizza una mappa delle connessioni per chiedere: "Dati il modo in cui le parti che alimentano questa si stanno comportando, questa parte si sta comportando in modo insolito?". Se una parte si comporta in modo strano solo perché i suoi vicini si comportano in modo strano, questo metodo riconosce che la parte in questione non è la fonte. Tuttavia, se una parte si comporta in modo strano anche quando i suoi vicini si comportano normalmente, viene segnalata come il probabile colpevole.

Nella versione più pulita dell'esperimento, in cui i dati erano perfettamente chiari e privi di qualsiasi rumore di fondo, il metodo sofisticato ha funzionato in modo straordinario. Ha identificato correttamente il punto di partenza della perturbazione in quasi il 98 percento dei casi. Il metodo più semplice, che ignorava le connessioni tra le parti, era corretto solo circa l'87 percento delle volte. Questo divario mostra che comprendere la struttura del sistema aiuta a separare la vera causa dai sintomi. Tuttavia, lo studio ha anche testato come questo metodo regga quando i dati sono sporchi, che è come si comportano spesso i sistemi del mondo reale. I ricercatori hanno aggiunto del disturbo casuale, o rumore del sensore, alle misurazioni per simulare una raccolta dati imperfetta. Man mano che il rumore aumentava, l'accuratezza del metodo sofisticato diminuiva, scendendo a circa l'81 percento quando il livello di rumore era moderato. Il metodo più semplice faticava ancora di più, scendendo a circa il 62 percento. Questo risultato conferma che, sebbene conoscere le connessioni aiuti, la qualità dei dati è altrettanto critica. Se le misurazioni sono troppo sfocate, nemmeno la migliore mappa può guidare l'investigatore verso la risposta corretta.

Lo studio ha anche esplorato cosa succede se la mappa stessa è leggermente errata. In un test, i ricercatori hanno deliberatamente rimosso una connessione nota dal modello, fingendo di non sapere che una parte influenzava un'altra. Il metodo ha comunque performato bene, identificando correttamente la causa circa il 94 percento delle volte nei dati puliti, ma l'accuratezza è calata all'aumentare del rumore. Ciò suggerisce che l'approccio è parzialmente tollerante verso le informazioni mancanti, ma non è perfetto. I ricercatori hanno anche verificato se trovare la giusta causa aiutasse effettivamente a risolvere il problema. Hanno simulato una riparazione invertendo il cambiamento che avevano iniettato nel sistema. Quando hanno preso di mira il punto di partenza corretto, il comportamento strano nel sistema è scomparso quasi interamente. Quando hanno preso di mira il punto sbagliato, il sistema è rimasto disturbato. Ciò ha confermato che il metodo non sta solo indovinando; sta identificando la leva specifica che, se tirata indietro, fermerebbe la reazione a catena.

Nonostante questi risultati promettenti, l'articolo si prende cura di dichiarare ciò che non ha fatto. L'intero esperimento ha avuto luogo all'interno di una simulazione informatica con un piccolo modello a sei parti. I ricercatori non hanno testato questo metodo su vere reti aziendali, veri hacker o veri log di sicurezza. Non hanno sostenuto che il loro metodo possa scoprire nuovi tipi di attacchi o che funzioni senza una mappa predefinita del sistema. Lo studio dimostra che, se si sa già come un sistema è connesso, si può usare un tipo specifico di calcolo per trovare un singolo problema iniettato in modo più accurato rispetto al semplice cercare i numeri più strani. Non prova che questo funzionerà nella realtà caotica, rumorosa e complessa di un'impresa attiva. Il valore del lavoro risiede nella sua chiarezza: separa l'idea di trovare una causa dall'idea di scoprire la mappa, e mostra esattamente quanto sia importante la qualità dei dati. Prima che questo metodo possa essere utilizzato per proteggere le vere organizzazioni, deve essere testato in ambienti in cui le connessioni non sono note in anticipo e i dati non sono perfettamente puliti. Per ora, esso rappresenta una dimostrazione precisa e riproducibile di come il ragionamento causale possa migliorare la ricerca della fonte di un incidente di sicurezza, a condizione che le regole del gioco siano chiaramente comprese.