L'adozione dell'AI agentica trasforma la gestione delle code di alert nelle SOC, abilitando indagini ipotesi-driven in tempo reale e aumentando la velocità e la copertura nella rilevazione e risposta alle minacce informatiche.
Le tradizionali Security Operations Center (SOC) sono sempre state organizzate attorno a una coda di alert che, per limiti di tempo e risorse umane, resta in gran parte inesplorata dagli analisti. Ogni segnale viene valutato da un motore di rilevamento, riceve un punteggio di gravità e attende che un operatore decida se approfondire. L'enorme volume di dati di rete rende inevitabile la formazione di code, costringendo i team a scegliere quali segnali analizzare senza conoscerne il reale significato.
Il threat hunting, invece, parte da un'ipotesi sul comportamento dell'attaccante e cerca prove nei dati disponibili per confermarla o smentirla. Tuttavia, anche questo approccio si scontra con il limite della capacità umana.
AI agentica: indagini più rapide e scalabili
L'arrivo delle operazioni di sicurezza agentiche cambia radicalmente il paradigma. Le nuove SOC basate su AI agentica sono in grado di condurre indagini in pochi secondi o minuti, non più in ore. Ma la vera rivoluzione non è solo la velocità: la sequenza stessa dell'indagine viene ribaltata. Gli agenti AI analizzano grandi volumi di telemetria di rete, permettendo di investigare subito ogni segnale e di decidere l'escalation solo quando emergono prove concrete. Questo modello ipotesi-driven, reso possibile dagli agenti, consente di migliorare la rilevazione e ridurre la superficie d'attacco, spostando il ruolo umano dal fare indagini al valutare i risultati prodotti dalla macchina.
Come funziona l'inversione del modello
Gli agenti possono avviare un'indagine appena compare un segnale: validano la rilevazione, esaminano l'attività di rete sottostante, profilano l'entità coinvolta, analizzano i comportamenti storici e correlano attività simili. L'indagine non deve più competere per l'attenzione degli analisti: gli agenti lavorano in parallelo, producendo risultati supportati da dati. I workflow di triage agentico utilizzano playbook strutturati per analizzare la telemetria e fornire verdetti basati su prove, permettendo di investigare più segnali senza consumare risorse umane. L'agente elimina la fase manuale, sfruttando un set di dati più ampio prima che un caso arrivi all'analista.
Threat hunting su scala macchina
La vera potenzialità emerge prima e oltre l'alert. Il threat hunting non deve più partire da "cosa è stato rilevato?", ma da "cosa sta facendo l'attaccante?". Ipotesi come l'uso di protocolli insoliti per il command and control, movimenti laterali tramite servizi di amministrazione remota, preparazione di dati per l'esfiltrazione o tecniche per eludere le soglie di rilevamento possono essere testate automaticamente. Ogni ipotesi implica comportamenti osservabili: la telemetria di rete fornisce le prove per confermare o smentire la rilevanza di un segnale. L'hunting guidato da AI non sostituisce la detection, ma la estende e la rafforza, rendendo la telemetria la base dell'indagine. Questo consente agli agenti di condurre molteplici indagini in parallelo.
Indagare senza certezza preventiva
Il vantaggio chiave dell'indagine agentica è che l'agente non ha bisogno di certezze per iniziare: può seguire segnali deboli, testare ipotesi e interrompere l'indagine se le prove non le supportano. L'agente può adattare rapidamente l'ipotesi e ripetere il ciclo, molto più velocemente di qualsiasi analista umano.
Un agente può autonomamente chiedersi: cosa appare insolito? Quali relazioni meritano attenzione? Quali prove supportano o contraddicono l'ipotesi? Quando le prove sono sufficienti per coinvolgere un umano?
Questo introduce un nuovo livello investigativo tra attività di rete, rilevamento e minacce confermate: la maggior parte delle indagini si conclude senza intervento umano, mentre i casi che richiedono escalation arrivano già corredati di prove e contesto.
Più valore al tempo umano e alla telemetria
Il modello SOC basato su AI si distingue da quello tradizionale. Invece di: Alert > coda > analista > indagine > decisione, il flusso diventa: Alert > coda > indagine automatica > prove > giudizio umano. Nel threat hunting, il percorso si trasforma da: Telemetria > segnale > analista > ipotesi > indagine > decisione, a: Telemetria > segnale > ipotesi > indagine automatica > prove > giudizio umano.
Questi nuovi modelli portano a una copertura investigativa più ampia senza aumentare proporzionalmente la capacità degli analisti:
- Costo per indagine ridotto: gli agenti gestiscono raccolta e analisi delle prove
- Copertura delle minacce più estesa: la SOC può esplorare più percorsi d'attacco
- Riduzione del rischio più rapida: le minacce reali emergono prima
- Tempo umano più prezioso: gli analisti si concentrano su decisioni e casi complessi
- Più valore dalla telemetria: i dati diventano prove azionabili
Indagine continua, non più coda
Nelle SOC AI, l'indagine non parte più dalla coda ma dal segnale. Gli agenti validano alert, testano ipotesi e seguono attività sospette in tempo reale, riservando l'intervento umano solo ai casi supportati da prove di rete. In questo scenario, la SOC opera indagini continue e asincrone, guidate dalle evidenze e non più limitate dalla coda o dal tempo degli analisti.
Questa evoluzione si inserisce in un contesto di crescente attenzione alla sicurezza degli agenti autonomi, come dimostrato anche da ricerche recenti sulle vulnerabilità dei prompt infetti che possono diffondersi tra agenti AI, tema approfondito in questo articolo su come i payload auto-replicanti possono influenzare gli agenti autonomi.
Il ruolo di Corelight nella nuova SOC
Corelight offre alle squadre di sicurezza le evidenze di rete necessarie per rilevare minacce sofisticate guidate dall'AI, investigare agenticamente e rispondere con sicurezza. La piattaforma Open NDR di Corelight integra telemetria di rete ad alta fedeltà, rilevamento multilivello e indagini AI su ambienti cloud, ibridi e on-premises.
