L'intelligenza artificiale sta rivoluzionando i Security Operations Center, supportando gli analisti con insight contestuali e automazione per migliorare la rilevazione e la risposta alle minacce.
L'intelligenza artificiale (AI) è ormai una delle tecnologie più influenti di questo decennio. Settori come sanità, finanza, manifattura ed educazione si affidano sempre più all'AI per automatizzare compiti ripetitivi, individuare pattern nascosti nei dati e velocizzare i processi decisionali. Anche la cybersecurity sta vivendo questa trasformazione: se da un lato i cybercriminali sfruttano l'AI per automatizzare attacchi e scoprire vulnerabilità più rapidamente, dall'altro i difensori adottano l'AI per rafforzare la rilevazione delle minacce e migliorare la risposta agli incidenti.
Nei Security Operations Center (SOC), il volume di alert provenienti da endpoint, workload cloud, dispositivi di rete, provider di identità e applicazioni aziendali è elevatissimo. Sebbene piattaforme SIEM e XDR offrano visibilità, gli analisti spendono ancora molto tempo a correlare alert, consultare documentazione e decidere i prossimi passi investigativi. L'AI rappresenta una soluzione concreta per affiancare gli analisti, fornendo spiegazioni contestuali, sintesi delle evidenze e suggerimenti per la remediation, senza sostituire la competenza umana.
Le sfide dei SOC moderni
I SOC di oggi devono individuare e gestire minacce sofisticate, analizzando milioni di eventi di sicurezza ogni giorno. L'elevato numero di alert causa affaticamento negli analisti e aumenta il rischio di trascurare eventi critici. Le indagini richiedono spesso di passare tra dashboard, documentazione, database di vulnerabilità e feed di threat intelligence per ottenere una visione completa. Con infrastrutture sempre più distribuite tra on-premise e cloud, mantenere una consapevolezza situazionale costante è complesso. I workflow assistiti dall'AI aiutano a ridurre le analisi ripetitive, aggiungere contesto e velocizzare le decisioni investigative.
Wazuh e l'intelligenza artificiale nei flussi SOC
Wazuh promuove un'adozione flessibile dell'AI grazie al Wazuh AI Analyst disponibile su Wazuh Cloud e alle integrazioni con provider AI di terze parti. Le organizzazioni possono sfruttare la funzione Wazuh AI Analyst su Wazuh Cloud per ricevere indicazioni sullo stato di sicurezza del proprio ambiente. Chi implementa Wazuh in autonomia può invece integrare provider AI esterni. Di seguito i dettagli principali.
Wazuh AI Analyst: report automatizzati e privacy
Il Wazuh AI Analyst è un servizio di analisi automatizzata per abbonati Wazuh Cloud che elabora i dati di sicurezza tramite Amazon Bedrock e Claude di Anthropic, offrendo insight senza necessità di configurazione manuale. Periodicamente invia via email indicatori chiave, istogrammi degli endpoint protetti, volume degli alert, vulnerabilità attive e un riepilogo della postura di sicurezza, allegando un report PDF completo. I report sono generati secondo la pianificazione dell'abbonamento e consultabili anche dalla console Wazuh Cloud nella sezione Environments > AI Reports.
Per quanto riguarda la privacy, i dati dell'abbonamento non vengono condivisi con terzi né utilizzati per addestrare i modelli AI: sono trattati solo per generare i report, con trasmissione cifrata, elaborazione isolata e nessuna memorizzazione permanente. Come per ogni output AI, le raccomandazioni sono da validare rispetto alle policy aziendali prima di agire.
Threat hunting e operazioni di sicurezza con AI esterna
Oltre al Wazuh AI Analyst, è possibile espandere le capacità di Wazuh tramite LLM self-hosted e integrazioni AI gestite esternamente, adattandole alle proprie esigenze.
Llama 3 self-hosted e Ollama
Questa integrazione mantiene tutti i dati all'interno della propria rete. Ollama esegue il modello Llama open source di Meta localmente sul server Wazuh; uno script Python decomprime i log archiviati, li vettorizza in uno store FAISS e mette a disposizione un chatbot LangChain interrogabile. Nessun dato viene inviato a provider cloud, soluzione ideale per team con requisiti stringenti di privacy o residenza dei dati.
Le istruzioni complete sono disponibili nel blog Wazuh: Leveraging artificial intelligence for threat hunting in Wazuh.
Integrazione esterna con Claude 3.5 Haiku
Questa integrazione porta Claude 3.5 Haiku di Anthropic, ospitato su Amazon Bedrock, come chat box nella dashboard tramite OpenSearch Assistant. L'attivazione prevede l'abilitazione del modello su Bedrock, l'installazione dei plugin OpenSearch e la creazione di un connettore ML Commons, modello e agente conversazionale. L'assistente fornisce suggerimenti utili su attività comuni, come la gestione di un finding o la configurazione di impostazioni.
Le istruzioni dettagliate sono nel blog Wazuh: Leveraging Claude Haiku in the Wazuh dashboard for LLM-powered insights.
AI nei SOC: efficienza e responsabilità
L'intelligenza artificiale si sta affermando come risorsa chiave nei SOC moderni. Non sostituisce gli analisti, ma riduce il lavoro ripetitivo, accelera le indagini e offre supporto contestuale per detection, triage e risposta. Queste capacità aiutano i team di sicurezza a operare in modo più efficiente, lasciando agli analisti la responsabilità delle decisioni critiche. Per chi utilizza Wazuh Cloud, il Wazuh AI Analyst fornisce report automatizzati e programmati su indicatori chiave, attività di alert, copertura degli endpoint, vulnerabilità attive e postura complessiva. Le organizzazioni possono inoltre personalizzare le operazioni di sicurezza AI-enabled tramite LLM self-hosted per il threat hunting sensibile alla privacy o modelli cloud gestiti esternamente, adattando l'adozione alle proprie esigenze operative e di compliance.
Il tema della sicurezza dei dati e delle infrastrutture cloud è sempre più centrale, come dimostrato anche da recenti casi di esfiltrazione di dati da piattaforme SaaS: un esempio è l'analisi su come un'unica infrastruttura abbia sottratto dati da Salesforce e ServiceNow, colpendo diversi settori, descritta in questo approfondimento su attacchi a portali aziendali.
