Netwrix Innovation Week: Gli attacchi basati su AI sono più veloci di quanto il tuo SIEM possa registrare

L’AI riduce il tempo che separa una credenziale rubata da un account privilegiato compromesso, e un ciclo di rilevamento pensato per revisori umani non riesce a rispondere a quel ritmo. I team possono ridurre questa esposizione spostando le credenziali in un vault cifrato, limitando l’accesso per ruolo, richiedendo l’approvazione prima dell’accesso privilegiato e registrando ogni azione sulle credenziali. La prevenzione chiude la via d’ingresso più semplice, e il SIEM può concentrarsi su ciò che resta.

Scopri tutte le conversazioni di Innovation Week per ascoltare Netwrix e gli esperti del settore parlare di sicurezza dei dati e delle identità.

La maggior parte dei piani di risposta agli incidenti presuppone che chi difende abbia tempo. Scatta un alert, un analista controlla i log, il team decide e qualcuno interviene. Gli attaccanti che usano l’AI lavorano più velocemente di quanto questa sequenza consenta, quindi il piano richiede un passaggio che avvenga prima dell’alert.

La parte lenta del rilevamento è la decisione

La registrazione dei log è la parte veloce del ciclo di rilevamento. Revisione e decisione richiedono più tempo, e i team hanno costruito quel ciclo quando gli attaccanti avevano ancora bisogno di tempo. La ricognizione richiedeva giorni e il movimento laterale ore, il che lasciava ai difensori un margine di manovra.

L’AI ha eliminato la maggior parte di quel margine. Con strumenti automatizzati, un attaccante può mappare una directory, provare credenziali rubate su una dozzina di sistemi e raggiungere un account privilegiato mentre il primo alert attende in coda. Il credential stuffing era una forza bruta rumorosa, mentre oggi i bot adattano velocità e impronte in tempo reale per assomigliare a utenti legittimi.

Le identità compromesse sono il punto di ingresso più comune

Gli attaccanti non hanno bisogno di violare la crittografia o di trovare una vulnerabilità zero-day quando è disponibile una sola credenziale valida. Il Rapporto 2026 su sicurezza dei dati e delle identità di Netwrix ha rilevato che il 75% delle esposizioni di dati sensibili ha origine da identità compromesse o autorizzazioni configurate in modo errato.

Un recente attacco a un operatore di infrastrutture critiche ha seguito questo percorso. Il punto di ingresso era un account VPN di accesso remoto inutilizzato e mai disattivato, privo di MFA e con una password già comparsa in un insieme di credenziali trapelate. Le attività si sono fermate per giorni.

Password riutilizzate da vecchie violazioni, credenziali condivise conservate in fogli di calcolo e account privilegiati noti a 10 persone perché nessuno vuole occuparsi della rotazione creano tutti la stessa falla. L’AI individua queste debolezze su larga scala, senza che nessuno digiti password a mano.

L’MFA riduce il rischio, ma non lo elimina. Gli attaccanti inviano ripetute richieste push finché un utente ne approva una per far cessare le notifiche, e un controllo che dipende da una persona stanca che rifiuti al momento giusto lascia un margine ridotto.

La prevenzione toglie il vantaggio di tempo

Il rilevamento conferma che qualcosa è accaduto a cose fatte. La prevenzione blocca un passaggio sensibile finché qualcuno non lo approva, eliminando l’opportunità su cui contano gli attaccanti. I team hanno bisogno di entrambi.

L’accesso permanente e non monitorato è all’origine di quel vantaggio. Lo stesso rapporto ha rilevato che il 76% delle organizzazioni non riesce a revocare subito l’accesso permanente quando non è più necessario.

Come ridurre l’accesso permanente alle credenziali

Le password conservate nei browser, nei documenti condivisi e nei messaggi diretti non possono essere governate perché nessuno riesce a vederle tutte. Un vault centrale e cifrato offre ai team un unico punto da cui partire.

L’accesso basato sui ruoli limita ogni persona alle credenziali richieste dal proprio ruolo, così una credenziale rubata può fare solo ciò che era consentito al suo titolare.

Gli amministratori di dominio, i proprietari di database e gli account di servizio richiedono una decisione umana. Un richiedente chiede l’accesso, una seconda persona lo approva e solo allora la credenziale diventa disponibile. La rotazione periodica delle password riduce poi la durata di qualsiasi credenziale trapelata.

Registrare ogni azione sulle credenziali collega la prevenzione al rilevamento. Una richiesta di privilegi negata alle 2 di notte appare come un evento significativo invece di una riga tra migliaia di accessi di routine, e gli analisti ricevono meno alert, ma più utili.

Anche gli agenti AI e le automazioni hanno bisogno di credenziali, tra cui chiavi API, account di servizio e token con privilegi reali. Il rapporto ha rilevato che il 41% delle organizzazioni esegue già AI agentica in produzione, mentre solo il 19% dichiara di governare pienamente le identità non umane. Gli agenti non si stancano e non mettono in discussione le istruzioni, quindi le loro credenziali richiedono almeno lo stesso trattamento di quelle di un amministratore umano: conservate in un vault, con ambito limitato e approvate prima dell’uso privilegiato. I team che pianificano l’AI agentica per il SOC dovrebbero conservarne le chiavi nello stesso luogo governato di tutte le altre.

Obiezioni comuni a questo approccio

I passaggi di approvazione rallentano le persone. Per la maggior parte degli utenti non cambia nulla, perché non toccano mai gli account privilegiati. I pochi che notano il passaggio aggiuntivo detengono le chiavi più sensibili, e una breve attesa per l’approvazione costa meno di una violazione.

I team che dispongono già di PAM dovrebbero mantenerlo se copre gli account privilegiati end to end. Se la copertura è parziale, il primo compito è individuare ciò che non è coperto. In ogni caso, lo strumento deve funzionare con Active Directory, Entra ID o la directory utilizzata dall’organizzazione, in modo che la governance degli accessi segua le identità già presenti nella directory.

Come Netwrix Password Secure supporta l’accesso con privilegi minimi

Netwrix Password Secure supporta ciascuno di questi passaggi. Le credenziali sono archiviate in un vault centrale e cifrato, e l’accesso basato sui ruoli limita gli utenti a ciò di cui hanno bisogno. I flussi di approvazione precedono l’accesso privilegiato, e un audit trail completo mostra chi ha avuto accesso a cosa e quando. L’integrazione con Active Directory ed Entra ID collega l’accesso alle identità esistenti. I team possono lavorare da desktop, web e dispositivi mobili e distribuire la soluzione on-premises, nel cloud o in un ambiente ibrido, in base alle esigenze di infrastruttura e conformità.

Gli attacchi alla velocità dell’AI riescono nel tempo che passa tra un evento e il momento in cui qualcuno se ne accorge. Mettere prima le credenziali permanenti fuori portata, e il SIEM intercetta ciò che resta.

Scopri Password Secure in azione