Decision Model nell’AI SOC: triage automatico degli alert, meno fatica e più minacce scoperte in tempo

I decision model di intelligenza artificiale stanno diventando un tassello chiave per le piattaforme AI SOC e per l’automazione del triage degli alert. A differenza dei modelli generativi, questi sistemi non producono testo libero ma restituiscono risposte tipizzate come sì o no, una scelta tra opzioni predefinite o un punteggio con probabilità.

In un Security Operations Center questo approccio è particolarmente utile per trasformare ogni alert in una decisione misurabile e automatizzabile.

Primo vantaggio: soglie operative

Il primo vantaggio è la possibilità di usare soglie operative. Se il modello valuta un alert come benigno con probabilità molto alta, ad esempio oltre 0.97, il SOC può chiuderlo automaticamente. Se la probabilità è bassa, ad esempio sotto 0.6, il caso può essere scalato come potenziale incidente. Tutto ciò che sta nel mezzo viene inviato a un analista. Questa logica riduce la fatica da alert e rende più consistente il processo di risposta.

Secondo vantaggio: costo e velocità

Il secondo vantaggio è il costo. I decision model sono progettati per essere economici e veloci, quindi possono essere applicati a ogni alert, anche a quelli a bassa severità. Questo cambia il paradigma: non c’è più una ragione economica per ignorare grandi volumi di segnalazioni, con il rischio di perdere minacce reali che si nascondono tra eventi classificati come low severity.

Terzo vantaggio: tracciabilità

Il terzo vantaggio è la tracciabilità. Ogni verdetto diventa un record strutturato con probabilità, facile da loggare, riprodurre e confrontare con l’esito reale. Tuttavia, una risposta conforme allo schema non garantisce correttezza. Il problema resta garbage in garbage out: se l’input è povero o fuorviante, anche un modello ben calibrato può sbagliare con grande sicurezza.

Esempio tipico: alert “mitigato” non significa “risolto”

Un esempio tipico riguarda gli alert che indicano malware rilevato e messo in quarantena. Se il sistema EDR segnala mitigazione e severità bassa, un decision model tenderà a chiudere. Ma in scenari reali una quota rilevante di endpoint infetti può risultare già marcata come mitigata, specialmente con minacce fileless che vivono in memoria come Mimikatz, Meterpreter o Cobalt Strike.

Come rendere efficace un AI SOC: evidenze e memoria organizzativa

Per rendere davvero efficace un AI SOC, il punto centrale è la raccolta di evidenze forensi prima della decisione. Process tree, command line completa, scansioni live della memoria, sandbox detonation e analisi di rete forniscono contesto reale. A questo va aggiunta la memoria organizzativa, cioè la conoscenza di cosa è normale in quella specifica azienda, che deve essere aggiornata continuamente e usata per misurare drift e calibrazione nel tempo.