Commvault e Microsoft: l'ascesa degli agenti di intelligenza artificiale nelle operazioni di ripristino

Punti di forza

• La sicurezza deve essere scalabile come l’agente Smith: in Matrix, l’agente Smith si moltiplicava rapidamente per sopraffare Neo. Oggi i team di sicurezza affrontano una sfida simile, poiché le minacce e i segnali crescono più rapidamente delle capacità degli analisti. Gli agenti di sicurezza basati sull’intelligenza artificiale aiutano i team a scalare le indagini senza dover aumentare il personale.
• La correlazione dei segnali aumenta l’affidabilità delle indagini: Commvault Security Investigation Agent mette in relazione le informazioni sui backup con i segnali di sicurezza provenienti da piattaforme quali Netskope, CrowdStrike e Palo Alto Networks per stabilire se le minacce individuate nei dati di backup abbiano avuto ripercussioni anche sui sistemi di produzione.
• La resilienza informatica sarà guidata dagli agenti: Commvault Security Investigation Agent rappresenta il primo passo verso un futuro in cui agenti di IA specializzati assisteranno i team di sicurezza nelle indagini, nelle decisioni relative al ripristino e nell’accelerazione dei flussi di lavoro di ripristino.

Introduzione

In *Matrix* c’è un momento che appare sorprendentemente pertinente al panorama tecnologico odierno. L’agente Smith scopre di potersi duplicare. Uno diventa molti, e improvvisamente Neo si ritrova circondato da un esercito di agenti identici che operano simultaneamente.

Per molti versi, quella scena rispecchia il mondo in cui ci stiamo addentrando oggi con gli agenti di IA. In tutti i settori, e in particolare nella sicurezza informatica, stiamo assistendo alla nascita di agenti di IA specializzati in grado di operare in modo autonomo, espandersi rapidamente e assistere gli esseri umani in modi che prima erano impossibili. Ma a differenza dell’inesorabile tentativo di conquista dell’agente Smith, l’obiettivo di questi agenti non è il dominio. È la difesa.

Crescere abbattendo i silos

Oggi le operazioni di sicurezza devono affrontare un problema fondamentale legato alla scalabilità. Il numero di sistemi, segnali e strumenti di sicurezza continua ad aumentare, ma non quello degli analisti. Le organizzazioni ora acquisiscono dati telemetrici da piattaforme di sicurezza degli endpoint, difese di rete, strumenti di monitoraggio del cloud e sistemi di protezione delle identità. Ciascuno di questi strumenti genera i propri avvisi e dashboard, spesso operando in modo isolato gli uni dagli altri. Il risultato è una quantità schiacciante di dati distribuiti in silos scollegati tra loro.

Si è tentati di pensare che la soluzione sia semplicemente quella di assumere più analisti, ma chiunque abbia gestito team di grandi dimensioni sa bene che l’aumento del personale comporta una serie di difficoltà. Man mano che i team crescono, la comunicazione diventa più complessa, il coordinamento rallenta e l’efficienza delle indagini spesso diminuisce. Ciò di cui i team di sicurezza hanno davvero bisogno non è solo più personale, ma anche maggiori informazioni e una maggiore automazione, per consentire agli analisti di agire più rapidamente e avere una visione d’insieme.

Uno dei compartimenti stagni più radicati nelle operazioni di sicurezza è sempre stato il divario tra i sistemi di backup e gli strumenti di sicurezza. Tradizionalmente, i team di sicurezza monitorano gli ambienti di produzione tramite i propri strumenti di gestione delle informazioni e degli eventi di sicurezza, mentre gli ambienti di backup vengono gestiti da una console separata.

Spesso i dati di backup vengono esaminati solo dopo che si è verificato un incidente, quando le organizzazioni sono già in piena fase di ripristino. Eppure gli hacker prendono sempre più di mira i sistemi di backup proprio perché sanno che sono fondamentali per il ripristino. Gli autori di ransomware spesso crittografano i sistemi di produzione, tentano di danneggiare i backup o lasciano elementi dannosi nascosti all’interno dei set di dati protetti. Ciò significa che gli ambienti di backup contengono spesso prove preziose di un attacco, ma storicamente è stato difficile per i team di sicurezza accedere a tali informazioni e metterle in relazione con altri segnali.

Il nuovo agente investigativo della sicurezza

La nuova integrazione di Commvault con Microsoft Sentinel e Microsoft Security Copilot è stata progettata proprio per colmare questa lacuna. Grazie a questa integrazione, i dati di Commvault Cloud possono essere trasmessi in streaming direttamente nel Data Lake di Microsoft Sentinel, riunendo i dati di telemetria relativi ai backup nello stesso ambiente analitico dei segnali cloud relativi agli endpoint, alla rete e al cloud.

Anziché rimanere isolata, l’attività di backup può ora essere analizzata nel contesto più ampio dell’ecosistema di sicurezza. Ma il vero punto di forza di questa integrazione deriva dall’introduzione del Commvault Security Investigation Agent.

L’agente di indagine sulla sicurezza aiuta gli analisti a indagare su potenziali minacce mettendo in correlazione i segnali rilevati negli ambienti di backup con quelli provenienti da altre piattaforme di sicurezza. Quando un analista fornisce il nome host di un server, l’agente raccoglie gli eventi di sicurezza generati da Commvault Threat Scan Risk Analysis, tra cui anomalie nei backup, eventi di crittografia che potrebbero indicare attività di ransomware, malware rilevato all’interno dei set di dati protetti e backup contenenti dati sensibili.

L’agente mette quindi in relazione tali eventi con i dati telemetrici provenienti da altri strumenti di sicurezza già utilizzati dalle organizzazioni, quali Netskope, CrowdStrike e Palo Alto Networks. Analizzando congiuntamente l’attività su queste piattaforme, l’agente può aiutare a stabilire se i comportamenti sospetti individuati nei dati di backup compaiano anche negli ambienti di produzione.

Come si trova un agente?

Per prima cosa vi illustreremo come iniziare con il nostro primo agente dedicato alle indagini di sicurezza. Successivamente vi spiegheremo come intendiamo creare rapidamente nuovi agenti – proprio come l’Agente Smith – in modo che i clienti possano assumere il controllo delle indagini, delle decisioni relative al ripristino e delle operazioni di ripristino, fornendo ai team di sicurezza e operativi le informazioni necessarie per reagire più rapidamente e ripristinare i sistemi in tutta sicurezza.

Configurazione del connettore

Prima di poter abilitare Commvault Security Investigation Agent, è necessario installare e configurare Commvault Cloud.

1. Installazione: le istruzioni per l’installazione di Commvault Cloud, insieme alle autorizzazioni e ai prerequisiti, sono disponibili qui.

Schermata: Dettagli di installazione del Commvault Cloud Connector nel Content Hub di Microsoft Sentinel.

2. Configurazione: una volta completata l’installazione, i dettagli sulla configurazione sono disponibili qui.

 Utilizzo di Commvault Security Investigation Agent

Una volta installato Commvault Cloud, potrai utilizzare il nuovo Security Investigation Agent.

1. Accedi a https://securitycopilot.microsoft.com/agents.
2. Cerca “Commvault Security Investigation Agent”.
3. Fai clic su «Configura» agente.
4. Fai clic su «Vai all’agente».
5. Fai clic su «Esegui» => «Una sola volta».
6. Inserisci il «nome host» dell’host per il quale desideri ricevere assistenza e clicca su «Invia».
   1. Nota: il nome host è il nome del server su cui desideri monitorare gli eventi relativi a Commvault e ai suoi partner, quali Netskope, CrowdStrike e Palo Alto.
7. L’agente verrà eseguito e, al termine, riceverai un’analisi dettagliata e alcuni consigli.

Screenshot: Analisi dettagliata dell’agente Commvault Security Investigation Agent in esecuzione su un host coinvolto in un’indagine.

Conclusione

Matrix avrà anche drammatizzato l’idea degli agenti che si moltiplicano, ma ha colto una verità fondamentale riguardo alla portata del fenomeno. Quando l’agente Smith si è moltiplicato, le dinamiche dello scontro sono cambiate completamente. Anche il settore della sicurezza informatica sta attraversando una trasformazione simile. Gli autori degli attacchi ricorrono sempre più spesso all’automazione e all’intelligenza artificiale per ampliare la portata delle loro operazioni. L’unico modo in cui i difensori possono stare al passo è potenziare le proprie capacità attraverso sistemi intelligenti che integrino le competenze umane.

Grazie all’integrazione tra Commvault, Microsoft Sentinel e Microsoft Security Copilot – e all’introduzione del Commvault Security Investigation Agent – stiamo iniziando a intravedere come sarà quel futuro. Si tratta di un mondo in cui le operazioni di sicurezza non sono più limitate dai silos, in cui le indagini procedono più rapidamente e in cui agenti basati sull’intelligenza artificiale collaborano con gli analisti per rafforzare la resilienza informatica dell’ambiente.

Nel corso del prossimo anno, Commvault prevede di introdurre nuovi agenti – proprio come l’agente Smith che si moltiplica in *Matrix* – in grado di aiutare i team di sicurezza a eseguire Commvault Threat Scan, a creare ambienti “Cleanroom” per consentire agli analisti del SOC di indagare sugli incidenti in tutta sicurezza e ad accelerare il ripristino individuando i dati più sicuri da recuperare.

Siamo inoltre lieti di collaborare con Microsoft per consentire ai clienti di utilizzare Microsoft Foundry per creare ed estendere i propri agenti, permettendo loro di adattare l’automazione e le indagini ai propri ambienti specifici. Grazie alla combinazione delle funzionalità avanzate di cyber-resilienza di Commvault con l’ecosistema di intelligenza artificiale e sicurezza di Microsoft, aiutiamo le organizzazioni a progredire verso un futuro in cui agenti intelligenti consentono agli analisti di condurre indagini più rapidamente, abbattere i silos e rafforzare la resilienza nell’intero ambiente.

Domande frequenti

D: Cosa sono gli agenti di IA nelle operazioni di sicurezza (SecOps/ResOps)? R: Gli agenti di IA sono strumenti specializzati e autonomi che assistono i team di sicurezza analizzando i dati, mettendo in correlazione i segnali e supportando le indagini. Operano a fianco degli analisti umani per contribuire ad accelerare il processo decisionale e migliorare i tempi di risposta in ambienti complessi.

D: Perché oggi è così difficile scalare le operazioni di sicurezza? R: I team di sicurezza devono far fronte a un’esplosione di avvisi e dati provenienti da molteplici strumenti, mentre il numero di analisti cresce solo lentamente. Questo squilibrio crea colli di bottiglia, rendendo difficile indagare sulle minacce in modo efficiente senza l’automazione e l’assistenza intelligente. D: In che modo il Commvault Security Investigation Agent migliora le indagini sulle minacce?
D: In che modo il Commvault Security Investigation Agent migliora le indagini sulle minacce? R: L’agente mette in correlazione i dati di backup con i segnali provenienti da piattaforme di sicurezza quali CrowdStrike, Netskope e Palo Alto Networks. Questa visione d’insieme consente agli analisti di determinare se le minacce rilevate nei backup abbiano avuto ripercussioni anche sui sistemi di produzione, aumentando l’affidabilità delle indagini. D: Quale problema risolve l’integrazione dei dati di backup nei flussi di lavoro di sicurezza? R: Gli ambienti di backup contengono spesso prove cruciali degli attacchi, ma sono stati storicamente isolati dagli strumenti di sicurezza. L’integrazione di questi dati consente ai team di analizzare le minacce in modo olistico, individuare rischi nascosti e prendere decisioni di Recovery più informate. D: In che modo le organizzazioni possono iniziare a utilizzare Commvault Security Investigation Agent? R: Le organizzazioni devono installare e configurare Commvault Cloud all’interno di Microsoft Sentinel. Una volta configurato, è possibile accedere all’agente tramite Microsoft Security Copilot per avviare indagini semplicemente fornendo un nome host.

D: Qual è il futuro degli agenti di IA nel campo della resilienza informatica? R: Il futuro della resilienza informatica prevede diversi agenti specializzati che contribuiranno a gestire le indagini, la pianificazione del ripristino e le operazioni di ripristino. Questi agenti contribuiranno ad abbattere i silos, ad accelerare la risposta e a garantire operazioni di sicurezza più resilienti in tutto l’ambiente. Ritu Singh è Senior Product Manager e Rich Vorwaller è direttore della gestione dei prodotti presso Commvault.

Blog correlati

MCP 2.0 spiegato: proteggere gli agenti di IA prima che si proteggano da soli Perché l’IA sta compromettendo la vostra strategia di resilienza (e cosa fare al riguardo) Rimanere resilienti contro gli exploit di accesso laterale Siete pronti per i cicli di fuga dei dati? Tendenze relative al ransomware per il 2026: IA, resilienza e MTCR