Nuova prospettiva in cybersecurity
Un operatore radar, da qualche parte in Europa, primi anni Quaranta. Sullo schermo un punto luminoso. Può essere un bombardiere nemico in avvicinamento. Può essere un'interferenza atmosferica, uno stormo di uccelli, un guasto dell'apparecchio. L'operatore ha pochi secondi per decidere, e in entrambe le direzioni sbagliare costa caro: ignorare un aereo vero è un disastro. Dare l'allarme per un'interferenza, ripetutamente, significa che la prossima volta nessuno crederà più allo schermo.
Da questo problema, banale a dirsi e spietato a viverlo, nasce un intero campo di studi che oggi chiamiamo Signal Detection Theory, teoria del rilevamento del segnale. Formalizzata nel 1954 sul piano statistico da Peterson, Birdsall e Fox, e nello stesso anno adattata alla percezione umana da Tanner e Swets. Nel 1966 Green e Swets ne fecero un testo di riferimento con «Signal Detection Theory and Psychophysics». Da lì in poi il problema dell'operatore radar avrebbe smesso di essere un problema di radar.
Quattro esiti, nessuna via di fuga
Ogni volta che un sistema, umano o automatico, deve decidere se un segnale ambiguo è reale, esistono solo quattro esiti possibili. Il segnale c'è ed è riconosciuto: colpo. Il segnale c'è ma passa inosservato: mancato allarme. Il segnale non c'è ma viene scambiato per reale: falso allarme. Il segnale non c'è e viene correttamente ignorato: rigetto corretto.
Il punto scomodo della teoria è questo: i primi due errori e gli ultimi due sono in tensione tra loro. Alzare la sensibilità di un sistema, farlo reagire a segnali più deboli, riduce i mancati allarmi ma aumenta inevitabilmente i falsi. Abbassarla fa l'opposto. Non esiste una soglia che azzeri entrambi gli errori insieme, quando il segnale che si cerca di riconoscere è per natura ambiguo. È una legge, non un limite tecnico superabile con lo strumento giusto.
Lo stesso problema, ovunque si cerchi di vedere nel buio
Quello che rende la teoria del rilevamento del segnale interessante non è il radar in sé. È che lo stesso identico compromesso riappare, tale e quale, in ogni campo che deve distinguere qualcosa di reale da qualcosa che gli somiglia.
In radiologia, la macchia su una lastra può essere un tumore o un artefatto dell'immagine. Non si è risolto il problema, lo si è gestito: doppia lettura indipendente da parte di due radiologi, sistemi di supporto alla diagnosi, e soprattutto una scelta esplicita di dove piazzare l'asticella. Negli screening oncologici si accetta consapevolmente un numero più alto di falsi allarmi pur di non perdere un tumore vero, perché il costo dei due errori non è simmetrico: un richiamo inutile è un fastidio, un tumore ignorato è la vita di qualcuno.
Nella giustizia penale, un indizio può indicare colpevolezza o essere una coincidenza. Anche qui non c'è soluzione, c'è una politica dichiarata sul compromesso: «oltre ogni ragionevole dubbio» è, in termini di teoria del segnale, una soglia di decisione tarata deliberatamente per minimizzare le condanne di innocenti, anche al costo di lasciare più colpevoli liberi di quanto un sistema più aggressivo lascerebbe.
Nell'antifrode, un sinistro può essere reale o costruito ad arte. Il lavoro non è mai stato distinguere i due casi con certezza: è triage su grandi numeri, con indicatori di rischio, pattern ricorrenti e verifica approfondita solo dove il rapporto tra costo dell'indagine e probabilità di frode la giustifica. Anche qui, spostare l'attenzione su più casi sospetti significa inevitabilmente indagare anche più sinistri onesti.
E nella sicurezza informatica, lo stesso schema regge quasi senza modifiche. Un accesso alle 23:47 con credenziali valide può essere un amministratore che lavora tardi o un attaccante che si muove lateralmente nella rete. I sistemi UEBA, quelli che costruiscono una «normalità» statistica di comportamento e segnalano gli scarti, affrontano esattamente il compromesso tra colpi e falsi allarmi, con lo stesso costo che ha ovunque: alzare la sensibilità significa più alert, e più alert, oltre un certo punto, significano che nessuno li legge più davvero. È l'alert fatigue di cui ogni responsabile IT sovraccarico fa esperienza diretta.
In nessuno di questi campi il compromesso è mai stato eliminato. Alcuni lo affrontano da settant'anni con il vocabolario preciso della teoria del segnale. Altri, la giustizia e la medicina nella sua forma più antica, lo affrontavano già da molto prima, senza avere un nome per chiamarlo. In ogni caso, il compromesso non è mai sparito. È stato solo spostato dove faceva meno danno.
Un modo diverso di porre la domanda
C'è un caso, però, in cui il compromesso può ridursi quasi a zero: non perché lo si è ottimizzato meglio, ma perché si è cambiata la natura del problema.
Un honeypot è un sistema che non ha alcuna ragione legittima di essere toccato. Non un server reale con un traffico plausibile da interpretare, ma un'esca che nessun dipendente, nessun processo automatico, nessun fornitore ha mai motivo di raggiungere. In questo contesto specifico il rumore è quasi a zero: non c'è una distribuzione di comportamenti innocenti con cui confondere il segnale, perché nessun comportamento innocente dovrebbe generarsi lì.
Il principio in sé non è nuovo. Nel mondo digitale, uno dei primi casi documentati risale al 1986. L'astronomo Cliff Stoll, alle prese con un errore contabile di 75 centesimi nei log del Lawrence Berkeley National Laboratory, scopre una spia informatica al soldo del KGB. Per stanarla costruisce un intero dipartimento fittizio, nome in codice SDInet, popolato di documenti che sembrano riservati ma non lo sono. È uno dei primi honeypot della storia dell'informatica, quarant'anni prima che qualcuno lo mettesse in una slide.
Per quarant'anni, il problema non è mai stato se il principio funzionasse. Funzionava, spesso fin troppo bene: un'esca completamente convincente, indistinguibile da un sistema reale, era anche la più rischiosa da gestire, perché se un attaccante la compromette fino in fondo, quella stessa credibilità diventa un'arma contro chi l'ha costruita. Il compromesso tra segnale e rumore, in apparenza risolto, si riapriva un livello più in là: tra efficacia del depistaggio e sicurezza di chi lo tende.
Vale la pena essere onesti su cosa questo significhi e cosa no, oggi. Un'esca singola e generica, buttata lì a caso, lascerebbe fuori chi si muove solo su risorse reali senza mai avvicinarsi: non «meno visibile», proprio invisibile, per costruzione. Ma un honeypot ben progettato non è un contenitore qualunque. È costruito per sembrare esattamente ciò che un attaccante cerca (un backup, un archivio di credenziali, un controller di dominio) e collocato dove chi si muove lateralmente ha più motivo di guardare. In un ambiente reale se ne possono distribuire diversi, ciascuno pensato per intercettare un tipo diverso di curiosità.
Questo non elimina il limite teorico: una minaccia che non toccasse mai nessuna delle esche resterebbe comunque fuori portata. Ma restringe moltissimo lo spazio in cui quella possibilità può bastare a restare invisibili. Non sostituisce il radiologo, il giudice, l'investigatore antifrode o gli strumenti di correlazione comportamentale: chiude un punto cieco preciso, quello del movimento laterale dopo una compromissione, quando il comportamento dell'attaccante è già camuffato da legittimo. Il resto del problema del rilevamento, tutto ciò che accade fuori da quella porzione di rete, resta di competenza di chi lo indaga con gli altri strumenti, con lo stesso compromesso di sempre.
Ma per quella fetta precisa di problema, qualcosa cambia davvero. Lo stesso vale per chi legge log invece di lastre o segnali radar: la domanda smette di essere «questo comportamento è abbastanza anomalo da giustificare un allarme?» e diventa «qualcuno ha toccato qualcosa che non ha alcuna ragione di essere toccato?». Una domanda che non richiede più soglie, statistiche, né un analista che decida quanto è ambiguo il rumore.
I migliori radar del mondo continuano a convivere con le interferenze. I migliori radiologi del mondo continuano a convivere con i falsi positivi. I migliori sistemi giudiziari del mondo, da molto prima che esistesse un nome per il problema, continuano a convivere con il rischio di sbagliare in un senso o nell'altro. Non è un fallimento di questi campi: è la natura del problema, quando il segnale che si cerca resta ambiguo per definizione.
Un honeypot non è un radar migliore, un radiologo più esperto, un giudice più severo. Non gareggia nello stesso campionato: lo ha lasciato, per il pezzo di problema che riguarda lui. Un'esca che nessuno ha motivo legittimo di toccare rende inutile ogni indagine sull'intenzione, perché il gesto la dichiara da solo.
Quello che è davvero nuovo non è il principio. È poterlo finalmente sfruttare senza pagarne il prezzo che lo ha reso rischioso per quarant'anni: un'esca abbastanza convincente da depistare anche un attaccante esperto e, allo stesso tempo, così separata dalla rete del cliente che, se compromessa, non può diventare un'arma contro chi l'ha costruita. Il dispositivo che la collega non accetta alcuna connessione in ingresso: da lì non si torna indietro. L'honeypot di sempre, senza il suo rovescio della medaglia.
È un risultato che nessun radar, nessuna lastra, nessuna giuria, e per quarant'anni nemmeno un honeypot, ha mai potuto vantare: rilevare senza esporre chi si difende.