Darwinismo aplicado a la seguridad informática (segunda parte): vacuna contra los milagros

¡Hola, amigos!

Como os prometí, vuelvo con más información sobre la relación entre la teoría de la evolución y cómo se ha desarrollado la protección contra las ciberamenazas.

Hasta la fecha, nadie sabe con exactitud qué causa las mutaciones de los organismos vivos. Los expertos más inconformistas consideran que es culpa de los virus que reorganizan deliberadamente los genes (sí, ¡son ellos los que mandan en el mundo!). Pero, sea como sea, también ocurren procesos de mutación similares en la seguridad informática, a veces ayudados de virus.

De acuerdo con el principio de la lucha por la existencia, las tecnologías de seguridad evolucionan con el tiempo: aparecen nuevas categorías de productos y otras se extinguen, mientras algunos productos se fusionan con otros. En cuanto al último caso, los verificadores de integridad fueron un gran avance a mediados de los años 90, aunque hoy en día solo son una pequeña parte de las soluciones para empresas.

Han aparecido nuevos segmentos y áreas en el mercado (por ejemplo, Anti-APT) para complementar el arsenal existente de tecnologías de protección, se trata de un proceso normal para el desarrollo de una simbiosis positiva. Al mismo tiempo, algunos parásitos despreciables salen de entre la madera para calentarse con el sol. Así es la vida, así ha sido siempre y no podemos hacer nada al respecto.

En la lucha por dominar la cuota de mercado de la seguridad informática, suelen aparecen profetas que predicen el fin de las tecnologías “tradicionales” y, por una feliz casualidad, la invención (a tiempo) de un falso producto milagroso y revolucionario (con generosos descuentos para los primeros cinco compradores).

Pero esto no es nada nuevo: ¿alguien recuerda los antispyware? A principios de los años 2000, aparecieron de la nada un montón de productos para deshacerse del spyware. Se dijeron muchas falsedades a los clientes sobre la incapacidad de los “antivirus tradicionales” para afrontar este problema específico, pero, desde el principio, fue todo una mentira.

Pero, el mercado siempre ha estado plagado de tales profetas y, hoy en día, ya estamos acostumbrados y cansados de ellos, por lo que conseguir que dichos productos milagro den beneficios requiere de una inversión mucho más grande y muchos esfuerzos en marketing.

David (y Goebbels y Don Draper) contra Goliath.

Cuando se trata de mantener las tradiciones de la propaganda de estado o del sector privado (Madison Avenue), lo que los productos milagro hacen es apuntar hacia ciertas vulnerabilidades de la psicología humana que se mantienen desde la infancia; en particular, la creencia en los milagros y las teorías conspiracionales.

El guión de los productos de nueva generación es más o menos así: un conjunto de personas codiciosas y depravadas (los malos) tienen el dominio del monopolio sobre una comunidad de cuento de hadas.

Los malos alimentan a la comunidad con ideas absurdas y reprimen los ideales de progreso. Después llegan unos “innovadores” (los buenos ) para salvarlos y, naturalmente, se ganan la simpatía de los espectadores, mientras que los malos solo inspiran antipatía. La película termina con la victoria de los buenos y un futuro prometedor.

Bien, reduzcamos la emoción y analicemos mejor la situación.

Bajo la superficie

Los fabricantes de productos milagro de la última década han insistido mucho en un tema al que llaman Inteligencia artificial (IA).

La IA es alabada como si se tratara de una tecnología milagrosa, la cual por sí misma, sin la autorización del usuario, ¡salva a cualquiera que lo esté usando inmediatamente, de todo, para siempre! Mmm. Suena fantástico. Y después de ver un anuncio sobre esta maravillosa tecnología descubres que es un método nuevo, que es el futuro: la magia nos librará del malware, el spam, los ataques dirigidos y otras desgracias cibernéticas.

Cómo nos gusta recibir gato por liebre. Cómo nos gusta creer que seremos salvados por algún ser supremo (no porque esa fantasía sea creíble, sino porque es reconfortante :)). Entonces queremos saber más y ahondamos en el tema. Más allá del material publicitario… pero nos percatamos de que no hay nada más por descubrir. Cualquier pregunta que vaya más allá de lo general es redirigida a /dev/null algún gurú técnico, y, después, a disfrutar del silencio. Para siempre.

Bajo el microscopio

Muy bien. Veamos de cerca…

Entonces todos estos productos milagrosos se burlan de los “enfoques tradicionales”, a la vez que predican los métodos no tradicionales, como lo es la inteligencia artificial. Se parece un poco a Skynet, ¿verdad?

@dakami Lies, damn lies, and automated statistics?

— jrk (@suburbsec) May 19, 2016

No, no es Skynet; es mejor. Lo que hacen los productos milagro es “usar métodos únicos de aprendizaje en los dispositivos”, “sin necesidad de actualizaciones”, “utilizan muy poca memoria”, “trabajan de manera imperceptible en un segundo plano”, “trabajan de manera más efectiva que los productos tradicionales”, “reportan menos falsos positivos” y también “interceptan el espionaje altamente sofisticado mientras que otros no lo hacen”. Una pequeña omisión: nunca dicen cómo lo hacen. Ni tampoco demuestran sus afirmaciones con análisis independientes realizados por terceros.

Cuando se les pregunta cómo, declaran que no pueden desvelar los métodos en cuestión porque entonces los malos podrían utilizarlos. En lugar de dar pistas sobre esta magia, lo que recibe cualquier cliente, inversionista o periodista es una historia descafeinada y sin sentido.

Hacer más atractiva esa historia con folletos de colores, una bonita página web e incluso una elegante conferencia de prensa no es de gran ayuda.

Para poder vender sus productos o atraer inversores deben tener algo más convincente. Preferiblemente de un tercero, uno con muy buena reputación.

Para los creadores de estos milagrosos productos es un golpe duro. ¿Cuál es su respuesta? Simplemente no toman parte en pruebas independientes, o, en el caso de hacerlo, solo de unas pocas muy bien seleccionadas, de acuerdo con las pruebas de siempre, y luego malinterpretan los resultados. En lugar de proporcionar una prueba independiente, proporcionan su propia “prueba” de efectividad, basada en metodologías falsas y oscuras.

9 ways to pull wool over your eyes and manipulate antivirus comparative tests results http://t.co/CGh2pwy3

— Eugene Kaspersky (@e_kaspersky) January 24, 2013

La novedosa tradición de la IA

En el fondo de la retórica del marketing de los productos milagro se encuentra la negación de cualquier método “tradicional”, prefiriendo los más nuevos y progresivos. “Los héroes de ayer venden tecnología de ayer y son incapaces de inventar algo nuevo, de alta tecnología y útil”.

Bien, probemos esto. Cojamos el ejemplo del aprendizaje automático. ¿Es una nueva moda que los creadores de productos milagrosos (dicen que) utilizan?

En realidad, el aprendizaje automático ha sido usado repetidamente en la seguridad informática desde principios de los años 2000.

Por ejemplo, el 99,9 % del malware nuevo que detectamos es gracias a robots de aprendizaje automático (los precursores de la inteligencia artificial); solo un pequeño porcentaje (los virus más complejos) son los que requieren de la mano de un experto. De hecho, todas las tecnologías de protección proactiva requieren sin excepción de aprendizaje automático que, por ejemplo, nos permite: (i) monitorizar la actividad con System Watcher, el cual rastrea los cambios en el sistema y revierte cualquier acción maliciosa que encuentre; (ii) brindar protección automática contra los virus que se aprovechan de las vulnerabilidades aún no descubiertas; (iii) aplicar análisis heurísticos en diferentes módulos para atrapar malware basado en indicios indirectos; (vi) realizar emulaciones que ejecutan los archivos sospechosos de forma aislada; y (v) aplicar nuestro Targeted Attack Analyzer para los sofisticados ataques dirigidos. Y tenemos decenas de ejemplos más para respaldar nuestras palabras.

El ADN de la seguridad

El desarrollo continuo de las tecnologías de protección es la parte más importante del ADN de la Industria de la seguridad informática. Aumentar el potencial defensivo, cambiar las generaciones de las tecnologías de seguridad, introducir nuevas características… es la única manera de sobrevivir en la lucha contra los ciberdelitos.

También es la principal motivación para competir de manera satisfactoria. Las nuevas tecnologías aumentan la efectividad de la protección, disminuyen el consumo de los recursos y hacen que los productos sean más sencillos y cómodos para el usuario. ¿Quién se lleva la cuota de mercado? Siempre el que más innova.

Y cuando hablamos de desarrollo continuo de las tecnologías de protección, nos referimos al desarrollo continuo de tecnologías inteligentes, conocidas como aprendizaje automático. Y no podía ser de otra manera, ya que procesar manualmente varios cientos de miles de nuevas muestras de código malicioso al día es imposible. Y también, ¿quién querría intentarlo? Es mejor usar el cerebro para crear un sistema inteligente y después dejar que este haga el trabajo de manera fidedigna y automática. Así de simple. Se llama progreso tecnológico. Algo que no es nada nuevo.

@dakami @jamesmcn "The depth-limited tree search with arbitrary scoring heuristics will replace your job." Sounds like it was a crappy job?

— Jim Gray (@grayj_) May 19, 2016

Es importante entender que el aprendizaje automático es un componente necesario para la seguridad informática, pero es insuficiente por sí mismo. La seguridad informática exige una protección multicapa (para todo tipo de dispositivos, contra todo tipo de amenazas, a todos los niveles) que sea capaz de reaccionar rápidamente contra los nuevos retos y de adaptarse a las necesidades de seguridad que el mundo de los negocios actual necesita. Claro que esta no es  una respuesta final ni exhaustiva a la pregunta de “¿cómo proteger todo ahora y para siempre?”, ya que tarde o temprano los cibercanallas encontrarán la manera de sobreponerse incluso al modelo adaptativo; pero no os preocupéis, ya habremos pensado en una solución para entonces.

Achtung Baby

Creo que la pasión por la inteligencia artificial seguirá entre nosotros durante mucho tiempo. Y eso es bueno: mientras haya más compañías dispuestas a luchar y a sobrevivir intentando encontrar un avance, más fuerte inteligente será el ganador.

Por un lado, los proveedores continuarán fortaleciendo la capacidad tecnológica del procesamiento automático del malware para tener una protección proactiva basada en el aprendizaje automático. Por otro lado, el mercado tendrá que seguir tolerando a los nuevos profetas que prometen curas, ya que hay algo en el término “inteligencia artificial” que se lleva muy bien con la credulidad y la fantasía. Debe de ser magia :).

@grayj_ @dakami @jamesmcn Amusingly I called AI “self-modifying shellscripts” in college, and backed it up with awk, sed, and $0.

— K. Reid Wightman (@ReverseICS) May 19, 2016

Por desgracia, no existe una vacuna universal contra los productos milagrosos. A la vez, no descarto que aparezca alguna supertecnología capaz de transformar el mercado de la seguridad informática, cosa que aplaudiría, por supuesto. Siempre está la posibilidad de confundir la hierba con la maleza cuando se trata de IA y medirlo todo con el mismo rasero. Lo diré de otro modo: espero que vosotros, queridos lectores, seáis capaces de no creeros todo lo que se dice al pie de la letra cuando se trate de IA:

Horizontes eternos de la selección natural

La curiosidad humana y el deseo de sabiduría siempre harán que queramos alcanzar el horizonte (solo para descubrir qué hay más allá y entenderlo). Invertimos mucho tiempo y recursos explorando, comprendiendo y conquistando más allá del horizonte (y más y más lejos, horizonte tras horizonte).

Parece que esta ecuación no tiene solución: desde el punto de vista racional, tratar de percibir el infinito con recursos finitos no solo suena inútil, sino también tonto. En fin, nosotros, los homo sapiens continuaremos cavando, creyendo que el universo es una muñeca matrioska, que tan solo ha de ser desmontada para ser apreciada en su totalidad.

La actitud de cada uno hacia el futuro es una cuestión filosófica y meramente personal. Mi visión personal es que deberíamos seguir avanzando, sin importar lo que pase. La racionalización del caos y el aumento de la conciencia son dos de las grandes metas de la humanidad. Y la experiencia me ha enseñado que también es algo muy divertido y útil para el alma, el cuerpo y la sociedad.

Pero también es importante para la seguridad informática: cada semana aparecen nuevas generaciones de ciberataques, así que debemos pensar en complicar las cosas a las personas causantes de estos ataques.

Como en la clandestinidad de la informática, en la industria de la seguridad informática, la selección natural es mala y dura. La omnipresencia y lo impredecible de los ciberataques (ambos continúan creciendo) requieren de nuevas maneras de pensar y salir de la zona de confort es poco placentero y costoso, aunque inevitable e invariablemente es la única manera de evitar la extinción.

@e_kaspersky contra el elixir mágico de la IA, la última “poción mágica” de la seguridad informáticaTweet