Incident Response potenziata dall'Intelligenza Artificiale

Nel luglio 2026 Vincenzo Calabrò ha tenuto il corso «Incident Response potenziata dall'Intelligenza Artificiale», sedici moduli sulla risposta agli incidenti informatici e sull’analisi forense digitale nel contesto attuale. L’intelligenza artificiale vi compare in tre ruoli distinti: come strumento a supporto dell’analista (rilevamento, triage, analisi di grandi volumi di dati), come mezzo a disposizione degli attaccanti e come sistema da proteggere e, se necessario, da sottoporre a indagine. Ogni modulo tiene separati i tre piani e indica, per ciascuno, contributi e limiti.

I moduli formano una traccia core, comune a tutti, e tre specializzazioni fra cui ogni studente sceglie: Detection & Response (moduli 03–06), Digital Forensics (moduli 08–11) e Sicurezza dell’AI (moduli 06 e 12–14). Si parte dai moduli 01, 02 e 07, che danno il processo di risposta, le basi dell’AI per la sicurezza e il metodo forense; si prosegue con la specializzazione scelta; si chiude con governance, etica e diritto (modulo 15) e con il project work finale (modulo 16). Quando un modulo presuppone nozioni di un’altra traccia, le indica come letture di raccordo.

Ogni modulo comprende obiettivi di apprendimento, sezioni teoriche, approfondimenti, un laboratorio, letture e domande di autovalutazione. Il project work simula un’intrusione in più fasi in un’azienda fittizia, gestita da gruppi misti che svolgono risposta e indagine forense con e senza il supporto dell’AI e confrontano le metriche MTTD e MTTR. Vale il 40% del voto; il resto si compone di prova scritta (30%), laboratori (20%) e partecipazione ai casi di studio (10%).

Prerequisiti: conoscenza di base di reti TCP/IP, sistemi operativi Windows e Linux e principi di sicurezza informatica; per i moduli sul machine learning, nozioni elementari di statistica e probabilità.

La traccia core parte dal ciclo di vita dell’incidente secondo NIST SP 800-61r3, SANS (PICERL) e ISO/IEC 27035, con l’organizzazione di SOC, CSIRT e CERT, playbook e runbook, metriche e obblighi di notifica. Introduce poi machine learning, deep learning, LLM e agenti con i limiti statistici della detection, e fissa il metodo forense secondo ISO/IEC 27037, 27042 e 27043: catena di custodia, hashing, ripetibilità e regole processuali italiane. La specializzazione Detection & Response tratta anomaly detection e UEBA, threat intelligence con NLP (STIX/TAXII, MISP, OpenCTI, MITRE ATT&CK), orchestrazione SOAR con controllo umano significativo e l’uso di copiloti e agenti nel SOC. La specializzazione Digital Forensics applica l’AI al triage dei supporti e alla ricerca semantica, a memoria e rete (Volatility 3, Plaso e Timesketch, beaconing C2), a dispositivi mobili, cloud e contenuti multimediali (deepfake e C2PA) e all’analisi del malware. La specializzazione Sicurezza dell’AI studia l’AI offensiva, l’adversarial machine learning con MITRE ATLAS e OWASP Top 10 for LLM Applications e la costruzione di un assistente di triage con RAG predisposto all’indagine forense. La chiusura colloca tutto nel quadro dell’AI Act, del GDPR, della NIS2 e dello Statuto dei lavoratori.

La dispensa del corso (148 pagine in PDF) contiene un capitolo per modulo, con definizioni complete, riferimenti normativi e tecnici aggiornati a luglio 2026, esempi commentati, domande di autovalutazione, glossario e bibliografia: è il testo per lo studio individuale. Le slide dei 16 moduli (261 pagine in PDF) guidano la discussione in aula.

 

 

Comune a tutti: il processo di risposta agli incidenti, le basi dell’AI per la sicurezza e il metodo forense.

 

Modulo 01 – Fondamenti di Incident Response — Il ciclo di vita dell'incidente come processo strutturato e ripetibile: modelli NIST e SANS, organizzazione di SOC, CSIRT e CERT, playbook e runbook.
Slide del modulo 01 (PDF, 17 pagine)

 

Modulo 02 – Introduzione all'AI per la sicurezza — I fondamenti di machine learning e deep learning necessari a valutare criticamente le soluzioni di sicurezza basate su AI, fino agli LLM e agli agenti autonomi.
Slide del modulo 02 (PDF, 16 pagine)

 

Modulo 07 – Fondamenti di Digital Forensics — Identificazione, acquisizione, preservazione, analisi e presentazione delle evidenze digitali secondo ISO/IEC 27037, 27042 e 27043: catena di custodia, hashing e ripetibilità.
Slide del modulo 07 (PDF, 16 pagine)

 

Rilevamento, intelligence sulle minacce, automazione della risposta, modelli linguistici e agenti nel SOC.

 

Modulo 03 – Detection potenziata dall'AI — Anomaly detection, analisi comportamentale (UEBA) e triage automatizzato degli alert: contributi e limiti dell'AI nella fase di rilevamento.
Slide del modulo 03 (PDF, 17 pagine)

 

Modulo 04 – Threat Intelligence e AI — NLP per l'estrazione di indicatori e tecniche da fonti non strutturate, arricchimento automatico e mappatura su MITRE ATT&CK, con i limiti dell'estrazione automatica.
Slide del modulo 04 (PDF, 16 pagine)

 

Modulo 05 – SOAR e automazione della risposta — Orchestrazione, playbook adattivi e controllo umano significativo: criteri per automatizzare il contenimento e rischi introdotti dall'automazione.
Slide del modulo 05 (PDF, 16 pagine)

 

Modulo 06 – LLM e agenti nel SOC — Copiloti investigativi, generazione di query e regole di detection, sintesi degli incidenti e prospettiva dell'agentic SOC, con la verifica umana come requisito costante.
Slide del modulo 06 (PDF, 17 pagine)

 

Forensics assistita dall’AI, memoria e rete, dispositivi mobili, cloud e contenuti multimediali, malware.

 

Modulo 08 – Digital Forensics assistita dall'AI — Triage automatizzato dei supporti, classificazione degli artefatti e ricerca semantica; condizioni di ammissibilità probatoria degli esiti prodotti da un modello.
Slide del modulo 08 (PDF, 17 pagine)

 

Modulo 09 – Memory e network forensics con AI — La memoria volatile e il traffico di rete come fonti primarie per incidenti in corso: Volatility 3, super-timeline con Plaso/Timesketch e rilevamento del beaconing C2.
Slide del modulo 09 (PDF, 16 pagine)

 

Modulo 10 – Mobile, cloud e multimedia forensics — Il metodo forense oltre il disco: dispositivi mobili, log degli ambienti cloud e contenuti multimediali, con l'AI come strumento d'indagine e come origine dei contenuti sintetici.
Slide del modulo 10 (PDF, 16 pagine)

 

Modulo 11 – Malware analysis con AI — Classificazione statica e dinamica, sandbox e reverse engineering assistito dall'AI, dall'analisi del campione alle azioni di contenimento.
Slide del modulo 11 (PDF, 16 pagine)

 

Comprende anche il modulo 06 (LLM e agenti nel SOC), in comune con Detection & Response: l’AI come strumento offensivo, come superficie d’attacco e come oggetto di indagine.

 

Modulo 12 – AI offensiva e minacce emergenti — Il punto di vista dell'attaccante: ingegneria sociale generativa, deepfake, malware adattivo e automazione dell'attacco, con una trattazione concettuale e difensiva.
Slide del modulo 12 (PDF, 16 pagine)

 

Modulo 13 – Adversarial ML e sicurezza dei sistemi AI — I sistemi AI come superficie d'attacco: evasion, poisoning, prompt injection ed estrazione, con MITRE ATLAS e OWASP Top 10 for LLM Applications come tassonomie.
Slide del modulo 13 (PDF, 16 pagine)

 

Modulo 14 – Costruire l'AI difensiva e AI forensics — Progettare un assistente di triage con RAG, valutarlo prima del rilascio e renderlo indagabile, considerando il sistema AI come possibile oggetto di indagine forense.
Slide del modulo 14 (PDF, 16 pagine)

 

Comune a tutti: quadro giuridico ed etico e project work finale.

 

Modulo 15 – Governance, etica e diritto — L'AI nella risposta agli incidenti dentro il quadro europeo: AI Act, GDPR, NIS2, decisioni automatizzate, bias, spiegabilità e tutela dei dati di telemetria.
Slide del modulo 15 (PDF, 17 pagine)

 

Modulo 16 – Project work finale — Simulazione di un'intrusione in più fasi in un'azienda fittizia: risposta e indagine forense con e senza supporto dell'AI, e confronto delle metriche MTTD e MTTR.
Slide del modulo 16 (PDF, 16 pagine)