IBM ha annunciato una funzione che rileva attività sospette di esfiltrazione nei sistemi FlashSystem 5600, 7600 e 9600 idonei, con FlashCore Module di quinta generazione e firmware 9.1.2 o successivo. IBM aveva indicato ottobre 2026 come inizio della disponibilità. Il sistema segnala letture anomale: il suo compito è rilevare e notificare, non bloccare automaticamente il trasferimento dei dati. IBM spiega il funzionamento e l’ambito della funzione.
Come individua le letture insolite
Il FlashCore Module analizza ogni operazione di I/O e apprende i normali profili di lettura di ciascun volume. IBM afferma che il sistema riconosce attività abituali, come backup e scansioni analitiche, e segnala i comportamenti che si discostano da quei profili.
Dopo un sospetto, la funzione usa una finestra di confidenza di 30 minuti per confermare l’evento. Questa rilevazione e la relativa notifica possono aiutare il team IT a indagare, ma non equivalgono a un blocco automatico dei dati in uscita o all’isolamento del volume.
IBM afferma inoltre che l’analisi avviene nel modulo di storage, senza dipendere da agent installati sugli endpoint o dai log degli host. Secondo l’azienda, non richiede modifiche alle applicazioni e non ha un impatto misurabile sulle prestazioni.
Modelli e firmware interessati
IBM indica configurazioni idonee di FlashSystem 5600, FlashSystem 7600 e FlashSystem 9600 con FlashCore Module di quinta generazione e firmware 9.1.2 o successivo. L’azienda aveva indicato ottobre 2026 come avvio della disponibilità della funzione.
Che cosa indica il dato inferiore all’1%
IBM riporta una percentuale di falsi positivi inferiore all’1%, basata sulla telemetria sul campo dei clienti che usano i modelli indicati con firmware 9.1.2 o successivo. L’azienda precisa che i risultati variano da un cliente all’altro. È quindi un dato attribuito da IBM a quelle configurazioni e a quella telemetria, non una garanzia valida per ogni installazione.
Crittografia e funzioni di gestione
Nel FlashCore Module di quinta generazione, IBM mantiene AES-256 per la cifratura dei dati a riposo. L’azienda dichiara di usare ML-KEM in modalità ibrida, secondo FIPS 203, per trasportare il PIN di sblocco dal controller di storage al modulo; firme ML-DSA ibride, secondo FIPS 204, servono invece a verificare l’autenticità del firmware.
IBM descrive anche funzioni aggiunte a FlashSystem.ai: raccomandazioni contestuali, continuità del contesto delle attività tra sessioni e suggerimenti sulle azioni successive. Per il provisioning di più volumi con Safeguarded Copy e policy di disaster recovery, IBM riporta fino al 90% di sforzo in meno rispetto agli stessi sistemi di ultima generazione usati senza FlashSystem.ai. Il dato proviene da una valutazione interna di laboratorio; i risultati, precisa l’azienda, dipendono dall’ambiente, dalle integrazioni, dalle policy e dalla competenza degli utenti.
IBM descrive infine gli Secure HBA come una futura estensione delle protezioni al percorso Fibre Channel. Anche la cifratura delle sessioni Fibre Channel è presentata come una capacità futura.
