Cos'è un feed di intelligence delle minacce?

Cos'è un feed di intelligence delle minacce?

Un feed di intelligence delle minacce è un flusso di dati relativi a potenziali attacchi (noto come "intelligence delle minacce") provenienti da una fonte esterna. Le organizzazioni possono utilizzare questi feed per mantenere aggiornate le proprie difese di sicurezza, e prepararsi a fronteggiare attacchi di nuova generazione.

Un feed di notizie su un giornale web o un feed su una piattaforma di social media mostrano entrambi aggiornamenti continui: nuovi contenuti, nuove notizie, modifiche a storie in evoluzione e così via. Allo stesso modo, un feed di intelligence delle minacce è una fonte di dati continuamente aggiornata sulle minacce informatiche: indicatori di compromissione (IoC), domini sospetti, firme malware note e altro ancora.

I feed di intelligence delle minacce possono essere assimilati a un'attività di ricognizione militare. Un esercito può utilizzare informazioni sulle attività di una forza nemica per prendere decisioni riguardanti la predisposizione delle proprie difese. Analogamente, i feed di intelligence delle minacce consentono ai team di sicurezza di prepararsi al meglio per gli attacchi informatici attuali e futuri.

Alcuni feed sono machine-readable, e possono essere utilizzati direttamente dai sistemi di security information and event management (SIEM) e da altri strumenti di sicurezza. Altri sono destinati alla fruizione umana, e permettono ai team addetti alla cybersecurity di agire e prendere decisioni.

Molti feed di intelligence delle minacce sono gratuiti e open source, e hanno lo scopo di promuovere una prevenzione diffusa dalle minacce. Altri, invece, sono prodotti da aziende private e sono disponibili solo dietro pagamento.

Cos'è una minaccia informatica?

Una "minaccia" può essere definita come un'azione che potrebbe risultare nel furto, nella perdita, nello spostamento o nell'alterazione non autorizzata dei dati. Il termine può riferirsi sia ad azioni possibili che ad azioni effettive.

Se Giorgio ha rubato la password dell'e-mail di Alice e ha preso il controllo della sua casella di posta, ma non l'ha ancora fatto con Alessio, per Alessio Giorgio rappresenta ancora una minaccia. Alice vuole avvisare Alessio di ciò che ha fatto Giorgio, in modo che Alessio possa adottare le necessarie contromisure. Alice comunica ad Alessio una forma molto semplice di intelligence delle minacce: "Occhio a Giorgio!"

Ma per essere utile ai tool e ai team di sicurezza, l’intelligence delle minacce deve essere ben più articolata di un semplice "Occhio a Giorgio". Le informazioni su potenziali minacce esterne possono assumere diverse forme.

• Tattiche, tecniche e procedure (TTP): le TTP sono descrizioni dettagliate del comportamento di attacco.
• Firme malware: una firma è un modello univoco o una sequenza di byte in base al quale è possibile identificare un file. Gli strumenti di sicurezza possono cercare file con firme corrispondenti a quelle di malware noti.
• Indicatori di compromissione (IoC): si tratta di dati che aiutano a identificare se un attacco ha avuto luogo o è in corso.
• Indirizzi IP e domini sospetti: tutto il traffico di una rete ha origine da qualche parte. Se si rileva che gli attacchi provengono da un determinato dominio o indirizzo IP, i firewall possono bloccare il traffico da tale origine per prevenire possibili attacchi futuri.

Da dove provengono le informazioni contenute in un feed?

Le informazioni contenute in un feed di intelligence delle minacce possono provenire da diverse fonti, tra cui:

• Analisi del traffico Internet per rilevare attacchi ed esfiltrazioni di dati
• Ricerche approfondite condotte da professionisti della sicurezza
• Analisi diretta del malware, tramite analisi euristica, sandboxing o altri metodi di rilevamento
• Dati open source ampiamente disponibili, condivisi tra gli addetti ai lavori nel settore della sicurezza informatica
• La scansione del web per identificare attacchi e infrastrutture di attacco (Cloud Email Security, ad esempio, utilizza una forma di questa tecnica per identificare in anticipo attacchi di phishing)
• Dati aggregati di analisi e telemetria provenienti dai clienti di un'azienda di sicurezza

Un provider di feed di intelligence delle minacce compila queste informazioni, le aggiunge al proprio feed e le distribuisce.

Perché utilizzare un feed di intelligence delle minacce?

Informazioni aggiornate: i criminali informatici vogliono che i loro attacchi abbiano successo. Per questo motivo, cambiano e ampliano costantemente le loro tattiche per aggirare le difese. Le organizzazioni configurate per bloccare gli attacchi dell'anno scorso potrebbero essere compromesse dalle tattiche di attacco di quest'anno. Pertanto, i team di sicurezza necessitano dei dati più aggiornati per proteggere le proprie difese e garantire di poter bloccare gli attacchi più recenti.

Maggiore ampiezza di informazioni: i feed di intelligence delle minacce presentano una vasta gamma di dati. Tornando al nostro esempio, Bob potrebbe aver impedito in passato a Chuck di rubargli la casella di posta elettronica, ma se Alice lo informa dell'ultimo attacco di Chuck, Bob saprà come bloccare sia l'attacco subito in precedenza sia l'attacco diretto ad Alice. Allo stesso modo, l'intelligence delle minacce consente alle organizzazioni di neutralizzare una varietà di rischi molto ampia.

Maggiore efficienza: acquisire informazioni sulle minacce da fonti esterne consente ai team di sicurezza di dedicare più tempo a bloccare gli attacchi, anziché passarlo a raccogliere dati. I professionisti della sicurezza possono prendere decisioni e implementare misure di mitigazione, invece di raccogliere le informazioni necessarie per prendere tali decisioni. Strumenti di sicurezza come i WAF, inoltre possono imparare a riconoscere gli attacchi prima ancora di doverli affrontare.

In che modo i feed di intelligence delle minacce utilizzano STIX/TAXII?

STIX e TAXII sono due standard utilizzati congiuntamente per la condivisione di intelligence delle minacce. STIX è una sintassi per la formattazione dell'intelligence delle minacce, mentre TAXII è un protocollo standardizzato per la distribuzione di questi dati (come HTTP). Molti feed di intelligence delle minacce utilizzano STIX/TAXII per garantire che i dati possano essere ampiamente interpretati e utilizzati da molteplici di tool di sicurezza.

In che modo Cloudflare distribuisce il proprio feed di intelligence sulle minacce?

Cloudflare protegge una larga fetta dei siti web mondiali (con 115 milioni di richieste HTTP elaborate al secondo), e questo ci consente di analizzare un'enorme quantità di dati e di schemi di attacco sul traffico della rete. Questi dati vengono poi convertiti in un'intelligence delle minacce completa e fruibile, pronta per essere integrata nei tool di sicurezza (tramite STIX/TAXII).

Cloudflare offre questo feed tramite il servizio Cloudforce One. Capeggiato da un team di ricerca di vasta esperienza, Cloudforce One contrasta gli aggressori informatici in tutto il mondo. Scopri di più su Cloudforce One