Cos'è la caccia alle minacce?

Cos'è la caccia alle minacce?

La caccia alle minacce è un'espressione generica che indica le tecniche e gli strumenti utilizzati dalle organizzazioni per identificare le minacce informatiche. Mentre la tradizionale caccia alle minacce era un processo di indagine manuale che si basava sulle competenze di un analista della sicurezza anziché su strumenti automatizzati, la moderna caccia alle minacce si basa su una combinazione dei due.

Spesso, per "caccia alle minacce" si intende il rilevamento proattivo delle minacce, durante il quale le organizzazioni valutano preventivamente la propria rete per individuare segnali di attività dannose interne o indagano sulle infrastrutture degli aggressori presenti al suo esterno. Meno frequentemente, questa espressione descrive anche il rilevamento reattivo delle minacce, durante il quale le organizzazioni analizzano la propria infrastruttura alla ricerca di punti deboli in seguito a una violazione dei dati o un attacco simile.

Cos'è un indicatore di attacco (IoA)?

Durante il processo di caccia alle minacce, le organizzazioni cercano indicatori di attacco (IoA)* per determinare l'intento e il comportamento dei potenziali autori di attacchi. Un IoA è un'azione o una serie di azioni che un malintenzionato deve eseguire per completare con successo l'attacco, ad esempio, indurre la vittima ad aprire un'e-mail di phishing, indurla a cliccare su un collegamento dannoso o eseguire il download di un malware e così via. Comprendere le tattiche e le procedure specifiche di un malintenzionato può aiutare le organizzazioni a elaborare una difesa dalle minacce più proattiva.

Un indicatore di compromissione (IoC) è la prova di un'attività dannosa: un'anomalia nel traffico di rete, accessi sospetti, aggiornamenti inaspettati ad account o file di livello amministratore o altri segnali che indicano che un'organizzazione è stata violata. Gli IoC sono componenti utili dei processi di ricerca reattiva delle minacce, poiché solitamente indicano che un'organizzazione è già stata compromessa.

*Si tratta anche di tattiche, tecniche e procedure (TTP) dell'autore dell'attacco.

Come funziona la caccia alle minacce?

Le procedure di caccia alle minacce variano in base alle esigenze di un'organizzazione e alle capacità del suo team di sicurezza, ma solitamente rientrano in una delle tre categorie: caccia strutturata, caccia non strutturata o caccia contingente.

1. La caccia strutturata identifica e analizza specifici comportamenti e tattiche degli aggressori, o IoA. Utilizza un modello di caccia basato su ipotesi, in cui un'ipotesi viene creata secondo un manuale di caccia alle minacce (ad esempio il framework MITRE ATT&CK). L'obiettivo principale di una caccia strutturata è individuare in modo proattivo il comportamento dell'aggressore prima che un attacco venga sfruttato contro un'organizzazione.
2. La caccia non strutturata viene attivata dalla scoperta di un IoC, in altre parole, prove di attività dannose, che potrebbero indicare un attacco recente o passato in cui una parte dell'organizzazione è stata compromessa. Una ricerca non strutturata utilizza un modello di ricerca reattivo basato su informazioni che esamina indirizzi IP, nomi di dominio, valori hash e altri dati forniti dalle piattaforme di condivisione dell'intelligence. Il suo obiettivo principale è indagare sulle vulnerabilità esistenti nell'infrastruttura e nei sistemi di un'organizzazione.
3. La caccia situazionale, detta anche caccia basata sulle entità, si concentra su sistemi, asset, account o dati specifici che rischiano di essere compromessi. Ad esempio, un account con privilegi di amministratore potrebbe essere esposto a un rischio maggiore di attacco informatico rispetto a un account con meno privilegi, poiché il primo potrebbe avere accesso a dati e sistemi più sensibili. Una caccia contingente utilizza un modello di caccia alle minacce personalizzato che può essere adattato alle esigenze di un'organizzazione, poiché il suo obiettivo principale è proteggere gli obiettivi ad alto rischio e comprendere quali minacce potrebbero dover affrontare, piuttosto che esaminare IoA o IoC in un'intera organizzazione.

Per capire meglio la differenza tra questi processi, immagina che Bob stia cercando di identificare degli uccelli utilizzando tre diverse tecniche di birdwatching. Una metodologia potrebbe richiedere parecchia pianificazione: analizzare i modelli di migrazione di un uccello, i rituali di accoppiamento, i programmi di alimentazione e qualsiasi altro fattore comportamentale che potrebbe aiutare a restringere il campo di dove e quando è probabile che l'uccello venga avvistato. Ciò è simile alla caccia strutturata, che si concentra sulla scoperta delle tattiche e dei comportamenti noti di un aggressore.

Utilizzando un'altra metodologia, Bob potrebbe visitare una foresta e cercare nidi, escrementi o altre prove fisiche della presenza di un uccello. Questo è simile alla caccia non strutturata, che spesso viene attivata quando viene rilevato un IoC.

Una terza metodologia potrebbe richiedere a Bob di dare priorità al monitoraggio degli uccelli in via di estinzione rispetto alle specie più comuni, per poi adattare il suo approccio all'uccello specifico che sta cercando di identificare. Questo è simile alla caccia contingente, che utilizza una strategia personalizzata per identificare le minacce agli obiettivi ad alto rischio.

Tipi di strumenti di caccia alle minacce

Il tradizionale processo di caccia alle minacce si basava su analisti della sicurezza che esaminavano manualmente la rete, l'infrastruttura e i sistemi di un'organizzazione, quindi creavano e testavano ipotesi per rilevare minacce esterne e interne (come una violazione dei dati o uno spostamento laterale dannoso).

La moderna caccia alle minacce, al contrario, si avvale di strumenti di sicurezza informatica per contribuire ad automatizzare e semplificare il processo investigativo. Tra gli strumenti più comuni troviamo:

• La gestione delle informazioni e degli eventi di sicurezza (SIEM) è una soluzione di sicurezza che, tra le altre funzionalità, fornisce aggregazione dei dati di log, monitoraggio degli avvisi, analisi degli incidenti di sicurezza, report di conformità.
• Il rilevamento e la risposta gestiti (MDR) è un tipo di centro operativo di sicurezza (SOC) gestito che tiene traccia dell'attività di rete, crea avvisi, indaga su potenziali minacce, rimuove i falsi positivi dagli avvisi, offre analisi avanzate e aiuta a porre rimedio agli incidenti di sicurezza.
• L'analisi del comportamento degli utenti e delle entità (UEBA) è un servizio di sicurezza che aggrega i dati di utenti ed endpoint, stabilisce una linea di base del comportamento normale e rileva e analizza le anomalie nei sistemi di un'organizzazione.

Caccia alle minacce e intelligence delle minacce

La caccia alle minacce è il processo di individuazione e analisi del comportamento degli aggressori, delle prove di attacchi informatici o di altre potenziali minacce a cui un'organizzazione è esposta. Lo scopo della caccia alle minacce non è solo quello di scoprire le vulnerabilità all'interno dell'infrastruttura di un'organizzazione, ma anche di individuare minacce e attacchi che non sono ancora stati eseguiti.

Al contrario, l'intelligence delle minacce è un insieme di dati sugli attacchi informatici, sia potenziali minacce che attacchi già verificatisi. Spesso questi dati vengono raccolti in un feed di intelligence delle minacce, che le organizzazioni possono utilizzare per aggiornare i propri processi di caccia alle minacce e le procedure di sicurezza.

In breve, la caccia alle minacce è simile all'esecuzione di un'indagine sulla scena del crimine, mentre l'intelligence delle minacce è costituita dalle prove raccolte sulla scena.

Per saperne di più sulle categorie e gli scopi dell'intelligence delle minacce, consulta Cos'è l'intelligence delle minacce?

Cloudflare fornisce servizi di caccia alle minacce?

Il Centro sicurezza Cloudflare offre funzionalità di indagine sulle minacce progettate per aiutare i team di sicurezza a identificare, monitorare e mitigare potenziali attacchi da un'unica interfaccia unificata. All'interno del portale di indagine sulle minacce, gli utenti possono interrogare specifici indirizzi IP, nomi host e sistemi autonomi (AS) per individuare l'origine delle minacce emergenti.

Scopri di più sul Centro sicurezza Cloudflare.