Che cos'è l'individuazione delle minacce?

Il rilevamento delle minacce è importante perché aiuta le organizzazioni a rafforzare il proprio livello di sicurezza contro ransomware, minacce interne e altri attacchi informatici che altrimenti potrebbero passare inosservati.

Mentre gli strumenti di sicurezza automatizzati e gli analisti del Security Operations Center (SOC) possono rilevare la maggior parte delle minacce alla cybersecurity prima che causino danni gravi, alcune minacce sofisticate possono sfuggire a queste difese.

Quando un malintenzionato entra in un sistema, può nascondersi per settimane o addirittura mesi prima di essere scoperto. Secondo il report Cost of a Data Breach di IBM, ci vogliono in media 181 giorni per identificare che si è verificata una violazione dei dati. Nel frattempo, gli aggressori stanno sottraendo dati e rubando credenziali per sbloccare ulteriori accessi. 

Quanti danni possono fare queste potenziali minacce? Secondo il report Cost of a Data Breach, il costo medio di una violazione dei dati per un'azienda è di 4,88 milioni di dollari. Più lungo è il tempo tra l'accesso iniziale e il contenimento, più può costare a un'organizzazione.  

Un efficace rilevamento delle minacce implica che i team di sicurezza cerchino in modo proattivo queste minacce nascoste. Di conseguenza, le organizzazioni possono scoprire le intrusioni e implementare le misure di mitigazione molto più rapidamente, riducendo i danni che i criminali possono arrecare.

I rilevatori di minacce sono professionisti esperti in cybersecurity. Di solito sono analisti della sicurezza all'interno del dipartimento IT di un'azienda che conoscono bene le operazioni dell'organizzazione, ma a volte sono analisti esterni. I team di rilevamento delle minacce utilizzano l'automazione per aiutare a cercare, registrare, monitorare e neutralizzare le minacce prima che possano causare problemi seri.

I programmi di rilevamento delle minacce si basano su dati—specificamente, sui set di dati raccolti dai sistemi di rilevamento delle minacce di un'organizzazione e da altre soluzioni di sicurezza aziendale.  

Durante il processo di rilevamento delle minacce, i rilevatori di minacce esaminano questi dati di sicurezza, alla ricerca di malware nascosto, aggressori invisibili e qualsiasi altro segnale di attività sospetta che i sistemi automatici potrebbero avere ignorato.  

Quando i rilevatori di minacce trovano qualcosa, entrano in azione, sradicando la minaccia e rafforzando le difese per assicurarsi che questa non si ripresenti.

I cacciatori partono da un'ipotesi basata sulle loro osservazioni, sui dati di sicurezza o su qualche altro fattore scatenante. L'ipotesi serve da trampolino di lancio per un'indagine più approfondita sulle potenziali minacce.  

Le indagini assumono solitamente una di queste tre forme: rilevamento strutturato, rilevamento non strutturata o rilevamento situazionale.

La caccia basata su Intel si basa sugli IoC provenienti da fonti di threat intelligence. I cacciatori di minacce utilizzano strumenti come i sistemi di gestione delle informazioni di sicurezza e degli eventi (SIEM) per monitorare gli IOC noti, come valori hash, indirizzi IP, nomi di dominio e artefatti dell'host. Quando vengono scoperti gli IOC, i cacciatori indagano su potenziali attività dannose esaminando lo stato della rete prima e dopo l'avviso.

Il rilevamento basato su ipotesi è guidato dagli IoA noti registrati in framework come MITRE ATT&CK. Le ricerche basate su ipotesi esplorano se gli aggressori possono utilizzare determinati TTP per ottenere l'accesso a una particolare rete. Quando viene identificato un comportamento, i rilevatori di minacce possono monitorare i modelli di attività per rilevare, identificare e isolare eventuali minacce che utilizzano tale comportamento.  

Grazie alla loro natura proattiva, la caccia basata su ipotesi può aiutare a identificare e bloccare le minacce persistenti avanzate (APT) prima che causino danni ingenti.

Il rilevamento personalizzato si basa sul contesto dell'organizzazione: precedenti incidenti di sicurezza, problemi geopolitici, attacchi mirati, avvisi dai sistemi di sicurezza e altri fattori. I rilevamenti personalizzati possono combinare le qualità delle metodologie di rilevamento basate su informazioni e ipotesi.  

I team di sicurezza utilizzano vari strumenti per assistere nella ricerca delle minacce. Alcuni dei più comuni includono:

SIEM è una soluzione di sicurezza che aiuta le organizzazioni a riconoscere e affrontare minacce e vulnerabilità prima che possano interrompere le operazioni di business. I SIEM possono aiutare a rilevare gli attacchi in anticipo e a ridurre il numero di falsi positivi su cui i cacciatori di minacce devono indagare.

Rilevamento e risposta degli endpoint (EDR) è un software che utilizza l'analisi in tempo reale e l'automazione basata sull'AI per proteggere gli utenti finali, i dispositivi endpoint e gli asset IT di un'organizzazione dalle minacce informatiche che superano i tradizionali strumenti di endpoint security.

MDR è un servizio di cybersecurity che monitora, rileva e risponde alle minacce in tempo reale. Combina tecnologia avanzata e analisi esperte per promuovere il rilevamento proattivo delle minacce, consentire risposte efficaci agli incidenti e procedere rapidamente alla correzione delle minacce.

Questi sistemi offrono informazioni più approfondite sui dati di sicurezza combinando i big data con sofisticati strumenti di apprendimento automatico e intelligenza artificiale. L'analisi della sicurezza può accelerare il rilevamento delle minacce informatiche fornendo dati di osservabilità dettagliati.

La threat intelligence, chiamata anche "cyberthreat intelligence", consiste in informazioni dettagliate e fruibili che le organizzazioni possono utilizzare per prevenire e combattere le minacce alla cybersecurity.

La threat intelligence offre alle organizzazioni insight sia sulle minacce più recenti che prendono di mira le loro reti, sia sul più ampio landscape. 

I rilevatori di minacce utilizzano la threat intelligence per condurre ricerche approfondite a livello di sistema, alla ricerca di malintenzionati. In altre parole, il rilevamento delle minacce inizia dove finisce la threat intelligence, poiché trasforma gli insight della threat intelligence in azioni concrete, necessarie per sradicare le minacce esistenti e prevenire attacchi futuri.