Che cos’è il “Threat Hunting”? Panoramica con un esempio concreto

AGGIORNAMENTO: Questo articolo, originariamente pubblicato su 21 settembre 2021, è stato aggiornato per riflettere le informazioni più recenti disponibili in materia di ricerca delle minacce.

Il “threat hunting” è una pratica proattiva di sicurezza informatica in cui esperti, denominati “threat hunter”, ricercano attivamente segni di attività dannose, dalle fonti esterne alle minacce interne, all’interno dell’ambiente di un’organizzazione. L'obiettivo è quello di Detect e bloccare le minacce prima che possano causare danni, analizzando dati quali il traffico di rete, gli endpoint e i log.

Purtroppo, molte iniziative nel campo della sicurezza informatica continuano a concentrarsi su un approccio reattivo, il che offre agli autori degli attacchi l’opportunità di infiltrarsi nei sistemi e causare gravi danni.

È facile rendersi conto di cosa accada quando le organizzazioni non attribuiscono la dovuta priorità a misure di sicurezza proattive, quali i programmi di “threat hunting”, e finiscono sui titoli dei giornali a causa di massicce violazioni dei dati relative all’ (si apre in una nuova scheda) o di attacchi ransomware.

[Leggi anche: 5 modi in cui la vostra azienda può evitare di finire sui titoli dei giornali] (si apre in una nuova scheda)

In questo articolo approfondiremo il mondo del threat hunting, partendo dalla sua definizione e dalle competenze fondamentali che i threat hunter devono possedere per avere successo. Analizzeremo inoltre se tutte le attività di ricerca delle minacce siano di natura proattiva, esamineremo le metodologie più diffuse e distingueremo tra i diversi tipi di ricerca delle minacce.

Imparerete quali sono le fasi fondamentali seguite dai “threat hunter”, le loro tecniche e gli strumenti che supportano il loro lavoro. Condivideremo inoltre le migliori pratiche per migliorare il vostro processo di ricerca delle minacce, forniremo un esempio concreto di ricerca delle minacce e offriremo indicazioni su come integrare un programma proattivo di ricerca delle minacce nella vostra strategia di sicurezza.

Definizione di “Threat Hunting”

Il “threat hunting” si sta affermando come un metodo significativo di sicurezza informatica che comporta la ricerca continua di minacce in tutto l’ambiente di un’organizzazione. Ciò comporta spesso la ricerca di “incognite sconosciute” — anomalie non individuate in precedenza, attività insolite o codice dannoso — che potrebbero aprire la strada a un attacco informatico.

La ricerca delle minacce ha inizio con un'ipotesi o un'affermazione relativa alle idee del ricercatore su quali minacce potrebbero essere presenti nell'ambiente e su come individuarle. I cacciatori di minacce possono avvalersi delle informazioni sulle minacce, della conoscenza del contesto, nonché della propria esperienza e creatività per tracciare un percorso logico che conduca al rilevamento.

Grazie alla “threat hunting”, le organizzazioni spostano i propri sforzi in materia di sicurezza informatica dal controllo reattivo dei danni alla prevenzione proattiva degli stessi.

Quando i Suoi strumenti o un fornitore di servizi esterno La avvisano di una violazione dei dati in corso, oppure quando riceve una richiesta di riscatto di tipo “ ” (si apre in una nuova scheda), i danni ai Suoi sistemi e i costi di riparazione possono essere ingenti. La ricerca delle minacce consente di mitigare le vulnerabilità in modo proattivo prima che possano causare gravi conseguenze.

Un modo per concepire la ricerca delle minacce è quello di paragonarla al sistema immunitario del proprio corpo. I Suoi linfociti T non aspettano che Lei si senta male. Essi individuano e uccidono costantemente i germi invasori e le cellule che manifestano un comportamento anomalo. In molti casi, il sistema immunitario vi impedisce di ammalarvi.

Naturalmente, proprio come gli attacchi al sistema immunitario, anche gli attacchi informatici possono talvolta passare inosservati, persino all’interno di organizzazioni dotate di sistemi di sicurezza informatica solidi e costantemente aggiornati. Tuttavia, in molti casi, la ricerca proattiva delle minacce consente di individuare le violazioni in anticipo, salvaguardando la reputazione della vostra azienda e proteggendone i dati.

Man mano che acquisirete una maggiore comprensione del threat hunting, vi capiterà spesso di imbattervi nei termini “ ” e “threat intelligence”. È importante comprendere la differenza tra la ricerca delle minacce e l’intelligence sulle minacce, poiché entrambe costituiscono componenti fondamentali di una solida strategia di sicurezza informatica, ma perseguono finalità diverse e comportano processi distinti.

Qual è la differenza tra “threat hunting” e “threat intelligence”?

Il “ ” (ricerca delle minacce) consiste nella ricerca attiva delle minacce all’interno di un ambiente.

L' e delle informazioni sulle minacce consiste nella raccolta, nell'analisi e nella diffusione di informazioni relative a minacce potenziali o attuali, ottenute da varie fonti, tra cui dati open source, social media, monitoraggio del dark web e altre fonti condivise di informazioni sulle minacce.

Non solo i cacciatori di minacce operano partendo dal presupposto che gli avversari siano già in agguato all’interno del sistema, ma non si affidano alle informazioni di intelligence per venire a conoscenza di attacchi già noti — elevando di fatto il livello degli sforzi dal semplice rilevamento delle minacce alla loro ricerca attiva.

Idealmente, i cacciatori desiderano mantenere un passo avanti individuando minacce nuove ed emergenti non ancora documentate dai servizi di intelligence sulle minacce informatiche. Tuttavia, le informazioni di intelligence rese pubbliche continuano a offrire un valore significativo per la ricerca delle minacce, fornendo conoscenze fondamentali su cui gli specialisti in questo campo possono basarsi, tra cui approfondimenti sul panorama delle minacce, sui modelli ricorrenti e sugli insegnamenti tratti da incidenti passati, al fine di riconoscere più rapidamente e con maggiore precisione i modelli e gli indicatori di compromissione.

I professionisti efficaci nel campo della ricerca delle minacce svolgono un ruolo cruciale nel proteggere le organizzazioni da potenziali minacce in un panorama della sicurezza informatica in continua evoluzione. Tuttavia, per eccellere in questo campo, i “threat hunter” devono possedere una serie di caratteristiche specifiche che approfondiremo nella sezione successiva.

Le competenze principali di un threat hunter

In qualità di difensori in prima linea contro le minacce e gli attacchi più recenti, i “threat hunter” devono sviluppare caratteristiche specifiche per mantenere costantemente un vantaggio sugli avversari.

Padroneggiando queste competenze, i “threat hunter” possono migliorare in modo significativo la propria capacità di individuare ( Detect), analizzare e mitigare le potenziali minacce, rafforzando così il livello di sicurezza della propria organizzazione. I “threat hunter” devono:

Persone che continuano ad apprendere per tutta la vita

L’apprendimento continuo e l’autoformazione sono fondamentali per i “threat hunter”. Poiché emergono regolarmente nuove minacce e tecniche di attacco, i “threat hunter” devono documentarsi approfonditamente, frequentare corsi di formazione e partecipare alle comunità dedicate alla sicurezza informatica per rimanere aggiornati sulle ultime tendenze e sulle migliori pratiche.

Data scientist/analisti

I “threat hunter” devono integrare la scienza dei dati e l’analisi dei dati nel processo di raccolta di informazioni provenienti da diverse fonti, tra cui il traffico di rete, i log di sistema, i dati del sistema di gestione degli eventi e delle informazioni ( endpoint ), i feed di intelligence sulle minacce e altro ancora, al fine di elaborare e ricavare informazioni significative che guidino il loro processo decisionale.

Analizzando queste informazioni, gli specialisti nella ricerca delle minacce possono individuare modelli ricorrenti, rilevare anomalie e indagare su tali comportamenti anomali per stabilire se possano indicare un’attività dannosa.

Intuitivo

I cacciatori di minacce devono inoltre fare affidamento sul proprio intuito per analizzare i dati, individuare attività sospette e indagare sulle anomalie, al fine di individuare malware nascosti o autori di minacce che potrebbero essere sfuggiti ad altre attività di analisi. Tale intuizione si basa spesso su anni di esperienza e su una profonda comprensione dei sistemi che proteggono.

Combinando il proprio intuito con un’analisi basata sui dati, i cacciatori di minacce esperti sviluppano una spiccata capacità di individuare gli elementi da esaminare e di individuare e mitigare le potenziali minacce in modo più efficace.

Competente dal punto di vista tecnico

I cacciatori di minacce devono comprendere e utilizzare gli strumenti, le tecnologie e le metodologie adeguati per svolgere i propri compiti in modo efficiente ed efficace. Ciò comporta la scelta degli strumenti adeguati per compiti specifici, il tenersi aggiornati sugli ultimi progressi tecnologici e l’applicazione di tali conoscenze al fine di migliorare le prestazioni.

L'utilizzo di strumenti che supportino la capacità di un “threat hunter” di monitorare l’attività in tempo reale, indagare sugli incidenti senza sovraccaricare la rete e passare senza soluzione di continuità dalla ricerca delle minacce alla risposta è essenziale per migliorare la visibilità sulle attività e sui comportamenti degli utenti, al fine di identificare e mitigare minacce che altrimenti potrebbero passare inosservate.

Proprio come i “threat hunter” che si adoperano per anticipare le minacce, nella prossima sezione analizzeremo la natura proattiva dei diversi tipi di “threat hunting” e chiariremo se ogni approccio corrisponda a tale definizione. Ciò ci aiuterà a comprendere le diverse strategie di attacco e il loro ruolo nel mantenimento di solide difese in materia di sicurezza informatica.

Tutte le forme di “threat hunting” sono proattive?

No, non tutte le forme di “threat hunting” sono proattive. Infatti, la ricerca delle minacce viene spesso suddivisa in due approcci: proattivo e reattivo:

1. Ricerca proattiva delle minacce: Un approccio proattivo alla ricerca delle minacce consiste nel cercare attivamente potenziali minacce prima che possano causare danni, individuando i segnali di compromissione o intrusione.
   Con la ricerca proattiva, gli esperti mirano a individuare e isolare le minacce avanzate che eludono gli strumenti di sicurezza esistenti, concentrandosi su minacce prive di indicatori specifici. Questo approccio favorisce l'individuazione tempestiva, riduce i tempi di permanenza e previene danni significativi, consentendo alle organizzazioni di identificare e risolvere le vulnerabilità in modo proattivo.
2. Ricerca reattiva delle minacce: Al contrario, la ricerca reattiva delle minacce ha luogo dopo che è stato rilevato un incidente di sicurezza o dopo che il sistema di sicurezza ha segnalato un’anomalia.
   Poiché la minaccia potrebbe aver già causato danni, quali violazioni dei dati, perdite finanziarie e danni alla reputazione, la ricerca reattiva delle minacce può comportare danni significativi se utilizzata come strategia di sicurezza primaria. Inoltre, la ricerca reattiva delle minacce spesso non garantisce la tempestività e la profondità di analisi necessarie per aiutare le organizzazioni a prevenire attacchi futuri, concentrandosi sulle minacce immediate piuttosto che sulle vulnerabilità sottostanti.

Sebbene la ricerca reattiva delle minacce sia essenziale per affrontare rapidamente le minacce che riescono a superare le vostre difese informatiche, essa non dovrebbe sostituire le misure di sicurezza proattive, quali la ricerca continua di potenziali minacce prima che queste possano causare danni.

Si consideri che le lezioni apprese grazie alla ricerca proattiva delle minacce iniziano con: "La minaccia avrebbe potuto...” , mentre le analisi retrospettive della ricerca reattiva iniziano con:
"La minaccia ha...”

Una volta comprese le principali differenze e i vantaggi che contraddistinguono la ricerca proattiva e quella reattiva delle minacce, possiamo ora approfondire le metodologie di ricerca delle minacce più articolate.

Metodologie di ricerca delle minacce

La ricerca delle minacce si articola generalmente in tre approcci principali:

1. Ricerca basata su ipotesi: Questo approccio proattivo alla ricerca prevede che gli specialisti della ricerca delle minacce formulino un’ipotesi sulla base dei dati disponibili, delle tendenze o degli eventi di sicurezza, inclusi gli indicatori di attacco (IoA) e le tattiche, le tecniche e le procedure (TTP) degli autori degli attacchi. I cacciatori di minacce verificheranno e utilizzeranno le proprie ipotesi per orientare la ricerca di comportamenti anomali.
   Una ricerca basata su ipotesi può comprendere lo studio delle informazioni globali sulle minacce per individuare i tipi di minacce informatiche che con maggiore probabilità potrebbero essere presenti. Ad esempio, gli specialisti nella ricerca delle minacce possono ricavare informazioni utili dall’analisi dei comportamenti, dai flussi di intelligence e dalle librerie dedicate alla ricerca delle minacce, come il framework MITRE ATT&CK “ ” (si apre in una nuova scheda) , che fornisce una base di conoscenze open source sulle più recenti tecniche di criminalità informatica. Queste librerie consentono ai cacciatori di formulare ipotesi sui tipi di attacchi a cui un’organizzazione potrebbe andare incontro e sulle migliori tattiche di difesa.
   Si preferisce la “caccia alle ipotesi” perché consente di Detect individuare le minacce in fase precoce e in modo proattivo.

1. Caccia alle minacce basata sull’analisi investigativa: Questo approccio prevede un’analisi approfondita dei dati per individuare manualmente eventuali segni di attività dannose che altre soluzioni di sicurezza potrebbero non aver individuato. Questo metodo si basa in larga misura sulle conoscenze e sull’esperienza del “threat hunter” per anticipare possibili minacce.
   Per la ricerca basata sulle indagini, i “threat hunter” utilizzano vari strumenti, quali la gestione dell’ endpoint, il monitoraggio della sicurezza, l’analisi forense e altri strumenti analitici , al fine di raccogliere e analizzare dati in tempo reale e storici per identificare e indagare su potenziali minacce.
   La ricerca basata sulle indagini può essere sia proattiva che reattiva. Le attività di ricerca proattiva indagano sulle potenziali minacce, mentre quelle reattive vengono avviate in seguito a segnalazioni o anomalie rilevate dai sistemi automatizzati.

Ricerca basata sulle informazioni:

 Sebbene la ricerca proattiva delle minacce (threat hunting) miri idealmente a individuare comportamenti dannosi in ambienti non coperti dalle più recenti informazioni di intelligence sulle minacce, la ricerca basata sull’intelligence, nota anche come “intel-based hunting”, si avvale proprio di tali informazioni.

I “threat hunter” ricorrono alla ricerca basata sull’intelligence per ottenere informazioni preziose sulle minacce attuali o potenziali, compresi gli indicatori di compromissione (IoC) e gli indicatori di attività (IoA). Queste informazioni aiutano i responsabili della ricerca delle minacce a concentrare i propri sforzi e a formulare ipotesi sulle potenziali minacce presenti nell'ambiente della propria organizzazione.

La ricerca delle minacce basata sull’intelligence è generalmente considerata un approccio proattivo, in quanto gli specialisti in questo campo sono in grado di anticipare e mitigare le minacce prima che si verifichino, affrontando le vulnerabilità note e i vettori di minaccia grazie all’utilizzo di tali informazioni. Tuttavia, in alcuni casi, non avrà altra scelta che reagire a una situazione che si è già verificata.

La ricerca basata sull’intelligence può anche assumere un carattere reattivo quando gli specialisti della ricerca delle minacce utilizzano le informazioni di intelligence esistenti per identificare gli indicatori noti di minacce imminenti o in corso. Ad esempio, se si avvia un’indagine partendo da un IoC, gli esperti di sicurezza struttureranno la propria indagine in modo da individuarne la causa principale e mitigare il danno, senza sapere se l’attacco abbia già compromesso l’ambiente.

Nella sezione seguente approfondiremo il modo in cui i diversi tipi di threat hunting si avvalgono di queste metodologie, al fine di comprendere cosa renda ciascuno di essi una componente essenziale di una strategia completa di threat hunting.

Tipi di attività di ricerca delle minacce

Sebbene le metodologie basate su ipotesi, indagini e informazioni di intelligence forniscano approcci e processi strutturati per l’identificazione delle minacce, diverse tipologie di “threat hunting” si avvalgono di tali metodologie per aiutare i “hunters” a concentrarsi su aree specifiche all’interno dell’infrastruttura di un’organizzazione.

Tra le tipologie più comuni di “threat hunting” figurano:

• Ricerca delle minacce contestuale: La ricerca contestuale, o basata sulle entità, si concentra su eventi, entità o situazioni specifici che potrebbero rappresentare un rischio maggiore per la sicurezza di un’organizzazione. Questo approccio è mirato e spesso si basa sulla conoscenza delle attuali tendenze delle minacce o su informazioni specifiche relative a una potenziale minaccia.
  Sebbene la ricerca situazionale delle minacce possa essere di natura reattiva o proattiva, essa si distingue per la sua attenzione rivolta a situazioni o entità specifiche soggette a un rischio maggiore.
• Ricerca non strutturata delle minacce: La ricerca non strutturata delle minacce parte da un evento scatenante o da un indicatore di compromissione. Il cacciatore analizza la rete alla ricerca di modelli dannosi prima e dopo l’evento scatenante o l’IoC. Questo tipo di “threat hunting” è più libero, consentendo a chi lo pratica di lasciarsi guidare dalla propria curiosità e di agire sulla base di intuizioni.
  Il “threat hunting” non strutturato può essere sia reattivo che proattivo e si distingue dagli altri tipi di “hunting” per la sua natura esplorativa.
• Ricerca strutturata delle minacce: La ricerca strutturata delle minacce prevede un approccio organizzato e sistematico. In genere si parte da un’ipotesi relativa a una potenziale minaccia o anomalia, seguita da un’indagine rigorosa volta a confermare o smentire tale ipotesi.
  Il “threat hunting” strutturato si differenzia leggermente dagli altri tipi di “threat hunting” in quanto è maggiormente basato su ipotesi e non ha carattere reattivo.
• Ricerca ibrida delle minacce: La ricerca ibrida delle minacce combina diverse metodologie per identificare e mitigare le minacce all’interno della rete di un’organizzazione. È in grado di integrare metodi basati sull’indagine, sull’ipotesi e sull’intelligence per creare una strategia di rilevamento più solida.
  Uno dei motivi principali per cui si ricorre alla ricerca ibrida delle minacce è la sua capacità di fornire una visione completa delle potenziali minacce e la sua adattabilità a diversi scenari.

Come potete vedere, ciascuna di queste pratiche persegue obiettivi diversi volti a sostenere la capacità di un’organizzazione di difendersi da potenziali minacce prima che queste possano causare danni, di reagire rapidamente alle minacce nel momento in cui si verificano e di fornire informazioni preziose per perfezionare in futuro il rilevamento delle minacce, la loro risoluzione e le misure di sicurezza.

Nella sezione seguente illustreremo i cinque passaggi che i “threat hunter” utilizzano comunemente per condurre con successo le operazioni di ricerca delle minacce. Questi passaggi possono fornire una tabella di marcia chiara per orientare i vostri sforzi nell’identificazione e nella mitigazione delle potenziali minacce.

[Guardi il webinar on demand: Come “ Tanium ” trasforma la risposta agli incidenti informatici] (si apre in una nuova scheda)

Di cosa si occupa un “cyber threat hunter”? Come funziona la ricerca delle minacce in 5 passaggi

Il processo di ricerca delle minacce prevede in genere queste cinque fasi fondamentali, volte a guidare i responsabili della ricerca delle minacce dalla fase di indagine a quella di risoluzione:

1. Ricerca e formulazione di ipotesi: Il primo passo per una “threat hunt” consiste nello studiare e sviluppare un’ipotesi che verrà verificata nel corso dell’operazione.
   Queste ipotesi tendono ad essere circoscritte, ma dovrebbero includere teorie sulle potenziali minacce in agguato nell’ambiente e sulle strategie che verranno utilizzate per individuarle. Ad esempio, se il “threat hunter” è a conoscenza del fatto che gli autori degli attacchi installano comunemente servizi da remoto, potrebbe decidere di concentrare la ricerca su tali servizi.
   Questa fase può comprendere l’analisi delle informazioni relative alle minacce più recenti e alle informazioni di intelligence sulle minacce informatiche provenienti da fonti di intelligence open-source e persino dai social media, al fine di formulare un’ipotesi.
2. Raccolta dei dati: Ora che è stata formulata un’ipotesi, il passo successivo consiste nel raccogliere e identificare i dati, quali i log di sistema, il traffico di rete e i dati di telemetria dell’ endpoint . Gli esperti di individuazione delle minacce utilizzeranno quindi questi dati per individuare anomalie e valori anomali che possano indicare potenziali minacce.
3. Identificazione del fattore scatenante: Sulla base dei dati raccolti, gli analisti determineranno il “fattore scatenante”, ovvero il punto di partenza per ulteriori analisi.
   I fattori scatenanti possono essere qualsiasi elemento che possa indicare una potenziale minaccia, come ad esempio un livello insolito di attività di rete in un particolare nodo, un’ App installata sul dispositivo endpoint di un utente che non dovrebbe averne bisogno, oppure un utente il cui dispositivo presenti caratteristiche non condivise dai dispositivi di altri soggetti che ricoprono ruoli simili all’interno dell’organizzazione.
   Inoltre, un trigger non deve necessariamente derivare da un’analisi dell’ambiente. Anche un'ipotesi relativa a una nuova minaccia può dare il via a un'attività di ricerca proattiva.
4. Analisi: L’analisi è la fase del processo di ricerca delle minacce in cui si verifica se l’ipotesi formulata è corretta. Un’ulteriore analisi del fattore scatenante consentirà di stabilire se si tratti di un vero positivo o se vi sia una spiegazione innocua per l’anomalia.
   Anche se le anomalie rientrano nelle prassi aziendali standard in alcuni reparti, potrebbero indicare procedure difettose che potrebbero inavvertitamente creare vulnerabilità nella sicurezza informatica.
5. Risoluzione: Una volta completata l’indagine, i team di ricerca delle minacce devono adottare le misure adeguate per rispondere alla minaccia individuata e risolverla. Ciò può comportare il contenimento della minaccia, la sua eliminazione e l’adozione di misure volte a prevenire il ripetersi di episodi simili in futuro.

Tecniche comuni di ricerca delle minacce con esempi

I cacciatori di minacce non si limitano a setacciare meccanicamente montagne di dati nella speranza di individuare un’anomalia.

Il “threat hunting” consiste essenzialmente nella ricerca di modelli e anomalie. A tal fine, le tecniche comuni di ricerca delle minacce utilizzate per individuare le anomalie includono:

• Clustering: La tecnica di ricerca delle minacce basata sul clustering inizia con la catalogazione delle caratteristiche comuni. A questo punto, gli esperti di sicurezza utilizzano analisi statistiche per Detect individuare anomalie all’interno di tali caratteristiche.
  Ad esempio, se un comportamento altrimenti normale, come un valore hash, segue uno schema insolito, ciò potrebbe indicare una minaccia. Un valore hash è l'identificativo numerico univoco generato dal contenuto di un file elettronico. I valori hash cambiano quando qualcuno modifica il contenuto del file; pertanto, variazioni impreviste nei valori hash potrebbero costituire un potenziale segnale di minaccia. I valori hash vengono spesso utilizzati per effettuare ricerche nell’ambito della caccia basata sull’intelligence.
• Frequenza: L’analisi della frequenza si concentra sulla frequenza con cui si verificano eventi o attività specifici, al fine di individuare modelli insoliti. Un processo che si ripete con maggiore frequenza del previsto può costituire un indicatore chiave di una potenziale minaccia.
  Analizzando la frequenza di tali eventi, il “threat hunter” è in grado di identificare e indagare su potenziali minacce che si discostano dal comportamento normale. Ad esempio, un “threat hunter” potrebbe esaminare la frequenza dei tentativi di accesso a un determinato server. Se dovessero rilevare un numero insolitamente elevato di tentativi di accesso in un breve lasso di tempo, ciò potrebbe indicare un attacco di forza bruta.
• Raggruppamento: Il raggruppamento è una tecnica di affinamento del clustering che pone l’accento su un sottoinsieme di caratteristiche della rete.
  Qualora abbiate individuato comportamenti potenzialmente dannosi, potete utilizzare il raggruppamento per concentrare meglio la vostra ricerca sulle aree in cui si registrano livelli elevati di attività sospetta. Raggruppando e analizzando tipi simili di traffico di rete, un “threat hunter” può individuare minacce nascoste che potrebbero non risultare evidenti se si esaminassero i singoli eventi in modo isolato.
  Un esempio di raggruppamento nell’ambito del “threat hunting” consiste nel classificare il traffico di rete in base al tipo di protocollo utilizzato. Ad esempio, un “threat hunter” potrebbe raggruppare tutto il traffico che utilizza il protocollo HTTP e quindi analizzare tali eventi raggruppati per individuare modelli insoliti. Qualora si riscontri un traffico HTTP significativo verso un dominio sconosciuto o sospetto, ciò potrebbe indicare una potenziale minaccia, come ad esempio una comunicazione di comando e controllo.
• Accumulo: Una delle caratteristiche che può indicare un’attività dannosa è la presenza di un numero maggiore (o minore) di occorrenze di un tipo di dati altrimenti innocuo. Lo “stacking”, ovvero il conteggio per insiemi, rileva le occorrenze e individua le anomalie da sottoporre a un’analisi approfondita.
  Ad esempio, un “threat hunter” potrebbe utilizzare uno strumento per effettuare una ricerca su tutti i dispositivi endpoint presenti nella rete e individuare un numero limitato di host su cui è in esecuzione un software specifico che non viene comunemente utilizzato. Analizzando i dati e ordinando i risultati, un hunter può identificare questi sistemi particolari, che potrebbero essere stati recentemente aggiornati, configurati in modo errato o infettati da malware, al fine di individuare potenziali minacce che si discostano dalla norma e richiedono ulteriori indagini.
• Volume: L’analisi volumetrica esamina il volume dei dati inviati all’esterno della rete o altre caratteristiche anomale relative alla quantità.
  Ad esempio, un “threat hunter” potrebbe analizzare il traffico di rete per determinare quale endpoint abbia inviato la maggior quantità di dati in un determinato periodo. Confrontando i volumi di dati, un responsabile della sicurezza informatica può individuare anomalie, quali un indirizzo endpoint o un indirizzo IP collegato a dispositivi infetti che iniziano improvvisamente a trasmettere una grande quantità di dati, il che potrebbe indicare un'esfiltrazione di dati o altre attività dannose.

Sebbene questo elenco comprenda molti degli elementi chiave ricercati dai cacciatori di minacce, non è esaustivo. Le tecniche utilizzate dai cacciatori di minacce possono essere tanto diverse quanto gli stessi cacciatori, poiché ogni operazione di individuazione delle minacce può comportare nuovi indicatori e modelli specifici per minacce e contesti in continua evoluzione.

Quali strumenti vengono utilizzati per la ricerca delle minacce?

Gli strumenti svolgono un ruolo fondamentale nella ricerca delle minacce, consentendo ai responsabili di tale attività di ottenere una visibilità completa e dati in tempo reale, essenziali per individuare, analizzare e mitigare efficacemente le minacce.

Proprio come la gamma di tecniche che è possibile utilizzare, anche i “threat hunter” devono padroneggiare vari strumenti e tecnologie per il rilevamento e l’analisi delle minacce, poiché le diverse attività di ricerca delle minacce possono richiedere capacità diverse per rispondere a esigenze e obiettivi specifici.

Tra gli strumenti comunemente utilizzati dai “threat hunter” figurano:

• Soluzioni per la gestione degli endpoint: Gli endpoint sono spesso gli obiettivi principali degli attacchi informatici. Essi rappresentano la superficie di attacco attraverso la quale le minacce possono infiltrarsi nella rete di un’organizzazione. Grazie alla gestione e al monitoraggio degli endpoint, le organizzazioni possono Detect individuare e reagire immediatamente alle minacce, impedendo loro di diffondersi e di causare danni più gravi.
  La visibilità sugli endpoint consente alle organizzazioni di individuare ogni dispositivo connesso alla rete, comprenderne le configurazioni e identificare eventuali rischi associati. Questa visione d’insieme è fondamentale perché, come si suol dire, «non si può proteggere ciò che non si vede». Individuare anomalie o attività sospette che potrebbero indicare una potenziale minaccia risulta difficile in assenza di visibilità.
  Oggi sono disponibili numerose soluzioni di gestione delle minacce ( endpoint), che spaziano dall’Endpoint Detection and Response (EDR ) alla gestione convergente endpoint . Potete approfondire le differenze relative all’ tra le principali soluzioni di gestione dell’ endpoint per individuare lo strumento più adatto alle vostre esigenze di threat hunting.
• Analisi del traffico di rete (NTA): Gli strumenti NTA monitorano il traffico di rete alla ricerca di segni di attività dannose. Analizzano i flussi di rete e le anomalie dell’ Detect e che potrebbero indicare una potenziale minaccia.
• Gestione delle informazioni e degli eventi di sicurezza (SIEM ): I sistemi SIEM raccolgono e analizzano i dati di log provenienti da varie fonti all’interno dell’infrastruttura IT di un’organizzazione. Analizzano gli avvisi di sicurezza generati dalle app e dall'hardware di rete. SIEM Questi strumenti consentono di identificare e reagire alle potenziali minacce, mettendo in relazione gli eventi e fornendo una visione centralizzata degli incidenti di sicurezza.
• Piattaforme di intelligence sulle minacce (TIP): Le TIP raccolgono e analizzano i dati relativi alle minacce provenienti da varie fonti per fornire informazioni utili all’azione. Aiutano i team a tenersi aggiornati sulle minacce e sulle vulnerabilità più recenti, consentendo un’individuazione proattiva delle minacce e la loro mitigazione.

[Leggi anche: IA contro esseri umani: perché il settore SecOps potrebbe (o non potrebbe) diventare il prossimo campo di battaglia] (si apre in una nuova scheda)

In che modo l’intelligenza artificiale sta trasformando la ricerca delle minacce

Una parte integrante dell’attività di ricerca delle minacce consiste nell’estrapolare informazioni utili da grandi insiemi di dati. Tuttavia, le attività tradizionalmente svolte manualmente per esaminare e analizzare ingenti quantità di dati non sono più sostenibili per i moderni “threat hunter” a causa del volume schiacciante di dati generati da varie fonti. L'analisi manuale di questi dati richiede molto tempo ed è soggetta a errori umani, il che può comportare la mancata individuazione di minacce e ritardi nelle risposte. Inoltre, la complessità delle moderne minacce informatiche rende difficile per gli analisti umani individuar Detect arle e reagire in modo efficace.

Cosa comporta tutto ciò per la ricerca delle minacce? Gli strumenti di sicurezza di nuova generazione si stanno evolvendo per utilizzare l’automazione che sfrutta l’intelligenza artificiale e l’apprendimento automatico, mostrando risultati promettenti nell’affrontare tali sfide. Questi strumenti sono in grado di elaborare e analizzare rapidamente ingenti quantità di dati per individuare modelli e anomalie che potrebbero indicare la presenza di minacce.

Ad esempio, gli algoritmi di apprendimento automatico possono essere addestrati a riconoscere il comportamento di minacce note e Detect le deviazioni dall’attività normale, il che può aiutare a identificare minacce nuove e sconosciute. Gli strumenti basati sull’intelligenza artificiale possono inoltre automatizzare attività ripetitive, quali la raccolta dei dati, la correlazione e l’analisi iniziale, consentendo agli analisti umani di concentrarsi su compiti più complessi e strategici.

L'intelligenza artificiale e l'apprendimento automatico sono inoltre in grado di apprendere e adattarsi continuamente alle nuove minacce, migliorando le proprie capacità di rilevamento. Questo approccio dinamico è fondamentale nel panorama delle minacce informatiche in continua evoluzione, in cui emergono costantemente nuovi vettori e tecniche di attacco. Sfruttando queste tecnologie avanzate, gli esperti di sicurezza informatica di oggi possono potenziare le proprie capacità di rilevamento e risposta, ridurre i tempi necessari per l’ Detect e e la mitigazione delle minacce e migliorare il livello complessivo di sicurezza.

[Leggi anche: La guida definitiva alla sicurezza informatica basata sull’intelligenza artificiale: vantaggi, rischi e benefici] (si apre in una nuova scheda)

Ora che conoscete gli strumenti su cui fanno affidamento i cacciatori di minacce, esaminiamo alcune best practice che potete adottare per migliorare l’efficacia della ricerca delle minacce.

Come è possibile migliorare il processo di individuazione delle minacce?

Un’efficace attività di individuazione delle minacce non avviene per caso. Come la maggior parte delle operazioni di sicurezza informatica, richiede innovazione e miglioramento costanti.

Seguendo queste best practice, potrete migliorare la vostra capacità di difendervi in modo proattivo dalle minacce emergenti e acquisire le competenze necessarie per diventare dei “threat hunter” più esperti e sicuri di sé.

Dare priorità alla preparazione

Capire da dove iniziare la ricerca è una delle sfide più significative nel campo del threat hunting. Spesso si parte da un campo di indagine molto ampio, che occorre restringere fino a formulare un’ipotesi che sia possibile confermare o confutare.

Concedersi tutto il tempo necessario in questa fase iniziale aumenterà la percentuale di successo delle vostre attività di ricerca delle minacce. Se avete in programma una ricerca della durata di una settimana, dedicate i primi due o tre giorni a individuare i reperti giusti e i dati che dovrete raccogliere. Ciò costituisce una solida base per la ricerca, in modo da non dover semplicemente brancolare nel buio.

Ricordate che, anche se un’ipotesi formulata nell’ambito della ricerca delle minacce non vi porta a individuare una minaccia attiva, può comunque far emergere dati di sicurezza utili che la vostra organizzazione può utilizzare per migliorare le proprie difese.

Creare un quadro di riferimento per comprendere il contesto

Prima di avviare qualsiasi operazione di ricerca delle minacce, è necessario conoscere il proprio ambiente. La ricerca delle minacce risulta più semplice quando si comprende come si presentano le normali operazioni di “ endpoint ”. Il valore di riferimento può essere definito sulla base delle linee guida o determinato raccogliendo dati dal proprio ambiente nel corso del tempo.

Tra gli esempi di dati di riferimento da raccogliere figurano un elenco dei seguenti elementi approvati:

• Software
• Porte di rete
• Servizi in esecuzione
• Avvio automatico

Questa preparazione Le consente di formulare ipotesi accurate e La aiuta a concentrarsi sugli aspetti rilevanti per distinguere più facilmente tra attività normali e sospette. Una volta gettate queste basi, l’utilizzo dei dati in tempo reale diventa essenziale per individuare rapidamente Detect e le deviazioni e le anomalie.

Utilizzi i dati in tempo reale di endpoint

I dati in tempo reale relativi all’ endpoint e comportano la raccolta e l’analisi dei dati provenienti da tutti gli endpoint al fine di comprenderne lo stato attuale. Senza informazioni in tempo reale, gli esperti di individuazione delle minacce potrebbero non rilevare le nuove minacce e non riuscire a Detect le anomalie tempestivamente.

Poiché i dati obsoleti non riflettono le misure di sicurezza più recenti, possono inoltre comportare valutazioni incomplete dei rischi e potenzialmente falsi positivi. Inoltre, i dati obsoleti ostacolano la capacità di correlare gli eventi all’interno della rete, rendendo più difficile identificare le minacce e reagire in modo efficace.

I dati in tempo reale sono essenziali per un rilevamento rapido e accurato delle minacce e per una risposta agli incidenti per molte ragioni, tra cui:

• Il flusso costante di informazioni in tempo reale provenienti dai dispositivi offre una visione d’insieme completa degli endpoint, consentendo agli esperti di sicurezza informatica di Detect anomalie e attività sospette nel momento stesso in cui si verificano, anziché fare affidamento su scansioni periodiche o rapporti ritardati. Tale tempestività è fondamentale per individuare le minacce che potrebbero sfuggire al controllo.
• La visibilità completa aiuta inoltre i cacciatori a individuare modelli e correlazioni che potrebbero indicare un attacco sofisticato. Ad esempio, i segnali sottili di movimenti laterali o le minacce persistenti avanzate che tentano di rimanere inosservate all’interno della rete possono essere individuati più facilmente quando tutti gli endpoint sono monitorati in modo continuo.
• I dati in tempo reale forniscono un contesto essenziale per comprendere la natura di una minaccia. Ad esempio, conoscere l’esatta sequenza di eventi che ha portato a un’attività sospetta può aiutare i cacciatori di minacce a stabilire se essa rientri in un attacco più ampio e sofisticato. Questo contesto è spesso assente nelle soluzioni di sicurezza tradizionali che si basano su dati isolati.
• I dati in tempo reale di “ endpoint ” consentono di intervenire rapidamente quando viene rilevata una potenziale minaccia. Gli esperti di rilevamento delle minacce possono isolare immediatamente gli endpoint compromessi, applicare le patch oppure adottare altre misure correttive per impedire la diffusione della minaccia. Questa capacità di risposta rapida è fondamentale per mitigare l'impatto delle minacce.
• Le informazioni ricavate dai dati in tempo reale di endpoint contribuiscono inoltre all’applicazione delle politiche di sicurezza, in quanto gli esperti di ricerca delle minacce possono garantire che tutti i dispositivi siano aggiornati con le più recenti misure di sicurezza, riducendo così le vulnerabilità che gli aggressori potrebbero sfruttare.

Nel complesso, i dati in tempo reale relativi all’ endpoint e supportano sia gli approcci proattivi che quelli reattivi alla ricerca delle minacce, fornendo la visibilità continua, il rilevamento immediato, il contesto approfondito e le capacità di risposta rapida necessari per rafforzare il livello complessivo di sicurezza e aiutare le organizzazioni a stare un passo avanti rispetto ai potenziali aggressori.

Costituire un team efficace per la ricerca delle minacce

È fondamentale costituire un team dotato delle competenze adeguate. Ad esempio, un team di cacciatori efficace comprenderà persone dotate di competenze forensi per individuare le cause alla radice, capacità di analisi dei dati per individuare le anomalie e capacità intellettuali teoriche per formulare ipotesi sulle minacce e organizzare la caccia.

Idealmente, il team necessita di membri che apportino prospettive diverse alla ricerca, rappresentino vari settori di competenza e abbiano livelli di esperienza diversi, tra cui:

• Per l’individuazione delle minacce sono fondamentali professionisti della sicurezza esperti , che abbiano maturato esperienza nell’affrontare le numerose minacce alla sicurezza informatica a cui l’organizzazione potrebbe trovarsi esposta. Molti “threat hunter” iniziano la propria carriera come analisti della sicurezza oppure acquisiscono esperienza in materia di minacce lavorando in ruoli o team correlati alla sicurezza informatica, quali i centri operativi di sicurezza (SOC). Affidatevi a loro per guidare il processo e elaborare un piano.
• Tuttavia, i professionisti che operano nel campo della criminalità informatica utilizzano raramente la tecnologia allo stesso modo degli utenti comuni, il che talvolta li porta a trascurare alcune minacce comuni alla sicurezza. Per superare questa sfida, coinvolga , un giovane collaboratore di , magari un membro del team appena uscito dall’università, nella pianificazione e nell’esecuzione della ricerca.
• Si raccomanda di includere una persona che sia entrata a far parte dell’azienda di recente. La loro nuova prospettiva consente di individuare potenziali minacce sulla base del comportamento tipico degli utenti e apporta un enorme valore aggiunto nell’individuazione di nuovi tipi di minacce.
• Il team addetto alla ricerca delle minacce dovrebbe inoltre includere almeno un membro in possesso di una conoscenza approfondita e ampia dell’istituzione. Queste informazioni interne vi aiuteranno a stabilire se un andamento insolito sia effettivamente anomalo o rientri nelle normali prassi operative di un determinato reparto, consentendovi così di risparmiare molto tempo evitando di seguire piste che non portano da nessuna parte.

Stabilisca la durata della caccia

Stabilire un arco di tempo per l’attività di ricerca delle minacce offre numerosi vantaggi. In primo luogo, contribuisce a strutturare il processo di ricerca delle minacce, facilitando la costituzione del team necessario, l’allocazione più efficace delle risorse e garantendo che ogni attività di ricerca sia completa e ben documentata.

La definizione di un arco temporale specifico contribuisce inoltre a garantire processi coerenti e ripetibili, che favoriscono il perfezionamento delle tecniche e delle strategie, portando nel tempo a un rilevamento delle minacce più efficiente ed efficace. Grazie a un monitoraggio più accurato dei progressi e dei risultati, i team possono individuare più facilmente le tendenze e le aree di miglioramento, il che consente loro di confrontare i risultati relativi a periodi diversi e fornisce preziose informazioni sull’efficacia delle loro attività di ricerca delle minacce.

Misurare il successo

Disporre di un arco di tempo ben definito per la ricerca è fondamentale anche nelle organizzazioni orientate agli indicatori. Il numero di minacce individuate non determina sempre il successo di un’operazione di ricerca delle minacce; pertanto, una ricerca continua e ad hoc potrebbe fornire risultati deludenti.

Al contrario, quando l’obiettivo è dedicare un determinato periodo di tempo a ciascuna ricerca, il successo dipende dall’esecuzione piuttosto che dal numero di minacce individuate. Questo cambiamento nella definizione del successo può fornire gli indicatori positivi di cui avete bisogno per mantenere il sostegno della dirigenza nei confronti della ricerca proattiva delle minacce come deterrente essenziale contro la criminalità informatica.

Inoltre, esistono numerose altre metriche chiave che è possibile utilizzare per valutare il successo di un programma di ricerca delle minacce:

• Un indicatore importante è il numero di rilevamenti creati o aggiornati nell’ambito dell’iniziativa “ ”, che indica il numero di rilevamenti di minacce nuovi o migliorati sviluppati.
• Le organizzazioni dovrebbero misurare il tempo medio di individuazione ( ) Detect il tempo medio di individuazione delle minacce () e il tempo medio di riparazione ( ) una volta individuata una minaccia, al fine di orientare gli sforzi volti a migliorare l’efficienza delle proprie attività di rilevamento e risposta.
• Il monitoraggio del numero di incidenti generati dalle attività di ricerca delle minacce può contribuire a dimostrare il valore aggiunto della ricerca delle minacce condotta da personale umano.
• Anche la riduzione del tempo di permanenza (), che indica la rapidità con cui le minacce vengono individuate e neutralizzate, costituisce un indicatore fondamentale.

Sebbene, nel loro insieme, questi indicatori possano contribuire a valutare l’efficacia e l’impatto delle attività di ricerca delle minacce, essi sono utili solo per fornire un quadro parziale del successo dei vostri sforzi. Affinché gli indicatori di successo forniscano un quadro completo della situazione, i cacciatori di minacce devono allineare i propri sforzi agli obiettivi aziendali generali.

Ad esempio, i diversi casi d’uso della ricerca delle minacce possono richiedere approcci su misura, come concentrarsi sul rilevamento delle frodi per gli istituti finanziari o sulla protezione dei dati dei pazienti per le organizzazioni sanitarie; pertanto, la valutazione del successo di tali attività di ricerca delle minacce risulterà probabilmente diversa.

La definizione delle caratteristiche che una ricerca efficace delle minacce dovrebbe presentare deve avvenire durante la fase di pianificazione e ricerca, al fine di garantire che le strategie adottate e gli indicatori rilevati rispondano in modo specifico alle esigenze e agli obiettivi dell’organizzazione. Ciò consentirà di rendere i risultati delle attività di ricerca quantificabili, tracciabili e più significativi nel contribuire a potenziare le iniziative specifiche di un’organizzazione in materia di sicurezza informatica.

Qual è un esempio di “threat hunting”? Dimostrazione pratica

A volte, bisogna vederlo con i propri occhi per capire davvero come funziona. Tutte queste metodologie e tecniche teoriche per la ricerca delle minacce possono risultare difficili da immaginare senza vedere come si presentano effettivamente in contesti reali.

Per aiutarvi a comprendere meglio quali elementi cercare e quali siano le applicazioni pratiche delle best practice illustrate in questa guida, esamineremo insieme a Matt, un esperto di threat hunting, uno scenario di threat hunting reattivo e non strutturato: Matt ha ricevuto un avviso relativo a un processo che è stato recentemente disabilitato su un server endpoint.

Seguiamo il suo intervento mentre utilizza Tanium Threat Response per identificare, analizzare e contenere la minaccia in meno di 5 minuti, come illustrato in Threat Response In Real Life - Tanium Tech Talks #66. I timestamp riportati di seguito evidenziano i passaggi rilevanti all’interno del video dimostrativo.

• 3:17 — Matt riceve una segnalazione relativa a un comportamento anomalo su un endpoint.
• 3:59 — Utilizzando Tanium, esamina i dettagli di endpoint , che includono le informazioni relative all’evento, per capire cosa sia successo. Può visualizzare il processo eseguito nella riga di comando, l'ID del processo (PID) e il nome del processo, oltre ai timestamp e alle informazioni relative agli utenti coinvolti.
• 4:37 — Egli constata che il firewall , per cui è stata impostata l’opzione opmode mode=disable , ha disabilitato il firewall Microsoft Windows su tutti i profili.
• 5:10 — Matt esamina la cronologia dei processi per capire cosa è stato eseguito e da dove.
• 5:39 — Utilizza Tanium per passare al framework MITRE ATT&CK e comprendere che la minaccia corrisponde alla tecnica “Impair Defenses: Disable or Modify System Firewall”.
• 6:18 — Matt prosegue le indagini per comprendere la natura dell’attacco in corso e il suo impatto sull’ambiente.
• 7:05 — Egli individua il comando che prevale sulla politica predefinita del firewall.

Una volta identificato questo comando, Matt può individuare il file di script PowerShell e scoprire da dove abbia avuto origine la minaccia, compreso quale utente lo abbia scaricato e da dove. Inoltre, adotta misure per contenere la minaccia, conservando al contempo le tracce relative alla ricerca della minaccia ai fini di successive analisi forensi.

In che modo la ricerca proattiva delle minacce si inserisce nella Sua strategia di sicurezza?

Se la vostra organizzazione non sta cercando in modo proattivo le minacce informatiche, dovrebbe farlo. La ricerca proattiva delle minacce è fondamentale per garantire il corretto funzionamento del Suo ambiente. Il momento migliore per iniziare a individuare le minacce era anni fa. Il momento migliore dopo questo è proprio adesso.

“Manmano che le organizzazioni acquisiscono una consapevolezza sempre maggiore dei vantaggi offerti dal rilevamento proattivo delle minacce e dall’intelligence personalizzata, l’integrazione di sofisticate strategie di ricerca delle minacce in contesti più ampi di sicurezza informatica non è solo raccomandabile, ma essenziale.”

Sondaggio SANS 2024 sulla ricerca delle minacce

Le minacce alla sicurezza informatica sono in continua evoluzione e gli specialisti nella ricerca delle minacce necessitano della flessibilità necessaria per personalizzare gli strumenti in base alle proprie esigenze. Fortunatamente, sono disponibili strumenti avanzati di sicurezza informatica che consentono ai “cacciatori di minacce” di sviluppare rapidamente le funzionalità necessarie per individuare minacce inedite.

Tanium 'La piattaforma unificata di migliora la sicurezza e l’efficacia della ricerca delle minacce, consentendo la ricerca automatizzata, il rilevamento precoce e la risposta rapida agli incidenti, rendendola uno strumento potente per garantire un ambiente sicuro.

Grazie alla visibilità in tempo reale, alla raccolta granulare dei dati, al controllo completo e alle integrazioni con strumenti di sicurezza essenziali quali Microsoft Sentinel, ServiceNow e altri partner chiave di , Tanium combina i dati di endpoint con informazioni più ampie sulle minacce per aiutare le organizzazioni a comprendere meglio il panorama delle minacce e a migliorare la propria capacità di Detect e mitigare le minacce tempestivamente e su larga scala.

Tanium La gestione autonoma dell’ endpoint e (AEM) garantisce la sicurezza delle organizzazioni sfruttando i dati in tempo reale e l’intelligenza artificiale per ottimizzare le attività di gestione dell’ endpoint e. Automatizzando attività che richiedono molto tempo, quali la scansione, il monitoraggio, l’applicazione delle patch, la generazione di report e la gestione degli incidenti, AEM riduce inoltre il carico di lavoro manuale e minimizza il rischio di errori umani. Ciò consente ai team IT e SecOps di prendere decisioni più consapevoli ed efficienti per garantire un solido livello di sicurezza, in grado di ridurre la superficie di attacco e prevenire potenziali violazioni.

Prenoti oggi stesso una demo gratuita e personalizzata all’indirizzo o Tanium per scoprire in che modo il nostro approccio a AEM , descritto all’indirizzo , possa supportare le Sue attività di threat hunting.