Cyber Threat Hunting

Molte organizzazioni reagiscono agli attacchi in maniera scomposta e utilizzano le informazioni provenienti dall’attacco per la generazione di automatismi di controllo basati su Indicatori di Compromissione [IoC].
Si tratta di un approccio di tipo reattivo, laddove risulti invece necessario, data la complessità degli attacchi odierni, una risposta proattiva. E’ necessario dunque pensare ad un piano di difesa in cui venga considerata, oltre alla quantità, la qualità degli IoC, possibilmente implementati dalla collaborazione di analisti esperti in Cyber Threat Intelligence e Digital Forensic.

L’intrusione cyber è sempre perpetrata da un soggetto umano, per tale ragione è fondamentale interpretarne la psicologia, comprendere le intenzioni e rispondere in maniera efficace.
Si propone, quindi, un Framework di Cyber Threat Hunting in grado di conciliare Processi, Strumenti e Persone.

Incident Management Il servizio offerto mira a ripristinare le normali operazioni di servizio il più velocemente possibile con la minima interruzione del business, assicurando che siano mantenuti i migliori livelli di disponibilità.

Early Warning Il Servizio è studiato per raccogliere, correlare e analizzare i dati di intelligence relativi a scenari, tecnologie e metodi utilizzati nell’ambito del cyber-crime. Le informazioni ottenute vengono messe a disposizione dei servizi di monitoraggio e antifraud al fine di indirizzare e supportare le attività di prevenzione e gestione degli incident del cliente. Tali informazioni arricchiscono, di volta in volta, la knowledge base, che costituisce la chiave per poter contrastare efficacemente e in modo proattivo le minacce in continua evoluzione.

Malware Investigation Il SIEM può aiutare il personale della sicurezza a combinare i dati sul malware rilevato in tutta l'organizzazione, a correlarli con le informazioni sulle minacce e a comprendere i sistemi e i dati interessati. I sistemi SIEM di nuova generazione forniscono capacità di orchestrazione della sicurezza, una visualizzazione delle tempistiche degli incidenti e possono anche "far esplodere" automaticamente il malware in una sandbox di informazioni sulle minacce.

Phishing Prevention and Detection Il SIEM può utilizzare correlazioni e analisi comportamentale per determinare l'effettivo 'click' di un utente su un link di phishing, distribuito via e-mail o con altri mezzi. Quando viene lanciato un allarme, gli analisti cercano precedenti modelli di risposta da replicare per identificare l'intera portata dell'attacco.

HR Investigation Quando un operatore viene sospettato di essere direttamente coinvolto in un cyber securiy incident, un SIEM può aiutare l'operatore attingendo tutti i dati relativi all'interazione dell'operatore con i sistemi IT per lunghi periodi di tempo. Un SIEM può scoprire anomalie come l'accesso ai sistemi aziendali ad orari insoliti, l'escalation dei privilegi o lo spostamento dei dati.

Departed Employee Risk Mitigation Vari studi hanno dimostrato come buona parte dei dipendenti che lasciano il proprio posto di lavoro mantiene l'accesso ad almeno alcuni dei sistemi aziendali e utilizza queste credenziali per effettuare il login. Un SIEM può tracciare il problema in una grande organizzazione, identificando quali sistemi hanno credenziali non utilizzate, quali ex dipendenti accedono ai sistemi e quali dati sensibili vengono interessati.