Riconoscere un attacco mentre è in corso è possibile, ma il volume e la varietà dei segnali di rete richiedono di andare oltre l’osservazione manuale. Ecco quali segnali osservare e come interpretarli.
Come riconoscere un attacco informatico in corso: interpretare i segnali della rete
Un attacco diventa visibile quando i segnali che lascia vengono messi in relazione e confrontati con il normale comportamento della rete.
Una singola anomalia, infatti, non basta a indicare una compromissione: deve essere interpretata nel contesto in cui si verifica. Un accesso fuori orario, per esempio, potrebbe dipendere da una manutenzione programmata. La valutazione cambia quando emergono anche:
- un indicatore di compromissione (IoC), come un indirizzo IP di origine già associato a un’infrastruttura ostile;
- altri segnali comportamentali, come ripetuti tentativi di autenticazione o l’accesso a risorse mai utilizzate da quell’account.
IoC e anomalie forniscono indizi di natura diversa. La loro correlazione permette di ricostruire il contesto dell’attività osservata e rafforza l’ipotesi di un attacco in corso.
Saper leggere questo contesto è un’esigenza che cresce con la superficie di attacco, non con le dimensioni dell’azienda.
I segnali lungo la progressione dell’attacco
Seguire i segnali lungo le fasi dell’attacco, con il supporto di framework come MITRE ATT&CK, aiuta a collegare comportamenti osservabili in fasi diverse.
La network visibility aggiunge il contesto necessario per riconoscere relazioni e anomalie che, considerate separatamente, potrebbero non indicare una compromissione.
Riconoscere tempestivamente questi segnali può aiutare a prevenire danni significativi e ad adottare misure di sicurezza appropriate.
| Fase osservata | Segnali da verificare | Possono indicare |
|---|---|---|
| Accesso e uso delle identità | Accessi e autenticazioni da origini o dispositivi inattesi, uso anomalo delle credenziali, accessi non autorizzati a nuove risorse. | Utilizzo di credenziali compromesse o deviazione dal normale comportamento dell’utente. |
| Esplorazione e movimento laterale | Nuove connessioni interne, uso inatteso di servizi remoti, accesso a segmenti insoliti o comunicazioni tra sistemi che normalmente non interagiscono. | Tentativo di esplorare l’infrastruttura, raggiungere altre risorse o realizzare un movimento laterale. |
| Modifiche all’ambiente | Modifiche inattese a sistemi e file, eventi di sistema insoliti, variazioni di ruoli, privilegi o autorizzazioni. | Tentativo di ampliare l’accesso, modificare il funzionamento dei sistemi o mantenere una presenza nell’ambiente. Possibile escalation di privilegi. |
| Comunicazioni esterne ed esfiltrazione | Comunicazioni anomale verso nuove destinazioni, collegamenti periodici e volumi insoliti di traffico in uscita. | Canale di Command and Control (C2) o tentativo di esfiltrazione dei dati. |
Il contributo della Network Detection and Response
Gli strumenti di Network Detection and Response, o NDR, monitorano continuamente il traffico e confrontano gli eventi con modelli statistici di riferimento del normale comportamento della rete.
La loro adozione è stata spesso limitata da alcuni fattori:
- Necessità di risorse umane e know-how specialistico.
- Costi elevati di attivazione e gestione.
- Lunghe e complesse installazioni e conseguente fermo operativo.
Molte NDR, inoltre, si limitano a generare degli alert e ad orchestrare la response attraverso altri strumenti.
Questi e altri fattori hanno ristretto l’adozione delle NDR soprattutto alle realtà enterprise.
Il valore di una NDR è chiaro: rilevare attività sospette mentre sono in corso può ridurre il rischio che raggiungano sistemi critici e provochino interruzioni operative.
È anche intorno a questi limiti che è stata progettata LECS, con l’obiettivo di rendere le capacità della NDR accessibili al di là del perimetro enterprise e fornire visibilità sulla rete e response alle minacce in tempo reale.
Domande frequenti sul monitoraggio di rete
Che cosa permette di vedere il monitoraggio del traffico di rete?
Il monitoraggio del traffico di rete permette di osservare come comunicano dispositivi, utenti e sistemi, sia all’interno della rete sia verso l’esterno. Aiuta così a riconoscere accessi anomali, connessioni inattese, movimenti laterali, comunicazioni C2 e possibili trasferimenti anomali di dati, comprese le attività degli asset sui quali non è possibile installare un agent.
Firewall, antivirus ed EDR non dovrebbero già rilevare questi segnali?
Firewall, antivirus ed EDR sono necessari, ma osservano livelli differenti. Il firewall controlla il traffico che attraversa i punti in cui è configurato, mentre antivirus ed EDR proteggono gli endpoint sui quali sono installati. Possono quindi rilevare alcuni segnali, ma non sempre ricostruiscono ciò che accade tra tutti i dispositivi della rete, soprattutto in presenza di sistemi OT, IoT, legacy o non agentabili.
Che cos’è una tecnologia NDR e in cosa si differenzia dagli altri strumenti di sicurezza?
Una tecnologia Network Detection and Response analizza continuamente il traffico di rete per individuare anomalie, correlare eventi e ricostruire il contesto di un’attività sospetta. Si differenzia soprattutto per il punto di osservazione: invece di concentrarsi sul perimetro o sul singolo endpoint, guarda alle comunicazioni e alle relazioni tra i sistemi.
Una NDR si limita a generare alert oppure può anche intervenire sulla minaccia?
Dipende dalla tecnologia. Alcune NDR segnalano l’attività sospetta e affidano la risposta agli operatori o ad altri strumenti, come firewall, EDR e SOAR. Altre integrano capacità di risposta diretta. LECS, per esempio, può applicare contromisure automatiche, granulari e proporzionate alla comunicazione anomala, secondo le configurazioni definite.
Una NDR è utile anche a una PMI o soltanto alle grandi aziende dotate di un SOC?
La necessità di visibilità dipende dalla superficie di attacco, dal numero e dalla varietà degli asset connessi e dall’impatto di una possibile interruzione, non soltanto dalle dimensioni aziendali. Anche una PMI può avere reti miste, dispositivi non agentabili e processi essenziali. Proprio la disponibilità limitata di personale rende particolarmente rilevanti automazione e semplicità di gestione.
Adottare una NDR richiede personale specializzato, installazioni complesse o interruzioni operative?
Le NDR tradizionali possono richiedere progettazione, integrazioni, tuning e competenze specialistiche. Non è però una conseguenza inevitabile della tecnologia. LECS è stata progettata per lavorare in parallelo alla rete e senza agent sugli asset: predisposta la copia del traffico tramite mirror, SPAN o TAP, l’installazione tipica richiede circa 10 minuti e non interrompe il normale traffico aziendale.
