Segnali di compromissione, limiti degli strumenti di detection e ruolo degli honeypot.
Una scansione della rete può essere un normale controllo di manutenzione oppure il primo passo di un attacco. Un accesso insolito può dipendere da una riconfigurazione oppure dall'utilizzo di credenziali compromesse.
Gli strumenti di sicurezza possono rilevare molti di questi eventi, ma rilevare un'anomalia non significa necessariamente riconoscere una minaccia.
Come capire se la rete aziendale è stata violata, e come distinguere i segnali più significativi, quando non si dispone di un Security Operations Center (SOC) o di personale dedicato all'analisi continua degli alert?
In breve: nessun singolo indicatore dimostra una violazione. I segnali più utili sono account o dispositivi sconosciuti, strumenti di sicurezza disattivati, scansioni interne, accessi a sistemi insoliti e file improvvisamente inaccessibili, da valutare insieme e nel contesto. Senza un SOC, un segnale in più è l'accesso a una risorsa-esca (honeypot), che nessuno dovrebbe usare.
Non esiste un segnale unico
Un accesso iniziale non è sempre evidente. Un attaccante può utilizzare credenziali valide, sfruttare servizi già presenti o compiere operazioni che assomigliano alle normali attività di amministrazione.
Gli Operational Summary mensili dell'Agenzia per la Cybersicurezza Nazionale (ACN) indicano, tra le modalità di accesso iniziale più riscontrate negli incidenti analizzati, l'uso di credenziali valide già compromesse, lo sfruttamento di vulnerabilità e la compromissione di servizi di accesso remoto.
Per questo, nessun singolo indicatore è sufficiente, in generale, a dimostrare che una rete sia stata compromessa.
Gli strumenti di detection, come EDR (Endpoint Detection and Response), IDS (Intrusion Detection System) e NDR (Network Detection and Response), possono individuare comportamenti anomali. Tuttavia, il significato di un evento dipende spesso dal contesto: chi ha compiuto l'operazione, da quale sistema, in quale momento e in relazione a quali altre attività.
La distinzione è importante: un evento registrato non è necessariamente un'anomalia, un'anomalia non è necessariamente un attacco e un alert non costituisce, da solo, la prova di una compromissione.
Segnali di intrusione in una rete aziendale: cosa osservare
Alcuni comportamenti meritano particolare attenzione, soprattutto quando non corrispondono alle attività abituali della rete.
Segnali visibili agli utenti:
- dispositivi o account sconosciuti;
- password cambiate senza motivo;
- strumenti di sicurezza disattivati;
- file improvvisamente inaccessibili o cifrati;
- rallentamenti anomali.
Possono avere cause banali, ma vanno verificati.
Segnali visibili solo nei log e negli strumenti di sicurezza: scansioni di host e porte, autenticazioni verso sistemi insoliti, richieste verso molte condivisioni, accessi inattesi a file e credenziali, interrogazioni anomale della directory. Sono i comportamenti tipici di chi, dopo un primo accesso, esplora la rete: la fase che il framework MITRE ATT&CK chiama Discovery, in cui chi attacca cerca di capire com'è fatto l'ambiente in cui si trova. Ognuno è descritto nel dettaglio in Ricognizione interna: come riconoscere chi esplora la rete aziendale.
Per rilevarli servono log, sistemi di monitoraggio e strumenti di sicurezza, purché la raccolta e la visibilità necessarie siano disponibili. La loro rilevanza aumenta quando più eventi si presentano in sequenza o risultano incompatibili con le normali operazioni aziendali.
Rilevare non basta: interpretare gli alert in una PMI senza SOC
Un responsabile IT che riceve la notifica di una scansione interna deve verificare l'origine, il dispositivo, le attività programmate e i log. La scansione potrebbe essere legittima, oppure indicare che qualcuno, dopo un primo accesso, sta cercando altri sistemi. La tecnologia ha rilevato l'evento, ma la valutazione richiede ancora un intervento umano o ulteriori strumenti di correlazione.
In un'organizzazione dotata di un SOC, questa attività può essere affidata ad analisti specializzati. In una PMI, invece, può ricadere su una o poche persone che devono occuparsi anche della normale gestione informatica.
Il problema diventa quindi operativo: quanti segnali è realisticamente possibile verificare e con quale tempestività?
Un numero elevato di alert non garantisce una migliore capacità di rilevare gli attacchi. Se le notifiche sono troppo numerose o difficili da interpretare, aumenta il rischio che quelle importanti vengano trascurate.
Per questo la qualità e la specificità del segnale sono importanti quanto la quantità degli eventi raccolti.
Honeypot: un segnale ad alta confidenza
Esiste un approccio diverso, complementare alla detection tradizionale: l'honeypot. Un honeypot è una risorsa-esca, cioè un sistema che appare interessante a un potenziale intruso ma che nessuno, nell'organizzazione, ha motivo di usare. Inserito nella rete, trasforma ogni contatto in un segnale da verificare.
Immaginiamo un server che sembra contenere copie di backup aziendali. È visibile nella rete, ma non svolge alcuna funzione operativa reale. Nessun dipendente deve utilizzarlo e nessuna applicazione aziendale dovrebbe collegarsi a quel sistema.
Se qualcuno tenta di accedervi, l'evento assume un significato particolare.
A differenza di una connessione verso un normale server aziendale, il contatto con una risorsa-esca non dovrebbe rientrare nelle attività quotidiane dell'organizzazione.
Un'interazione può ancora derivare da uno scanner autorizzato o da un errore, ma le possibili spiegazioni legittime sono molto più circoscritte.
Questo consente di generare segnali generalmente ad alta confidenza, riducendo il lavoro necessario per distinguere un'attività sospetta dal normale funzionamento della rete.
Un honeypot non riconosce automaticamente ogni intrusione e non può rilevare un attaccante che non interagisce con le esche. Il suo valore consiste nell'aggiungere un tipo di segnale diverso, particolarmente utile quando il tempo disponibile per l'analisi è limitato.
Come Hoxey applica la deception: honeypot, decoy e breadcrumbs
Hoxey è una soluzione italiana di cyber deception per le PMI: rileva le minacce già presenti nella rete aziendale attraverso honeypot interattivi, ospitati nella propria infrastruttura cloud ma presentati all'interno della rete del cliente come risorse locali.
Un dispositivo di collegamento inoltra il traffico destinato al decoy attraverso un tunnel cifrato. L'architettura consente il ritorno delle risposte alle connessioni ricevute, ma blocca l'avvio di nuove connessioni dal decoy verso la rete aziendale.
Questo isolamento è progettato per impedire che un honeypot compromesso venga utilizzato come punto di partenza per raggiungere altri sistemi del cliente.
La piattaforma comprende inoltre breadcrumbs, ossia indizi e risorse-esca collocati sugli endpoint, che possono attirare l'attenzione di un intruso o generare un segnale quando vengono consultati.
Una rete di deception permette poi di prolungare l'interazione con ulteriori sistemi fittizi, mantenendo l'attività dell'attaccante lontana dalle risorse reali.
L'obiettivo non è monitorare tutto il traffico aziendale, ma aumentare le possibilità che un'attività ostile incontri una risorsa controllata e produca un segnale significativo.
L'architettura di isolamento è approfondita nel Modello di sicurezza Hoxey.
Per comprendere le differenze rispetto agli strumenti tradizionali si può consultare anche Honeypot vs IDS: che cosa rilevano davvero e perché possono servire entrambi.
Cosa fare se sospetti una violazione: cinque domande di verifica
Se emerge un possibile segnale di compromissione, i primi passi sono isolare il sistema sospetto, conservare i log e avvisare chi gestisce l'IT. Se l'avviso arriva da un honeypot Hoxey, la guida Identificare un computer compromesso spiega come risalire al dispositivo partendo dall'indirizzo IP riportato nell'evento. Come valutare un alert fuori orario è trattato in Alert di sicurezza alle 3 di notte: intervenire o aspettare?.
Anche senza un SOC interno, è possibile valutare la propria capacità di riconoscere attività sospette attraverso alcune domande:
- Visibilità: siamo in grado di individuare scansioni interne, autenticazioni insolite e accessi inattesi alle risorse?
- Ricostruzione: i log disponibili consentono di collegare eventi diversi e ricostruire una sequenza di attività?
- Responsabilità: chi riceve e verifica gli alert? Esiste una procedura per stabilire quali richiedono attenzione immediata?
- Segnali ad alta confidenza: disponiamo di risorse-esca credibili che possano segnalare interazioni non previste?
- Risposta: sappiamo quali verifiche avviare e quali azioni intraprendere quando emerge un possibile segnale di compromissione?
Le prime tre domande riguardano la capacità di osservare e interpretare ciò che accade. La quarta introduce un canale di rilevamento complementare. La quinta riguarda la possibilità di trasformare un segnale in una risposta operativa.
Non è necessario disporre della stessa infrastruttura di sicurezza di una grande organizzazione. È però importante conoscere i propri limiti di visibilità e stabilire come gestire gli eventi che possono indicare una minaccia.
Domande frequenti
Come posso capire se la rete aziendale è stata violata?
I possibili segnali comprendono scansioni insolite, tentativi di autenticazione anomali, accessi inattesi a file e sistemi, enumerazione di risorse e attività non coerenti con il comportamento abituale degli account. Nessuno di questi elementi dimostra necessariamente una compromissione: occorre considerarne il contesto e, quando possibile, correlarli con altri eventi.
Cosa fare se si sospetta che la rete sia stata violata?
Isolare il sistema sospetto senza spegnerlo, conservare i log, registrare orario e host coinvolto e avvisare chi gestisce l'infrastruttura. L'analisi approfondita può seguire in un secondo momento.
Un honeypot può rilevare un intruso nella rete?
Un honeypot può segnalare l'interazione con una risorsa che non dovrebbe essere utilizzata nelle normali attività aziendali. Questo rende il segnale generalmente più specifico rispetto a molte anomalie rilevate dagli strumenti tradizionali. Non può però individuare attività che non coinvolgono le risorse-esca.
Un honeypot sostituisce EDR, IDS o NDR?
No. Gli strumenti tradizionali osservano endpoint, traffico o comportamenti per individuare attività sospette. Un honeypot aggiunge un canale di rilevamento basato sull'interazione con una risorsa-esca. I due approcci sono complementari.
È possibile migliorare la detection senza un SOC?
Sì. Una migliore selezione degli alert, una raccolta dei log adeguata, procedure di verifica definite e l'impiego di segnali ad alta confidenza possono rendere più gestibile il rilevamento delle minacce. La soluzione più appropriata dipende dalle dimensioni dell'infrastruttura e dalle risorse disponibili.
Sintesi
Accorgersi che qualcuno è entrato nella rete aziendale non dipende soltanto dalla quantità di eventi che si riescono a registrare.
Conta anche la capacità di riconoscere quelli significativi, interpretarli e intervenire in tempo utile.
Gli strumenti tradizionali offrono visibilità su molte attività, ma possono richiedere un lavoro considerevole di analisi. Le risorse-esca introducono un segnale differente: l'interazione con un sistema che non dovrebbe essere utilizzato.
La deception non elimina la necessità di monitorare e proteggere la rete. Può però contribuire a rendere più riconoscibili alcune attività ostili, anche in organizzazioni con risorse di sicurezza limitate.
Per valutare le caratteristiche di una soluzione di deception, si possono consultare le cinque domande da porre prima di scegliere un honeypot.