Le minacce si muovono più velocemente, si nascondono più a fondo e colpiscono con maggiore forza che mai. La sicurezza perimetrale tradizionale, un tempo sufficiente, oggi può lasciare lacune critiche. In questo contesto, la resilienza informatica richiede molto più di un semplice rilevamento: richiede una ricerca attiva e collaborativa delle minacce.
Il “threat hunting” è un approccio proattivo che consente di individuare e bloccare le minacce che potrebbero aver eluso le attuali misure di sicurezza prima che si trasformino in incidenti costosi. Con gli strumenti giusti e un piano ben definito, sia i team di sicurezza che quelli IT possono contribuire a bloccare rapidamente le minacce e a ripristinare la situazione in tempi brevi. Con Commvault Cloud, tecnologie quali le regole YARA, i framework di deception e i file canary rendono tutto questo possibile.
In questa sede analizziamo gli aspetti pratici: come funzionano le tecniche di threat hunting, quali vantaggi ne traggono gli amministratori dei dati e in che modo possono aiutarti a migliorare la resilienza informatica della tua organizzazione.
Che cos’è la caccia alle minacce?
Il “threat hunting” si è evoluto da disciplina di nicchia nel campo della sicurezza informatica a componente fondamentale della moderna sicurezza informatica e della resilienza. Le minacce odierne sono in grado di eludere i sistemi di rilevamento tradizionali per poi persistere in modo silenzioso, conducendo un’accurata ricognizione e sfruttando le risorse disponibili sul posto fino al momento dell’attacco. La “caccia alle minacce” è diventata un elemento chiave nella lotta contro le minacce informatiche, che stanno diventando sempre più sofisticate e diffuse. Può contribuire a impedire la diffusione delle minacce e a scongiurare danni ingenti.
I primi ad adottare la caccia alle minacce hanno iniziato a integrare le tecniche di ricerca proattiva delle minacce nei loro flussi di lavoro di risposta agli incidenti. Verso la metà degli anni 2010, la caccia alle minacce è diventata una disciplina formale adottata dai centri operativi di sicurezza (SOC) di tutto il mondo.
La ricerca delle minacce è un’attività trasversale che acquista maggiore efficacia quando coinvolge i team IT, di sicurezza e di gestione dei dati. Si tratta di una pratica continua che si basa sull’intelligenza collettiva e richiede sia vigilanza che agilità. Se condotta correttamente, la ricerca delle minacce può trasformare la vostra strategia informatica da reattiva a resiliente.
Tecniche e strategie comuni: come dare la caccia alle minacce
La caccia alle minacce si basa su un approccio a più livelli per individuare le anomalie. Queste tecniche aiutano a rilevare i primi segnali di compromissione monitorando le deviazioni nel comportamento, gli schemi nel traffico o l’attività in luoghi inaspettati. Ecco alcune tecniche di threat hunting comunemente utilizzate:
- Scansione delle minacce: la scansione continua è parte integrante di qualsiasi attività di threat hunting. Gli strumenti di scansione possono essere utilizzati per esaminare i registri, i file e le modifiche apportate agli stessi, l’attività di rete e il comportamento del sistema in tempo reale o a cadenza regolare. Utilizzando sia l’analisi basata sulle firme che quella comportamentale, gli scanner delle minacce possono segnalare attività insolite molto prima che vengano emessi gli avvisi standard.
- Regole YARA: Le regole YARA consentono di definire e individuare modelli specifici all’interno di file, processi o memoria. Si tratta essenzialmente delle “impronte” delle caratteristiche specifiche del malware e possono essere create appositamente da un team SOC, se sa cosa sta cercando, oppure da un feed di intelligence sulle minacce “in-the-wild” proveniente dalla comunità. Gli analisti della sicurezza utilizzano le regole YARA per identificare i tipi di malware noti, individuare le firme di file sospetti e mettere in luce i segnali di una violazione.
- Tecnologia di inganno: gli aggressori fanno affidamento sulla furtività, ma la tecnologia di inganno la usa contro di loro. Impostando esche come honeypot, esche e sensori di minaccia, è possibile indurre gli aggressori a rivelarsi.
Quando gli aggressori interagiscono con queste esche, che sembrano sistemi reali contenenti dati importanti, durante la loro ricognizione, il loro tentativo di comunicare con questi sistemi ingannevoli fa scattare un allarme. In questo modo è possibile rilevare tempestivamente le minacce senza creare ulteriore rumore e senza mettere a rischio le risorse reali e i dati aziendali.
- File “canary”: analogamente, i file “canary” fungono da semplici ma efficaci “allarmi digitali”. Questi file appaiono agli occhi di un malintenzionato come contenuti di valore, mentre in realtà vengono monitorati per rilevare eventuali accessi o modifiche. Se vengono modificati, attivano degli avvisi che segnalano un’attività non autorizzata.
Con la maturazione delle tecniche di “caccia alle minacce”, l’integrazione dell’intelligenza artificiale (IA) e dell’apprendimento automatico è ormai all’orizzonte. Queste nuove tecnologie hanno il potenziale per migliorare l’accuratezza e la velocità di rilevamento, identificando schemi che potrebbero sfuggire all’occhio umano, assegnando priorità alle minacce in modo più intelligente e riducendo i falsi positivi che rallentano la risposta.
In che modo l’IT trae vantaggio dal Threat Hunting?
Tradizionalmente, la caccia alle minacce è stata di stretta competenza dei professionisti della sicurezza. Ma ora che la velocità di recupero e l’integrità dei dati definiscono la resilienza operativa delle aziende, gli amministratori della protezione dei dati sono diventati un tassello fondamentale per risolvere il puzzle.
Gli amministratori IT e dei dati sono i custodi dei dati, ne conoscono la posizione e le interconnessioni critiche. In questo modo, sono in grado di assumere il punto di vista degli aggressori e di capire da dove iniziare a scavare per individuare le minacce nascoste.
I processi di backup regolari possono catturare tutto ciò che accade in produzione. Pertanto, i backup dei dati possono diventare una fonte condivisa di informazioni sulla sicurezza, anche se gli aggressori riescono a nascondere le loro tracce.
A responsabilità crescenti corrispondono vantaggi sempre maggiori: l’utilizzo delle tecniche di “threat hunting” può offrire una miriade di benefici esclusivi per il processo di Recovery. Il “threat hunting” può aiutarti a ottenere Recovery senza contaminazioni. Se rilevi e isoli tempestivamente le minacce, puoi identificare l’ultimo backup integro e ripristinare copie non compromesse, evitando così il rischio di reinfezione. Ciò riduce al minimo la perdita di dati, migliora i tempi di Recovery, protegge l’integrità dei backup e ti aiuta a raggiungere gli indicatori chiave di prestazione (KPI) fondamentali.
La ricerca proattiva delle minacce riduce inoltre la necessità di operazioni di Recovery complete, bloccando i problemi prima che si aggravino. Un numero inferiore di interventi di Recovery contribuisce a ridurre il carico di lavoro dell’intero team. I segnali di allerta precoci offrono più tempo per agire e riducono l’onere operativo. Quando sono necessari interventi di Recovery, questi avvengono più rapidamente, con meno incertezze e maggiore sicurezza.
Infine, l’adozione di strumenti per la ricerca delle minacce può aumentare la credibilità dell’amministratore dei dati nel suo ruolo. I vostri sistemi rimangono affidabili, i vostri ripristini sono sempre più fluidi e la vostra reputazione di leader nella continuità cresce.
Commvault Cloud integra funzionalità di threat hunting direttamente nei flussi di lavoro di Backup and Recovery. Non è necessario diventare un analista della sicurezza. Gli strumenti di threat hunting integrati e all’avanguardia mettono a disposizione dei responsabili dei dati potenti capacità di rilevamento senza richiedere competenze aggiuntive. È possibile assumere il controllo della protezione dei dati senza uscire dal proprio ambito di competenza, contribuendo in modo determinante alla resilienza informatica dell’organizzazione.
Assumere il controllo: dalla difesa passiva al controllo attivo
Per la vostra azienda moderna, gli approcci alla sicurezza si stanno evolvendo in strategie di resilienza, andando oltre i firewall e gli antivirus di tipo reattivo. Una resilienza informatica completa consiste nel sapere cosa si nasconde all’interno del sistema e agire prima che il danno si diffonda. Oggi, la ricerca proattiva delle minacce offre un ulteriore strumento per proteggere i dati, migliorare i risultati della Recovery e agire con sicurezza, condividendo al contempo le informazioni di intelligence con i vostri omologhi nel campo della sicurezza.
Con Commvault Cloud, la ricerca delle minacce diventa parte integrante della vostra Readiness per il ripristino. Che si tratti di Threat Scans continue alla ricerca di minacce, di rilevamento basato su firme con regole YARA o dell’utilizzo di tecniche di inganno intelligenti con esche distribuite in tutto il vostro ambiente, avrete a disposizione gli strumenti necessari per aiutare la vostra azienda a rimanere resiliente di fronte a minacce informatiche in continua evoluzione.
Per ulteriori informazioni, visitate il sito www.commvault.com.
