Tecnologie abilitanti e approccio predittivo

Il SOC come leva predittiva e strategica nell’era della NIS2 – Parte 3

Introduzione: definita la relazione del SOC con gli standard (leggi l’articolo di riferimento), questa sezione entra nel merito delle tecnologie e delle pratiche che rendono concreta la capacità predittiva, con particolare attenzione all’integrazione con i sistemi SOAR e agli indicatori avanzati.

L’evoluzione del SOC in chiave predittiva non può prescindere dall’integrazione con tecnologie di orchestrazione e automazione, in particolare i sistemi SOAR (Security Orchestration, Automation and Response). L’interazione tra SOC e SOAR abilita una gestione degli eventi, degli incidenti e del rischio che non è solo più rapida, ma soprattutto più intelligente. Il SOC raccoglie, correla e interpreta dati; il SOAR agisce, automatizza e amplifica. Insieme, creano un circuito virtuoso che consente di passare dalla reazione alla proattività.

Un esempio concreto? In presenza di una minaccia emergente rilevata su un endpoint remoto, un sistema SOAR integrato può automatizzare il processo di contenimento, disconnettere l’asset dalla rete, lanciare una scansione di threat hunting e, al contempo, aprire un ticket per il team IT e informare le figure di governance. Il tutto in pochi secondi, senza intervento umano. Un altro caso: un alert su una compromissione della supply chain, ricevuto attraverso una threat intelligence esterna, può attivare in automatico una verifica sui canali di comunicazione con il fornitore coinvolto, suggerendo azioni correttive (come ad esempio la disattivazione temporanea di canali di comunicazione con il fornitore che sono considerati trusted e che potrebbero quindi essere sfruttati come Initial Access da parte di un Threat Actor) in base al rischio reale.

Adottare un approccio preventivo significa, per esempio, identificare comportamenti sospetti tra i dipendenti prima che diventino incidenti, monitorare l’esposizione web di competitor e fornitori alla ricerca di data leak che possano delineare scenari di attacco in corso e intercettare vulnerabilità esposte pubblicamente o l’approssimarsi di un attacco verso la propria organizzazione.

Un SOC efficace non si limita a ricevere alert: interpreta segnali e li trasforma in informazione operativa. Per farlo, è essenziale definire un set evoluto di indicatori da monitorare costantemente (sfruttando ad esempio progetti, presenti anche nel panorama open source, i quali sono diventati punti di riferimento fondamentali, quali MISP). Il numero e la frequenza di autenticazioni fallite da geolocalizzazioni anomale, la variazione improvvisa nei volumi di traffico in uscita da endpoint critici, la creazione di account privilegiati al di fuori delle finestre di manutenzione, oppure la comunicazione con domini di recente registrazione non presenti in whitelist. Sono segnali deboli che, se analizzati nel contesto giusto, possono anticipare attività di ricognizione o movimenti laterali. Anche la persistenza anomala di processi in background su host strategici, l’uso ripetuto di strumenti di amministrazione remota, o la modifica improvvisa dei criteri di logging su server applicativi, rappresentano pattern comportamentali che meritano attenzione. Fondamentale è inoltre il monitoraggio constante del panorama relativo alle infezioni da malware di tipo infostealer, che negli ultimi anni è diventato di gran lunga il vettore principale che consente di recuperare un accesso iniziale verso le risorse dell’organizzazione target. L’obiettivo è costruire una sorveglianza adattiva, capace di cogliere l’insolito nel quotidiano, e di farlo prima che diventi incidente.

di Luciano Quartarone e Massimo Giaimo

D365+

Business Applications

NETEYE

IT Systems Management

Project Management Solution &

Service Management

SEC4U

Cyber Security

Settori

Voglia di accrescere le tue competenze?

Academy