Tra i professionisti della cyber security che lavorano nelle retrovie dei Security Operation Center (SOC) figurano gli Intrusion detection specialist, figure deputate al rilevamento delle attività che destano sospetti e che sono anche solo potenzialmente dannose per l’intera infrastruttura digitale delle aziende.
Un ruolo apicale anche perché, come vedremo, le reti aziendali sono sempre più ampie e con esse diventa meno facile monitorare tutti i dispositivi digitali che vi hanno accesso, fosse solo per prelevare, modificare, scrivere o elaborare dati.
Vediamo nel dettaglio di cosa si occupa l’Intrusion detection specialist, quale formazione è opportuno che abbia e quali opportunità di lavoro ci sono in Italia per chi decidesse di intraprendere questa carriera.
Indice degli argomenti
Introduzione alla professione del Intrusion detection specialist
È la figura professionale che porta sulle proprie spalle la responsabilità di impedire agli hacker di raggiungere i propri obiettivi criminosi. Per farlo si avvale di strumenti e collaborazioni specifiche ma, nello svolgimento dei propri compiti, l’Intrusion detection specialist è il primo operatore umano a monitorare che le attività all’interno dei perimetri aziendali siano regolari.
Una responsabilità di spessore che esige una preparazione solida, oltre a doti di analisi e ragionamento logico sviluppate.
Definizione e ruolo dell’Intrusion detection specialist
Attualmente frasi quali “monitorare i perimetri delle reti aziendali” oppure “monitorare le infrastrutture digitali” hanno un senso reale ma da relativizzare. I perimetri delle reti aziendali possono sovrapporsi persino a tutto il globo (si pensi alle multinazionali) e, in aggiunta, ciò vale anche per le risorse digitali della medesima organizzazione, la cui distribuzione geografica si estende grazie allo Smart working e all’Industrial Internet of Things (IIoT).
Il ruolo dell’Intrusion detection specialist prevede diversi compiti e, oltre al già citato monitoraggio della rete aziendale, figurano:
- L’ analisi degli incidenti: consiste nel determinare l’origine e la natura delle attività sospette rilevate. Un processo sensibile che prevede l’analisi dei dati (tipicamente log di sistema), l’identificazione delle firme di attacco e l’analisi del traffico di rete.
- Le contromisure: quando un pericolo viene rilevato occorre attivare le opportune misure. Sono molte e di diversa entità. Per esempio, in collaborazione con il gruppo di risposta agli incidenti, si può decidere di aggiornare delle policy o delle regole fallaci oppure isolare i segmenti di rete compromessi.
- La collaborazione: l’Intrusion detection specialist si confronta con altri membri o reparti del SOC. Tra questi il Security director, il Security auditor , il Security analyst oppure i tecnici dediti agli aggiornamenti dei sistemi operativi lato server e lato client
- L’aggiornamento degli strumenti: un altro compito dell’Intrusion detection specialist è mirato alla manutenzione degli strumenti hardware e software per il rilevamento delle minacce e per l’adeguamento delle regole di sicurezza.
Quest’ultimo punto esige che l’Intrusion detection specialist sia sempre aggiornato e conosca anche le minacce emergenti.
A seconda dell’organigramma aziendale, l’Intrusion Detection Specialist può essere deputato alla formazione del personale, spiegando i principi della cyber security e illustrando le procedure da seguire in caso di necessità.
Campo d’azione: dove lavora un Intrusion detection specialist
Al pari di molte figure della cyber security, all’Intrusion detection specialist si aprono diverse possibilità di impiego:
- Grandi aziende, di norma quelle in cui esiste un SOC con diversi reparti al proprio interno
- Enti governativi, in particolare quelli che si occupano di sicurezza nazionale o di difesa
- Enti di ricerca, laddove la tutela dei dati e delle infrastrutture è importante anche per prevenire incursioni di spionaggio industriale
- Aziende di consulenza e aziende di cyber security che forniscono a terzi i propri servizi e prodotti
Ovunque i dati rivestono un capitale intangibile rilevante c’è posto per un Intrusion detection specialist. Si pensi alle istituzioni finanziarie, alla sanità oppure alle imprese che forniscono servizi di analisi di dati o che lavorano con le Intelligenze artificiali.
L’importanza del Intrusion detection specialist
Un Intrusion detection specialist che fa buon uso degli strumenti di cui dispone può evitare le ricadute tipiche di un attacco hacker andato a segno che, oltre alle conseguenze di tipo finanziario e di continuità operativa, può minare anche la reputazione dell’impresa vittima. I costi di un attacco per chi lo subisce, come abbiamo spiegato qui, sono ingenti e non si esauriscono nell’immediato.
Questo spiega perché quella dell’Intrusion detection specialist è una figura importante.
Competenze richieste per diventare Intrusion detection specialist
Il ruolo di Intrusion detection specialist esige delle competenze relative ai protocolli di comunicazione e alle tecnologie di rete, oltre alla capacità di uso degli strumenti Intrusion Detection System (IDS) e Intrusion Prevention System (IPS).
Inoltre, sono essenziali la capacità di analisi, la resistenza allo stress e la capacità di occuparsi dei dettagli. Una miscela di competenze tecniche e soft skill che bene rappresentano la complessità del lavoro che l’Intrusion detection specialist deve svolgere.
Conoscenza approfondita di reti e protocolli di comunicazione
È necessaria una conoscenza solida delle reti e dei protocolli, utili a scindere le attività tipiche da quelle anomale.
Non soltanto i protocolli TCP/IP o Https, ma anche tutto ciò che viene utilizzato nelle organizzazioni, tra RDP, DNS (ancora bistrattato alle nostre latitudini) e tutti quelli afferenti soprattutto ai livelli 3, 4 e 5 – rispettivamente rete, trasporto e sessione – della pila OSI (Open Systems Interconnection).
Familiarità con i linguaggi di programmazione
I linguaggi di programmazione sono fondamentali per l’automazione del monitoraggio degli eventi, così come per la loro analisi e le risposte.
A ciò si aggiunge la necessità di sapere esaminare codice malevolo per comprenderne il funzionamento e l’importanza di sapere scrivere script, in collaborazione con altre figure ICT, per la mitigazione delle minacce o dei loro effetti.
Capacità di risolvere problemi e di pensare in modo analitico
Identificare minacce nuove richiede pensiero analitico e critico, oltre a una spiccata propensione alla soluzione di problemi complessi in tempi rapidi, così come devono essere immediati i tempi necessari a implementare soluzioni utili a mitigare i rischi.
Il pensiero analitico è coinvolto nella capacità di un Intrusion detection specialist di esaminare i dati raccolti dai sistemi di sicurezza per identificare anomalie e tendenze che possono essere foriere di pericoli.
Strumenti e tecniche che un Intrusion detection specialist dovrebbe conoscere
Abbiamo parlato di IDS e IPS, ossia di Intrusion Detection System e di Intrusion Prevention System, tecnologie fondamentali per un Intrusion detection specialist, ma non le uniche.
Il nome Suricata è tra i più famosi, perché è un IDS, un IPS e un Network security monitor sviluppato dalla comunità di riferimento e dall’ Open Information Security Foundation (OISF), organizzazione no-profit che supporta le tecnologie Open source.
Sono strumenti che permettono di esaminare in tempo reale il traffico di rete e i dispositivi per identificare le potenziali minacce.
Ci sono però altre tecnologie e tecniche che devono essere proprie di un Intrusion detection specialist.
Conoscenza delle vulnerabilità e delle tecniche di evasione
Riconoscere e gestire le vulnerabilità è fondamentale nella prioritizzazione dell’installazione delle patch, per le configurazioni efficaci di software e hardware e per le tecniche di hardening.
Nel medesimo tempo un Intrusion detection specialist deve conoscere le tecniche usate dagli attaccanti per anticiparli, mitigarne gli effetti ma anche per limitare l’occorrenza di falsi negativi.
Capacità di analisi e conoscenza di tecniche forensi
Per l’Intrusion detection specialist l’analisi è centrale. In questo caso si parla sia dell’analisi dei log di sistema, dei dispositivi di rete e delle applicazioni ma anche di analisi forense, utile a comprendere come è avvenuto un attacco o come è andata a segno un’intrusione.
Rientrano nelle attività forensi anche i dispositivi mobili e quelli IIoT i quali, tra l’altro, contribuiscono a rendere persino sconfinate le reti e le infrastrutture digitali di un’organizzazione.
Capacità di collaborazione e comunicazione
Si tende a credere che gli specialisti della sicurezza si debbano limitare all’uso di software e tecnologie. Al contrario, uno dei punti comuni a tutti coloro che completano gli organigrammi dei SOC è la collaborazione, anche stretta, con colleghi, manager, fornitori di servizi, clienti e collaboratori esterni.
Collaborare con tutti gli stakeholder è un caposaldo di una buona infrastruttura e di una buona organizzazione in materia di cyber sicurezza.
Come abbiamo accennato sopra, anche l’Intrusion detection specialist deve sapersi interfacciare con altri professionisti per potere svolgere al meglio la propria professione. Collabora, così, con altri professionisti del SOC ma anche con i propri colleghi, ai quali può essere chiamato a impartire i fondamentali della sicurezza e le misure a cui ricorrere in caso di dubbi.
L’uso della crittografia in ambito di sicurezza informatica
È un’altra conoscenza indispensabile per ogni Intrusion detection specialist perché è strettamente collegata al rilevamento delle intrusioni e, ancora prima, alla protezione dei dati.
La crittografia è fondamentale per la cyber security ed è importante anche per i cyber criminali.
Stilando un elenco degli aspetti che rendono la crittografia essenziale, è necessario citare:
- La protezione dei dati in transito e a riposo. Monitorare e rilevare i tentativi di accesso ai dati cifrati mantenendone l’integrità è uno dei compiti dell’Intrusion detection specialist
- La cifratura del traffico di rete (si pensi ai protocolli TLS/SSL) rende un po’ più complesso il lavoro dell’Intrusion detection specialist che deve impiegare tecniche di decryption in-line per decrittare il traffico, esaminarlo e poi crittografarlo di nuovo.
- Rilevamento delle minacce. Gli hacker possono nascondere le proprie attività facendo a loro volta ricorso alla crittografia per sferrare attacchi che possono bucare le difese aziendali.
L’implementazione di algoritmi di cifratura non adeguati con chiavi di dimensioni non sufficienti o protocolli la cui configurazione risulta perfettibile sono una manna per gli hacker.
Percorso formativo per diventare Intrusion detection specialist
La formazione accademica è necessaria, segnatamente in Ingegneria informatica, in Informatica oppure in Cyber security.
Percorsi che conferiscono buone conoscenze in materia di reti, di programmazione e di sistemi operativi ma che, da soli, possono non bastare.
Servono competenze pratiche acquisite sul campo e la costanza per l’aggiornamento continuo. Tra le competenze viste sopra sembra opportuno approfondire un po’ il valore dei software IDS e IPS, cruciali nello svolgimento dei compiti di un Intrusion detection specialist.
L’importanza dei software IDS e IPS
Aldilà delle differenze tra i tanti prodotti disponibili, sono software capaci di automatizzare e rendere più fluente il rilevamento delle minacce a cui sono naturalmente esposte le infrastrutture aziendali. Sono preziosi sia quando si affrontano le minacce note sia quando ci si cimenta con quelle potenziali.
Gli IDS sono utili anche per le operazioni relative alle conformità. Infatti, alcuni standard impongono alle imprese di avere infrastrutture per il rilevamento delle intrusioni. Si pensi, in particolare, al Payment Card Industry Data Security Standard (PCI – DSS, del quale abbiamo parlato qui).
Da solo un sistema IDS non rappresenta una tecnologia affidabile contro le minacce, per questo viene spesso integrato con un software per la prevenzione delle intrusioni (IPS) che coadiuva il rilevamento delle minacce stesse e la creazione di automatismi per prevenirle.
I sistemi IDS sono tipicamente software installati su apposito hardware (inclusi gli endpoint) ma sono anche erogati via Cloud. Funzionano principalmente secondo due leve:
- Il rilevamento basato sulla firma, che esamina i pacchetti di dati alla ricerca di firme di attacchi
- Il rilevamento basato sulle anomalie, che fa leva sul Machine learning per creare un modello che si applica alle normali attività di rete, riuscendo così a scovare eventuali anomalie.
Questa breve incursione è propedeutica a fare comprendere meglio quali competenze deve avere un Intrusion detection specialist: la conoscenza delle reti e del funzionamento dei protocolli, la predisposizione all’analisi e le capacità di problem solving devono essere solide.
Le certificazioni utili all’Intrusion detection specialist
Le certificazioni sono importanti per diversi motivi. In primis, perché sono studi complementari che forniscono competenze e visione d’insieme e, a seguire, perché sono forme di aggiornamento.
Tra quelle di maggiore rilievo (e quindi di maggiore impatto nei curricula) figurano:
- CompTIA Security, relativa ai fondamenti della cyber security
- Certified Information Systems Security Professional (CISSP), tra le certificazioni più ricorrenti tra i professionisti del settore. Occorre riflettere sulla diffusione di una certificazione, che corre il rischio di essere inflazionata e non costituire più un motivo di preferenza da parte dei datori di lavoro
- Certified Intrusion Analyst (GCIA), certificazione di riferimento per il rilevamento delle intrusioni
- Certified Ethical Hacker (CEH), che riguarda le tecniche degli hacker e la prevenzione
Queste sono le certificazioni più gettonate, non è da considerare un elenco esaustivo. Qui ne abbiamo riportate altre.
Aggiornamento continuo
Le certificazioni sono una forma di aggiornamento, ma un Intrusion detection specialist deve tenere occhi bene aperti anche sulle evoluzioni delle vulnerabilità, delle tecniche degli hacker e della crittografia.
A tale scopo ha senso frequentare corsi di aggiornamento in diversi comparti dell’ICT, partecipare a conferenze e dedicarsi alla letteratura nell’ambito della cyber security.
Carriera e prospettive future per un Intrusion detection specialist
In Italia il mercato del lavoro tende al caos per due motivi principali. Da una parte la sfaccettatura delle professioni che trovano posto in un SOC è meno fine e compiti di diversa natura vengono accorpati in seno a una singola figura professionale che, così facendo, perde parte delle peculiarità che la contraddistinguono ricevendone altre non del tutto tipiche della professione in sé.
Dall’altra parte è un problema di nomenclatura: ciò che oltreoceano si chiama Intrusion detection specialist, alle nostre latitudini viene chiamato in modo diverso e tutto ciò crea una certa dispersione nel favorire l’incontro tra domanda e offerta.
L’importanza dell’esperienza pratica
L’esperienza sul campo è sempre benefica e concentrarsi sulla Network security in quanto tale per poi gradualmente avvicinarsi all’Intrusion detection appare un percorso ragionevole che può essere più facilmente seguito all’interno di grandi aziende o presso società di consulenza, soprattutto se sviluppano servizi e prodotti per le rispettive clientele.
Anche la possibilità di provare diversi software e differenti tecniche di difesa va a impreziosire il curriculum vitae di ogni candidato.
Compensi attesi e crescita professionale
La crescita professionale si presta a sviluppi interessanti. L’Intrusion detection specialist può ambire a posizioni quali il Security analyst, il Security engineer e persino ai vertici di un SOC. La predisposizione alle analisi forensi apre le porte a carriere parallele e alternative, quali l’impiego al servizio degli organi giudiziari e giuridici.
I compensi, riferiti però agli Stati Uniti perché le nostre ricerche online non sono state fruttuose nel tentare di stabilire una media delle retribuzioni in Italia, variano dai 30-40mila euro annui per un profilo junior fino ai 60mila euro l’anno per i ruoli senior.
