Threat Intelligence: anticipare i vettori d’attacco

I cyber criminali operano in modo strutturato: studiano le vittime, acquistano accessi e credenziali sui mercati clandestini, riutilizzano infrastrutture e strumenti già impiegati contro altre organizzazioni. È importante evidenziare che, spesso, molte di queste attività lasciano tracce osservabili prima che l’attacco arrivi a destinazione. Ne consegue che, chi sa leggerle, può intervenire in anticipo.

La Threat Intelligence (TI) si occupa di: raccogliere, analizzare e contestualizzare informazioni sulle minacce per trasformarle in azioni concrete. Non si tratta di accumulare dati, ma di sapere quali attori, tecniche e vulnerabilità riguardano davvero la propria organizzazione e di agire di conseguenza.

Come la Threat Intelligence supporta la difesa proattiva dell’impresa

La Threat Intelligence sposta l’attenzione a monte, ovvero, agisce in modo proattivo, consentendo di acquisire informazioni su campagne sono attive, quali vulnerabilità vengono sfruttate e quali infrastrutture malevole sono in uso, in modo da bloccare attacchi o da effettuare le correzioni necessarie, prima di essere colpiti.

Di fatto, tali informazioni sono propedeutiche a garantire una la difesa proattiva in termini di:

• prioritizzazione delle patch in base alle vulnerabilità realmente sfruttate;
• rilevamento più rapido, grazie a indicatori e tecniche già note;
• decisioni informate su investimenti e controlli;
• contesto per gli analisti SOC, che distinguono più facilmente un evento critico da un falso allarme.

Quali sono le differenze tra intelligence tattica, operativa e strategica

È doveroso evidenziare che le tipologie di intelligence rispondono a domande distinte e si rivolgono a destinatari diversi, ovvero:

Intelligence tattica. Risponde alla domanda “come si riconosce l’attacco?”. Comprende indicatori tecnici come firme, indirizzi IP e domini malevoli, hash di file, ed è pensata per SOC, analisti e team di rete, che la usano per aggiornare le difese e rilevare le minacce già note.

Intelligence operativa. Risponde alla domanda “come agisce l’attaccante?”. Descrive le campagne in corso, le tecniche e procedure (TTP) e la loro mappatura su MITRE ATT&CK. È il livello utile a threat hunter e incident responder, che ne ricavano ipotesi di ricerca e indicazioni per la risposta.

Intelligence strategica. Risponde alla domanda “chi ci minaccia e perché?”. Riguarda trend, motivazioni degli attori e rischi per settore e area geografica, e si rivolge a CISO, direzione e board, che la usano per orientare budget e priorità.

Solitamente un programma maturo di cyber resilience si basa sulla calibrata sintesi delle tre tipologie di intelligence: la tattica alimenta le difese quotidiane, l’operativa guida la caccia alle minacce e la risposta, la strategica orienta le scelte di lungo periodo.

Come utilizzare gli indicatori di compromissione (IoC) per aggiornare i firewall

Gli indicatori di compromissione (IoC – Indicator of Compromise) sono tracce che segnalano un’attività malevola: indirizzi IP, domini, URL, hash di file, certificati. Sono il livello di intelligence più immediato da rendere operativo.

Di fatto, l’acquisizione preventiva di indicatori di compromissione permette di ottimizzare il controllo risorse critiche, aggiornando tempestivamente le regole di filtraggio perimetrale ed endpoint.

Il processo tipico prevede i seguenti passaggi:

1. Raccolta degli IoC da feed affidabili, fonti open source, scambi di settore e servizi commerciali.
2. Validazione, filtrando duplicati, indicatori obsoleti e dati poco affidabili, per non bloccare per errore traffico legittimo.
3. Distribuzione automatica verso firewall, proxy, DNS security, gateway email ed EDR, tramite piattaforme di threat intelligence o SOAR.
4. Scadenza e revisione, dato che gli IoC invecchiano in fretta, in quanto gli attaccanti cambiano spesso infrastruttura. Pertanto, ogni indicatore deve avere una durata e una verifica periodica.

È importante evidenziare che gli IoC, da soli, hanno un limite, essendo facili da aggirare cambiando IP o dominio. Pertanto, vanno affiancati a informazioni sui comportamenti (i.e. TTP – Tactics, Techniques, and Procedures), più difficili da modificare.

Come strutturare un programma di monitoraggio delle minacce esterne

Un programma efficace di monitoraggio delle minacce esterne deve partire dagli obiettivi di sicurezza e di business, non dagli strumenti tecnologici. La prima fase consiste quindi nel definire con chiarezza che cosa monitorare, quali informazioni raccogliere e come trasformarle in intelligence utile a supportare le decisioni.

La struttura del programma dovrebbe prevedere almeno questi elementi:

• definizione del perimetro, individuando gli asset e le informazioni critiche da proteggere;
• identificazione dei requisiti informativi, stabilendo quali informazioni servono e a quali funzioni aziendali;
• selezione delle fonti, interne ed esterne, valutandone affidabilità, rilevanza e tempestività;
• raccolta, normalizzazione e correlazione dei dati, per trasformare informazioni eterogenee in evidenze utilizzabili;
• analisi e valutazione delle minacce, considerando anche il livello di affidabilità delle informazioni e la loro rilevanza rispetto al rischio aziendale;
• diffusione dell’intelligence, indirizzando le informazioni ai team e ai responsabili che devono prendere decisioni o attivare contromisure;
• feedback e miglioramento continuo, verificando l’utilità concreta dei risultati e aggiornando progressivamente requisiti, fonti e modalità di analisi.

Inoltre, il perimetro del monitoraggio delle minacceesterne dovrebbe comprendere, in particolare, i domini e i marchi aziendali, le credenziali potenzialmente compromesse, le vulnerabilità dei sistemi esposti a Internet, i fornitori e le terze parti, nonché le informazioni provenienti dagli ambienti e dai gruppi criminali.

Pertanto, l’obiettivo non è raccogliere il maggior numero possibile di informazioni, ma intercettare tempestivamente i segnali rilevanti, valutarne l’impatto e trasformarli in azioni concrete di prevenzione e riduzione del rischio.

Come raccogliere ed elaborare le informazioni provenienti dal Dark Web

Il Dark Web ospita forum e marketplace dove vengono venduti accessi, credenziali, dati esfiltrati e servizi di attacco. Ne consegue che, monitorarlo permette di scoprire una compromissione prima che diventi un incidente.

Le fonti più utili sono forum criminali, mercati illegali, canali di messaggistica riservati, siti di leak dei gruppi ransomware e archivi di credenziali trapelate. Per raccogliere le informazioni si usano in genere:

• servizi commerciali di monitoraggio, che offrono ricerca e allerta su brand, domini e credenziali;
• strumenti di scraping automatizzato, gestiti in ambienti isolati;
• analisti specializzati, che operano con identità e procedure dedicate.

È doveroso evidenziare che l’accesso diretto al dark web va gestito con cautela, per ragioni legali, di sicurezza e di reputazione: per la maggior parte delle aziende conviene affidarsi a un provider specializzato.

Una volta raccolti, i dati vanno: verificati (dato che molti annunci sono truffe o duplicati); contestualizzati (riguardano davvero l’azienda?) e classificati per urgenza.

A titolo di esempio: una credenziale aziendale in vendita richiede il reset immediato; mentre la menzione generica di un settore è un’informazione da inserire nell’analisi strategica.

Come integrare i feed di minaccia con i presidi di sicurezza esistenti

È importante evidenziare che i feed di minaccia hanno valore solo se alimentano i sistemi che decidono e agiscono. Ne consegue che la loro integrazione con i presidi di sicurezza esistenti richiede:

• una piattaforma centrale (TIP) che raccoglie, normalizza e deduplica le fonti;
• formati standard, come STIX (Structured Threat Information eXpression) e TAXII (Trusted Automated Exchange of Intelligence Information), per scambiare le informazioni tra strumenti diversi;
• connettori verso SIEM, EDR, firewall, proxy e SOAR, per distribuire gli indicatori e correlarli con gli eventi interni;
• punteggi di affidabilità e scadenze, per evitare rumore e falsi positivi;
• filtri per rilevanza, affinché ogni team riceva solo ciò che riguarda il proprio ambito.

Qual è l’impatto della Threat Intelligence sulla gestione dei rischi

La Threat Intelligence rafforza la gestione del rischio cyber, perché consente di basare la valutazione delle minacce su evidenze concrete e aggiornate, anziché esclusivamente su ipotesi teoriche.

Di fatto, grazie alla threat intelligence, l’organizzazione può comprendere chi sono i potenziali attaccanti, quali tecniche e vulnerabilità utilizzano, quali asset prendono di mira e quali impatti hanno già prodotto in contesti analoghi. Informazioni che permettono di aggiornare la valutazione del rischio, definire priorità più accurate e indirizzare investimenti e risorse verso le esposizioni maggiormente rilevanti per il business.

La Threat Intelligence contribuisce, quindi, a ridurre la superficie di esposizione, migliorare i tempi di rilevamento e risposta e limitare la probabilità e i costi di un incidente.

Di fatto, il suo valore non si limita alla fase preventiva dato che, se integrata nei processi di risk management, vulnerability management, incident response e business continuity, consente di collegare le informazioni sulle minacce alle decisioni operative e strategiche, creando un ciclo continuo di monitoraggio, valutazione, trattamento e aggiornamento del rischio.

Infine, la Threat Intelligence può supportare anche gli obiettivi di compliance, ad esempio, nell’ambito di NIS2 e GDPR, contribuendo a dimostrare un approccio strutturato alla conoscenza delle minacce, alla valutazione del rischio e all’adozione di misure proporzionate.

Come anticipare i vettori d’attacco specifici per il proprio settore industriale

Anticipare i vettori di attacco significa: conoscere le minacce più probabili per il proprio settore; comprenderne le modalità operative; verificare in anticipo la capacità dell’organizzazione di prevenirle e rilevarle.

Le minacce, infatti, variano in funzione del settore, degli asset critici e della catena di fornitura. Nel manifatturiero possono assumere particolare rilevanza ransomware e compromissione dei sistemi OT; nel settore finanziario, frodi, phishing e furto di credenziali; nella sanità, esfiltrazione di dati sensibili e ransomware; nella logistica e nel retail, compromissione della supply chain e attacchi ai fornitori.

Per trasformare queste informazioni in cyber security proattiva, l’organizzazione dovrebbe:

1. Identificare gli attori delle minacce che prendono di mira il proprio settore, la propria area geografica e la propria catena di fornitura.
2. Analizzare tecniche, tattiche e procedure (TTP) utilizzate dagli attaccanti e mapparle, ove possibile, sul framework MITRE ATT&CK.
3. Confrontare i vettori di attacco con le difese esistenti, individuando eventuali lacune nelle capacità di prevenzione, rilevamento e risposta.
4. Condividere e acquisire informazioni di settore attraverso CSIRT (Computer Security Incident Response Team), ISAC (Information Sharing and Analysis Center), associazioni di settore e partner, per beneficiare tempestivamente di indicatori e avvisi sulle minacce emergenti.
5. Tradurre l’intelligence in azioni concrete, definendo priorità di patching e remediation, aggiornando le regole di detection, rafforzando i controlli e pianificando esercitazioni basate sugli scenari di attacco più probabili.

Come presentare i report d’intelligence al CISO e alla direzione IT

È importante evidenziare che un report di Threat Intelligence efficace non deve limitarsi a dimostrare la quantità di informazioni raccolte, bensì deve trasformare i dati sulle minacce in evidenze, priorità e azioni concrete, con un livello di dettaglio adeguato al destinatario.

Pertanto, si consiglia, per il CISO e la Direzione IT, di strutturare il report considerando i seguenti elementi fondamentali:

• Executive summary: sintetizzare in poche righe le minacce più rilevanti, il potenziale impatto sul business e le principali azioni richieste.
• Collegamento con il business: evidenziare quali processi, sistemi, asset critici o aree di business possono essere esposti e quali potrebbero essere le conseguenze.
• KPI e indicatori di rischio: utilizzare metriche chiare, come il numero di minacce rilevanti per il settore, le vulnerabilità critiche effettivamente sfruttate, i tempi di aggiornamento delle difese e le credenziali esposte individuate e messe in sicurezza.
• Priorità e raccomandazioni: indicare quali interventi devono essere effettuati, con relativa priorità, responsabile e tempistica, evitando raccomandazioni generiche.
• Livello di dettaglio differenziato: fornire alla Direzione una sintesi orientata a rischio, impatto e decisioni, lasciando al team IT gli approfondimenti tecnici necessari per remediation, detection e risposta.

Inoltre, la periodicità deve essere coerente con il livello di rischio. Infine, report brevi, regolari e orientati alle decisioni consentono di: seguire l’evoluzione delle minacce; verificare l’efficacia delle contromisure; costruire maggiore fiducia tra cyber security, IT e management, oltre a convertire il report di intelligence in uno strumento di governo del rischio, capace di collegare ciò che sta accadendo all’esterno dell’organizzazione con le decisioni e gli investimenti necessari per rafforzarne la sicurezza.

Conclusione

La Threat Intelligence permette di passare da una sicurezza reattiva ad una proattiva in grado di anticipare i rischi. Inoltre, distinguere i tre livelli di intelligence, trasformare gli IoC in regole di filtraggio, monitorare le fonti esterne (compreso il Dark Web), oltre ad integrare i feed nei sistemi esistenti, significa conoscere gli avversari prima che colpiscano.

È importante essere consapevoli che la threat intelligence on si improvvisa e richiede un percorso graduale basato su: la definizione di obiettivi e requisiti; partire da poche fonti affidabili, automatizzare la distribuzione degli indicatori e misurare i risultati.

Comunicati in modo chiaro al CISO e alla direzione, questi risultati dimostrano che investire in intelligence riduce il rischio e rafforza la continuità del business.