Massimiliano Brolli : 27 Giugno 2024 08:45
La Cyber Threat Intelligence (CTI) diventa giorno dopo giorno una componente essenziale della sicurezza informatica aziendale. Tuttavia, c’è un malinteso comune tra le imprese: l’idea che affidarsi a fornitori di servizi di CTI, anche di alto livello, sia sufficiente per garantire una protezione completa contro le minacce cibernetiche.
Questo approccio può risultare limitato e potenzialmente pericoloso, poiché la vera efficacia della CTI risiede nella capacità di analizzare e contestualizzare le informazioni fornite, andando ben oltre la superficie dei servizi offerti.
La CTI, in definitiva è immergersi profondamente nella complessità e nell’oscurità del panorama digitale. Significa esplorare le minacce nei recessi più oscuri del dark web, conoscerle a fondo, infiltrarsi in ambienti underground e clandestini, camuffarsi da uno di loro per ottenere informazioni di prima mano.
PARTE LA PROMO ESTATE -40%
RedHotCyber Academy lancia una promozione esclusiva e a tempo limitato per chi vuole investire nella propria crescita professionale nel mondo della tecnologia e della cybersecurity!
Approfitta del 40% di sconto sull’acquisto congiunto di 3 corsi da te scelti dalla nostra Academy. Ad esempio potresti fare un percorso formativo includendo Cyber Threat intelligence + NIS2 + Criptovalute con lo sconto del 40%. Tutto questo lo potrai fruire, dove e quando vuoi e con la massima flessibilità, grazie a lezioni di massimo 30 minuti ciascuna.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
In sintesi, è l’arte di assumere l’identità dei malintenzionati senza mai perdere di vista la propria integrità e la propria etica. Essere a contatto con le minacce, interpretarle e anticipare le mosse di un avversario.
Ogni notizia o segnalazione proveniente da fonti di Cyber Threat Intelligence (CTI) deve essere accuratamente esaminata. Non basta ricevere una news e agire immediatamente senza un’analisi approfondita e contestualizzata. È fondamentale distinguere tra “informazione” e “Interpretazione”.
Un’informazione, per quanto dettagliata, è un dato grezzo. Essa descrive un fatto, come l’identificazione di una nuova vulnerabilità, una malware, uno 0day o una minaccia specifica. Tuttavia, non fornisce automaticamente indicazioni su quanto tale minaccia sia rilevante o su quali azioni l’azienda dovrebbe intraprendere per proteggersi. Pertanto trattare una informazione come un’istruzione operativa può portare a interpretazioni inappropriate e attività operative successive inefficaci.
Interpretare delle informazioni invece, implica un processo di valutazione molto più complesso. In un contesto specifico, occorre valutare una serie di indicazioni come ad esempio:
Effettuare interpretazioni di informazioni richiede competenze avanzate e la capacità di leggere tra le righe per individuare dettagli che potrebbero non essere affatto evidenti. Questo perché, nella maggior parte dei casi, le informazioni sulla minaccia non sono complete e possono contenere dati imprecisi o fuorvianti.
Un esempio recente ha evidenziato un problematica di questa natura. Un noto threat actor ha dichiarato di aver violato una grande azienda Fortune 500, generando il panico in molte aziende clienti, comprese numerose attività in Italia.
Tuttavia, un’analisi dettagliata della fonte e dei samples messi a disposizione ha rivelato che l’affermazione era infondata sebbene il Threat Actors avesse una corretta reputazione. I dati contenevano pochissime email appartenenti all’azienda violata e la maggior parte di queste erano vecchie di anni e di dipendenti non più in azienda.
Questa situazione ha evidenziato che la fiducia cieca nei servizi di Threat Intelligence non è più sufficiente. È necessario possedere competenze specifiche per valutare adeguatamente le minacce, effettuando un’analisi critica che va oltre la semplice accettazione delle informazioni fornite da terze parti. È essenziale accedere direttamente alle fonti specifiche, analizzare i campioni e monitorare i thread successivi alla pubblicazione delle note di avviso per comprendere appieno il movimento delle informazioni, incluso il contesto underground. Solo confermando la validità di tali informazioni attraverso un’analisi approfondita, esse possono essere utilizzate operativamente in modo sicuro ed efficace.
In Italia, c’è una carenza significativa di esperti di Cyber Threat Intelligence all’interno delle aziende, soprattutto se si parla di personale dipendente dell’azienda stessa. La maggior parte delle imprese si affida esclusivamente a fornitori esterni di CTI per ottenere informazioni sulle minacce e agire operativamente. Questa mancanza di “filtraggio”, porta ad un fenomeno indesiderato che è la mancanza di capacità di verificare l’accuratezza delle informazioni fornite e l’incapacità di contestualizzare correttamente le minacce. In sintesi Interpretare.
Gli esperti interni sono essenziali per analizzare i dati e comprendere la vera natura delle minacce. Tali esperti – se formati adeguatamente utilizzando strumenti specifici – possono accedere alle underground in modo anonimo e protetto e contribuire efficacemente all’interpretazione dei dati (spesso grezzi) forniti dai servizi di threat intelligence.
Questo è necessario in quanto una azienda di terze parti non può conoscere con precisione le necessità specifiche di un approfondimento di intelligence per una specifica azienda, poiché non è al corrente di “informazioni di contesto” e delle “dinamiche interne dell’azienda” che non è possibile esportare verso l’esterno che sono essenziali per una corretta interpretazione.
Occorre quindi dare la possibilità di accedere a fonti diverse, comprese quelle underground, e verificare la validità delle informazioni. Questo livello di analisi consente alle aziende di prendere decisioni informate e di sviluppare strategie di sicurezza più efficaci e di avere un monitoraggio della minaccia contestualizzato all’ambiente.
Inoltre, se ci limitiamo ai soli fornitori italiani, sono pochi quelli che fanno Cyber Threat Intelligence e sono pochissimi quelli che l fanno davvero bene.
La CTI non è solo una questione di raccogliere dati, ma di interpretare e collegare i puntini per riuscire ad osservare un disegno completo. Se ci limitiamo solo ad alcuni “puntini” o ci fidiamo ciecamente di una singola fonte di intelligence, rischiamo di avere una visione distorta della minaccia. La capacità di analizzare varie fonti e di collegare informazioni differenti è ciò che distingue una vera pratica di CTI.
Dobbiamo considerare una minaccia come un mosaico: ogni pezzo è un’informazione e solo mettendole tutte assieme – e nel giusto verso – possiamo vedere una immagine completa. Se ci manca anche un piccolo frammento o ci affidiamo ad un pezzo sbagliato, l’immagine finale sarà distorta, incompleta o errata.
La CTI richiede quindi una costante pratica “in campo” e una capacità critica di analisi per connettere correttamente tutti i pezzi del puzzle, attraverso specifiche operazioni mirate di approfondimento e monitoraggio delle minacce stesse.
La Cyber Threat Intelligence è un’arte che richiede più della semplice raccolta di informazioni da fornitori di servizi. Richiede una profonda comprensione delle minacce e la capacità di interpretare criticamente le informazioni per determinare la loro accuratezza e rilevanza.
Le aziende devono investire in esperti interni che possano effettuare attività operative e andare oltre la superficie dei servizi acquistati e sviluppare una strategia di sicurezza informatica che sia operativa e basata su una valutazione accurata delle minacce reali.
Solo attraverso un approccio approfondito e critico alla CTI, le aziende possono sperare di mantenere una posizione difensiva efficace nel panorama delle minacce cibernetiche in continua evoluzione.
Facendo un paragone con le attività di Red Team, una grande azienda non si fida ciecamente di un fornitore di Security Assessment. Svolge con il proprio team interno delle attività di valutazione del fornitore, oltre ad utilizzare tale team per attività di carattere strategico e confidenziale.
E se non vai in campo per verificare se il fornitore sta lavorando bene o male, come fai a valutarne il suo operato?
Massimiliano BrolliSasha Levin, sviluppatore di kernel Linux di lunga data, che lavora presso NVIDIA e in precedenza presso Google e Microsoft, ha proposto di aggiungere alla documentazione del kernel regole formali per...
Google sta trasformando il suo motore di ricerca in una vetrina per l’intelligenza artificiale, e questo potrebbe significare un disastro per l’intera economia digitale. Secondo un nuovo...
Il panorama delle minacce non dorme mai, ma stavolta si è svegliato con il botto. Il 18 luglio 2025, l’azienda di sicurezza Eye Security ha lanciato un allarme che ha subito trovato eco ne...
Nel corso di un’operazione internazionale coordinata, denominata “Operation Checkmate”, le forze dell’ordine hanno sferrato un duro colpo al gruppo ransomware BlackSuit (qu...
Il Dipartimento di Giustizia degli Stati Uniti ha segnalato lo smantellamento di quattro piattaforme darknet utilizzate per la distribuzione di materiale pedopornografico. Contemporaneamente, un dicio...
Iscriviti alla newsletter settimanale di Red Hot Cyber per restare sempre aggiornato sulle ultime novità in cybersecurity e tecnologia digitale.
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
