Massimiliano Brolli : 27 Giugno 2024 08:45
La Cyber Threat Intelligence (CTI) diventa giorno dopo giorno una componente essenziale della sicurezza informatica aziendale. Tuttavia, c’è un malinteso comune tra le imprese: l’idea che affidarsi a fornitori di servizi di CTI, anche di alto livello, sia sufficiente per garantire una protezione completa contro le minacce cibernetiche.
Questo approccio può risultare limitato e potenzialmente pericoloso, poiché la vera efficacia della CTI risiede nella capacità di analizzare e contestualizzare le informazioni fornite, andando ben oltre la superficie dei servizi offerti.
La CTI, in definitiva è immergersi profondamente nella complessità e nell’oscurità del panorama digitale. Significa esplorare le minacce nei recessi più oscuri del dark web, conoscerle a fondo, infiltrarsi in ambienti underground e clandestini, camuffarsi da uno di loro per ottenere informazioni di prima mano.
Distribuisci i nostri corsi di formazione diventando un nostro Affiliato
Se sei un influencer, gestisci una community, un blog, un profilo social o semplicemente hai tanta voglia di diffondere cultura digitale e cybersecurity, questo è il momento perfetto per collaborare con RHC Academy. Unisciti al nostro Affiliate Program: potrai promuovere i nostri corsi online e guadagnare provvigioni ad ogni corso venduto. Fai parte del cambiamento. Diffondi conoscenza, costruisci fiducia, genera valore.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
In sintesi, è l’arte di assumere l’identità dei malintenzionati senza mai perdere di vista la propria integrità e la propria etica. Essere a contatto con le minacce, interpretarle e anticipare le mosse di un avversario.
Ogni notizia o segnalazione proveniente da fonti di Cyber Threat Intelligence (CTI) deve essere accuratamente esaminata. Non basta ricevere una news e agire immediatamente senza un’analisi approfondita e contestualizzata. È fondamentale distinguere tra “informazione” e “Interpretazione”.
Un’informazione, per quanto dettagliata, è un dato grezzo. Essa descrive un fatto, come l’identificazione di una nuova vulnerabilità, una malware, uno 0day o una minaccia specifica. Tuttavia, non fornisce automaticamente indicazioni su quanto tale minaccia sia rilevante o su quali azioni l’azienda dovrebbe intraprendere per proteggersi. Pertanto trattare una informazione come un’istruzione operativa può portare a interpretazioni inappropriate e attività operative successive inefficaci.
Interpretare delle informazioni invece, implica un processo di valutazione molto più complesso. In un contesto specifico, occorre valutare una serie di indicazioni come ad esempio:
Effettuare interpretazioni di informazioni richiede competenze avanzate e la capacità di leggere tra le righe per individuare dettagli che potrebbero non essere affatto evidenti. Questo perché, nella maggior parte dei casi, le informazioni sulla minaccia non sono complete e possono contenere dati imprecisi o fuorvianti.
Un esempio recente ha evidenziato un problematica di questa natura. Un noto threat actor ha dichiarato di aver violato una grande azienda Fortune 500, generando il panico in molte aziende clienti, comprese numerose attività in Italia.
Tuttavia, un’analisi dettagliata della fonte e dei samples messi a disposizione ha rivelato che l’affermazione era infondata sebbene il Threat Actors avesse una corretta reputazione. I dati contenevano pochissime email appartenenti all’azienda violata e la maggior parte di queste erano vecchie di anni e di dipendenti non più in azienda.
Questa situazione ha evidenziato che la fiducia cieca nei servizi di Threat Intelligence non è più sufficiente. È necessario possedere competenze specifiche per valutare adeguatamente le minacce, effettuando un’analisi critica che va oltre la semplice accettazione delle informazioni fornite da terze parti. È essenziale accedere direttamente alle fonti specifiche, analizzare i campioni e monitorare i thread successivi alla pubblicazione delle note di avviso per comprendere appieno il movimento delle informazioni, incluso il contesto underground. Solo confermando la validità di tali informazioni attraverso un’analisi approfondita, esse possono essere utilizzate operativamente in modo sicuro ed efficace.
In Italia, c’è una carenza significativa di esperti di Cyber Threat Intelligence all’interno delle aziende, soprattutto se si parla di personale dipendente dell’azienda stessa. La maggior parte delle imprese si affida esclusivamente a fornitori esterni di CTI per ottenere informazioni sulle minacce e agire operativamente. Questa mancanza di “filtraggio”, porta ad un fenomeno indesiderato che è la mancanza di capacità di verificare l’accuratezza delle informazioni fornite e l’incapacità di contestualizzare correttamente le minacce. In sintesi Interpretare.
Gli esperti interni sono essenziali per analizzare i dati e comprendere la vera natura delle minacce. Tali esperti – se formati adeguatamente utilizzando strumenti specifici – possono accedere alle underground in modo anonimo e protetto e contribuire efficacemente all’interpretazione dei dati (spesso grezzi) forniti dai servizi di threat intelligence.
Questo è necessario in quanto una azienda di terze parti non può conoscere con precisione le necessità specifiche di un approfondimento di intelligence per una specifica azienda, poiché non è al corrente di “informazioni di contesto” e delle “dinamiche interne dell’azienda” che non è possibile esportare verso l’esterno che sono essenziali per una corretta interpretazione.
Occorre quindi dare la possibilità di accedere a fonti diverse, comprese quelle underground, e verificare la validità delle informazioni. Questo livello di analisi consente alle aziende di prendere decisioni informate e di sviluppare strategie di sicurezza più efficaci e di avere un monitoraggio della minaccia contestualizzato all’ambiente.
Inoltre, se ci limitiamo ai soli fornitori italiani, sono pochi quelli che fanno Cyber Threat Intelligence e sono pochissimi quelli che l fanno davvero bene.
La CTI non è solo una questione di raccogliere dati, ma di interpretare e collegare i puntini per riuscire ad osservare un disegno completo. Se ci limitiamo solo ad alcuni “puntini” o ci fidiamo ciecamente di una singola fonte di intelligence, rischiamo di avere una visione distorta della minaccia. La capacità di analizzare varie fonti e di collegare informazioni differenti è ciò che distingue una vera pratica di CTI.
Dobbiamo considerare una minaccia come un mosaico: ogni pezzo è un’informazione e solo mettendole tutte assieme – e nel giusto verso – possiamo vedere una immagine completa. Se ci manca anche un piccolo frammento o ci affidiamo ad un pezzo sbagliato, l’immagine finale sarà distorta, incompleta o errata.
La CTI richiede quindi una costante pratica “in campo” e una capacità critica di analisi per connettere correttamente tutti i pezzi del puzzle, attraverso specifiche operazioni mirate di approfondimento e monitoraggio delle minacce stesse.
La Cyber Threat Intelligence è un’arte che richiede più della semplice raccolta di informazioni da fornitori di servizi. Richiede una profonda comprensione delle minacce e la capacità di interpretare criticamente le informazioni per determinare la loro accuratezza e rilevanza.
Le aziende devono investire in esperti interni che possano effettuare attività operative e andare oltre la superficie dei servizi acquistati e sviluppare una strategia di sicurezza informatica che sia operativa e basata su una valutazione accurata delle minacce reali.
Solo attraverso un approccio approfondito e critico alla CTI, le aziende possono sperare di mantenere una posizione difensiva efficace nel panorama delle minacce cibernetiche in continua evoluzione.
Facendo un paragone con le attività di Red Team, una grande azienda non si fida ciecamente di un fornitore di Security Assessment. Svolge con il proprio team interno delle attività di valutazione del fornitore, oltre ad utilizzare tale team per attività di carattere strategico e confidenziale.
E se non vai in campo per verificare se il fornitore sta lavorando bene o male, come fai a valutarne il suo operato?
Massimiliano BrolliA soli 13 anni, Dylan è diventato il più giovane ricercatore di sicurezza a collaborare con il Microsoft Security Response Center (MSRC), dimostrando come la curiosità e la perseveranza...
Secondo un nuovo rapporto del gruppo per i diritti umani Amnesty International, pubblicato dopo quasi due anni di ricerche sulla situazione, la Cambogia resta un punto caldo sulla mappa mondiale della...
Hunters International, il gruppo responsabile di uno dei più grandi attacchi ransomware degli ultimi anni, ha annunciato ufficialmente la cessazione delle sue attività. In una dichiarazione ...
I ricercatori di Okta hanno notato che aggressori sconosciuti stanno utilizzando lo strumento di intelligenza artificiale generativa v0 di Vercel per creare pagine false che imitano qu...
Google è al centro di un’imponente causa in California che si è conclusa con la decisione di pagare oltre 314 milioni di dollari agli utenti di smartphone Android nello stato. Una giu...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
