{"id":17333,"date":"2019-05-20T17:11:33","date_gmt":"2019-05-20T15:11:33","guid":{"rendered":"https:\/\/www.kaspersky.it\/blog\/?p=17333"},"modified":"2019-11-22T10:52:42","modified_gmt":"2019-11-22T08:52:42","slug":"evaluating-threat-intelligence","status":"publish","type":"post","link":"https:\/\/www.kaspersky.it\/blog\/evaluating-threat-intelligence\/17333\/","title":{"rendered":"Come valutare le risorse di threat intelligence"},"content":{"rendered":"

Le superfici di attacco si stanno espandendo e le minacce diventano sempre pi\u00f9 sofisticate; reagire semplicemente a un incidente ormai non \u00e8 pi\u00f9 sufficiente. Con ambienti sempre pi\u00f9 complessi, i cybercriminali hanno molte opportunit\u00e0 a disposizione. I diversi settori e le relative aziende hanno i propri dati unici da proteggere, impiegano il proprio set di applicazioni, le proprie tecnologie etc. Tutti questi fattori aggiungono un gran numero di variabili ai possibili metodi di esecuzione di un attacco, e ogni giorno ne emergono di nuovi.<\/p>\n

Negli ultimi anni, abbiamo osservato la presenza di una visione poco chiara sui tipi di minacce e gli autori. I metodi e gli strumenti che un tempo costituivano una minaccia solo per un numero limitato di aziende ora sono diffuse su pi\u00f9 vasta scala. Un esempio \u00e8 la vendita di codici da parte del gruppo Shadow Brokers, grazie al quale alcuni exploit avanzati sono arrivati nelle mani di gruppi criminali che altrimenti non avrebbero potuto avere accesso a un codice cos\u00ec sofisticato. Un altro esempio \u00e8 la presenza di campagne APT (Advanced Persistent Threat) che non solo si concentrano sul cyberspionaggio ma anche sul furto di denaro da dedicare al finanziamento di altre attivit\u00e0 che coinvolgono il gruppo APT. E l\u2019elenco potrebbe continuare a lungo.<\/p>\n

\u00c8 necessario un nuovo atteggiamento<\/h3>\n

Le aziende diventano sempre pi\u00f9 vittime di attacchi mirati e avanzati, per questo bisogna adottare nuovi metodi di difesa che abbiano successo. Per la propria protezione, le aziende devono avere un atteggiamento proattivo e adattare continuamente i propri controlli di sicurezza al panorama delle minacce in costante evoluzione. L\u2019unico modo per essere sempre aggiornati su questi cambiamenti \u00e8 creando un programma di threat intelligence efficace.<\/p>\n

La threat intelligence \u00e8 diventata ormai una componente importante delle operazioni di sicurezza, definite dalle aziende di varie dimensioni di tutti le regioni e i settori. In formato leggibile sia per l\u2019uomo, sia per la macchina, la threat intelligence aiuta i team di sicurezza offrendo informazioni importanti durante tutto il ciclo di gestione dell\u2019incidente per poi prendere decisioni strategiche.<\/p>\n

Tuttavia, per via della domanda crescente di threat intelligence esterna, sono nati tantissimi vendor, ognuno dei quali offre i servizi pi\u00f9 diversi. Un mercato esteso e competitivo con opzioni numerose e complesse pu\u00f2 far s\u00ec che scegliere la soluzione giusta per la vostra azienda diventi complicato e anche estremamente frustrante.<\/p>\n

\"\"

Operazioni di sicurezza condotte dalla threat intelligence<\/p><\/div>\n

La threat intelligence che non si adatta perfettamente alle caratteristiche specifiche della vostra azienda pu\u00f2 persino aggravare il problema. In molte compagnie di oggi, gli analisti di sicurezza impiegano pi\u00f9 della met\u00e0 del loro tempo a filtrare i falsi positivi invece di andare alla ricerca delle minacce vere e proprie e di reagire a tali minacce, il che porta a un incremento importante dei tempi di identificazione delle minacce. Dati irrilevanti e non accurati delle operazioni di sicurezza far\u00e0 crescere il numero di falsi allarmi con un impatto estremamente negativo sulle capacit\u00e0 di risposta e sulla sicurezza generale dell\u2019azienda.<\/p>\n

Dove trovare le migliori informazioni<\/h3>\n

Come si possono valutare le numerose fonti di threat intelligence a disposizione per identificare quelle pi\u00f9 utili per la vostra azienda e far s\u00ec che siano efficaci dal punto di vista operativo? Come sopravvivere all\u2019enorme quantit\u00e0 di marketing inutile, nel quale tutti i vendor affermano di offrire la miglior soluzione possibile?<\/p>\n

Queste domande, seppur legittime, non dovrebbero essere le prime da porsi. Attirate da messaggi e promesse di impatto, molte aziende credono che un vendor esterno possa consegnare loro una specie di superpotere di visione a raggi X, ignorando completamente il fatto che le informazioni pi\u00f9 importanti si trovano all\u2019interno della propria rete aziendale.<\/p>\n

Dati di identificazione di intrusioni e sistemi di prevenzione, firewall, registri delle applicazioni e di altri sistemi di sicurezza, tutto ci\u00f2 pu\u00f2 aiutare (e molto) a comprendere cosa sta accadendo all\u2019interno della rete aziendale. Si possono identificare dei modelli di attivit\u00e0 dannosa specifica per l\u2019azienda e si pu\u00f2 distinguere tra un utente normale e il comportamento della rete, registrare l\u2019attivit\u00e0 di accesso ai dati, identificare una potenziale falla da risolvere nei dati e tanto altro. Avere una visione generica di tutto ci\u00f2 permette alle aziende di gestire meglio la threat intelligence esterna, sostenuta da quanto osservato internamente. Diversamente, risulta difficoltoso impiegare risorse esterne. Di fatto, alcuni vendor possono avere una visibilit\u00e0 pi\u00f9 ampia delle cyberminacce grazie alla loro presenza globale e alla possibilit\u00e0 di raccogliere, gestire e collegare dati da varie parti del mondo, ma tutto ci\u00f2 \u00e8 possibile solo avendo a disposizione il contesto interno adeguato.<\/p>\n

\"\"

Threat intelligence esterna in azione.<\/p><\/div>\n

Pensare come un cybercriminale<\/h3>\n

Per creare un programma di threat intelligence efficace, le aziende (compresi i centri di operazioni di sicurezza ben consolidati) devono pensare come si comporterebbe un cybercriminale e proteggere gli obiettivi pi\u00f9 probabili. Capire il valore vero di un programma di threat intelligence implica essere coscienti di quali sono gli asset pi\u00f9 importanti e quali dati e processi aziendali sono fondamentali per raggiungere gli obiettivi dell\u2019azienda. Identificare i \u201cgioielli della corona\u201d consente alle aziende di stabilire dei punti di raccolta dati attorno a essi, per poi mappare i dati raccolti con l\u2019aiuto delle informazioni esterne sulle minacce. Se consideriamo le risorse limitate a disposizione dei dipartimenti di sicurezza, creare il profilo di un\u2019intera azienda \u00e8 un compito davvero arduo. La soluzione \u00e8 adottare un metodo basato sui rischi, concentrandosi prima di tutto sugli obiettivi pi\u00f9 vulnerabili.<\/p>\n

Dopo aver definito e rese operative le risorse interne di threat intelligence, l\u2019azienda pu\u00f2 pensare di aggiungere informazioni esterne ai workflow esistenti.<\/p>\n

Questione di fiducia<\/h3>\n

Le risorse esterne di threat intelligence variano in quanto a grado di fiducia:<\/p>\n