Mag 29, 2024 Marina Londei Approfondimenti, Minacce, News, RSS 0

Se finora si è parlato a lungo del threat hunting, ovvero una vera e propria caccia alle minacce negli ambienti aziendali, in particolare quelle più avanzate, con l’avvento di tecniche di attacco più avanzate ed efficaci è meglio scegliere un approccio ancora più proattivo e cautelativo, come il risk hunting.

Tony Fergusson, CISO EMEA di Zscaler, spiega che il threat hunting suggerisce per sua definizione che l’organizzazione sia già stata violata. Per proteggersi efficacemente, le aziende devono spostare la propria mentalità da una semplice gestione delle minacce in corso a una panoramica olistica degli ambienti e delle potenziali violazioni per identificarle in anticipo.

Questo processo impone una comprensione adeguata del modo di pensare e agire dei criminali informatici e soprattutto delle aree aziendali più a rischio. Fergusson afferma che le imprese dovrebbero creare team dedicati al pentesting che verifichino i limiti delle policy esistenti, dei framework di sicurezza e identifichino la resilienza dei sistemi in caso di attacchi di qualsiasi tipo.

Il risk hunting prevede diverse metodologie, come le analisi avanzate, la threat intelligence e tecniche di rilevamento delle anomalie. Secondo Fergusson, la soluzione migliore è la threat intelligence: a differenza del threat hunting che usa Indicatori di Compromissione e l’analisi di Tattiche, Tecniche e Procedure (TTP) per scoprire dove risiedono i rischi, l’intelligence usa degli Indicatori di Attacco, ovvero schemi e comportamenti che indicano un attacco in corso o imminente; questi indicatori sono fondamentali per identificare le TTP usate dai criminali informatici.

Pixabay

Usando queste indicazioni è possibile mappare gli ambienti e stratificare l’intelligence per proteggere i punti deboli. Molte aziende stanno già usando simulazioni digitali di potenziali attacchi per analizzare la risposta e la resistenza della propria infrastruttura, in modo che i team di sicurezza possano adattare le policy per prepararsi meglio a un attacco reale.

Non mancano le difficoltà nel seguire questo approccio, legate in particolare alle conoscenze necessarie per sfruttare al meglio strumenti e tecniche: sono pochi i professionisti che hanno le competenze per implementare un approccio di risk hunting efficace e mitigare i pericoli che identifica.

Fergusson sottolinea che il team più adatto per individuare i rischi è il “purple team”, ovvero una combinazione di red team e blu team. Attingendo da questi due gruppi, le imprese non hanno bisogno di assumere nuovo personale e possono unire competenze diverse per massimizzare l’efficienza della cybersecurity interna.

I problemi nell’implementazione del risk hunting riguardano anche l’uso di strumenti eterogenei che producono troppi dati disaggregati e difficili da analizzare per identificare le tendenze delle minacce. È compito dei CISO collegare questi strumenti in un’unica soluzione per integrare le informazioni e classificare il rischio, condividendo i risultati col consiglio di amministrazione affinché sia allineato alla strategia di cybersecurity.

Con le direttive NIS2 e DORA la sicurezza tornerà a essere una priorità, ma adeguarsi alle normative non è sufficiente: gli sforzi di cybersecurity devono far parte di un ciclo continuo affinché i team di sicurezza siano sempre un passo avanti ai cybercriminali e il livello di protezione aziendale sia adeguato.