Benvenuti al modulo cinque.
Threat detection e incident response.
Finora ci siamo concentrati sulla protezione dei sistemi e sulla riduzione del rischio.
Ma cosa succede quando quelle difese falliscono?
In questo modulo imparerai come fare detect
delle minacce in anticipo e rispondere efficacemente.
In questa prima lezione, definiremo la threat detection
ed esploreremo come le organizzazioni identificano attività sospette.
Prima che diventi un incident in piena regola,
la threat detection è il processo di identificare
potenziale malicious activity sui tuoi sistemi o network.
Coinvolge il monitoraggio del traffico,
l'analisi del comportamento, il rilevamento di anomalie.
L'obiettivo è individuare segni di attacco prima che si verifichi un danno serio.
È un passaggio critico dalla prevenzione alla difesa attiva
per fare detect delle minacce.
Gli analisti controllano gli indicators of compromise o IOCs.
Esempi includono orari o luoghi di login insoliti,
modifiche o eliminazioni di file inaspettate.
Grande outbound traffic da un server.
Malware signatures in memoria o su disco.
Questi segni non significano sempre un attacco,
ma spesso significano che qualcosa richiede attenzione immediata.
Ci sono diversi metodi usati per fare detect delle minacce.
Corrispondenze Signature based.
Malware noti o pattern di attacco.
Behavior based.
Segnala comportamento sospetto o insolito.
L'Anomaly detection usa baselines per individuare deviazioni.
La Threat intelligence usa dati esterni sulle minacce attuali.
Una rilevazione forte usa una combinazione di metodi per i migliori risultati.
Le organizzazioni usano strumenti specializzati per monitorare le minacce.
SIEM Security Information and Event Management
raccoglie e analizza logs da tutti i sistemi.
EDR Endpoint Detection and Response monitora
dispositivi individuali IDS, IPS.
Intrusion detection prevention systems.
Monitorano i network SOC security operations center.
Le piattaforme combinano tutto quanto sopra per una difesa in tempo reale.
Esplorerai molti di questi strumenti più avanti in questo modulo.
In molte organizzazioni, la threat detection è gestita
da un Security Operation Center o SOC.
I SOC analysts monitorano dashboards e alerts,
investigano comportamenti sospetti,
fanno escalate di incidenti confermati ai team di risposta.
Documentano e riportano i risultati.
È un ruolo ad alta pressione ma essenziale, ed è dove la teoria incontra la realtà.
Pronto per un piccolo quiz di riepilogo?
Domanda uno cosa comporta la threat detection?
A programmare aggiornamenti software settimanali
B prevedere quando gli utenti dimenticheranno le password.
C identificare segni di malicious activity sui sistemi.
D cambiare le regole del firewall.
Pausa mensile.
La risposta corretta è C.
La Threat detection riguarda l'individuazione di segni che un attacco potrebbe essere in corso.
Domanda due quale dei seguenti è un IOC?
A una password forte?
B uno schermo bloccato.
C un login insolito da un paese straniero.
D archiviazione criptata.
Pensaci attentamente.
La risposta corretta è C.
Login inaspettati possono segnalare un account compromesso.
Domanda finale cosa aiuta i team di sicurezza a fare un SIEM?
A creare password più forti.
B monitorare e analizzare logs da sistemi multipli.
C resettare le user credentials.
D aggiornare il software antivirus.
Pensaci attentamente.
La scelta corretta è B, SIEM.
Gli strumenti centralizzano e analizzano i dati per aiutare a rilevare le minacce velocemente.
Ottimo lavoro!
Ora capisci le basi della threat detection, perché è importante,
e come i team usano strumenti e tecniche per trovare i primi segni di attacco.
Dopo, faremo un'immersione più profonda negli indicators of compromise.
IOCs, che aspetto hanno, come vengono trovati, e come rispondere.
Continuiamo a costruire le tue abilità di rilevamento.