Bentornati.
Ora che conoscete il ruolo della threat detection,
è tempo di concentrarsi sugli indizi su cui i team di sicurezza fanno affidamento per individuare gli attacchi.
Indicators of compromise o IOCs.
Queste sono le impronte digitali lasciate dalla malicious activity.
In questa lezione, analizzeremo cosa sono gli IOCs.
Mostreremo esempi reali ed esploreremo come vengono usati per fare detect di minacce in corso.
Gli Indicators of compromise sono pezzi di prove che suggeriscono
che un sistema o un network è stato violato (breached) o è sotto attacco.
Aiutano gli analisti a rispondere a domande come: cosa è successo?
Quando è successo?
Dove è iniziato?
Questi indicatori si trovano nei logs, nei file di attività di sistema,
nel network traffic, e a volte nel comportamento dell'utente.
Ecco alcuni degli IOCs più comuni.
I team di sicurezza monitorano indirizzi IP sospetti
noti per essere collegati a threat actors.
File hashes che corrispondono a malware noto,
modifiche al registry o alla configurazione sugli endpoints.
Nuovi admin accounts creati inaspettatamente
orari di login
insoliti o accesso da posizioni strane.
Ogni IOC è un indizio che qualcosa potrebbe non andare.
Gli IOCs provengono da una varietà di fonti,
logs di sistema e applicazione.
Strumenti EDR (endpoint detection and response)
Piattaforme SIEM che aggregano dati
feed di threat intelligence che
condividono IOCs noti in tutto il settore.
I team di sicurezza raccolgono e correlano questi indicatori
per investigare le minacce velocemente e a fondo.
Ecco come vengono usati gli IOCs nel ciclo di vita della detection.
Uno: detect - un IOC viene attivato, es.
un hash dannoso noto viene trovato. Due: validate.
L'analista investiga.
È una minaccia reale o un false positive?
Tre: escalate - se è reale, l'alert viene passato agli incident responders.
Quattro: respond.
Il team agisce.
Contenere. Rimuovere. Recuperare.
Un'analisi IOC efficace abilita un incident response veloce e mirato.
Esaminiamo un flusso di attacco base usando gli IOCs.
Uno: login insolito alle tre del mattino da un IP straniero.
IOC numero uno.
Due: eseguibile sconosciuto appare nelle cartelle di sistema, IOC numero due.
Tre: connessione outbound verso un command and control noto
server C2, IOC numero tre.
Ogni indicatore da solo può essere sospetto.
Insieme raccontano una storia e quella storia innesca l'incident response.
Pronto per un piccolo quiz di riepilogo?
Domanda uno cos'è un indicator of compromise?
A un'impostazione del firewall.
B un tipo di cavo di rete.
C prove che suggeriscono che un sistema potrebbe essere compromesso.
D un messaggio criptato.
Pausa.
La risposta corretta è C un IOC è un segnale
che una malicious activity potrebbe star accadendo o è già accaduta.
Domanda due quale di questi è un esempio comune di un IOC?
A promemoria di scadenza password.
B Un nuovo admin account creato inaspettatamente.
C utente loggato che controlla l'email.
D Una notifica di aggiornamento software.
Pensaci attentamente.
La risposta corretta è B
la privilege escalation non autorizzata è un forte indicator of compromise.
Domanda finale dove si trovano tipicamente gli IOCs?
A solo nelle email archiviate.
B in threat intelligence feeds, logs e dati degli endpoint.
C schedari fisici.
D post sui social media.
Pensaci attentamente.
La scelta corretta è.
B gli IOCs vengono raccolti da fonti multiple.
Logs, strumenti di sicurezza, e threat intelligence condivisa.
Ottimo lavoro.
Ora capite cosa sono gli indicators of compromise,
come vengono rilevati, e come supportano la risposta rapida alle minacce.
Nella nostra prossima lezione, vedremo come le organizzazioni monitorano
queste minacce in tempo reale usando SIEM e strumenti di monitoraggio della sicurezza.
Continuiamo a costruire il tuo kit di strumenti di rilevamento.