{"id":76039,"date":"2020-03-30T13:43:09","date_gmt":"2020-03-30T11:43:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery"},"modified":"2020-03-30T13:43:09","modified_gmt":"2020-03-30T11:43:09","slug":"kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery","title":{"rendered":"Come i sistemi di analisi del traffico rilevano le tattiche degli hacker secondo MITRE ATT&CK, utilizzando l'esempio del PT Network Attack Discovery","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Come<\/a><\/noindex><\/p>\n

Secondo Verizon<\/a><\/noindex>, la maggior parte (87%) degli incidenti di sicurezza informatica si verifica in pochi minuti, mentre il 68% delle aziende impiega mesi per rilevarli. Questo \u00e8 confermato anche da uno studio del Ponemon Institute<\/a><\/noindex>, secondo il quale la maggior parte delle organizzazioni impiega in media 206 giorni per rilevare un incidente. Dalla nostra esperienza nelle indagini, gli hacker possono controllare l'infrastruttura di un'azienda per anni senza essere scoperti. Ad esempio, in una delle organizzazioni in cui i nostri esperti hanno condotto un'indagine su un incidente di sicurezza informatica, \u00e8 emerso che gli hacker controllavano completamente l'intera infrastruttura dell'organizzazione e rubavano regolarmente informazioni importanti per otto anni<\/a><\/noindex>.<\/p>\n

Supponiamo che disponiate gi\u00e0 di un SIEM che raccoglie i log e analizza gli eventi, e che siano installati antivirus sui terminali. Tuttavia, non tutto pu\u00f2 essere rilevato tramite SIEM<\/a><\/noindex>, cos\u00ec come non \u00e8 possibile implementare sistemi EDR in tutta la rete, il che significa che le \"zone cieche\" sono inevitabili. A gestirle aiutano i sistemi di analisi del traffico di rete (network traffic analysis, NTA). Queste soluzioni rivelano l'attivit\u00e0 degli aggressori nelle fasi pi\u00f9 precoci di infiltrazione nella rete, nonch\u00e9 durante i tentativi di stabilirsi e sviluppare un attacco all'interno della rete. <\/p>\n

Le NTA sono di due tipi: alcune lavorano con NetFlow, altre analizzano il traffico grezzo. Il vantaggio di questi ultimi sistemi \u00e8 che possono memorizzare le registrazioni del traffico grezzo. Grazie a ci\u00f2, un esperto di sicurezza informatica pu\u00f2 controllare il successo di un attacco, localizzare la minaccia, capire come \u00e8 avvenuto l'attacco e come prevenirne uno simile in futuro.<\/p>\n

Mostreremo come, grazie alle NTA, si possano identificare tutte le tecniche di attacco note, descritte nella base di conoscenze MITRE ATT&CK<\/a><\/noindex>. Parleremo di ciascuna delle 12 tecniche, analizzeremo le tecniche che possono essere rilevate dal traffico e mostreremo la loro identificazione tramite il nostro sistema NTA. <\/a><\/noindex><\/p>\n

Sulla base di conoscenze ATT&CK<\/h2>\n

\nMITRE ATT&CK \u00e8 una base di conoscenze pubblica, sviluppata e mantenuta da MITRE, basata sull'analisi di APT reali. Rappresenta un insieme strutturato di tattiche e tecniche utilizzate da attaccanti. Ci\u00f2 consente agli esperti di sicurezza informatica di tutto il mondo di comunicare in modo uniforme. La base viene costantemente ampliata e arricchita con nuove informazioni.<\/p>\n

Nella base sono evidenziate 12 tattiche, suddivise in fasi di attacco informatico: <\/p>\n