{"id":76039,"date":"2020-03-30T13:43:09","date_gmt":"2020-03-30T11:43:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery"},"modified":"2020-03-30T13:43:09","modified_gmt":"2020-03-30T11:43:09","slug":"kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery","title":{"rendered":"Come i sistemi di analisi del traffico rilevano le tattiche degli hacker secondo il MITRE ATT&CK utilizzando l'esempio del PT Network Attack Discovery","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Come<\/a><\/noindex><\/p>\n

Secondo Verizon<\/a><\/noindex>, la maggior parte (87%) degli incidenti di sicurezza informatica si verifica in pochi minuti, mentre il 68% delle aziende impiega mesi per rilevarli. Questo \u00e8 confermato anche da una ricerca dell'Istituto Ponemon<\/a><\/noindex>, secondo la quale la maggior parte delle organizzazioni impiega in media 206 giorni per rilevare un incidente. Dall'esperienza delle nostre indagini, gli hacker possono controllare l'infrastruttura di un'azienda per anni senza essere scoperti. Ad esempio, in una delle organizzazioni in cui i nostri esperti hanno condotto un'indagine su un incidente di sicurezza informatica, \u00e8 emerso che gli hacker avevano completamente controllato l'intera infrastruttura dell'organizzazione e rubavano regolarmente informazioni importanti per otto anni<\/a><\/noindex>.<\/p>\n

Supponiamo che abbiate gi\u00e0 in funzione un SIEM che raccoglie i log e analizza gli eventi, e che siano installati antivirus sui terminali. Tuttavia, non tutto pu\u00f2 essere rilevato tramite SIEM<\/a><\/noindex>, cos\u00ec come non \u00e8 possibile implementare sistemi EDR su tutta la rete, quindi le zone \u00abcieche\u00bb non possono essere evitate. A gestirle aiutano i sistemi di analisi del traffico di rete (network traffic analysis, NTA). Queste soluzioni rilevano l'attivit\u00e0 degli aggressori nelle fasi pi\u00f9 precoci di infiltrazione nella rete, cos\u00ec come durante i tentativi di consolidarsi e sviluppare un attacco all'interno della rete. <\/p>\n

Esistono due tipologie di NTA: alcuni lavorano con NetFlow, altri analizzano il traffico grezzo. Il vantaggio di questi ultimi sistemi \u00e8 che possono conservare le registrazioni del traffico grezzo. Grazie a ci\u00f2, uno specialista in sicurezza informatica pu\u00f2 verificare l'efficacia dell'attacco, localizzare la minaccia, capire come \u00e8 avvenuto l'attacco e come prevenirne uno simile in futuro.<\/p>\n

Mostreremo come con l'uso delle NTA sia possibile identificare, attraverso indizi diretti o indiretti, tutte le tattiche di attacco conosciute, descritte nella base di conoscenze MITRE ATT&CK<\/a><\/noindex>. Parleremo di ciascuna delle 12 tattiche, analizzeremo le tecniche rilevabili dal traffico e dimostreremo la loro rilevazione tramite il nostro sistema NTA. <\/a><\/noindex><\/p>\n

Sulla base di conoscenze ATT&CK<\/h2>\n

\nMITRE ATT&CK \u2014 \u00e8 una base di conoscenze pubblica, sviluppata e mantenuta da MITRE, basata sull'analisi di reali minacce APT. Si tratta di un insieme strutturato di tattiche e tecniche utilizzate dagli aggressori. Questo consente agli esperti di sicurezza informatica di tutto il mondo di comunicare in modo uniforme. La base viene costantemente ampliata e arricchita con nuove informazioni.<\/p>\n

Nella base sono identificate 12 tattiche, suddivise per fasi di attacco informatico: <\/p>\n