Threat hunting: cosa vuol dire

In breve

Il monitoraggio classico aspetta che una regola scatti. Il threat hunting parte dal presupposto opposto: "supponiamo che qualcuno sia già entrato senza far rumore; dove lo troveremmo?". È un'attività umana, che usa gli stessi dati di un SIEM ma con domande nuove.

Come funziona

Una caccia ha di solito quattro fasi:

1. ipotesi: nasce da una tecnica d'attacco nota (per esempio da MITRE ATT&CK), da un avviso di threat intelligence o da un'anomalia notata nei dati;
2. ricerca: l'analista interroga log ed eventi degli endpoint, confronta, filtra, cerca ciò che è raro;
3. verifica: ciò che emerge viene indagato fino a capire se è legittimo o malevolo; se è malevolo, si apre la gestione dell'incidente;
4. miglioramento: ciò che è stato trovato a mano diventa una nuova regola automatica, così la volta successiva scatta un allarme.

Perché è importante

Gli attaccanti più attenti evitano proprio i comportamenti che fanno scattare le regole: usano credenziali valide e strumenti di sistema, si muovono lentamente. Può passare molto tempo fra l'ingresso e il momento in cui l'attacco diventa visibile, per esempio con un ransomware. Il threat hunting serve ad accorciare quella finestra.

Per farlo servono due condizioni: dati conservati abbastanza a lungo (non si caccia in log di ieri soltanto) e persone con competenze specifiche. Per questo è un'attività tipica di un SOC o di un servizio MDR.

Esempio

Un rapporto di settore segnala che diversi gruppi ransomware creano attività pianificate di Windows per restare sulle macchine dopo il riavvio. L'analista formula l'ipotesi: "su qualche server c'è un'attività pianificata creata negli ultimi 60 giorni che nessuno ha autorizzato". Interroga gli eventi dei server, esclude quelle create dagli aggiornamenti e dal software di backup, e ne trova una che ogni notte lancia uno script da una cartella temporanea. Nessun antivirus l'aveva segnalata. Da lì parte l'indagine, e la ricerca diventa una regola permanente.

Anche quando una caccia non trova nulla, il risultato è utile: conferma che un'ipotesi è stata verificata, documenta quali dati erano disponibili e spesso mette in luce sorgenti di log mancanti da aggiungere.

Termini collegati

• Indicatori di compromissione (IoC)
• MITRE ATT&CK
• XDR
• SOC