Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 12 Marzo 2024 14:31
Autore: Aldo Di Mattia, Senior Manager Systems Engineering Public Administration Italy di Fortinet
L’ampia diffusione degli ambienti cloud e ibridi, unita alla graduale scomparsa del classico perimetro di sicurezza che ha ampliato notevolmente la superficie suscettibile agli attacchi, ha generato un panorama delle minacce più complesso ed esteso. Gli analisti di sicurezza faticano a tenere il passo, mentre le aziende stanno affrontando sfide legate alla crescente carenza di personale qualificato.
In questo scenario, il tempo richiesto per individuare potenziali incidenti di sicurezza ha registrato un aumento significativo, mettendo a dura prova l’efficacia dell’ecosistema dei Security Operation Center (SOC). Anche i dati degli ultimi due anni riflettono questa tendenza, evidenziando che gli analisti di sicurezza stanno dedicando più della metà del loro tempo all’indagine di incidenti che spesso si rivelano falsi positivi o, al massimo, eventi a bassa priorità.
Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?
Stiamo per avviare il corso intermedio in modalità "Live Class", previsto per febbraio.
A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.
Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato.
Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile.
Per ulteriori informazioni, scrivici ad academy@redhotcyber.com oppure scrivici su Whatsapp al 379 163 8765
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Inoltre, l’approccio attuale delle Security Operations (SecOps) non sempre riesce a fornire il supporto adeguato agli analisti: vi è una costante inclinazione a concentrarsi sulla tecnologia a scapito dell’elemento umano nella cybersecurity. Questo paradigma ha portato alla creazione di SOC composti da numerosi strumenti, spesso non integrati che, nella pratica, rappresentano “silos” estremamente onerosi da gestire, sia in termini di tempo che di risorse.
Per affrontare le sfide attuali, è essenziale individuare e capire le cause sottostanti. I dati mostrano che, attualmente, i SOC stanno affrontando problemi legati alla scarsa visibilità, che crea inevitabilmente punti ciechi che diventano il bersaglio primario degli attaccanti; vi è poi il fatto che la maggior parte delle aziende utilizza soluzioni diverse (secondo le stime, almeno 10) e non integrate tra loro, al servizio del proprio SOC team.
Importante anche rilevare come le organizzazioni fatichino a tenere il passo con gli attaccanti, basando ancora il ciclo di vita del proprio SOC su metodi di rilevamento manuali, spesso obsoleti ed inefficienti; e l’esponenziale sovraccarico di informazioni, che rende difficile per gli analisti affrontare manualmente i numerosi avvisi per ogni singola rilevazione. Questi fattori sono complicati ulteriormente dall’elevato turn-over che affligge il comparto, con conseguente mancanza di risorse umane qualificate, e dalla potenziale perdita di focus a causa della diversità e quantità di alert ricevuti.
Stante questo quadro, secondo Fortinet l’evoluzione del SOC dovrebbe concentrarsi su tre principali aree operative. In primo luogo, il consolidamento dei flussi di lavoro implica unificare gli strumenti a disposizione del SOC e integrare diverse tecnologie per correlare eventi da fonti diverse, creando un contesto che acceleri il lavoro degli analisti.
La riduzione dei vendor e l’utilizzo di strumenti connessi nativamente sono suggeriti come approcci evolutivi comuni. In secondo luogo, l’adozione di Machine Learning (ML) e Intelligenza Artificiale (AI) migliora l’efficacia del SOC riducendo le attività manuali e ripetitive, per consentire un’analisi più veloce degli incidenti. Infine, l’utilizzo di framework di mercato e fonti esterne di threat intelligence, come le Sigma Rules, semplifica l’implementazione dei processi di detection e automation, mentre le informazioni in tempo reale sulle minacce provenienti da fonti esterne arricchiscono la comprensione globale del contesto delle minacce.
L’utilizzo di un approccio unificato per il proprio SOC rende molto più efficiente il lavoro degli analisti, contribuendo a ridurre significativamente i tempi di indagine e di risposta. Un SOC “unificato” o Cyber Fusion Center (CFC), si basa su automazione, orchestrazione e integrazione delle informazioni interne (CyberSec, IT, OT, NOC).
Naturalmente, il Security Information and Event Management (SIEM), pur essendo un elemento chiave di ogni SOC, non è in grado di sopperire a tutte le funzioni proprie di un CFC. Al SIEM, infatti, dovrebbero essere integrate altre tecnologie a supporto, tra le quali la SOAR (Security Orchestration Automation and Response), i sistemi di Deception, le fonti di threat intelligence e gli strumenti di nuova generazione specifici per il contesto, come endpoint (EDR/XDR) e rete (NDR). Ridurre al minimo i falsi positivi fornendo allo stesso tempo un contesto sufficiente per le indagini è fondamentale per ottenere risultati concreti ed evidenti.
Realizzare un SOC, o trasformarlo in un CFC, rappresenta sicuramente un investimento importante, molto spesso fuori dalla portata di realtà di dimensioni più piccole, ma non meno vulnerabili. In tal caso, servizi gestiti di cybersecurity come il “SOC as a Service”, i servizi di Incident Response e i servizi di Analisi di sicurezza (Exposed Surface Recon) possono essere la soluzione giusta, in termini di investimento e mitigazione del rischio.
RedazioneLa banda di criminali informatici di NOVA rivendica all’interno del proprio Data Leak Site (DLS) un attacco informatico al Comune di Pisa. Disclaimer: Questo rapporto include screenshot e/o tes...
Un grave attacco informatico ha colpito l’infrastruttura digitale dell’Università nella notte tra l’8 e il 9 maggio, causando l’interruzione improvvisa dei servizi onl...
Per anni, Reddit è rimasto uno dei pochi angoli di Internet in cui era possibile discutere in tutta sicurezza di qualsiasi argomento, dai videogiochi alle criptovalute, dalla politica alle teorie...
Le autorità statunitensi continuano a cercare soluzioni per fermare la fuga di chip avanzati verso la Cina, nonostante le rigide restrizioni all’esportazione in vigore. Il senatore Tom Cot...
Il gruppo Qilin, da noi intervistato qualche tempo fa, è in cima alla lista degli operatori di ransomware più attivi nell’aprile 2025, pubblicando i dettagli di 72 vittime sul suo sit...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
