Perché i sistemi di rilevazione delle intrusioni non individuano tutti i malware nascosti?
La maggior parte degli elementi scoperti dal threat hunting sembra innocua e, senza contesto né correlazione, attraversa i sistemi di rilevazione senza generare campanelli d'allarme. Un malware è in grado di comunicare con un indirizzo IP sconosciuto e passare per traffico internet sicuro.
Un'altra possibilità è rappresentata dalla presenza di SYN scan in corso nella periferica, all'esterno dello spazio protetto dal vostro software di sicurezza. I SYN scan attendono l'apertura di una breccia nella rete. Non essendo rifiutati e non avendo ancora stabilito connessioni esterne, non sono rilevabili.
Durante il processo di threat hunting, è possibile scoprire che una connessione outbound proviene da un processo che non dovrebbe andare in Internet, oppure si trova un sistema che non era in uso al momento della comunicazione e che quindi indica una fonte infetta.
Probabilmente queste minacce APT erano già presenti al momento dell'implementazione del sistema di sicurezza informatica. Questo perché la maggior parte dei programmi di rilevazione e prevenzione delle intrusioni si basa su uno stato valido conosciuto. Una condizione iniziale con traffico sospetto o malware diventa parte della norma. Molti noti attacchi alla sicurezza rientrano in questa categoria, l'attacco viene rilevato anni dopo rispetto al momento in cui è avvenuto, quando è ormai troppo tardi per prevenire i danni.
Per iniziare
La buona notizia è che avete già probabilmente quello che vi serve per iniziare a implementare il threat hunting. Con il partner giusto, l'implementazione del threat hunting è un processo semplice e può trattarsi di un'attività eseguita una sola volta o che può far parte di un programma di sicurezza continuo. I vostri pannelli operatore e i vostri server creano già registri di attività che consentono la raccolta e l’analisi offline, senza creare sovraccarichi sulla rete o interruzioni della produzione.
Potete fare un passo avanti, smettere di affidarvi esclusivamente alla protezione degli endpoint e alle scansioni antivirus per rilevare vulnerabilità e intrusioni prima che sia troppo tardi per i vostri sistemi.
