Coordinazione tra CTI e SOC: come alzare ulteriormente le difese
Estimated reading time: 6 minuti
La Cyber Threat Intelligence (CTI) e un Security Operations Center (SOC) sono due parti importanti nel processo di sicurezza di un’azienda. Aiutano a identificare e mitigare i rischi coinvolti nel mondo digitale. La CTI è una misura proattiva che aiuta a identificare le potenziali minacce, mentre il SOC è una misura reattiva che aiuta a rilevare e mitigare un attacco. Insieme, CTI e SOC, sono due strumenti importanti nel campo IT.
La CTI aiuta le organizzazioni a identificare potenziali minacce raccogliendo dati da varie fonti come social media, dark web, database di malware, ecc. Quindi analizza questi dati utilizzando strumenti di analisi avanzati come algoritmi di apprendimento automatico e fornisce informazioni utili ai responsabili delle decisioni.
Un SOC, d’altra parte ha un approccio più reattivo in quanto rileva e mitiga un attacco non appena si verifica. I SOC usano vari metodi come firewall, sistemi di rilevamento delle intrusioni, sistema di gestione dei registri, etc.
La relazione tra CTI e SOC può essere descritta in una frase:
La CTI fornisce informazioni preziose al SOC, mentre questo fornisce alla CTI un feedback rilevante.
CTI e SOC: cosa sono?
Prima di collaborare nella gestione delle sicurezza, CTI e SOC sono due cose distinte che hanno ruoli e scopi differenti. Vediamoli brevemente insieme.
Cos’è la CTI
La Cyber Threat Intelligence (CTI) è il processo di raccolta, analisi e diffusione di informazioni sugli incidenti informatici per aiutare a identificare e combattere le minacce informatiche. È una disciplina di intelligence che si occupa dell’identificazione e dell’analisi delle minacce informatiche. La CTI può essere utilizzata per prevenire futuri attacchi a un’organizzazione identificando potenziali vulnerabilità nel sistema.
La Cyber Threat Intelligence può essere considerata una forma di difesa informatica proattiva. Con la CTI, le organizzazioni sono in grado di proteggersi meglio da vari tipi di attacchi informatici. Esistono tre tipi principali di intelligence relativa alle minacce informatiche:
1) Intelligence sugli attacchi informatici: informazioni sui metodi e le motivazioni dell’attaccante
2) Intelligence per la difesa informatica: informazioni sulle vulnerabilità del difensore e su come possono essere sfruttate dagli aggressori
3) Intelligence sulle minacce informatiche: informazioni sulla strategia, l’intento, le capacità e le risorse dell’agente di minaccia
Cos’è un SOC
Un Security Operation Center (SOC) è un hub centrale per la sicurezza di un’organizzazione. È un luogo in cui tutte le operazioni di sicurezza sono monitorate e gestite. Il SOC può essere considerato un “centro di comando” per la sicurezza informatica di un’organizzazione, in cui tutte le operazioni di sicurezza sono monitorate e gestite.
Noi offriamo il SOC come servizio per i nostri clienti (SOCaaS), sollevandoli dai costi iniziali di implementazione e da quelli costanti di manutenzione dell’infrastruttura. Il nostro SOCaaS, inoltre, utilizza un sistema NextGen SIEM che garantisce velocità e puntualità delle risposte.
La CTI e le costanti evoluzioni delle minacce online
L’intelligence sulle minacce informatiche è la chiave per comprendere l’evoluzione delle minacce informatiche e come queste stiano cambiando. La costante evoluzione delle minacce rende difficile per le organizzazioni tenere il passo con gli ultimi sviluppi della sicurezza. I team di sicurezza informatica devono essere in grado di rispondere in modo rapido ed efficiente per evitare danni.
In questo contesto dinamico in continua evoluzione, entra in gioco la Cyber Threat Intelligence. La CTI è l’elemento chiave che permette di capire come proteggersi dai diversi attacchi informatici. Nella pratica, questo significa che, grazie ad un’accurata serie di analisi, è possibile capire effettivamente come evitare di diventare vittima di attacchi.
La CTI aiuta, quindi, nell’individuare le potenziali minacce e fornisce queste informazioni preziose al SOC, che potrà così implementare dei controlli specifici per le minacce rilevate.
È importante che le aziende dispongano di una propria Cyber Threat Intelligence per stare al passo con la costante evoluzione delle minacce. Le aziende devono capire cosa sta succedendo in ambito di minacce informatiche, e capire quale sia la strada percorsa dai vari gruppi di terrorismo informatico.
Il Security Operation Center e la rilevazione delle minacce
Il Security Operation Center (SOC) è l’hub centrale per il monitoraggio e la gestione della sicurezza informatica. In teoria questo è un luogo fisico in cui lavorano ingegneri e tecnici informatici per difendere l’infrastruttura aziendale. Tuttavia, non è ormai raro trovare il SOC offerto come servizio (SOCaaS).
Il primo passaggio nel rilevamento delle minacce consiste nel creare un programma di intelligence sulle minacce. Questo programma dovrebbe essere in grado di raccogliere, analizzare e condividere informazioni su minacce e attacchi informatici con tutte le parti interessate dell’organizzazione. Questo passaggio è svolto da un team di CTI, e diventa parte integrante del processo di lavoro del SOC.
Il secondo passo è sviluppare una strategia per rispondere a queste minacce e attacchi. Il terzo passaggio consiste nell’implementare la strategia nelle operazioni attraverso procedure, politiche e strumenti progettati per una risposta rapida quando si verifica un attacco.
I Security Operation Center (SOC) sono responsabili del monitoraggio di reti e sistemi per rilevare eventuali segni di attacchi informatici o guasti del sistema che potrebbero causare violazioni dei dati o altri eventi dannosi. Il rilevamento delle minacce coinvolge entrambi in modo pro-attivo.
Il SOC e la sua importanza nel processo di CTI
Ecco quindi che il rapporto tra CTI e SOC rappresenta un binomio che deve essere sempre presente qualora si voglia avere la certezza che operare online sia un tipo di operazione ottimale da svolgere.
La cosa interessante è l’interazione che si viene a creare tra questi due strumenti, diventando così una soluzione sempre più potente in ambito di sicurezza informatica.
Il SOCaaS che offriamo, infatti, contiene uno strumento di analisi del comportamento, utilissimo nell’individuare comportamenti sospetti e collegarli a potenziali minacce, anche a posteriori. Questo aspetto crea una fonte di informazioni interna per la CTI, che può quindi aggiungere i risultati dell’analisi del comportamento del SOC tra i suoi indizi di ricerca.
CTI e SOC si alimentano a vicenda, possiamo dire, con informazioni e soluzioni a supporto della sicurezza aziendale.
I nostri servizi di SOC e CTI
Come abbiamo visto, SOC e CTI si completano a vicenda, per così dire. Questi due servizi sono entrambi offerti da noi e siamo sicuri dell’impatto positivo che hanno nella lotta contro le minacce informatiche per le aziende.
Se la tua azienda è alla ricerca di informazioni su come proteggere al meglio l’infrastruttura informatica dalla criminalità informatica, contattaci per una consulenza o per chiedere ulteriori informazioni, saremo lieti di rispondere a ogni domanda.
Link utili:
Condividi
RSS
Piu’ articoli…
- Il Pivoting: Come Prevenire gli Attacchi Informatici dall’Interno della Tua Rete
- Penetration Test: perché alternare i fornitori è una scelta vincente
- Standard e best practice per il penetration testing: tutto quello che devi sapere per proteggere la tua azienda
- Script Kiddies: I pericoli dei cybercriminali improvvisati
- MDR, EDR o NGS: Scegli la soluzione di sicurezza informatica perfetta per la tua azienda!
- La sicurezza informatica a più livelli: come proteggere la tua azienda da tutte le minacce
- Initial Access Broker: La minaccia invisibile che mette a rischio la sicurezza informatica
- Differenza tra un SOC con NGS (Next Generation SIEM) e un SOC con EDR (Endpoint Detection and Response): Quale soluzione è la migliore per proteggere la tua azienda dalle minacce informatiche?
Categorie …
- Backup as a Service (24)
- Acronis Cloud Backup (18)
- Veeam Cloud Connect (3)
- Cloud CRM (1)
- Cloud Server/VPS (23)
- Conferenza Cloud (4)
- Log Management (2)
- Monitoraggio ICT (4)
- Novita' (15)
- ownCloud (7)
- Privacy (8)
- Secure Online Desktop (14)
- Security (183)
- Cyber Threat Intelligence (CTI) (8)
- Ethical Phishing (8)
- Penetration Test (12)
- SOCaaS (57)
- Vulnerabilita' (83)
- Web Hosting (15)
Tags
CSIRT
- Aggiornamenti di sicurezza Android
(AL02/230607/CSIRT-ITA) Giugno 7, 2023Google ha rilasciato gli aggiornamenti di sicurezza di giugno per sanare molteplici vulnerabilità che interessano il sistema operativo Android, di cui 5 con gravità “critica”.
- Aggiornamenti di sicurezza per prodotti Mozilla
(AL01/230607/CSIRT-ITA) Giugno 7, 2023Mozilla ha rilasciato aggiornamenti di sicurezza per sanare alcune vulnerabilità, di cui 3 con gravità “alta”, nei prodotti Firefox e Firefox ESR.
- Aggiornamenti per prodotti Zyxel
(AL04/230606/CSIRT-ITA) Giugno 6, 2023Zyxel rilascia aggiornamenti di sicurezza per sanare 2 vulnerabilità presenti in alcuni modelli di router e switch. Tali vulnerabilità potrebbero consentire a un utente malintenzionato remoto di compromettere la disponibilità del servizio o elevare i propri privilegi sui sistemi interessati.
- Aggiornamenti per Keepass
(AL03/230606/CSIRT-ITA) Giugno 6, 2023Rilasciati aggiornamenti di sicurezza per Keepass, noto password manager open source, che risolvono una vulnerabilità di sicurezza che, qualora sfruttata, potrebbe permettere l’estrazione della master password in chiaro dalla memoria dei dispositivi interessati.
- Rilevato sfruttamento in rete della CVE-2023-3079 relativa al browser Chrome
(AL02/230606/CSIRT-ITA) Giugno 6, 2023Rilevato lo sfruttamento attivo in rete della vulnerabilità CVE-2023-3079 – già sanata dal vendor in data 05 giugno 2023 – presente nel noto browser Chrome di Google.
- Sanate vulnerabilità su GitLab CE/EE
(AL01/230606/CSIRT-ITA) Giugno 6, 2023Rilasciati aggiornamenti di sicurezza che risolvono 14 vulnerabilità, di cui 4 con gravità “alta”, in GitLab Community Edition (CE) ed Enterprise Edition (EE).
- Aggiornamenti per firewall Zyxel
(AL02/230525/CSIRT-ITA) - Aggiornamento Giugno 6, 2023Zyxel rilascia aggiornamenti di sicurezza per sanare due vulnerabilità, con gravità "critica", presenti in alcuni modelli di firewall. Tali vulnerabilità potrebbero consentire a un utente malintenzionato remoto non autenticato, la compromissione della disponibilità del servizio e/o l’esecuzione di codice arbitrario sui dispositivi interessati.
- Risolte vulnerabilità negli hypervisor VMware
(AL01/230427/CSIRT-ITA) - Aggiornamento Giugno 5, 2023VMware ha rilasciato aggiornamenti di sicurezza per risolvere 4 vulnerabilità, di cui una con gravità “critica”, nei propri hypervisor Workstation e Fusion.
- Rilevate vulnerabilità in prodotti Splunk
(AL01/230605/CSIRT-ITA) Giugno 5, 2023Con il Quarterly Security Patch Updates, Splunk ha rilasciato aggiornamenti di sicurezza per correggere molteplici vulnerabilità, di cui 5 con gravità “alta”, nei noti prodotti per l'analisi del traffico di rete Splunk Enterprise e Splunk Cloud Platform.
- Vulnerabilità in Progress MOVEit Transfer
(AL02/230601/CSIRT-ITA) - Aggiornamento Giugno 5, 2023Rilevata una vulnerabilità di sicurezza, con gravità “critica”, nel software MOVEit Transfer di Progress. Tale vulnerabilità, qualora sfruttata, potrebbe consentire a un utente malintenzionato remoto l’escalation dei privilegi e l'accesso non autorizzato sui sistemi interessati.
Dark Reading
- Verizon DBIR: Social Engineering Breaches Double, Leading to Spiraling Ransomware Costs Giugno 6, 2023Ransomware continues its runaway growth with median payments reaching $50,000 per incident.
- Researchers Spot a Different Kind of Magecart Card-Skimming Campaign Giugno 6, 2023In addition to injecting a card skimmer into target Magento, WooCommerce, Shopify, and WordPress sites, the the threat actor is also hijacking targeted domains to deliver the malware to other sites.
- Microsoft Preps $425M Payment for LinkedIn GDPR Violations Giugno 6, 2023The company plans on disputing these fines once a final decision is made, but warned shareholders that it set aside the funds to pay it, nonetheless.
- With SEC Rule Changes on the Horizon, Research Reveals Only 14% of CISOs Have Traits Desired for Cyber Expert Board Positions Giugno 6, 2023
- ILTA and Conversant Group Release Cybersecurity Benchmarking Survey of the Legal Industry Giugno 6, 2023Joint research highlights disconnect between legal IT and recommended cybersecurity practices.
- Netskope Intelligent SSE Selected by Transdev to Secure and Connect its Hybrid Workforce Giugno 6, 2023Implementation is part of Transdev's Cloud-First approach to better manage technological obsolescence.
- Filling the Gaps: How to Secure the Future of Hybrid Work Giugno 6, 2023By enhancing remote management and adopting hardware-enforced security, productivity can continue without inviting extra cyber-risk.
- US Aerospace Contractor Hacked With 'PowerDrop' Backdoor Giugno 6, 2023Hackers used a little to do a lot, cracking a high-value target with hardly more than the living-off-the-land tools (PowerShell especially) found on any standard Windows computer.
- ChatGPT Hallucinations Open Developers to Supply Chain Malware Attacks Giugno 6, 2023Attackers could exploit a common AI experience — false recommendations — to spread malicious code via developers that use ChatGPT to create software.
- Red Sift Launches Relevance Detection as GPT-4-Powered Asset Discovery and Classification Solution Giugno 5, 2023New AI feature enhances OnDOMAIN's capabilities to secure unknown vulnerabilities and strengthen network security posture.
Full Disclosure
- [CVE-2023-29459] FC Red Bull Salzburg App "at.redbullsalzburg.android.AppMode.Default.Splash.SplashActivity" Arbitrary URL Loading Giugno 2, 2023Posted by Julien Ahrens (RCE Security) on Jun 02RCE Security Advisory https://www.rcesecurity.com 1. ADVISORY INFORMATION ======================= Product: FC Red Bull Salzburg App Vendor URL: https://play.google.com/store/apps/details?id=laola.redbull Type: Improper Authorization in Handler for Custom URL Scheme [CWE-939] Date found: 2023-04-06 Date published: 2023-06-01 CVSSv3 Score: 6.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N) CVE: CVE-2023-29459...
- [RT-SA-2022-004] STARFACE: Authentication with Password Hash Possible Giugno 1, 2023Posted by RedTeam Pentesting GmbH on Jun 01Advisory: STARFACE: Authentication with Password Hash Possible RedTeam Pentesting discovered that the web interface of STARFACE as well as its REST API allows authentication using the SHA512 hash of the password instead of the cleartext password. While storing password hashes instead of cleartext passwords in an application's database […]
- CVE-2022-48336 - Buffer Overflow in Widevine Trustlet (PRDiagParseAndStoreData @ 0x5cc8) Maggio 30, 2023Posted by Cyber Intel Security on May 301. INFORMATION -------------- [+] CVE : CVE-2022-48336 [+] Title : Buffer Overflow in Widevine Trustlet (PRDiagParseAndStoreData @ 0x5cc8) [+] Vendor : Google [+] Device : Nexus 6 [+] Affected component : Widevine [+] Publication date : March 2023 [+] Credits : CyberIntel Team 2. AFFECTED VERSIONS -------------------- 5.0.0 […]
- CVE-2022-48335 - Buffer Overflow in Widevine Trustlet (PRDiagVerifyProvisioning @ 0x5f90) Maggio 30, 2023Posted by Cyber Intel Security on May 301. INFORMATION -------------- [+] CVE : CVE-2022-48335 [+] Title : Buffer Overflow in Widevine Trustlet (PRDiagVerifyProvisioning @ 0x5f90) [+] Vendor : Google [+] Device : Nexus 6 [+] Affected component : Widevine [+] Publication date : March 2023 [+] Credits : CyberIntel Team 2. AFFECTED VERSIONS -------------------- 5.0.0 […]
- CVE-2022-48334 - Buffer Overflow in Widevine Trustlet (drm_verify_keys @ 0x7370) Maggio 30, 2023Posted by Cyber Intel Security on May 301. INFORMATION -------------- [+] CVE : CVE-2022-48334 [+] Title : Buffer Overflow in Widevine Trustlet (drm_verify_keys @ 0x7370) [+] Vendor : Google [+] Device : Nexus 6 [+] Affected component : Widevine [+] Publication date : March 2023 [+] Credits : CyberIntel Team 2. AFFECTED VERSIONS -------------------- 5.0.0 […]
- CVE-2022-48333 - Buffer Overflow in Widevine Trustlet (drm_verify_keys @ 0x730c) Maggio 30, 2023Posted by Cyber Intel Security on May 301. INFORMATION -------------- [+] CVE : CVE-2022-48333 [+] Title : Buffer Overflow in Widevine Trustlet (drm_verify_keys @ 0x730c) [+] Vendor : Google [+] Device : Nexus 6 [+] Affected component : Widevine [+] Publication date : March 2023 [+] Credits : CyberIntel Team 2. AFFECTED VERSIONS -------------------- 5.0.0 […]
- CVE-2022-48332 - Buffer Overflow in Widevine Trustlet (drm_save_keys @ 0x6a18) Maggio 30, 2023Posted by Cyber Intel Security on May 301. INFORMATION -------------- [+] CVE : CVE-2022-48332 [+] Title : Buffer Overflow in Widevine Trustlet (drm_save_keys @ 0x6a18) [+] Vendor : Google [+] Device : Nexus 6 [+] Affected component : Widevine [+] Publication date : March 2023 [+] Credits : CyberIntel Team 2. AFFECTED VERSIONS -------------------- 5.0.0 […]
- CVE-2022-48331 - Buffer Overflow in Widevine Trustlet (drm_save_keys @ 0x69b0) Maggio 30, 2023Posted by Cyber Intel Security on May 301. INFORMATION -------------- [+] CVE : CVE-2022-48331 [+] Title : Buffer Overflow in Widevine Trustlet (drm_save_keys @ 0x69b0) [+] Vendor : Google [+] Device : Nexus 6 [+] Affected component : Widevine [+] Publication date : March 2023 [+] Credits : CyberIntel Team 2. AFFECTED VERSIONS -------------------- 5.0.0 […]
- SCHUTZWERK-SA-2022-001: Cross-Site-Scripting in Papaya Medical Viewer Maggio 30, 2023Posted by Lennert Preuth via Fulldisclosure on May 30Title ===== SCHUTZWERK-SA-2022-001: Cross-Site-Scripting in Papaya Medical Viewer Status ====== PUBLISHED Version ======= 1.0 CVE reference ============= CVE-2023-33255 Link ==== https://www.schutzwerk.com/advisories/SCHUTZWERK-SA-2022-001/ Text-only version: https://www.schutzwerk.com/advisories/SCHUTZWERK-SA-2022-001.txt Further SCHUTZWERK advisories: https://www.schutzwerk.com/blog/tags/advisories/ Affected products/vendor...
- [RT-SA-2023-005] Pydio Cells: Server-Side Request Forgery Maggio 30, 2023Posted by RedTeam Pentesting GmbH on May 30For longer running processes, Pydio Cells allows for the creation of jobs, which are run in the background. The job "remote-download" can be used to cause the backend to send a HTTP GET request to a specified URL and save the response to a new file. The response […]
Customers
Twitter FEED
Recent activity
-
SecureOnlineDesktop
Estimated reading time: 6 minutes L'impatto crescente delle minacce informatiche, su sistemi operativi privati op… https://t.co/FimxTS4o9G
-
SecureOnlineDesktop
Estimated reading time: 6 minutes The growing impact of cyber threats, on private or corporate operating systems… https://t.co/y6G6RYA9n1
-
SecureOnlineDesktop
Tempo di lettura stimato: 6 minuti Today we are talking about the CTI update of our services. Data security is… https://t.co/YAZkn7iFqa
-
SecureOnlineDesktop
Estimated reading time: 6 minutes Il tema della sicurezza delle informazioni è di grande attualità in questo peri… https://t.co/tfve5Kzr09
-
SecureOnlineDesktop
Estimated reading time: 6 minutes The issue of information security is very topical in this historical period ch… https://t.co/TP8gvdRcrF
Newsletter
Prodotti e Soluzioni
Collaborazioni
Modelli Cloud
News
- Il Pivoting: Come Prevenire gli Attacchi Informatici dall’Interno della Tua Rete Giugno 7, 2023
- Penetration Test: perché alternare i fornitori è una scelta vincente Giugno 5, 2023
- Standard e best practice per il penetration testing: tutto quello che devi sapere per proteggere la tua azienda Maggio 31, 2023
- Script Kiddies: I pericoli dei cybercriminali improvvisati Maggio 29, 2023
- MDR, EDR o NGS: Scegli la soluzione di sicurezza informatica perfetta per la tua azienda! Maggio 24, 2023
Recensioni Google
Contatti
Copyright © 2011 Secure Online Desktop s.r.l. All Rights Reserved.
VAT: 07485920966 “Cloud Computing services - Software cloud - Cloud server - VPS” Terms of ServicePrivacy Policy
ISO Certifications