Giacomo Lanzi

Coordinazione tra CTI e SOC: come alzare ulteriormente le difese

Estimated reading time: 6 minutes

La Cyber Threat Intelligence (CTI) e un Security Operations Center (SOC) sono due parti importanti nel processo di sicurezza di un’azienda. Aiutano a identificare e mitigare i rischi coinvolti nel mondo digitale. La CTI è una misura proattiva che aiuta a identificare le potenziali minacce, mentre il SOC è una misura reattiva che aiuta a rilevare e mitigare un attacco. Insieme, CTI e SOC, sono due strumenti importanti nel campo IT.

La CTI aiuta le organizzazioni a identificare potenziali minacce raccogliendo dati da varie fonti come social media, dark web, database di malware, ecc. Quindi analizza questi dati utilizzando strumenti di analisi avanzati come algoritmi di apprendimento automatico e fornisce informazioni utili ai responsabili delle decisioni.

Un SOC, d’altra parte ha un approccio più reattivo in quanto rileva e mitiga un attacco non appena si verifica. I SOC usano vari metodi come firewall, sistemi di rilevamento delle intrusioni, sistema di gestione dei registri, etc.

La relazione tra CTI e SOC può essere descritta in una frase:

La CTI fornisce informazioni preziose al SOC, mentre questo fornisce alla CTI un feedback rilevante.

CTI e SOC

CTI e SOC: cosa sono?

Prima di collaborare nella gestione delle sicurezza, CTI e SOC sono due cose distinte che hanno ruoli e scopi differenti. Vediamoli brevemente insieme.

Cos’è la CTI

La Cyber Threat Intelligence (CTI) è il processo di raccolta, analisi e diffusione di informazioni sugli incidenti informatici per aiutare a identificare e combattere le minacce informatiche. È una disciplina di intelligence che si occupa dell’identificazione e dell’analisi delle minacce informatiche. La CTI può essere utilizzata per prevenire futuri attacchi a un’organizzazione identificando potenziali vulnerabilità nel sistema.

La Cyber Threat Intelligence può essere considerata una forma di difesa informatica proattiva. Con la CTI, le organizzazioni sono in grado di proteggersi meglio da vari tipi di attacchi informatici. Esistono tre tipi principali di intelligence relativa alle minacce informatiche:

1) Intelligence sugli attacchi informatici: informazioni sui metodi e le motivazioni dell’attaccante

2) Intelligence per la difesa informatica: informazioni sulle vulnerabilità del difensore e su come possono essere sfruttate dagli aggressori

3) Intelligence sulle minacce informatiche: informazioni sulla strategia, l’intento, le capacità e le risorse dell’agente di minaccia

Cos’è un SOC

Un Security Operation Center (SOC) è un hub centrale per la sicurezza di un’organizzazione. È un luogo in cui tutte le operazioni di sicurezza sono monitorate e gestite. Il SOC può essere considerato un “centro di comando” per la sicurezza informatica di un’organizzazione, in cui tutte le operazioni di sicurezza sono monitorate e gestite.

Noi offriamo il SOC come servizio per i nostri clienti (SOCaaS), sollevandoli dai costi iniziali di implementazione e da quelli costanti di manutenzione dell’infrastruttura. Il nostro SOCaaS, inoltre, utilizza un sistema NextGen SIEM che garantisce velocità e puntualità delle risposte.

La CTI e le costanti evoluzioni delle minacce online

L’intelligence sulle minacce informatiche è la chiave per comprendere l’evoluzione delle minacce informatiche e come queste stiano cambiando. La costante evoluzione delle minacce rende difficile per le organizzazioni tenere il passo con gli ultimi sviluppi della sicurezza. I team di sicurezza informatica devono essere in grado di rispondere in modo rapido ed efficiente per evitare danni.

In questo contesto dinamico in continua evoluzione, entra in gioco la Cyber Threat Intelligence. La CTI è l’elemento chiave che permette di capire come proteggersi dai diversi attacchi informatici. Nella pratica, questo significa che, grazie ad un’accurata serie di analisi, è possibile capire effettivamente come evitare di diventare vittima di attacchi.

La CTI aiuta, quindi, nell’individuare le potenziali minacce e fornisce queste informazioni preziose al SOC, che potrà così implementare dei controlli specifici per le minacce rilevate.

È importante che le aziende dispongano di una propria Cyber Threat Intelligence per stare al passo con la costante evoluzione delle minacce. Le aziende devono capire cosa sta succedendo in ambito di minacce informatiche, e capire quale sia la strada percorsa dai vari gruppi di terrorismo informatico.

Il Security Operation Center e la rilevazione delle minacce

Il Security Operation Center (SOC) è l’hub centrale per il monitoraggio e la gestione della sicurezza informatica. In teoria questo è un luogo fisico in cui lavorano ingegneri e tecnici informatici per difendere l’infrastruttura aziendale. Tuttavia, non è ormai raro trovare il SOC offerto come servizio (SOCaaS).

Il primo passaggio nel rilevamento delle minacce consiste nel creare un programma di intelligence sulle minacce. Questo programma dovrebbe essere in grado di raccogliere, analizzare e condividere informazioni su minacce e attacchi informatici con tutte le parti interessate dell’organizzazione. Questo passaggio è svolto da un team di CTI, e diventa parte integrante del processo di lavoro del SOC.

Il secondo passo è sviluppare una strategia per rispondere a queste minacce e attacchi. Il terzo passaggio consiste nell’implementare la strategia nelle operazioni attraverso procedure, politiche e strumenti progettati per una risposta rapida quando si verifica un attacco.

I Security Operation Center (SOC) sono responsabili del monitoraggio di reti e sistemi per rilevare eventuali segni di attacchi informatici o guasti del sistema che potrebbero causare violazioni dei dati o altri eventi dannosi. Il rilevamento delle minacce coinvolge entrambi in modo pro-attivo.

CTI e SOC cover

Il SOC e la sua importanza nel processo di CTI

Ecco quindi che il rapporto tra CTI e SOC rappresenta un binomio che deve essere sempre presente qualora si voglia avere la certezza che operare online sia un tipo di operazione ottimale da svolgere.

La cosa interessante è l’interazione che si viene a creare tra questi due strumenti, diventando così una soluzione sempre più potente in ambito di sicurezza informatica.

Il SOCaaS che offriamo, infatti, contiene uno strumento di analisi del comportamento, utilissimo nell’individuare comportamenti sospetti e collegarli a potenziali minacce, anche a posteriori. Questo aspetto crea una fonte di informazioni interna per la CTI, che può quindi aggiungere i risultati dell’analisi del comportamento del SOC tra i suoi indizi di ricerca.

CTI e SOC si alimentano a vicenda, possiamo dire, con informazioni e soluzioni a supporto della sicurezza aziendale.

I nostri servizi di SOC e CTI

Come abbiamo visto, SOC e CTI si completano a vicenda, per così dire. Questi due servizi sono entrambi offerti da noi e siamo sicuri dell’impatto positivo che hanno nella lotta contro le minacce informatiche per le aziende.

Se la tua azienda è alla ricerca di informazioni su come proteggere al meglio l’infrastruttura informatica dalla criminalità informatica, contattaci per una consulenza o per chiedere ulteriori informazioni, saremo lieti di rispondere a ogni domanda.

Link utili:

Condividi


RSS

Piu’ articoli…

Categorie …

Tags

RSS CSIRT

RSS Dark Reading

RSS Full Disclosure

  • Disclosing Vulnerability of CLink Office 2.0 Maggio 23, 2022
    Posted by chan chan on May 23Dear Sir/Madam, I would like to submit a vulnerability found on CLink Office 2.0. I had contacted the vendor 60 days before but in vain. # Exploit Title: Multiple blind SQL injection vulnerabilities in in CLink Office 2.0 Anti-Spam management console # Date: 30 Mar 2022 # Exploit Author: […]
  • [tool] tplink backup decryptor. Maggio 23, 2022
    Posted by retset on May 23Yet another "tool" to decrypt a backup configs for some tplink wifi routers. Only tested on latest fw for "Archer C7". I hope that it will be useful for someone. https://github.com/ret5et/tplink_backup_decrypt_2022.bin
  • SEC Consult SA-20220518-0 :: Multiple Critical Vulnerabilities in SAP® Application Server, ABAP and ABAP® Platform (Different Software Components) Maggio 18, 2022
    Posted by SEC Consult Vulnerability Lab, Research via Fulldisclosure on May 18SEC Consult Vulnerability Lab Security Advisory < 20220518-0 > ======================================================================= title: Multiple Critical Vulnerabilities product: SAP® Application Server ABAP and ABAP® Platform (Different Software Components) vulnerable version: see section "Vulnerable / tested versions" fixed version: see SAP security notes...
  • PHPIPAM 1.4.4 - CVE-2021-46426 Maggio 18, 2022
    Posted by Rodolfo Augusto do Nascimento Tavares via Fulldisclosure on May 18=====[ Tempest Security Intelligence - ADV-03/2022 ]========================== PHPIPAM - Version 1.4.4 Author: Rodolfo Tavares Tempest Security Intelligence - Recife, Pernambuco - Brazil =====[ Table of Contents ]================================================== * Overview * Detailed description * Timeline of disclosure * Thanks & Acknowledgements * References =====[ Vulnerability […]
  • LiquidFiles - 3.4.15 - Stored XSS - CVE-2021-30140 Maggio 18, 2022
    Posted by Rodolfo Augusto do Nascimento Tavares via Fulldisclosure on May 18=====[ Tempest Security Intelligence - ADV-12/2021 ]========================== LiquidFiles - 3.4.15 Author: Rodolfo Tavares Tempest Security Intelligence - Recife, Pernambuco - Brazil =====[ Table of Contents]================================================== * Overview * Detailed description * Timeline of disclosure * Thanks & Acknowledgements * References =====[ Vulnerability...
  • Watch multiple LockBit Ransom get DESTROYED Mass PWNAGE at scale! Maggio 18, 2022
    Posted by malvuln on May 18Watch multiple LockBit Ransom get DESTROYED Mass PWNAGE at scale! https://www.youtube.com/watch?v=eg3l8a_HSSU
  • github.com/malvuln/RansomDLLs / Catalog of current DLLs affecting vulnerable Ransomware strains. Maggio 18, 2022
    Posted by malvuln on May 18Reference list for my Ransomware exploitation research. Lists current DLLs I have seen to date that some ransomware search for, which I have used successfully to hijack and intercept vulnerable strains executing arbitrary code pre-encryption. https://github.com/malvuln/RansomDLLs
  • APPLE-SA-2022-05-16-2 macOS Monterey 12.4 Maggio 17, 2022
    Posted by Apple Product Security via Fulldisclosure on May 16APPLE-SA-2022-05-16-2 macOS Monterey 12.4 macOS Monterey 12.4 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT213257. AMD Available for: macOS Monterey Impact: An application may be able to execute arbitrary code with kernel privileges Description: A memory corruption issue was addressed […]
  • APPLE-SA-2022-05-16-6 tvOS 15.5 Maggio 17, 2022
    Posted by Apple Product Security via Fulldisclosure on May 16APPLE-SA-2022-05-16-6 tvOS 15.5 tvOS 15.5 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT213254. AppleAVD Available for: Apple TV 4K, Apple TV 4K (2nd generation), and Apple TV HD Impact: An application may be able to execute arbitrary code with kernel […]
  • APPLE-SA-2022-05-16-5 watchOS 8.6 Maggio 17, 2022
    Posted by Apple Product Security via Fulldisclosure on May 16APPLE-SA-2022-05-16-5 watchOS 8.6 watchOS 8.6 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT213253. AppleAVD Available for: Apple Watch Series 3 and later Impact: An application may be able to execute arbitrary code with kernel privileges Description: A use after free […]

Customers

Newsletter