Negli ambienti di sicurezza moderni, le attività dannose vengono identificate esaminando il comportamento e l'interazione di utenti, host e server nel tempo. Anziché basarsi su indicatori statici o firme note, questo metodo valuta i modelli di movimento, comunicazione e progressione che corrispondono al comportamento degli aggressori.
Questo cambiamento è importante perché modifica il modo in cui viene interpretata l'attività. Anziché considerare gli avvisi come eventi isolati, i team valutano come si evolve il comportamento, quanto rapidamente progredisce e quale livello di rischio organizzativo rappresenta.
In pratica, le attività dannose vengono identificate attraverso modelli, non singoli eventi. Le singole azioni possono sembrare innocue di per sé, ma quando sono collegate nel tempo possono rivelare una chiara storia di attacchi.
Questo contesto aiuta i team a distinguere le attività normali da un'intrusione in corso che richiede un'indagine o una risposta. Per prendere questa decisione, gli analisti osservano i modelli comportamentali ricorrenti che compaiono comunemente negli attacchi in più fasi, tra cui:
Le minacce vengono valutate in base all'evoluzione dei comportamenti in un determinato ambiente nel corso del tempo. Anziché concentrarsi sui singoli avvisi, vengono valutati i comportamenti in base alla loro concentrazione, accelerazione e diffusione nelle diverse fasi di un attacco.
Questa valutazione prende in considerazione diversi aspetti che determinano l'urgenza e il rischio organizzativo. Insieme, questi aspetti spiegano non solo cosa sta succedendo, ma anche con quale rapidità e ampiezza si sta verificando:
Gli approcci tradizionali di rilevamento presuppongono che le attività dannose si manifestino sotto forma di indicatori noti o di evidenti deviazioni dal comportamento normale. Tale presupposto viene meno quando gli aggressori distribuiscono le attività, operano a basso volume o si mimetizzano deliberatamente nel traffico previsto.
Ecco perché esiste l'analisi basata sul comportamento: per correlare l'attività tra entità e tempo. Senza tale correlazione, le compromissioni nelle fasi iniziali potrebbero essere trascurate, mentre l'attenzione viene rivolta ad anomalie isolate. Le modalità di errore più comuni includono:
Visualizza come gli aggressori si muovono attraverso la rete, l'identità e cloud i grafici degli attacchi che mettono in correlazione il comportamento nel tempo e le entità, in modo che gli analisti possano tracciare l'origine, comprenderne l'impatto e agire più rapidamente con sicurezza.
Il comportamento diventa perseguibile quando gli analisti sono in grado di inserire l'attività osservata in una linea temporale. In questo modo è possibile chiarire come si è svolta un'intrusione e se è ancora in corso.
I team SOC valutano generalmente il comportamento in diverse fasi generali che riflettono la progressione dell'attaccante. Queste fasi non sono una lista di controllo, ma un modello di riferimento per interpretare l'attività nel contesto:
Il contesto comportamentale riduce l'incertezza durante le indagini e le risposte, mostrando come si svolge l'attività nel tempo. Invece di ricostruire manualmente lunghe finestre di attività, i team possono stabilire le priorità di lavoro in modo più chiaro e agire con maggiore sicurezza.
In pratica, i team utilizzano questo contesto per supportare le decisioni chiave durante la gestione degli incidenti:
Una maggiore visibilità sull'avanzamento degli aggressori non sostituisce le indagini o il giudizio degli analisti. Affidarsi ai risultati comportamentali come risposta definitiva può introdurre nuovi punti ciechi.
I team devono evitare attivamente questi comuni malintesi:
Una delle sfide principali nell'analisi comportamentale è comprendere come le minacce si evolvono nel tempo, non solo valutare gli eventi in modo isolato. Quando l'attività è distribuita su protocolli, strumenti o servizi, e spesso mascherata da comportamenti apparentemente innocui, la correlazione diventa essenziale per interpretare con precisione l'urgenza e la portata.
Vectra AI affronta questa sfida ponendo l'accento sul comportamento correlato degli aggressori e sulla loro progressione tra le entità. L'obiettivo è quello di creare un profilo di attacco che rifletta il modo in cui le minacce avanzano, quali entità sono coinvolte e dove sono giustificate le decisioni di risposta.
Questo approccio aiuta i team a ottenere maggiore chiarezza in diversi ambiti:
Cosa possono vedere più chiaramente le squadre
Cosa diventa più facile decidere
Quali rischi vengono ridotti
Rivelare l'intera dinamica dell'attacco, dalla ricognizione alla risposta, in modo che i team possano agire con sicurezza e rapidità.
Scopri come Vectra analizza il comportamento degli aggressori →
No. Il rilevamento comportamentale delle minacce non sostituisce il rilevamento basato sulle firme. I metodi basati sulle firme identificano le minacce note utilizzando indicatori predefiniti, mentre gli approcci comportamentali si concentrano sull'identificazione dei modelli di comportamento degli aggressori che potrebbero non corrispondere alle firme note. Questi metodi affrontano diverse lacune di rilevamento e sono in genere complementari piuttosto che intercambiabili.
Si concentra sul fatto che l'attività sia in linea con i comportamenti e la progressione noti degli aggressori, non solo sul fatto che si discosti da una linea di base. Il rilevamento delle anomalie evidenzia attività insolite, mentre il rilevamento comportamentale interpreta se l'attività rappresenta un intento dannoso nel tempo, anche quando il comportamento appare statisticamente normale.
Gli attacchi multistadio che coinvolgono ricognizione, comando e controllo, movimento laterale ed esfiltrazione traggono il massimo vantaggio dal rilevamento comportamentale delle minacce. Questi attacchi spesso utilizzano attività di basso volume o dall'aspetto legittimo che evitano gli avvisi tradizionali, ma diventano visibili quando il comportamento viene correlato nel tempo e tra le entità.
No. Il rilevamento comportamentale delle minacce evidenzia modelli e progressioni sospetti, ma non conferma automaticamente una violazione. Gli analisti devono comunque convalidare i risultati, valutare la portata e determinare le azioni di risposta appropriate utilizzando ulteriori contesti e indagini.
I segnali includono comunicazioni esterne persistenti, attività correlate in più fasi dell'attacco, movimenti insoliti di dati in uscita e rapida progressione tra le fasi. La tempistica e la combinazione di questi comportamenti distinguono le intrusioni attive dagli eventi isolati.