Threat hunting per gli attacchi sfuggiti agli alert.
Cerchiamo nel tuo ambiente gli avversari che sono già entrati, partendo da ipotesi su come operano, e trasformiamo ogni sessione di hunting in un rilevamento migliore.
Partire dall'ipotesi peggiore
Gli strumenti di rilevamento vedono ciò che sono stati configurati per vedere. Gli attaccanti più capaci usano account validi, strumenti già presenti nei sistemi e movimenti lenti che si confondono con l'attività normale. Il threat hunting parte dall'ipotesi che qualcosa sia passato e ne cerca le tracce nella telemetria.
Una sessione di threat hunting ha senso quando sospetti una compromissione, dopo un report di threat intelligence che ti riguarda o come verifica periodica di un ambiente critico. Si chiude con una risposta, compromessi o no, con le evidenze che la sostengono e con nuove regole che rendono più facile intercettare il prossimo attacco.
Threat Hunting Ricerca proattiva di avversari nascosti
- Hypothesis-driven hunting su endpoint, rete e cloud
- Behavioral analytics e anomaly detection
- TTP mapping su MITRE ATT&CK
- Threat intelligence enrichment & correlation
- Compromise assessment su incidenti sospetti
- Detection engineering & rule tuning
Risultati
- Scoperta anticipata di intrusioni attive
- Riduzione di dwell time e lateral movement
- Detection coverage rafforzata
- IOC e detection content azionabili
Dall'ipotesi al rilevamento, in cinque fasi.
Ogni attività di hunting è strutturata, ripetibile e documentata, così il suo valore resta anche a incarico concluso.
Ipotesi
Formuliamo le ipotesi a partire dalla threat intelligence, dal tuo settore e dalle tue tecnologie: per esempio, furto di credenziali seguito da movimento laterale attraverso strumenti di gestione remota.
Raccolta dei dati
Individuiamo la telemetria necessaria (EDR, log, flussi di rete, audit trail del cloud) e verifichiamo che la copertura basti a rispondere alla domanda.
Indagine
Gli analisti cercano i comportamenti legati a ogni ipotesi, seguono le anomalie e le incrociano con la threat intelligence.
Valutazione
Un'attività malevola confermata viene circoscritta e segnalata subito; anche le ipotesi escluse vengono documentate.
Detection engineering
Ogni sessione produce regole di rilevamento nuove o affinate, indicatori e raccomandazioni per il tuo SOC.
Mappato sul comportamento degli avversari.
Ipotesi e risultati sono mappati sulle tecniche di MITRE ATT&CK e le regole di rilevamento possono essere consegnate in formati indipendenti dal vendor, come Sigma. Il threat hunting supporta il monitoraggio e la gestione degli incidenti richiesti da NIS2, DORA e ISO/IEC 27001.
Il profilo Threat Hunter di BackBox AI aiuta gli analisti a formulare ipotesi, interrogare grandi volumi di dati e legare ogni conclusione a un'evidenza: è lo stesso approccio delle nostre indagini OSINT pubbliche.
Framework e riferimenti
Threat hunting, le domande più frequenti.
Che differenza c'è tra threat hunting e monitoraggio del SOC?
Il monitoraggio reagisce agli alert generati da regole note. Il threat hunting è proattivo: gli analisti cercano comportamenti ostili che non hanno fatto scattare alcun alert, e quello che trovano diventa una nuova regola per chi monitora.
Di quali dati avete bisogno?
La telemetria degli endpoint raccolta da un EDR è la fonte più preziosa, seguita dai log di autenticazione, dai flussi di rete e dagli audit log del cloud. All'inizio valutiamo la copertura e ti diciamo a quali domande i dati disponibili possono rispondere e a quali no.
Che cos'è un compromise assessment?
È un'attività di hunting mirata, che risponde a una sola domanda: siamo stati compromessi? È la scelta giusta dopo un evento sospetto, prima di un'acquisizione o quando scopri che una vulnerabilità esposta viene sfruttata attivamente.
Che cosa succede se trovate un'intrusione in corso?
Ci fermiamo e la segnaliamo subito, secondo la procedura concordata all'avvio, e affianchiamo il tuo team di incident response con il perimetro dell'attacco, gli indicatori e le priorità di contenimento.
Serve il threat hunting se abbiamo già un SOC o un servizio MDR?
Spesso sì. Il SOC o l'MDR gestiscono gli alert generati dalle loro regole, mentre il threat hunting cerca ciò che non ha prodotto alcun alert. Molti team affiancano al monitoraggio sessioni periodiche di hunting, e ne usano i risultati per migliorarlo.