Riassunto analitico
La Cybersecurity sta diventando un argomento fondamentale nel mondo interconnesso di
oggi e col quale le organizzazioni, sia pubbliche che private ed operanti in diversi settori,
si confrontano giornalmente. Per questo motivo, molte di queste, al fine di gestire il
rischio di Cybersecurity si stanno affidando ad aziende esterne definite Managed Security
Service Provider (MSSP).
L’elaborato nasce all’interno di un Security Operation Center (SOC) di un MSSP. Il SOC
è una struttura specializzata nell’erogazione di servizi di sicurezza informatica che
impiega persone, processi e tecnologie per monitorare e migliorare continuamente la
posizione, in materia di sicurezza informatica di un'organizzazione, prevenendo,
rilevando, analizzando e rispondendo agli incidenti.
Per lo sviluppo dello stesso e delle competenze necessarie a offrire i servizi descritti, si è
fatto riferimento a due Framework pubblicati dal National Institute of Standards and
Technology (NIST), ovvero il Cybersecurity Framework (CSF) e la Computer Security
Incident Handling Guide. In particolare, le 3 componenti fondamentali del CSF
(Framework Core, Implementation Tiers e Framework Profile) e le fasi del Framework
per la gestione degli incident response (Preparation, Detection e Analysis, Containment,
Eradication e Recovery e Post–Incident Activity) sono state analizzate ed utilizzate per
delineare il ciclo di attività che un SOC deve attuare per erogare propri i servizi ai clienti,
in particolare per la gestione degli incidenti di sicurezza informatica, e per la definizione
di nuovi Implementation Tiers che permettono di determinare il livello di sviluppo attuale
e quello che si vuole raggiungere.
Quanto mostrato sarà applicato nelle attività di incident response, eseguite all’interno del
SOC, per la gestione di due incidenti di sicurezza rilevati presso delle aziende clienti. Il
primo incidente tratterà la Botnet Prometei, ovvero una botnet modulare e multi–stage, il
cui obiettivo principale è installare un cryptominer di Monero; mentre il secondo
analizzerà il ransomware FTCODE, il quale è in grado di eseguire il suo payload dannoso
basato su script di PowerShell in memoria. Per entrambi gli incidenti verrà effettuata
un'analisi che parte dalla loro rilevazione e verranno riportate le azioni attuate per
debellare la minaccia, gli Indici di Compromissione (IoC) e la sequenza dell’attacco
identificata o presunta.
|
