Threat Hunting per principianti: trovare ciò che gli alert non rilevano

TL;DR

Il threat hunting è la pratica proattiva di cercare attraverso reti e dataset gli avversari che gli strumenti di rilevamento automatizzato non individuano. Ricerche del SANS Institute mostrano che le organizzazioni con programmi dedicati di threat hunting rilevano le violazioni 2,5 volte più velocemente di quelle che si affidano esclusivamente agli alert. Questa guida copre la metodologia basata su ipotesi, il framework MITRE ATT&CK come mappa di caccia, le fonti di dati essenziali come la telemetria EDR e i log DNS, e strumenti pratici tra cui Elastic, Splunk e Velociraptor.

La dashboard del SIEM mostrava verde su tutti i pannelli. Nessun alert critico. Nessun evento ad alta gravità. Niente che richiedesse attenzione. All'interno di quella stessa rete, un gruppo di advanced persistent threat aveva mantenuto l'accesso per sei mesi. Avevano compromesso un domain controller, esfiltrato 14 gigabyte di proprietà intellettuale e stabilito tre meccanismi di persistenza separati su endpoint distribuiti su due continenti. Ogni azione che hanno compiuto è rimasta sotto le soglie di rilevamento che il team di sicurezza aveva configurato. Ogni strumento ha funzionato esattamente come progettato. E ogni strumento li ha completamente mancati.

È stata una threat hunter a trovarli. Non attraverso un alert. Non attraverso una corrispondenza di firma. Attraverso un'ipotesi: "Se un avversario avesse compromesso il nostro ambiente, dove stabilirebbe la persistenza e come apparirebbe nella nostra telemetria?" Quella singola domanda, posta da un'analista che si è rifiutata di considerare il silenzio come prova di sicurezza, ha svelato sei mesi di spionaggio non rilevato.

Questa è la promessa fondamentale del threat hunting. Smetti di aspettare che gli strumenti ti dicano che qualcosa non va. Vai a cercare.

Reattivo vs. proattivo: perché gli alert non bastano

I centri operativi di sicurezza tradizionali funzionano con un modello reattivo. Gli strumenti di rilevamento generano alert. Gli analisti li classificano. Il ciclo si ripete. Questo modello funziona per le minacce conosciute, gli attacchi che corrispondono a firme e regole esistenti. Fallisce contro avversari che studiano le tue capacità di rilevamento e operano deliberatamente al di sotto.

Secondo il CrowdStrike 2025 Global Threat Report, il 75% delle intrusioni ha coinvolto attività hands-on-keyboard che ha generato alert automatizzati minimi. Gli attaccanti hanno usato credenziali legittime, strumenti nativi del sistema operativo e utility amministrative fidate. Nessun malware per attivare l'antivirus. Nessun exploit per corrispondere a una firma. Solo un umano seduto a una tastiera, usando gli stessi strumenti che i tuoi amministratori usano ogni giorno.

Il threat hunting proattivo inverte il modello. Invece di aspettare che la macchina dica "qualcosa non va", un analista umano dice "lasciami verificare che nulla sia sbagliato". La distinzione sembra sottile. Nella pratica, è la differenza tra scoprire una violazione in 8 giorni versus 21. Il report M-Trends 2025 di Mandiant ha documentato esattamente questo divario: le organizzazioni con programmi di caccia strutturati hanno ridotto il tempo mediano di permanenza da 21 a 8 giorni.

Caccia basata su ipotesi: partire da una domanda

Ogni caccia alle minacce efficace inizia con un'ipotesi. Non un vago sospetto, ma una dichiarazione specifica e verificabile sul comportamento dell'avversario.

Un'ipotesi debole: "Qualcosa potrebbe non andare nella nostra rete."

Un'ipotesi forte: "Un avversario potrebbe usare attività pianificate su endpoint Windows per mantenere la persistenza, creando attività che eseguono comandi PowerShell codificati durante le ore non lavorative."

Il framework Sqrrl (ora archiviato, la sua metodologia resta fondamentale) identifica tre fonti per la generazione di ipotesi:

Le ipotesi basate sull'intelligence provengono dai report di threat intelligence. Quando viene documentata una nuova campagna APT, chiedi: "Questo gruppo potrebbe averci preso di mira usando queste tecniche?"

Le ipotesi situazionali provengono dal tuo ambiente. Una nuova migrazione cloud, un'acquisizione recente o un picco insolito nel traffico DNS in uscita possono generare domande di caccia.

Le ipotesi basate sull'analisi provengono da anomalie statistiche nei tuoi dati. Un endpoint che improvvisamente inizia a fare query DNS verso domini con nomi ad alta entropia. Un account di servizio che si è autenticato da una workstation per la prima volta in sei mesi.

MITRE ATT&CK come framework di caccia

Il framework MITRE ATT&CK è la struttura più adottata per organizzare le attività di threat hunting. Cataloga oltre 200 tecniche avversarie attraverso 14 tattiche, dall'accesso iniziale all'esfiltrazione.

Ecco come ATT&CK si traduce in un flusso di lavoro di caccia strutturato:

1. Seleziona una tattica. Inizia con una delle 14 tattiche ATT&CK. Persistenza ed evasione della difesa sono punti di partenza solidi perché gli attaccanti devono usarle in quasi ogni intrusione.

2. Scegli tecniche specifiche. Sotto la tattica Persistenza, ATT&CK elenca tecniche come Boot or Logon Autostart Execution, Create or Modify System Process e Scheduled Task/Job.

3. Mappa alle fonti di dati. ATT&CK ti dice esattamente quali fonti di dati rivelano ogni tecnica. Per Scheduled Task/Job, servono Windows Event Log (Event ID 4698, 4702), log di creazione processi (Sysmon Event ID 1) e eventi di creazione file nelle directory delle attività.

4. Scrivi query di rilevamento. Traduci la descrizione della tecnica in query specifiche contro i tuoi dati di log.

5. Investiga le anomalie. Qualsiasi risultato che non corrisponde ai modelli amministrativi conosciuti diventa una pista.

Il sondaggio SANS 2025 sul threat hunting ha rivelato che il 68% delle organizzazioni con programmi attivi di caccia ha scoperto minacce che gli strumenti di rilevamento esistenti non avevano identificato. ATT&CK è il framework che rende questo tipo di scoperta strutturata ripetibile.

Fonti di dati: dove gli avversari lasciano tracce

La telemetria EDR è la fonte individuale più preziosa. Le piattaforme Endpoint Detection and Response come CrowdStrike Falcon, Microsoft Defender for Endpoint e SentinelOne registrano alberi di creazione processi, modifiche ai file, cambiamenti del registro, connessioni di rete e caricamenti di DLL a livello di host.

I log delle query DNS rivelano la comunicazione con l'infrastruttura di comando e controllo. Gli attaccanti usano frequentemente algoritmi di generazione di domini (DGA) per creare domini che risolvono solo per poche ore prima di ruotare.

I log di proxy e web gateway catturano metadati del traffico HTTP/HTTPS in uscita. Una workstation che invia esattamente 4.096 byte di dati allo stesso IP esterno ogni 60 secondi sta esibendo un comportamento di beaconing coerente con malware di comando e controllo.

I log di autenticazione di Active Directory espongono il movimento laterale. Un avversario che compromette un endpoint tipicamente deve muoversi attraverso la rete per raggiungere obiettivi di alto valore come server di database e domain controller.

I dati di flusso di rete (NetFlow, sFlow) forniscono un registro di ogni conversazione di rete: sorgente, destinazione, porte, protocolli, conteggio byte e durata.

Il flusso di lavoro della caccia: dall'ipotesi alla scoperta

Passo 1: Formula l'ipotesi. Definisci cosa stai cercando, dove ti aspetti di trovare prove e come appare il "normale" in quel contesto.

Passo 2: Identifica i dati necessari. Mappa l'ipotesi a fonti di dati e tipi di log specifici. Verifica che i dati esistano e coprano il periodo di tempo rilevante.

Passo 3: Costruisci ed esegui le query. Inizia ampio per capire la baseline, poi restringi progressivamente per isolare le anomalie.

Passo 4: Analizza i risultati. Valuta ogni anomalia rispetto alla tua conoscenza dell'ambiente. Non tutto ciò che è atipico è malevolo.

Passo 5: Documenta e scala. Se scopri attività malevola confermata, scala al tuo processo di risposta agli incidenti. Se scopri lacune nel rilevamento, crea nuovi alert o regole.

Passo 6: Affina e ripeti. Ogni caccia genera nuove domande che diventano la prossima ipotesi.

Strumenti del mestiere

Elastic Security (ELK Stack)

Un esempio di query KQL per cacciare esecuzioni sospette di PowerShell:

process.name: "powershell.exe" AND process.args: ("-enc" OR "-encodedcommand" OR "FromBase64String") AND NOT user.name: ("SYSTEM" OR "svc-deploy")

Splunk

Un esempio di query SPL per cacciare comportamento di beaconing DNS:

index=dns sourcetype=stream:dns
| stats count dc(query) as unique_queries avg(bytes_out) as avg_bytes by src_ip dest_ip
| where count > 500 AND unique_queries < 10 AND avg_bytes < 512
| sort - count

Velociraptor

Velociraptor è uno strumento open source di visibilità degli endpoint e forense progettato specificamente per il threat hunting e la risposta agli incidenti. A differenza della caccia basata su SIEM, Velociraptor interroga gli endpoint direttamente e in tempo reale usando VQL (Velociraptor Query Language). Per i team senza una piattaforma EDR commerciale, Velociraptor fornisce caccia agli endpoint a scala aziendale senza costi di licenza.

Threat hunting vs. incident response: discipline complementari

L'incident response inizia quando qualcosa si attiva: un alert scatta, un utente segnala attività sospetta o una parte esterna ti notifica di un compromesso. Sai che qualcosa è successo. Il lavoro è contenimento, indagine e remediation.

Il threat hunting inizia quando nulla si è attivato. Nessun alert, nessun report, nessuna notifica. Operi nell'ipotesi che un avversario possa essere presente nonostante il silenzio. Il lavoro è la scoperta.

Le due discipline si alimentano reciprocamente. Le cacce che scoprono minacce transitano in flussi di incident response. Le indagini di incident response che rivelano lacune nella copertura del rilevamento generano ipotesi per cacce future. L'analista SOC che il mese scorso ha indagato un incidente di phishing e scoperto che l'organizzazione non aveva visibilità sull'abuso dei token OAuth ora ha un'ipotesi di caccia per il prossimo trimestre.

Costruire il tuo primo programma di caccia

Inizia dedicando quattro ore a settimana alla caccia strutturata. Scegli una tecnica ATT&CK per sessione. Scrivi l'ipotesi. Esegui le query. Documenta i risultati. Quattro ore a settimana per 52 settimane producono 52 cacce documentate, un corpo di prove che dimostra sia la consapevolezza della postura di sicurezza sia il miglioramento continuo a revisori, dirigenti e regolatori.

Costruisci un backlog di ipotesi. Ogni report di threat intelligence che leggi, ogni incidente a cui rispondi, ogni anomalia che noti durante il monitoraggio di routine può generare un'ipotesi di caccia. Mantieni una lista prioritizzata per sapere sempre cosa cacciare dopo.

Il modello di maturità del threat hunting del SANS Institute descrive cinque livelli da HMM0 (iniziale, principalmente reattivo) a HMM4 (leader, con flussi di caccia automatizzati integrati nelle operazioni SOC). La maggior parte delle organizzazioni parte da HMM1. L'obiettivo non è raggiungere HMM4 immediatamente ma progredire costantemente rendendo la caccia una pratica consistente e documentata.

Dal monitoraggio passivo alla scoperta attiva

L'industria della sicurezza ha passato due decenni a costruire macchine di alert più veloci, più intelligenti, più costose. Funzionano. Catturano la maggior parte delle minacce. Ma "la maggior parte" non è "tutte", e le minacce che non rilevano tendono ad essere quelle che causano danni catastrofici.

Il threat hunting colma quel divario. Riconosce una verità fondamentale che nessun sistema di rilevamento è completo e canalizza quel riconoscimento in azione produttiva. L'analista che ha trovato l'APT di sei mesi non ha usato uno strumento che il resto del team non aveva. Ha usato lo stesso SIEM, lo stesso EDR, gli stessi dati a cui tutti gli altri avevano accesso. La differenza è stata una domanda: "E se qualcosa fosse qui che non abbiamo visto?"

Quella domanda, posta in modo consistente e investigata metodicamente, è l'intera disciplina. Inizia con un'ipotesi. Conduci una caccia. Documenta ciò che trovi. Poi rifallo la settimana prossima. Gli avversari non stanno aspettando che i tuoi strumenti recuperino il ritardo. Neanche tu dovresti.