Caccia alle Minacce

Perché È Importante

Le tecnologie di rilevamento non possono catturare ogni attacco. Avversari sofisticati si mescolano con l'attività normale, abusano di strumenti legittimi (living-off-the-land) e operano lentamente per evitare le soglie. L'IBM Cost of a Data Breach Report mostra costantemente un dwell time mediano oltre 200 giorni senza programmi di hunting attivi.

Il threat hunting cambia il calcolo: invece di aspettare un alert, gli hunter assumono il compromesso e cercano evidenze. I programmi maturi documentano centinaia di rilevamenti originati da hunt umani.

Il Ciclo

1. Sviluppare un'Ipotesi

Specifica e verificabile, derivata da threat intel, incidenti recenti o tecniche MITRE ATT&CK.

2. Investigare con Dati

Tirare telemetria EDR, identità, rete e cloud. Applicare frequency analysis, stack counting, outlier detection, ricostruzione timeline.

// Hunt KQL per attività WMI sospetta
DeviceProcessEvents
| where Timestamp > ago(7d)
| where ProcessCommandLine has_any ("wmic", "Invoke-WmiMethod")
| where ProcessCommandLine has_any ("process call create", "/node:")
| summarize Count=count(), Devices=dcount(DeviceName) by InitiatingProcessAccountName
| where Devices >= 3
| order by Count desc

3. Documentare

Confermata, smentita o inconcludente, documenta cosa hai imparato.

4. Detection Engineering

Convertire hunt riusciti in rilevamenti automatici (Sigma, EDR custom, correlazioni SIEM).

5. Hand-off

I compromessi confermati vanno alla incident response. Il ciclo si ripete.

Metodologie

Pyramid of Pain

Ipotesi Comuni

• Accesso sospetto a LSASS (T1003)
• Binari non firmati da temp
• PowerShell anomalo con comandi codificati
• Relazioni parent-child insolite
• Pattern di beaconing DNS
• Logon interattivi di service account
• Task pianificati con privilegi elevati

Costruire un Programma

1. Stabilire baseline.
2. Adottare MITRE ATT&CK.
3. Centralizzare la telemetria (90+ giorni).
4. Hunt regolari documentati.
5. Misurare gli output.

Concetti Correlati

• Threat Intelligence
• Analista SOC
• Risposta agli Incidenti
• Analisi Malware