Monitoraggio dei log aziendali: Cosa controllare davvero per non affogare nei dati
Il problema principale dei moderni SOC (Security Operations Center) non è la mancanza di dati, ma l’eccesso. Inondare i sistemi di monitoraggio con ogni singolo evento generato dall’infrastruttura porta alla cosiddetta “Log Fatigue”: l’incapacità di vedere le minacce reali perché sepolte sotto milioni di avvisi irrilevanti. Per una strategia di sicurezza efficace e sostenibile, è necessario filtrare il rumore e concentrarsi sui segnali ad alta fedeltà.
1. Autenticazione e Accessi (Identity Security)
La maggior parte degli attacchi moderni non sfrutta vulnerabilità software complesse, ma credenziali compromesse. Questa è la priorità assoluta.
- Tentativi di accesso falliti multipli: Indice di attacchi Brute Force o Password Spraying.
- Accessi riusciti da posizioni anomale: Il “geo-travel impossibile” (es. login da Milano e 10 minuti dopo da Mosca).
- Accessi fuori orario lavorativo: Attività alle 3 del mattino da parte di un dipendente amministrativo devono far scattare un allarme.
- Disattivazione MFA: Qualsiasi modifica alle impostazioni dell’autenticazione a due fattori è critica.
2. Modifiche ai Privilegi (Privilege Escalation)
Una volta entrato, l’attaccante cerca di elevare i propri privilegi per ottenere il controllo totale.
- Aggiunta di utenti ai gruppi Admin: Monitorare rigorosamente i gruppi “Domain Admins” e “Enterprise Admins”.
- Creazione di nuovi utenti: Specialmente se sono account locali o creati tramite script nascosti.
- Modifiche alle Group Policy (GPO): Un cambiamento qui può compromettere l’intera flotta di endpoint in un colpo solo.
3. Traffico di Rete in Uscita (Command & Control)
Troppe aziende guardano solo chi bussa alla porta (inbound), ignorando chi esce. Se un server interno inizia a comunicare con l’esterno, potrebbe essere compromesso.
- Connessioni verso IP/Domini non reputati: Traffico verso paesi a rischio o domini registrati da meno di 24 ore.
- Volumi di traffico anomalo: Un database che invia gigabyte di dati verso un IP esterno sta subendo un’esfiltrazione dati.
- Beaconing: Comunicazioni regolari e ritmiche (es. ogni 5 minuti esatti) verso un server esterno, tipico segno di malware in attesa di comandi.
4. Attività sugli Endpoint (Sicurezza Host)
Cosa succede sui singoli PC e Server?
- Disattivazione dell’Antivirus/EDR: L’azione preparatoria classica prima di lanciare un ransomware.
- Esecuzione di PowerShell/CMD: L’uso di script da parte di utenti non tecnici o processi di sistema anomali (es. Word che lancia PowerShell).
- Cancellazione dei log di sistema: Chi cancella le proprie tracce ha qualcosa da nascondere (Event ID 1102).
Conclusione: Non serve un SIEM che costi milioni per monitorare tutto. Serve una configurazione intelligente che controlli ciò che conta davvero. Focalizzatevi su questi quattro pilastri per trasformare i vostri log da archivio morto a strumento di difesa attiva.
