Analisi dei log post-incidente: guida metodologica per non perdere le tracce

Quando scatta l’allarme di un sospetto incidente informatico, la tentazione immediata è quella di agire d’impulso: riavviare i server, formattare le macchine o cambiare le password. Tuttavia, senza un’adeguata analisi dei log, queste azioni rischiano di cancellare per sempre le prove necessarie per capire chi è entrato, cosa ha toccato e, soprattutto, se è ancora all’interno della rete.

In questo articolo vedremo come approcciare l’analisi dei log dopo un sospetto breach per trasformare il caos in un’indagine ordinata e risolutiva.

1. Preservazione e isolamento delle tracce

La prima regola dell’analisi forense è non inquinare la scena del crimine. Prima di qualsiasi intervento correttivo, è fondamentale assicurarsi che i log siano stati messi in sicurezza. Se utilizzi un sistema SIEM come Wazuh, i log sono già stati trasmessi in tempo reale e sono pronti per essere interrogati, proteggendoti dai tentativi dell’attaccante di cancellare le tracce locali (Event ID 1102 su Windows).

2. Ricostruzione della Timeline (La Cronologia)

L’analisi deve partire dall’identificazione dell’istante zero. Attraverso la dashboard di Wazuh, occorre filtrare gli eventi intorno al momento del sospetto incidente cercando:

• Tentativi di logon: Picchi di fallimenti o accessi riusciti in orari anomali.
• Esecuzione di processi: Comandi PowerShell, attivazione di Task Scheduler o servizi mai visti prima.
• Connessioni di rete: Trasferimento di dati verso IP geograficamente sospetti o verso servizi di cloud storage non autorizzati.

3. Correlazione tra Endpoint e Perimetro

Un’analisi isolata è spesso inconcludente. L’incidente deve essere osservato da più angolazioni. Se il log di un server mostra una modifica a un file critico, dobbiamo immediatamente chiederci:

• Quale account ha effettuato l’azione?
• Da quale IP interno proveniva la connessione?
• Esiste un log corrispondente sul firewall che mostra l’ingresso di quell’IP tramite VPN o RDP?

Il valore di Wazuh risiede proprio in questa capacità di correlare automaticamente gli eventi che avvengono su sistemi diversi, offrendo una visione d’insieme del movimento laterale.

4. Ricerca degli Indicatori di Compromissione (IoC)

Utilizza i log per cercare firme specifiche di attacchi noti. Confronta gli hash dei file eseguiti con database mondiali di Threat Intelligence. Se un processo eseguito sul tuo server coincide con un malware conosciuto, hai la conferma definitiva della natura dell’incidente.

5. Identificazione della “Root Cause”

L’analisi non finisce quando si rimuove il malware, ma quando si capisce come sia entrato. I log devono rispondere a questa domanda: è stata una vulnerabilità web? Un clic su un link di phishing? O una password debole su un servizio esposto? Senza la risposta a questa domanda, l’incidente si ripeterà.

Conclusione

Analizzare i log dopo un incidente è un lavoro di precisione che richiede strumenti avanzati e metodo scientifico. Non limitarti a reagire: analizza, comprendi e rendi la tua infrastruttura più forte grazie ai dati.

Il tuo team è in grado di analizzare un incidente in corso o brancola nel buio? Contatta gli esperti di Cyberdef.it per un servizio di Incident Response e metti in sicurezza la tua azienda con il nostro SOC.