Padroneggiare la Threat Hunting: Una Guida Pratica

La threat hunting capovolge il modello di sicurezza tradizionale: invece di aspettare gli alert, assumi proattivamente il compromesso e cerchi le prove. Fatta bene, cattura gli avversari che sfuggono alle difese automatiche. Questa guida affronta un processo pratico e ripetibile che puoi applicare indipendentemente dalle dimensioni della tua organizzazione o dal tuo toolset.

Perché la Hunting Importa

La rilevazione basata su firma e persino la maggior parte dell'analitica comportamentale catturano solo pattern noti-cattivi o anomalie ovvie. Gli attaccanti esperti operano deliberatamente sotto quella soglia, usando strumenti legittimi (living-off-the-land binaries), credenziali valide e movimento lento e paziente. La threat hunting colma quel divario avendo un analista umano formulare ipotesi sul comportamento dell'attaccante e cercare attivamente prove a supporto nella telemetria.

Costruisci un Processo Basato su Ipotesi

Le hunting efficaci iniziano con un'ipotesi specifica e testabile piuttosto che una spedizione di pesca aperta. Le buone ipotesi provengono tipicamente da tre fonti:

• Threat intelligence: Un nuovo report descrive una tecnica usata da un gruppo che prende di mira il tuo settore. Ipotesi: "Se questo gruppo è attivo nel nostro ambiente, vedremmo PowerShell scaricare payload tramite uno schema specifico."
• MITRE ATT&CK gaps: Mappa la tua copertura di rilevamento attuale rispetto alle tecniche ATT&CK e assegna priorità alle hunting per le tecniche che non puoi attualmente rilevare automaticamente.
• Curiosità guidata da anomalia: Orari di login inusuali, rare relazioni parent-child di processi, o connessioni in uscita inaspettate che non attivano alert ma sembrano strane alla revisione.

Documenta ogni ipotesi, le fonti dati che interrogherai e quali prove la confermerebbero o la refuterebbero. Questa disciplina evita che le hunting diventino incoerenti e rende i risultati riproducibili.

Conosci le Tue Fonti Dati

Una hunt è valida solo quanto la telemetria dietro di essa. Le fonti principali includono:

• Log di Endpoint Detection and Response (EDR): creazione di processi, argomenti della riga di comando, scritture di file, connessioni di rete per processo.
• Windows Event Logs: specialmente Security (logon 4624/4625), Sysmon (creazione di processi, rete, registro) e log operativi di PowerShell.
• Dati di rete: log NetFlow/Zeek per metadati di connessione, log di query DNS e log di proxy per il traffico web in uscita.
• Log di autenticazione: dai provider di identità, VPN e servizi directory per individuare viaggi impossibili o abuso di credenziali.
• Log di audit cloud: CloudTrail, Azure Activity Logs o GCP Audit Logs per cambiamenti di privilegi e abuso di API.

Centralizza questi in un SIEM o data lake dove puoi eseguire query ad-hoc rapidamente. Se la tua retention è troppo breve, le hunting contro intrusioni storiche diventano impossibili—mira a almeno 90 giorni dove fattibile.

Tecniche Pratiche di Hunting

Stack counting (analisi di frequenza): Conta le occorrenze di un campo—nomi di processi padre, nomi di attività pianificate, nomi di servizi—nell'intero ambiente. Gli outlier (un processo eseguito su un host su diecimila) spesso indicano qualcosa che vale la pena investigare.

SELECT parent_process, COUNT(*) as cnt
FROM process_events
GROUP BY parent_process
ORDER BY cnt ASC
LIMIT 50;

Least frequency of occurrence (LFO): Simile allo stacking ma applicato a combinazioni, come coppie (user, source_ip) per l'autenticazione, per evidenziare pattern di accesso rari.

Baseline deviation: Stabilisci cosa "normale" per un host o utente (orari di login tipici, processi comuni) e contrassegna le deviazioni. Questo richiede un investimento iniziale in profiling ma ripaga per le hunting in corso.

Pivoting su IOC e TTP: Inizia da un indicatore noto (hash, dominio, IP) o tecnica (es. T1055 process injection) e cerca in tutti i log disponibili attività correlata, quindi pivot verso l'esterno da qualsiasi hit per trovare infrastruttura correlata o host interessati.

Strumenti che Vale la Pena Imparare

• Sysmon + Sigma rules: Sysmon fornisce telemetria endpoint ricca; Sigma ti offre un formato di regola portatile per rilevare e hunting attraverso piattaforme SIEM.
• Velociraptor o osquery: Per query live a livello di flotta quando devi controllare centinaia di endpoint per un artefatto specifico subito.
• Zeek: Per analisi approfondita del protocollo di rete oltre semplici NetFlow.
• MITRE ATT&CK Navigator: Per tracciare e visualizzare la copertura di hunting nel tempo.

Chiudere il Ciclo

Ogni hunt dovrebbe produrre un risultato al di là di "non ho trovato nulla." Se confermi attività malintenzionata, alimentala in incident response. Se trovi gap nella visibilità, archivialo come ticket di detection engineering. Se una tecnica di hunting si rivela preziosa, convertila in una regola di rilevamento automatizzato in modo che le istanze future attivino alert senza sforzo manuale. Questo trasforma la threat hunting in un motore di miglioramento continuo per l'intero programma di sicurezza piuttosto che un esercizio una tantum.

Mantieni un hunt log con ipotesi, query usate e risultati—questa conoscenza istituzionale si accumula nel tempo e rende l'onboarding di nuovi hunter molto più veloce.

Pronto per approfondire? Esplora i segmenti Digital Forensics e Blue Team di Korra Studio per costruire le competenze di rilevamento e investigazione che si abbinano naturalmente alla threat hunting.