Preparazione: piani IR, playbook e team

Il ciclo di vita della risposta agli incidenti di NIST comprende quattro fasi: preparazione, rilevamento e analisi, contenimento/eradicazione/ripristino e attività post-incidente. La preparazione è la fase più importante: tutto ciò che un'organizzazione fa prima di un incidente determina l'efficacia della risposta. Le organizzazioni che investono nella preparazione individuano le violazioni più rapidamente, le contengono più velocemente e sostengono costi di ripristino notevolmente inferiori. La differenza media dei costi tra una preparazione alla risposta agli incidenti elevata e una ridotta ammonta a milioni di dollari per incidente.

Un piano di risposta agli incidenti (IRP) è il documento di riferimento che definisce l'approccio dell'organizzazione alla gestione degli incidenti di sicurezza. Un IRP completo include: obiettivi e ambito, ruoli del team e informazioni di contatto, definizioni di ciò che costituisce un incidente, criteri di classificazione della gravità, procedure di escalation, modelli di comunicazione, requisiti legali e normativi per le notifiche e riferimenti ai playbook tecnici. L'IRP deve essere approvato dai vertici aziendali e riesaminato almeno una volta all'anno.

Il CSIRT è il team responsabile dell'esecuzione dell'IRP. I ruoli principali includono: Responsabile dell'incidente (coordinamento generale e processo decisionale), Analisti della sicurezza (indagine tecnica e raccolta delle prove), Responsabile delle comunicazioni (messaggi rivolti a stakeholder, clienti e media), Consulente legale (conformità normativa e rapporti con le forze dell'ordine) e Sponsor esecutivo (autorizzazione delle azioni di remediation significative). Ruoli ben definiti evitano la confusione e garantiscono che nessuna attività critica venga trascurata.

La classificazione della gravità determina l'urgenza della risposta, il percorso di escalation e i requisiti di notifica. Un modello tipico a quattro livelli: P1/Critico — violazione attiva con esfiltrazione di dati o impatto significativo sull'attività aziendale; richiede una risposta immediata 24 ore su 24, 7 giorni su 7; P2/Alto — compromissione confermata senza perdita di dati confermata; P3/Medio — attività sospetta in fase di analisi; P4/Basso — violazioni delle policy o anomalie di lieve entità. Gli errori di classificazione — ad esempio trattare un P1 come un P3 — consentono alle violazioni di estendersi mentre la risposta viene ritardata.

Mentre l'IRP fornisce l'indirizzo strategico, i playbook forniscono procedure tattiche, dettagliate passo per passo, per rispondere a specifici tipi di incidente. Un playbook per il ransomware potrebbe specificare: isolare i sistemi interessati (passo 1), acquisire le immagini forensi prima di qualsiasi attività di pulizia (passo 2), verificare se la variante è nota e se esistono strumenti di decrittazione (passo 3), informare il team dirigenziale (passo 4), coinvolgere un'azienda esterna di risposta agli incidenti (passo 5). I playbook riducono il carico cognitivo durante gli incidenti ad alta tensione, quando chi interviene potrebbe altrimenti saltare passaggi critici.

La preparazione tecnica include l'implementazione e la configurazione degli strumenti di cui chi interviene avrà bisogno durante un incidente. Kit di strumenti essenziali per la risposta agli incidenti: SIEM per l'aggregazione e la correlazione dei log, EDR per la visibilità sugli endpoint e il contenimento, strumenti per l'imaging forense (FTK, dd, Magnet AXIOM), acquisizione della memoria (Magnet RAM Capture, WinPmem), acquisizione dei pacchetti di rete (Wireshark, Zeek) e canali di comunicazione out-of-band (nel caso in cui l'e-mail principale venga compromessa durante l'incidente).

Molte organizzazioni stipulano contratti di assistenza con aziende specializzate nella risposta agli incidenti (Mandiant, CrowdStrike, Palo Alto Unit 42). Un contratto di assistenza garantisce una risposta prioritaria quando si verifica un incidente, con tariffe negoziate in anticipo e SLA definiti (ad esempio, un operatore sul posto entro 4 ore dalla notifica). Senza un contratto di assistenza, il coinvolgimento di un'azienda di risposta agli incidenti durante una violazione grave può richiedere giorni e comportare tariffe maggiorate. Le aziende con cui si stipulano questi contratti forniscono anche la facilitazione di esercitazioni tabletop, il threat hunting e valutazioni pre-violazione.

Le esercitazioni tabletop simulano scenari di incidente attraverso una discussione in sala riunioni, senza intervenire sui sistemi di produzione. I partecipanti analizzano uno scenario in evoluzione — un attacco ransomware, un'e-mail fraudolenta apparentemente inviata dal CEO, una compromissione delle credenziali — e discutono cosa farebbero a ogni punto decisionale. Le esercitazioni tabletop evidenziano lacune nei playbook, responsabilità di ruolo poco chiare e assunzioni non verificate prima che un incidente reale le porti alla luce. Dovrebbero essere svolte ogni trimestre per il CSIRT e una volta all'anno per i dirigenti.

La comunicazione relativa agli incidenti deve essere pianificata in anticipo. Gli aspetti principali da considerare sono: le tempistiche per le notifiche normative (il GDPR richiede la notifica di una violazione entro 72 ore, l'HIPAA entro 60 giorni, mentre le leggi statali sulle violazioni variano), i modelli di notifica ai clienti, i criteri per informare le forze dell'ordine (l'FBI per il ransomware, i Secret Service per le frodi finanziarie), i messaggi per le relazioni pubbliche e le comunicazioni interne ai dipendenti. È fondamentale che durante un incidente le comunicazioni utilizzino canali out-of-band: l'attaccante potrebbe monitorare l'e-mail aziendale.

La preparazione include la definizione di procedure per la raccolta delle prove che ne preservino l'ammissibilità legale. Requisiti principali: documentare l'ordine di volatilità, utilizzare write blocker per l'imaging dei dischi, registrare gli hash crittografici di tutte le prove (SHA-256) e documentare la catena di custodia dalla raccolta alla conservazione. Le prove che non possono essere autenticate — perché le procedure non sono state seguite — potrebbero non essere ammesse nei procedimenti giudiziari contro gli attaccanti o i dipendenti.

Durante le violazioni, le organizzazioni prive di una preparazione matura alla risposta agli incidenti commettono regolarmente errori costosi: gli operatori ricreano l'immagine dei sistemi prima di acquisire le prove forensi (impedendo di capire cosa sia successo), comunicano attraverso canali compromessi (mettendo in allerta gli attaccanti), effettuano l'escalation troppo lentamente perché la classificazione della gravità non è chiara, non hanno l'autorità per prendere decisioni di contenimento (e devono attendere ore per le approvazioni) e non riescono a identificare i sistemi interessati perché l'inventario degli asset è incompleto. Ognuno di questi errori può essere evitato con una preparazione adeguata.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) presentati in questa lezione.

In questa lezione ha appreso che: l'IRP è il documento di riferimento che definisce ruoli, classificazioni della gravità e procedure di comunicazione, i playbook forniscono indicazioni tattiche passo per passo per specifici tipi di incidente e le esercitazioni tabletop e i contratti di assistenza preparano i team a rispondere efficacemente prima che si verifichi un incidente reale. Ora esamineremo il rilevamento e l'analisi: come identificare gli incidenti reali.