Contenimento, eradicazione e ripristino

Una volta confermato e definito l'ambito di un incidente, la risposta attraversa tre fasi consecutive: contenimento (impedire che il danno si diffonda), eradicazione (rimuovere dall'ambiente tutti i punti di accesso dell'aggressore) e ripristino (riportare i sistemi al normale funzionamento e verificarne l'integrità). Ogni fase ha obiettivi e criteri di verifica distinti. Passare al ripristino prima di aver completato l'eradicazione è un errore comune che porta a una reinfezione causata dai meccanismi di persistenza dell'aggressore ancora presenti.

Il contenimento avviene in due fasi. Il contenimento a breve termine garantisce una stabilizzazione immediata — isolando dalla rete i sistemi interessati, bloccando gli indirizzi IP dell'aggressore sul firewall e disabilitando gli account compromessi — per fermare il danno in corso. Il contenimento a lungo termine implementa controlli più duraturi che consentono all'organizzazione di continuare a operare mentre procedono l'indagine e l'eradicazione — ad esempio, segmentando la zona di rete compromessa invece di portarla completamente offline.

Un principio fondamentale: conservi le prove prima di procedere alla bonifica. Gli analisti devono acquisire i dati volatili (dump della memoria, processi in esecuzione, connessioni di rete attive) e immagini forensi dei dischi PRIMA di intraprendere qualsiasi azione che possa alterare lo stato del sistema. Riavviare un sistema, eseguire strumenti di rimozione del malware o ricreare l'immagine senza acquisire le prove distrugge il reperto forense necessario per comprendere la sequenza temporale dell'attacco e può anche distruggere le prove legali necessarie per perseguire gli aggressori o soddisfare gli obblighi di notifica previsti dalla normativa.

L'eradicazione rimuove ogni presenza dell'aggressore dall'ambiente. È un'operazione più complessa della semplice eliminazione dei file malware. Gli aggressori persistenti stabiliscono più punti di accesso: attività pianificate, chiavi Run del Registro di sistema, nuovi account utente, web shell sui server, firmware modificato e consensi fraudolenti ad app OAuth. Una checklist completa per l'eradicazione deve riguardare ogni tecnica utilizzata dall'aggressore sulla base delle prove raccolte durante la fase d'indagine. Un'eradicazione incompleta porta alla reinfezione, spesso entro poche ore dal ritorno dei sistemi in produzione.

Per gli endpoint compromessi da malware sofisticati o rootkit, la ricreazione dell'immagine (cancellazione e reinstallazione a partire da un'immagine sicuramente pulita) è spesso preferibile al tentativo di pulire il sistema infetto. I rootkit possono nascondersi in posizioni che l'antivirus non è in grado di raggiungere e i malware sofisticati possono aver modificato i binari di sistema, rendendone difficile l'identificazione e il ripristino. La scelta tra pulizia e ricreazione dell'immagine dipende da: sofisticazione del malware, sensibilità dei dati presenti nel sistema e disponibilità di immagini sicuramente pulite per una rapida ridistribuzione.

L'eradicazione deve includere la chiusura della vulnerabilità utilizzata per l'accesso iniziale; in caso contrario, lo stesso aggressore, o un altro, può rientrare dalla stessa porta. Tra le vulnerabilità comuni per l'accesso iniziale figurano: CVE di software non aggiornato sfruttate tramite servizi esposti a Internet, MFA debole o assente sui sistemi di accesso remoto (VPN, RDP), phishing (che richiede formazione sulla consapevolezza della sicurezza e miglioramenti al filtraggio delle e-mail) e compromissione della catena di approvvigionamento (che richiede una verifica della sicurezza dei fornitori). Applichi le patch e rafforzi i sistemi prima di riportarli in produzione.

Il ripristino riporta i sistemi interessati al normale funzionamento a partire da uno stato noto come integro. Le fasi di ripristino includono: ripristinare da backup puliti (verificando l'integrità del backup prima del ripristino), ricreare i sistemi a partire da immagini golden, riconfigurare i controlli di rete (rimuovendo le restrizioni temporanee di contenimento), riabilitare gli account disabilitati (reimpostando le password) e riportare gradualmente i sistemi in produzione invece di farlo per tutti contemporaneamente. Il ritorno graduale dei sistemi consente di monitorare i segnali di reinfezione durante ogni fase.

Il ransomware prende di mira specificamente i sistemi di backup per impedire il ripristino senza pagare il riscatto. Una difesa efficace dei backup richiede: backup fuori sede non connessi alla rete principale, backup immutabili (Object Lock, archiviazione WORM) che non possano essere cifrati o eliminati, backup air-gapped per i sistemi critici e procedure di ripristino testate. L'integrità dei backup deve essere verificata regolarmente: un backup che non può essere ripristinato non è un backup. Le organizzazioni devono conoscere la data dell'ultimo backup pulito per determinare il punto di ripristino.

Dopo l'eradicazione e il ripristino, il monitoraggio potenziato deve continuare per un periodo prolungato, in genere 30-90 giorni. Alcuni aggressori sofisticati installano backdoor secondarie che si attivano dopo che il loro accesso principale è stato rilevato e rimosso. Il monitoraggio potenziato include: maggiore sensibilità degli avvisi SIEM per gli IoC noti dell'aggressore, monitoraggio delle query DNS verso domini simili all'infrastruttura dell'aggressore, controllo delle comunicazioni con qualsiasi indirizzo IP osservato durante l'incidente e attivazione di avvisi per qualsiasi attività proveniente da account creati di recente.

La gestione delle comunicazioni durante un incidente è importante quanto la risposta tecnica. Le comunicazioni interne mantengono l'organizzazione allineata e impediscono il diffondersi di voci. Le comunicazioni esterne rivolte a clienti, partner, autorità di regolamentazione e potenzialmente ai media devono essere controllate con attenzione: divulgazioni premature, inesatte o problematiche dal punto di vista legale creano ulteriori responsabilità. Tutte le comunicazioni esterne devono essere esaminate da un consulente legale prima della diffusione. Le notifiche alle autorità di regolamentazione (il requisito di 72 ore del GDPR, quello di 60 giorni dell'HIPAA) hanno scadenze rigide che decorrono dalla data della scoperta, non dalla data della conferma.

Un incidente non si considera concluso quando passa la crisi immediata: è concluso quando sono soddisfatti tutti i criteri di verifica: tutti i punti di accesso noti dell'aggressore sono stati rimossi e verificati, la vulnerabilità utilizzata per l'accesso iniziale è stata corretta, tutti i sistemi interessati sono stati ripristinati e verificati come puliti, il monitoraggio potenziato è attivo, le notifiche obbligatorie alle autorità di regolamentazione sono state inviate e una revisione post-incidente è stata programmata. La chiusura prematura dell'incidente è un errore comune che consente alla persistenza di basso livello dell'aggressore di trasformarsi in un secondo incidente.

In questa lezione ha imparato che: il contenimento blocca il danno in corso tramite isolamento, blocchi sul firewall e disabilitazione degli account, l'eradicazione richiede la rimozione di TUTTI i punti di accesso dell'aggressore, inclusi i meccanismi di persistenza, non solo dei file malware e il ripristino deve utilizzare backup precedenti alla data della compromissione e includere un monitoraggio potenziato per oltre 30 giorni. Nel prossimo modulo esamineremo la revisione post-incidente e le lezioni apprese.