Colmare le lacune di rilevamento e definire le metriche

Il purple teaming genera dati dettagliati, ma senza metriche restano solo aneddoti. Le metriche trasformano gli esercizi in una dimostrazione documentabile del miglioramento, utile alla dirigenza e ai responsabili del budget.

• Mostrano se le difese stanno davvero migliorando
• Aiutano a stabilire dove investire le limitate risorse di engineering
• Rendono concreta e monitorabile l'astratta «postura di sicurezza»

L'obiettivo non è ottenere un punteggio elevato fine a sé stesso, ma conseguire un miglioramento misurabile e costante contro minacce rilevanti.

La metrica principale è la copertura del rilevamento: la quota di tecniche testate che hanno generato un alert.

La calcoli per tattica e complessivamente:

Le percentuali di copertura possono essere fuorvianti. Contare soltanto le tecniche che si è scelto di testare gonfia il dato, mentre considerare «coperta» una regola fragile sovrastima l'effettiva capacità di difesa.

• La copertura deve essere misurata rispetto a un insieme di tecniche rilevanti per la minaccia, non a un insieme scelto ad hoc
• Un risultato «rilevato» deve provenire da una regola robusta basata sul comportamento
• Gli esiti con sola registrazione non costituiscono copertura, ma solo una copertura potenziale

Abbini sempre la percentuale al denominatore: «l'80% delle tecniche di FIN7» comunica molto più di un semplice «80%».

La velocità è importante quanto la visibilità. Due metriche temporali descrivono la capacità di risposta delle difese:

• MTTD — Mean Time To Detect: dal timestamp dell'azione al timestamp dell'alert
• MTTR — Mean Time To Respond: dall'alert all'azione di contenimento

Poiché il purple teaming registra il momento esatto in cui viene eseguita ogni tecnica, è possibile misurare questi valori con precisione invece di stimarli a partire da dati disordinati sugli incidenti.

Non tutte le lacune richiedono la stessa urgenza. Classifichi le lacune in base al rischio, combinando la probabilità che la tecnica venga utilizzata con i danni che potrebbe causare.

• Probabilità elevata + impatto elevato (ad es. dumping di LSASS) = correggere per primo
• Probabilità bassa + impatto basso = backlog
• Consideri se la tecnica compare nelle informazioni sulle minacce

Un semplice punteggio ottenuto moltiplicando probabilità e impatto produce un elenco ordinato degli interventi correttivi e concentra gli sforzi dove riducono maggiormente il rischio reale.

Prima di scrivere una regola, analizzi perché esiste la lacuna. La correzione varia in base alla causa principale:

• Nessuna telemetria — abiliti l'origine dati mancante (ad es. configurazione di Sysmon, registrazione dei blocchi di script)
• Telemetria ma nessuna regola — scriva un rilevamento
• La regola esiste ma non è scattata — corregga la logica o il filtro che l'ha soppressa
• L'alert è scattato ma è stato ignorato — è un problema di processo/triage, non una lacuna nei contenuti

Correggere un errore logico è uno spreco di energie se il log sottostante non è mai stato raccolto.

La lacuna più fondamentale riguarda l'assenza di dati. Ad esempio, la registrazione dei blocchi di script di PowerShell viene abilitata tramite Group Policy o il registro per rendere disponibile l'Event ID 4104.

Una volta disponibile la telemetria, scriva il rilevamento e lo ottimizzi per ottenere un segnale utile. Le regole non ottimizzate sommergono gli analisti di falsi positivi e finiscono per essere ignorate.

• Inizi con un ambito ampio per verificare che l'artefatto compaia
• Aggiunga esclusioni per le attività note e legittime di base
• Misuri il tasso di falsi positivi rispetto al traffico normale
• Esegua nuovamente l'emulazione per verificare che l'attacco venga ancora rilevato

Un rilevamento è «completo» solo quando scatta in modo affidabile durante l'attacco e rimane inattivo in presenza di attività legittime.

I numeri di un singolo esercizio sono una fotografia; le tendenze raccontano la storia vera. Monitori la copertura e l'MTTD trimestre dopo trimestre.

• Q1: copertura del 45%, MTTD di 22 min
• Q2: copertura del 62%, MTTD di 14 min
• Q3: copertura del 71%, MTTD di 9 min

Una tendenza in miglioramento dimostra che il purple teaming sta producendo risultati. Una tendenza stabile o in calo segnala un degrado del rilevamento o il mancato recepimento delle correzioni.

I rilevamenti smettono di funzionare senza segnalarlo quando gli ambienti cambiano. Li tratti come codice e verifichi la presenza di regressioni.

• Esegua nuovamente, a ogni ciclo, le tecniche che in precedenza avevano avuto esito positivo
• Automatizzi la convalida continua, in modo che i rilevamenti non funzionanti generino un alert
• Gestisca con il controllo versione i contenuti dei rilevamenti e riveda le modifiche

Un rilevamento che ha smesso di scattare senza che nessuno se ne accorga è probabilmente peggiore di un rilevamento mai esistito, perché il team crede di essere coperto quando non lo è.

Adatti il reporting al pubblico. Gli ingegneri hanno bisogno di dettagli a livello di tecnica; la leadership ha bisogno di risultati e informazioni sul rischio.

• Per gli ingegneri: risultati per tecnica, regole create, note sull'ottimizzazione
• Per la leadership: tendenza della copertura, tendenza dell'MTTD, principali rischi risolti e ancora presenti
• Visuale: una heatmap di ATT&CK Navigator che mostri i progressi nel tempo

Presentare i risultati come riduzione del rischio, anziché come semplici dati tecnici, è ciò che consente di mantenere il sostegno e i finanziamenti al programma.

Ora è in grado di misurare e migliorare rigorosamente la copertura del rilevamento:

• Utilizzi copertura, MTTD e MTTR come metriche fondamentali, sempre insieme al relativo denominatore
• Eviti le illusioni della copertura dovute a rilevamenti scelti ad hoc o fragili
• Analizzi la causa principale di ogni lacuna prima di correggerla: telemetria, regola, logica o triage
• Abiliti i dati mancanti, quindi ottimizzi le regole per ridurre i falsi positivi
• Monitori le tendenze e prevenga le regressioni del rilevamento non visibili
• Riferisca la riduzione del rischio, utilizzando heatmap ATT&CK per sostenere il programma

Ha completato il corso di Purple Teaming: collegare i team red e blue in un ciclo continuo e misurabile che rende dimostrabilmente migliori le difese.