Eradicazione, ripristino e lezioni apprese

L'eradicazione rimuove la minaccia da tutti i sistemi interessati. Dopo che il contenimento ha confermato l'ambito dell'incidente, l'eradicazione garantisce che non rimangano meccanismi di persistenza: malware, backdoor, credenziali compromesse o account non autorizzati.

Un'eradicazione completa include:

• Rimuovere tutto il malware e gli impianti identificati durante l'indagine
• Eliminare gli account utente non autorizzati e le chiavi SSH aggiunte dall'attaccante
• Rimuovere i processi cron, le chiavi run del registro e le attività pianificate aggiunti dall'attaccante
• Applicare la patch alla vulnerabilità che ha consentito l'accesso iniziale
• Reimpostare tutte le credenziali compromesse
• Ricostruire i sistemi gravemente compromessi a partire da immagini note come integre

Per i sistemi gravemente compromessi, ricostruirli a partire da un'immagine pulita è più affidabile che tentare di rimuovere tutti gli artefatti del malware. I rootkit e gli impianti persistenti possono sopravvivere ai tentativi di pulizia. Il rischio di non individuare qualcosa è troppo elevato per i sistemi critici.

Dopo la pulizia, verificare:

• Eseguire una nuova scansione con più strumenti AV/EDR
• Esaminare i meccanismi di persistenza (autorun, cron, servizi)
• Controllare la presenza di nuovi account utente o chiavi SSH
• Monitorare il traffico di rete alla ricerca di callback C2
• Eseguire controlli di integrità sui binari critici

Il ripristino riporta i sistemi alle normali operazioni in sicurezza. Affrettare il ripristino senza aver confermato l'eradicazione rischia di causare una reinfezione. Attività principali:

• Ripristinare, ove necessario, backup verificati e puliti
• Riportare gradualmente i sistemi online con un monitoraggio rafforzato
• Verificare l'integrità e il corretto funzionamento dei sistemi
• Monitorare la presenza di segnali di ritorno dell'attaccante

Ripristinare dai backup:

• Verificare l'integrità dei backup (confronto degli hash)
• Ripristinare in un ambiente pulito, non nello stesso ambiente compromesso
• Testare i sistemi ripristinati prima di riportarli in produzione
• In caso di ransomware: assicurarsi che il malware sia stato rimosso prima di ripristinare i file

Dopo il ripristino, aumentare l'intensità del monitoraggio:

• Logging rafforzato sui sistemi ripristinati per almeno 30 giorni
• Generare un avviso per qualsiasi attività corrispondente alle TTP dell'attaccante
• Esaminare i flussi di rete alla ricerca di connessioni insolite
• Convalidare nuovamente i controlli di accesso e le autorizzazioni

La revisione post-incidente (lezioni apprese) dovrebbe svolgersi entro una o due settimane. Partecipanti: team IR, responsabili dei sistemi interessati, dirigenza. Obiettivo: comprendere la causa principale, migliorare le difese e aggiornare le procedure.

La RCA si chiede: perché è successo?

• Qual è stato il vettore d'attacco iniziale?
• Quali controlli hanno fallito o mancavano?
• Per quanto tempo l'attaccante è rimasto presente prima del rilevamento?
• In che modo l'attaccante si è spostato lateralmente?
• Quali dati sono stati consultati o esfiltrati?

Principali metriche IR da monitorare:

• MTTD — tempo medio di rilevamento
• MTTR — tempo medio di risposta/ripristino
• MTTC — tempo medio di contenimento
• Numero di sistemi interessati
• Ambito dell'esposizione dei dati

Risultati delle lezioni apprese:

• Aggiornare i playbook IR con le nuove TTP osservate
• Implementare le funzionalità di rilevamento mancanti
• Applicare le patch alle vulnerabilità individuate
• Programmare la formazione sulle lacune identificate
• Aggiornare i modelli di comunicazione

Perché spesso è preferibile ricostruire un sistema gravemente compromesso a partire da un'immagine pulita invece di tentare di ripulirlo?

L'eradicazione rimuove tutti gli artefatti dell'attaccante: malware, backdoor, account non autorizzati e persistenza C2. Per i sistemi gravemente compromessi, è preferibile ricostruire il sistema anziché ripulirlo. Il ripristino riporta in funzione i sistemi a partire da backup puliti e verificati, con un monitoraggio rafforzato. La revisione post-incidente individua la causa principale, misura MTTD/MTTR e migliora la risposta futura mediante playbook aggiornati e nuovi sistemi di rilevamento.