Il ciclo di vita dell'IR: preparazione, identificazione, contenimento

La risposta agli incidenti (Incident Response, IR) è l'approccio organizzato per affrontare e gestire gli incidenti di sicurezza. L'obiettivo è ridurre al minimo i danni, abbreviare i tempi di ripristino e impedirne il ripetersi. È fondamentale disporre di un piano IR documentato prima che si verifichi un incidente.

Principali framework di risposta agli incidenti:

• NIST SP 800-61: Preparazione → Rilevamento/Analisi → Contenimento/Eradicazione/Ripristino → Post-incidente
• SANS PICERL: Preparazione, Identificazione, Contenimento, Eradicazione, Ripristino, Lezioni apprese
• CISA: sostanzialmente allineato con NIST

Attività di preparazione:

• Documentare la policy e le procedure di IR
• Costituire e formare il team IR (CIRT)
• Implementare strumenti di logging e rilevamento
• Stabilire canali di comunicazione e percorsi di escalation
• Svolgere esercitazioni tabletop e simulazioni
• Creare runbook per i tipi di incidente più comuni

Prepararsi prima che si verifichino gli incidenti:

• SIEM centralizzato per l'analisi dei log
• Postazione di lavoro forense con write blocker e strumenti per la creazione di immagini
• Contatti legali e delle risorse umane già identificati
• Accordo di assistenza IR con una società esterna di digital forensics
• Backup offline verificati e accessibili

L'identificazione consiste nel rilevare e confermare che si sia verificato un incidente. Fonti di rilevamento:

• Avvisi del SIEM ed eventi IDS/IPS
• Segnalazioni degli utenti ("il mio computer si comporta in modo strano")
• Feed di threat intelligence
• Rilevamento delle anomalie (orari di accesso insoliti, trasferimenti di dati anomali)
• Notifiche da terze parti (forze dell'ordine, partner)

Classificare gli incidenti in base alla gravità per stabilire le priorità della risposta:

• P1/Critico: violazione in corso, esfiltrazione di dati, ransomware
• P2/Alto: account con privilegi compromesso, malware rilevato
• P3/Medio: violazione delle policy, attività sospetta
• P4/Basso: tentativi di accesso non riusciti, configurazione errata di lieve entità

Il contenimento arresta la diffusione dei danni senza distruggere le evidenze. Esistono due tipi:

• Contenimento a breve termine: isolare i sistemi interessati (quarantena di rete)
• Contenimento a lungo termine: rimuovere gli artefatti malevoli mantenendo operative le attività

Azioni di contenimento:

• Isolamento della rete: quarantena tramite VLAN, regole di blocco del firewall
• Blocco degli account: disabilitare le credenziali compromesse
• Terminazione tramite EDR: terminare i processi malevoli mediante EDR
• DNS sinkhole: reindirizzare i domini C2 per impedire le connessioni di callback
• Preservare le evidenze PRIMA di eseguire la cancellazione

Durante gli incidenti più gravi, utilizzare una struttura di comando chiara:

• Responsabile dell'incidente — coordinamento generale
• Responsabile tecnico — indagine e risoluzione
• Responsabile delle comunicazioni — notifiche interne ed esterne
• Ufficio legale/Compliance — obblighi normativi

Una risposta agli incidenti efficace gestisce in parallelo il contenimento, l'indagine e le comunicazioni, non in sequenza. Mentre il team tecnico contiene la minaccia, l'ufficio legale prepara le notifiche e la dirigenza comunica con gli stakeholder. Il tempo è fondamentale: ogni ora in cui l'accesso non viene contenuto provoca ulteriori danni.

Documentare ogni elemento durante un incidente:

• Cronologia degli eventi con indicazione degli orari
• Tutte le azioni intraprese (chi, cosa e quando)
• Evidenze raccolte e catena di custodia
• Decisioni prese e relativa motivazione

Questa documentazione è essenziale per i procedimenti legali e per la revisione post-incidente.

Il ciclo di vita dell'IR (NIST) comprende: Preparazione, Identificazione, Contenimento, Eradicazione, Ripristino, Post-incidente. La preparazione è la fase più importante: costruire il team, predisporre gli strumenti e creare i runbook prima che si verifichino gli incidenti. L'identificazione conferma la presenza di un incidente. Il contenimento ne arresta la diffusione preservando le evidenze. Documentare ogni azione con l'indicazione dell'orario.