Scrivere un rapporto sugli incidenti

Un report di incidente documenta cosa è accaduto, l'impatto, la risposta adottata e le raccomandazioni. È destinato a interlocutori legali, normativi, manageriali e tecnici. Un report ben scritto dimostra competenza e favorisce l'apprendimento dell'organizzazione.

Sezioni standard di un report di incidente:

1. Riepilogo esecutivo
2. Cronologia degli eventi
3. Analisi tecnica
4. Valutazione dell'impatto
5. Azioni di risposta intraprese
6. Analisi della causa principale
7. Raccomandazioni
8. Appendici (evidenze, IOC)

Il riepilogo esecutivo è scritto per i responsabili non tecnici. In 1-2 paragrafi dovrebbe rispondere alle seguenti domande:

• Che cosa è accaduto e quando?
• Che cosa è stato coinvolto?
• Che cosa è stato fatto per gestire la situazione?
• Qual è lo stato attuale?

Eviti il gergo. Quantifichi l'impatto (X record, Y ore di inattività, costo pari a $Z).

La cronologia è la base fattuale del report. Includa:

• Timestamp (UTC, specifichi il fuso orario)
• Che cosa è accaduto (fatto osservabile)
• Fonte delle informazioni (riferimento al log, strumento, testimone)

Tenga separati i fatti dall'interpretazione. Esempio: "14:32 UTC — Avviso IDS attivato sull'host 10.0.1.5 (rif.: ID evento SIEM 8842)"

La sezione tecnica documenta le TTP dell'attaccante:

• Metodo di accesso iniziale (phishing, exploit, furto di credenziali)
• Strumenti e malware utilizzati (con gli hash)
• Fasi del movimento laterale
• Dati a cui è stato effettuato l'accesso o che sono stati esfiltrati
• Meccanismi di persistenza installati

Mappi le informazioni sul framework MITRE ATT&CK per una comunicazione standardizzata.

Quantifichi l'impatto in base alla triade CIA:

• Confidentiality: a quali dati è stato effettuato l'accesso o quali dati sono stati sottratti? Dati personali, proprietà intellettuale, dati finanziari?
• Integrity: sono stati modificati dei dati?
• Availability: qual è stata la durata dell'inattività?
• Finanziario: costi diretti, sanzioni normative, abbandono da parte dei clienti
• Reputazionale: divulgazione pubblica, copertura mediatica

Includa tutti gli Indicatori di compromissione per l'utilizzo a fini difensivi:

La causa principale dovrebbe essere specifica: "L'attaccante ha ottenuto l'accesso iniziale tramite un'e-mail di phishing che ha aggirato i filtri di posta elettronica a causa dell'assenza di applicazione di DMARC sul dominio della vittima." Le raccomandazioni dovrebbero essere concrete, prioritarie e assegnate a responsabili con scadenze.

Molti incidenti comportano l'obbligo di notifica:

• GDPR: notificare l'autorità di controllo entro 72 ore dal momento in cui si viene a conoscenza della violazione
• HIPAA: notificare l'HHS entro 60 giorni (e le persone interessate entro 60 giorni)
• PCI-DSS: notificare i circuiti delle carte entro 24 ore dal sospetto di compromissione

Classifichi il report in modo appropriato: contiene informazioni sensibili sulle vulnerabilità e sulle TTP degli attaccanti. Lo distribuisca in base al principio del need-to-know. Il consulente legale dovrebbe esaminarlo prima di qualsiasi distribuzione esterna. Le copie interne dovrebbero prevedere la registrazione degli accessi.

Le raccomandazioni del report devono essere monitorate fino al completamento. Assegni a ogni raccomandazione un responsabile, una scadenza e una priorità. Monitori lo stato nel sistema di gestione delle issue. Riesamini la situazione dopo 30, 60 e 90 giorni. Le raccomandazioni non attuate diventano una responsabilità legale in caso di incidenti futuri.

Su che cosa dovrebbe concentrarsi principalmente il riepilogo esecutivo di un report di incidente?

Un report di incidente documenta che cosa è accaduto (cronologia), come è accaduto (analisi tecnica), l'impatto (triade CIA), che cosa è stato fatto (azioni di risposta) e che cosa deve essere corretto (raccomandazioni). Il riepilogo esecutivo è non tecnico. Gli IOC vengono documentati per il riutilizzo a fini difensivi. È necessario rispettare le tempistiche per le notifiche alle autorità di regolamentazione. Per essere attuabili, le raccomandazioni devono avere responsabili e scadenze assegnati.