Difesa - NIST framework e incident response life cycle
Dal framework strategico NIST CSF 2.0 alla gestione operativa degli incidenti con SOC, SIEM e CERT: un modello completo per difendersi, rilevare e reagire in modo strutturato.
1. La difesa informatica — un approccio strutturato
La difesa moderna non è un prodotto ma un processo continuo: un approccio sistematico, misurabile e standardizzato basato su framework che definiscono cosa fare (strategia) e come rispondere (operatività).
Difendersi da attacchi informatici non significa semplicemente installare un antivirus. La difesa moderna richiede un approccio sistematico, misurabile e continuo, basato su framework standardizzati che guidano organizzazioni di qualsiasi dimensione nella gestione del rischio informatico.
NIST CSF 2.0
Framework per gestire e ridurre il rischio informatico a livello organizzativo. Definisce cosa fare per essere sicuri: Govern, Identify, Protect, Detect, Respond, Recover.
NIST SP 800-61
Guida operativa per gestire gli incidenti quando accadono. Definisce come rispondere passo per passo: Preparazione, Rilevamento, Contenimento/Eradicazione/Ripristino, Post-Incident.
All'interrogazione: se ti chiedono differenza tra CSF e 800-61, rispondi con “CSF = strategia aziendale (cosa), SP 800-61 = procedura tecnica (come)”. I docenti apprezzano l'analogia con il piano di evacuazione: il CSF dice quali uscite servono, 800-61 dice come coordinare l'evacuazione.
2. NIST Cybersecurity Framework (CSF) 2.0 — le sei funzioni
Il NIST Cybersecurity Framework è sviluppato dal National Institute of Standards and Technology ed è diventato il modello internazionale adottato da governi, Fortune 500 e PMI. La versione 2.0 (2024) introduce GOVERN come sesta funzione trasversale.
Governance
Politiche, ruoli, responsabilità, supervisione. Es: definire CISO, risk appetite, policy approvate dal board.
Identificare
Inventario asset, mappatura rischi, vulnerabilità, dipendenze critiche. Vulnerability assessment.
Proteggere
Controlli: MFA, firewall, crittografia, backup, formazione anti-phishing, hardening.
Rilevare
Monitoraggio continuo, SIEM, IDS/IPS, analisi anomalie comportamentale.
Rispondere
Contenimento, eradicazione, comunicazione, escalation CERT.
Ripristinare
Restore da backup, test, post-mortem, miglioramento resilienza.
Una scuola applica IDENTIFY facendo inventario di PC, LIM e registro elettronico. PROTECT attiva MFA su registro e backup giornaliero. DETECT usa log di firewall scolastico. Se un ransomware colpisce, RESPOND isola il PC e RECOVER ripristina da backup. GOVERN è il Dirigente che approva la policy “niente chiavette USB non verificate”.
3. Incident Response Life Cycle — NIST SP 800-61
Incident Response Life Cycle: ciclo di 4 fasi — 1 Preparazione, 2 Rilevamento & Analisi, 3 Contenimento-Eradicazione-Ripristino, 4 Post-Incident Activity — pensato per ridurre impatto e costo (IBM: 4,45M$ costo medio breach, -54% con IR plan testato).
Fase 1 — Preparazione
Cosa si fa prima
Governance, IR Team con ruoli chiari, formazione e simulazioni, backup e piani di continuità, logging e monitoraggio.
Strumenti pronti
Firewall, IDS/IPS, EDR, SIEM con regole, runbook/playbook, lista contatti emergenza CERT/fornitori, policy documentate.
Un'organizzazione preparata risponde in ore, una non preparata in giorni. L'obiettivo è ridurre tempo di risposta e limitare i danni.
Fase 2 — Rilevamento e Analisi
La sfida è distinguere falsi positivi da eventi pericolosi. Richiede esperienza + buoni strumenti.
Da dove arriva l'alert
SIEM, log sistema/rete, segnalazioni utenti, IDS, avvisi CERT, threat intelligence feed.
Cosa fa l'analista
Verifica autenticità, classifica per gravità, valuta impatto CIA (Confidentiality, Integrity, Availability), preserva evidenze, ricostruisce timeline.
Un SIEM ben configurato genera centinaia di alert al giorno, 90-95% falsi positivi. La capacità di triage — identificare i veri positivi — è la competenza più preziosa di un analista SOC. Il SIEM non decide: fornisce dati al SOC che li interpreta.
Fase 3 — Contenimento, Eradicazione, Ripristino
Limitare propagazione
Isolamento sistemi compromessi, blocco account sospetti, filtro traffico, contenimento breve/lungo termine.
Rimuovere causa
Eliminazione malware, patch, correzione misconfig, reset credenziali compromesse. Verifica completa.
Tornare operativi
Restore da backup verificati, monitoraggio rafforzato, riattivazione progressiva, test funzionamento.
Non basta rimuovere il malware: occorre eliminare la vulnerabilità che ha permesso l'attacco, altrimenti lo stesso attaccante (o altro) rientra. Chiediti sempre “qual è la root cause?”
Fase 4 — Post-Incident Activity
È la fase più trascurata ma più strategica: trasforma ogni attacco in miglioramento permanente.
- Documentazione dettagliata timeline, azioni, decisioni
- Root cause analysis
- Valutazione efficacia risposta
- Aggiornamento policy e playbook
4. SOC, SIEM e CERT — l'ossatura della difesa moderna
SOC = persone + processi (chi risponde 24/7). SIEM = tecnologia (tool che centralizza e correla log). CERT = team specialistico on-demand per incidenti gravi, scala aziendale/nazionale/internazionale.
Security Operations Center
Struttura operativa 24/7. Monitoraggio, analisi alert, triage, prima risposta, coordinamento IR, reportistica. Punto di contatto tra tecnologia, persone e processi.
Security Information and Event Management
Piattaforma software: raccolta log centralizzata, correlazione real-time, alert automatici, supporto forense, compliance.
Computer Emergency Response Team
Team avanzato: analisi malware, supporto crisi, coordinamento con esterni, bollettini sicurezza, gestione crisi larga scala. Interviene mirato, solo rilevante/complesso.
Confronto SOC vs SIEM vs CERT
| Aspetto | SOC | SIEM | CERT |
|---|---|---|---|
| Natura | Struttura organizzativa (persone + processi) | Piattaforma tecnologica software | Team specialistico risposta avanzata |
| Operatività | Continua — 24/7/365 | Automatica — real-time | On-demand — incidenti gravi |
| Decisioni | Sì — analizza e risponde | No — fornisce dati al SOC | Sì — scenari complessi |
| Scala | Aziendale | Aziendale | Aziendale, nazionale (CERT-AGID), internazionale |
Chi fa cosa — per fase NIST
| Fase NIST | SOC | SIEM | CERT |
|---|---|---|---|
| 1 — Preparazione | Definisce procedure e runbook | Configura regole correlazione e baseline | Redige linee guida e best practice |
| 2 — Rilevamento | Analizza eventi, valuta gravità | Rileva anomalie, genera alert real-time | Supporta analisi minacce avanzate |
| 3 — Risposta | Isola sistemi, coordina risposta | Monitora evoluzione incidente | Supporto specialistico, analisi malware |
| 4 — Post-Incident | Redige report | Conserva log per forense | Analisi cause, propone miglioramenti strategici |
Confondere SOC con SIEM: dire “il SIEM isola il PC” è sbagliato. Il SIEM segnala, il SOC decide e agisce. Altro errore: pensare che CERT sia sempre interno — esiste CERT aziendale ma anche nazionale come CERT-AGID e CSIRT Italia.
5. Scenario reale — attacco ransomware in azienda manifatturiera
Applichiamo il modello NIST a un caso concreto, tracciando chi fa cosa.
Mostra il valore di ogni attore: senza SIEM non c'è rilevamento, senza SOC non c'è triage rapido, senza CERT non c'è analisi malware profonda. Mostra anche il fallimento di preparazione: alert presente 48h ma senza notifica prioritaria — tipico errore che rende la fase 4 fondamentale.
6. Verifica / Esercizio pratico
🔬 Attività — Simula l'Incident Response
Un'azienda riceve alert SIEM: “Tentativo di login fallito ripetuto su account admin, seguito da login riuscito alle 03:00 da IP estero”. Applica le 4 fasi NIST.
- Quale funzione NIST CSF 2.0 è stata violata prima dell'alert? (Hint: GOVERN/PROTECT) — Cosa avresti dovuto avere in fase di Preparazione?
- In fase Detection & Analysis: classifica gravità, impatto CIA, e quali evidenze preservare.
- Indica 3 azioni di contenimento, 2 di eradicazione, 2 di ripristino. Chi fa cosa tra SOC/SIEM/CERT?
- Redigi 5 bullet per il post-mortem: root cause, cosa è andato bene, cosa migliorare, nuove regole SIEM, formazione.
1: Funzione PROTECT violata (mancanza MFA su admin) + GOVERN (policy login orari anomali). In preparazione: MFA obbligatorio, alert geolocazione, blocco account dopo 5 tentativi, baseline orari.
2: Gravità alta, Confidentiality e Integrity a rischio (admin compromesso). Evidenze: log auth, log VPN/firewall, timeline accessi, dump memoria se beacon.
3: Contenimento: SOC disabilita account admin, blocca IP estero, isola sistema admin. Eradicazione: reset password admin + KRBTGT se AD, patch. Ripristino: monitor rafforzato, restore sessioni, verifica backdoor. SIEM monitora, CERT analizza se lateral movement.
4: Post-mortem: root cause assenza MFA + policy oraria. Bene: rilevamento SIEM funzionante. Migliorare: notifica immediata, playbook admin compromise. Nuove regole: alert login 03:00, impossible travel, brute-force. Formazione: admin su credenziali privilegiate.
7. Riepilogo e concetti chiave
📚 Prossimo passo - Introduzione alla crittografia: storia e classificazione
Ora che sai come difendere e reagire, scoprirai come proteggere i dati alla radice con la crittografia: da Cesare a AES, cifrari simmetrici vs asimmetrici, hash e firma digitale — le basi per PROTECT del CSF.