Quando la Torre di Guardia Fallisce: Breaches di Più Giorni Mancate da MDR

Il panorama della cybersecurity è sempre più definito dalla velocità e dalla furtività. Tuttavia, è emerso un modello inquietante: violazioni che rimangono non rilevate per più giorni, anche con servizi Managed Detection and Response (MDR) in atto. Non si tratta solo di un singolo avviso mancato; è un guasto sistemico in cui gli indicatori critici di minaccia si perdono nel rumore, portando a compromissioni prolungate e danni amplificati.

Cosa è successo

Le organizzazioni, nonostante investimenti significativi nelle tecnologie di rilevamento, stanno subendo violazioni di più giorni in cui l'attività iniziale di compromissione viene completamente ignorata dai loro fornitori MDR. Questa svista consente agli attaccanti di stabilire la persistenza, esfiltrare dati e muoversi lateralmente attraverso le reti prima che venga lanciato qualsiasi allarme. Il problema principale spesso deriva da un volume schiacciante di avvisi che anche i team esperti faticano a gestire in modo efficace.

Alcune osservazioni evidenziano casi in cui l'attività di violazione viene rilevata e interrotta, anche quando altre soluzioni di sicurezza potrebbero non averla identificata. Questo sottolinea la dipendenza da servizi di rilevamento avanzati per cogliere ciò che altri strumenti non fanno, rendendo qualsiasi fallimento in tal senso particolarmente critico. L'obiettivo di tali fornitori è garantire un monitoraggio continuo delle minacce per evitare che le violazioni rimangano incontrollate fino a quando non è troppo tardi.

Perché questo schema si ripete

La causa principale di questo schema ricorrente è multiforme, ma la "fatica da allerta" si distingue come motore principale. Gli analisti SOC sono inondati da migliaia di notifiche ogni giorno, rendendo più difficile identificare le minacce reali. Questo problema sta accelerando, con l'IA che abbassa drasticamente la barriera per i criminali informatici per lanciare attacchi su larga scala e travolgenti.

Campagne di phishing generate dall'IA, sviluppo automatizzato di malware e ricognizione intelligente consentono agli attaccanti di creare più attività dannose che mai. All'aumentare del volume degli attacchi, aumentano anche gli avvisi generati dagli strumenti di sicurezza tradizionali. Questo crea una situazione in cui i team di sicurezza trascorrono più tempo a smistare gli avvisi che a fermare attivamente gli attacchi, rendendo più facile perdere incidenti critici.

L'enorme volume di attacchi generati dall'IA sta sopraffacendo i meccanismi di rilevamento tradizionali, trasformando la gestione degli avvisi in un rischio aziendale critico piuttosto che solo operativo.

Il playbook dell'attaccante passo dopo passo

Gli attaccanti stanno sfruttando l'IA per automatizzare varie fasi delle loro operazioni, contribuendo all'eccesso di avvisi. Il loro playbook sta diventando sempre più sofisticato e ad alto volume. Ciò include la generazione di e-mail di phishing convincenti in pochi secondi, la creazione di varianti di malware uniche per eludere il rilevamento basato su firme e la scansione simultanea di migliaia di sistemi esposti a Internet. Lanciano anche attacchi di credenziali su scale senza precedenti.

Questa automazione significa che i tentativi di accesso iniziali, che potrebbero generare numerosi avvisi a bassa priorità, sono spesso solo precursori di compromissioni più significative. L'enorme numero di questi tentativi può mascherare il punto di ingresso riuscito, consentendo all'attaccante di bypassare il rilevamento iniziale e stabilire un punto d'appoggio. Una volta all'interno, possono operare con relativa impunità fino a quando un indicatore più definitivo, spesso molto più tardi, non innesca un'indagine.

Cosa hanno perso i difensori

I difensori, anche quelli che si affidano a MDR, stanno perdendo gli indicatori precoci critici di compromissione. Questa non è necessariamente una mancanza di strumenti, ma un fallimento nell'interfaccia uomo-macchina. MDR gestito, ad esempio, mira ad aggiungere lo strato di esperti di sicurezza che monitorano gli ambienti 24 ore su 24, indagano su ogni avviso e rispondono. Tuttavia, se questi esperti sono sopraffatti, il valore diminuisce.

Il principale errore è spesso l'incapacità di distinguere i segnali critici dal rumore di fondo. Sebbene siano in atto tecnologie di rilevamento, l'enorme volume di avvisi, esacerbato dagli attacchi basati sull'IA, significa che le minacce reali vengono trascurate. Questo porta a una situazione in cui una compromissione viene rilevata solo dopo che è progredita in modo significativo, spesso giorni dopo l'ingresso iniziale, quando il potenziale di danno è molto maggiore.

Una checklist difensiva pratica

Per contrastare questa minaccia in evoluzione, i CISO e gli ingegneri della sicurezza devono rivalutare la loro postura difensiva. Un approccio proattivo incentrato sulla riduzione del rumore e sul miglioramento della chiarezza del segnale è essenziale:

• Implementare robusti meccanismi di correlazione e prioritizzazione degli avvisi per ridurre il carico di lavoro degli analisti.
• Sfruttare i feed di threat intelligence per contestualizzare gli avvisi e identificare tattiche, tecniche e procedure (TTP) note degli attaccanti.
• Rivedere e perfezionare regolarmente le regole di rilevamento per minimizzare i falsi positivi ed elevare gli avvisi critici.
• Condurre esercitazioni periodiche di risposta agli incidenti per migliorare l'efficienza del team in situazioni di alta pressione.
• Assicurarsi che i fornitori MDR descrivano in dettaglio le loro metodologie di prioritizzazione degli avvisi e i percorsi di escalation.
• Investire in analisi comportamentali avanzate per rilevare anomalie che potrebbero bypassare i rilevamenti basati su firme.
• Automatizzare le attività di smistamento degli avvisi più banali quando possibile per liberare tempo agli analisti per indagini complesse.

Come i moderni test offensivi avrebbero rilevato questo

I moderni metodi di test offensivi stanno emergendo come complementi cruciali alle strategie difensive tradizionali, specialmente contro gli attacchi accelerati dall'IA. Questi approcci spesso comportano la simulazione continua di scenari di attacco reali, inclusi quelli che sfruttano l'IA, contro l'ambiente live di un'organizzazione. Lanciando autonomamente tecniche di attacco simulate, questi sistemi possono identificare lacune nelle capacità di rilevamento e risposta prima che un vero attaccante le sfrutti. Questa convalida proattiva garantisce che gli avvisi vengano generati, prioritizzati e gestiti correttamente, affrontando direttamente la fatica da allerta e gli schemi di avviso mancati che possono influenzare le operazioni di sicurezza. Fornisce una valutazione oggettiva e continua dell'efficacia reale delle misure di sicurezza o se i loro avvisi vengono persi.

Cosa guardare dopo

L'industria della cybersecurity deve prepararsi a un'escalation ancora maggiore nella sofisticazione e nel volume degli attacchi basati sull'IA. Il mercato dei servizi di rilevamento e risposta gestiti (MDR) sta registrando una crescita significativa, indicando una crescente dipendenza da questi servizi. Tuttavia, questa crescita deve essere accompagnata da innovazione che affronti direttamente il problema della fatica da allerta.

Aspettatevi un'attenzione continua alla correlazione degli avvisi basata sull'IA, alle capacità di risposta autonoma e a una modellazione delle minacce più sofisticata all'interno delle offerte MDR. La capacità di filtrare efficacemente il rumore e prioritizzare le minacce reali differenzierà i fornitori MDR leader. Inoltre, l'integrazione di test offensivi continui come pratica standard diventerà cruciale per convalidare l'efficacia di questi servizi in tempo reale, garantendo che la torre di guardia stia veramente a guardia.