L’importanza di rilevare gli attacchi ha spinto Panda Security a includere gratuitamente un servizio di Threat Hunting nelle soluzioni per proteggere gli endpoint. Panda Adaptive Defense Threat Hunting individua nuovi pattern di attacco utilizzando l’identificazione automatica delle anomalie nel comportamento di ogni utente, processo e macchina. I threat hunters conducono quindi le loro indagini, individuano la causa principale, ottengono una risposta immediata e utilizzano una strategia per ridurre con successo la superficie di attacco. Inoltre, ogni nuovo pattern rappresenta un comportamento di rilevamento delle minacce che può essere utilizzato per fermare i futuri hacker prima che possano causare danni, creando così un ciclo di apprendimento e rilevamento.
Le aziende sono sempre più consapevoli dell’importanza di aumentare la capacità di rilevamento e ricerca che aiutino a non mettere a rischio il futuro del proprio business. La popolarità dei servizi di Threat Hunting è la conseguenza del rilevamento di attacchi sempre più persistenti, con una durata superiore rispetto al passato. I criminali informatici, infatti, hanno a disposizione diversi metodi per eludere le tradizionali misure di difesa. Per questo motivo, oltre a individuare gli attacchi informatici, è sempre più vitale cercare di anticiparli, in modo che il gap di rilevamento sia ridotto il più possibile.
Tuttavia, le aziende non dispongono sempre del budget, della tecnologia, dei processi e, soprattutto, di team di esperti necessari a questo tipo di attività e ciò rende impossibile per la maggior parte di esse, costruire e far crescere le proprie difese allo stesso ritmo con cui si evolve il crimine informatico. In questo ecosistema, il Threat Hunting si distingue come una delle tendenze più importanti degli ultimi anni nella cybersecurity aziendale. Ma per capire perché sia un aspetto così importante, è necessario comprendere esattamente di cosa si tratta.
–Cos’è il Threat Hunting? Può essere definito come “il processo per rilevare e isolare attraverso la rete le minacce avanzate che eludono le soluzioni di sicurezza esistenti in modo proattivo e iterativo”.
–Cosa lo rende differente? La proattività è ciò che distingue realmente il Threat Hunting dalle tradizionali misure di gestione delle minacce come: firewall, sistemi di rilevamento delle intrusioni (IDS), sandboxing e sistemi SIEM. Tutte queste misure rispondono a un concetto di Threat Detection e prevedono un’indagine in seguito a un potenziale attacco o a un problema di sicurezza. Sono, quindi, misure reattive a fronte di policy/regole di ricerca note e pertanto non proattive. La proattività infatti è un elemento fondamentale nelle soluzioni avanzate di cybersecurity. Il cambio di messa a fuoco da EPP (Endpoint Protection) a EDR (Endpoint Detection and Response) implica una telemetria in tempo reale di estrema importanza per eseguire la ricerca di minacce.
Caratteristiche principali La caratteristica principale del Threat Hunting è l’approccio proattivo alle minacce. Ciò significa che non si tratta di una risposta agli incidenti, sebbene questo concetto sia connesso dato che dai risultati dell’indagine e dalle conclusioni è possibile stabilire nuovi indicatori di attacco o vulnerabilità. Le misure di Threat Hunting esaminano ciò che gli strumenti tradizionali non riescono ad analizzare non sostituendo però altre strategie, come il rilevamento delle minacce.
