Gli ambienti cloud e ibridi sono sempre più diffusi, questo, insieme alla graduale scomparsa del classico perimetro di sicurezza, ha generato un panorama delle minacce più complesso ed esteso.
In questo scenario, il tempo richiesto per individuare potenziali incidenti di sicurezza ha registrato un aumento significativo, mettendo a dura prova l’efficacia dell’ecosistema dei Security Operation Center (SOC). L’approccio attuale delle Security Operations (SecOps) non sempre riesce infatti a fornire il supporto adeguato agli analisti: vi è una costante inclinazione a concentrarsi sulla tecnologia a scapito dell’elemento umano nella cybersecurity. Questo paradigma ha portato alla creazione di SOC composti da numerosi strumenti, spesso non integrati che, nella pratica, rappresentano “silos” estremamente onerosi da gestire, sia in termini di tempo che di risorse. Per affrontare le sfide attuali, è essenziale individuare e capire le cause sottostanti.
I dati mostrano che, attualmente, i SOC stanno affrontando problemi legati alla scarsa visibilità, che crea inevitabilmente punti ciechi che diventano il bersaglio primario degli attaccanti; vi è poi il fatto che la maggior parte delle aziende utilizza soluzioni diverse (secondo le stime, almeno 10) e non integrate tra loro, al servizio del proprio SOC team. Importante anche rilevare come le organizzazioni fatichino a tenere il passo con gli attaccanti, basando ancora il ciclo di vita del proprio SOC su metodi di rilevamento manuali, spesso obsoleti e inefficienti; e l’esponenziale sovraccarico di informazioni, che rende difficile per gli analisti affrontare manualmente i numerosi avvisi per ogni singola rilevazione. Questi fattori sono complicati ulteriormente dall’elevato turn-over che affligge il comparto, con conseguente mancanza di risorse umane qualificate, e dalla potenziale perdita di focus a causa della diversità e quantità di alert ricevuti.
Stante questo quadro, secondo Fortinet l’evoluzione del SOC dovrebbe concentrarsi su tre principali aree operative. In primo luogo, il consolidamento dei flussi di lavoro implica unificare gli strumenti a disposizione del SOC e integrare diverse tecnologie per correlare eventi da fonti diverse, creando un contesto che acceleri il lavoro degli analisti. La riduzione dei vendor e l’utilizzo di strumenti connessi nativamente sono suggeriti come approcci evolutivi comuni. In secondo luogo, l’adozione di machine learning (ML) e intelligenza artificiale (AI) migliora l’efficacia del SOC riducendo le attività manuali e ripetitive, per consentire un’analisi più veloce degli incidenti. Infine, l’utilizzo di framework di mercato e fonti esterne di threat intelligence, come le Sigma Rules, semplifica l’implementazione dei processi di detection e automation, mentre le informazioni in tempo reale sulle minacce provenienti da fonti esterne arricchiscono la comprensione globale del contesto delle minacce.
L’utilizzo di un approccio unificato per il proprio SOC rende molto più efficiente il lavoro degli analisti, contribuendo a ridurre significativamente i tempi di indagine e di risposta. Un SOC “unificato” o Cyber Fusion Center (CFC), si basa su automazione, orchestrazione e integrazione delle informazioni interne (CyberSec, IT, OT, NOC). Realizzare un SOC, o trasformarlo in un Cyber Fusion Center, rappresenta sicuramente un investimento importante, molto spesso fuori dalla portata di realtà di dimensioni più piccole, ma non meno vulnerabili. In tal caso, servizi gestiti di cybersecurity come il “SOC as a Service”, i servizi di Incident Response e i servizi di Analisi di sicurezza (Exposed Surface Recon) possono essere la soluzione giusta, in termini di investimento e mitigazione del rischio.
A cura di Aldo Di Mattia
senior manager Systems Engineering Public Administration Italy di Fortinet
