Posizionamento corretto dei feed delle minacce, IPS, EDR e SIEM

Un feed delle minacce non sostituisce IPS, EDR, sicurezza DNS, WAF, SIEM o policy firewall pulite. Svolge un compito diverso: preparare l’infrastruttura attiva conosciuta in modo che le funzioni di applicazione esistenti possano utilizzarla nelle prime fasi del perimetro.

Il valore non sta nel rilevare ogni tecnica di attacco. Il vantaggio sta nel rimuovere in anticipo l’infrastruttura degli aggressori ricorrenti e già osservati dal normale flusso di traffico.

Che ruolo gioca un feed di minacce

Un feed delle minacce del firewall è un livello di reputazione e prefiltraggio. Fornisce IP, domini o URL che sono stati valutati da più segnali come rilevanti per le politiche di produzione. Il firewall può quindi recuperare questi indicatori tramite le funzioni di elenco native e utilizzarli nelle regole.

I casi d’uso tipici includono:

• ridurre in anticipo gli scanner conosciuti e l’infrastruttura botnet
• bloccare o registrare infrastrutture di comando e controllo, phishing o malware
• ridurre il rumore perimetrale ricorrente prima dei controlli a valle
• fornire alle policy firewall esistenti informazioni più aggiornate sulle minacce

Ciò non trasforma il firewall in un sistema di rilevamento completo. Fornisce al firewall dati decisionali migliori e continuamente aggiornati.

Cosa fanno ancora IPS, EDR e SIEM

IPS, EDR e SIEM operano su altri livelli. Rilevano modelli di exploit, comportamento dei processi, attività degli endpoint, correlazione dei log, anomalie o tecniche di attacco concrete. Questi controlli rimangono importanti, soprattutto per gli attacchi nuovi, mirati o non ancora osservati.

Cybora integra questi livelli:

• IPS e WAF registrano meno accessi ripetuti noti quando una parte del traffico viene ridotta prima.
• L’EDR rimane responsabile del comportamento, dell’esecuzione e del movimento laterale dell’endpoint.
• SIEM e la registrazione mantengono il loro ruolo di correlazione, tracciabilità e risposta agli incidenti.
• DNS e sicurezza web rimangono rilevanti per l’utente, il browser e il contesto dell’applicazione.

Un feed di minacce non è quindi un concorrente di questi sistemi. Riduce l’infrastruttura conosciuta dove il firewall può già prendere decisioni.

Che aspetto ha una buona implementazione

Una buona implementazione è controllata e verificabile. Gli amministratori non dovrebbero attivare ciecamente un elenco e sperare che tutto vada bene. È utile un’implementazione dettagliata:

1. Recupera l’URL del feed e controlla lo stato HTTP.
2. Verificare l’importazione ed elencare il popolamento sul firewall.
3. Fare riferimento innanzitutto al feed in una norma con ambito chiaro.
4. Osservare la registrazione e le corrispondenze per un periodo significativo.
5. Se si verificano problemi, distinguere tra formato, polling, licenza, policy e falso positivo.

I dettagli di questo processo sono documentati in Convalida e risoluzione dei problemi.

Ciò che deliberatamente non è promesso

Nessun feed blocca ogni attacco. Nuove infrastrutture, campagne altamente mirate o attacchi senza attività precedentemente osservabili possono essere valutati solo una volta esistenti i segnali. Anche le infrastrutture legittime devono essere trattate con cautela perché hosting condiviso, piattaforme cloud, CDN e servizi SaaS possono causare danni collaterali.

Cybora quindi non ottimizza per la dimensione massima dell’elenco, ma per una cura predisposta dal firewall. Ulteriori informazioni sulla valutazione del rischio operativo sono documentate in Policy Confidence.