Indicatori di compromissione: cosa sono

In breve

Quando un attacco viene analizzato, chi lo studia ne estrae gli elementi riconoscibili e li condivide: "se nei tuoi sistemi trovi questo file, o una connessione verso questo dominio, probabilmente sei stato colpito anche tu". Gli IoC sono quindi una lista di controllo da confrontare con i propri log e con i propri sistemi.

Come funziona

I tipi più comuni sono:

• impronte (hash) di file malevoli, per esempio SHA-256;
• indirizzi IP, domini e URL dei server di comando e controllo o delle pagine di phishing;
• indirizzi email e oggetti dei messaggi usati in una campagna;
• artefatti sull'host: nomi di file e servizi, chiavi di registro, attività pianificate create dal malware.

Gli IoC si scambiano in bollettini dei CSIRT, report dei ricercatori e flussi di threat intelligence, spesso in formati strutturati come STIX, e con un'etichetta TLP che dice con chi si possono condividere.

Perché è importante, e i limiti

Gli IoC permettono di rispondere in fretta a una domanda concreta: "siamo stati toccati da questa campagna?". Ma invecchiano rapidamente. Un attaccante cambia l'hash di un file ricompilandolo e cambia indirizzo IP in pochi minuti. Il ricercatore David Bianco ha descritto il problema con la "piramide del dolore": gli indicatori più facili da raccogliere (hash, IP) sono anche i più facili da cambiare per l'attaccante; quelli più utili sono strumenti e comportamenti, cioè le tecniche descritte in MITRE ATT&CK.

Per questo agli IoC si affiancano gli indicatori di attacco (IoA), che descrivono un comportamento sospetto mentre accade, per esempio un documento Office che lancia uno script, indipendentemente dal file usato.

Esempio

Il CSIRT nazionale pubblica un avviso su una campagna che colpisce aziende italiane con false fatture: elenca tre domini, due indirizzi IP e le impronte degli allegati. Il referente IT cerca quei valori nei log dei firewall e degli endpoint degli ultimi trenta giorni e trova una connessione a uno dei domini da un PC dell'amministrazione, due settimane prima. Senza log conservati la ricerca sarebbe stata impossibile; con i log, il PC viene isolato e analizzato prima che la compromissione si allarghi.

Termini collegati

• Threat hunting
• SIEM
• File Integrity Monitoring
• CSIRT