Incident Response — Cheat Sheet
Tag: security, soc, nist, sans, malware, forensica, log, triaging
Livello: intermedio
TL;DR: Processo strutturato per identificare, contenere e rimediare agli incidenti di sicurezza. Si basa sui framework NIST o SANS per minimizzare i danni e i tempi di ripristino.
Concetti chiave
-
Fasi SANS (PICERL): Preparazione, Identificazione, Contenimento, Eradicazione, Ripristino, Lezioni apprese.
-
Fasi NIST: Preparazione, Rilevamento e Analisi, Contenimento/Eradicazione/Ripristino, Attività post-incidente.
-
Contenimento a breve termine: isolare immediatamente la macchina compromessa (disabilitare rete, mantenere alimentazione).
-
Contenimento a lungo termine: applicare patch temporanee o routing sicuro per mantenere l'operatività del business.
-
Chain of Custody: documentare rigorosamente ogni azione, orario e trasferimento di prove per garantirne la validità legale.
-
Triaging: assegnare priorità (severity) agli allarmi per separare i falsi positivi dai veri incidenti critici.
-
Indicatori di Compromissione (IoC): hash di file, indirizzi IP, domini o pattern specifici trovati nei log.
-
Playbook: procedure standardizzate e pre-testate per gestire tipologie specifiche di attacco (ransomware, phishing, ddos).
-
Automazione: utilizzo di SIEM per l'aggregazione dei log e SOAR per automatizzare le azioni di risposta immediate.
Domande tipiche e risposte pronte
-
Q: Qual è la differenza principale tra gli approcci NIST e SANS?R: Il NIST accorpa contenimento, eradicazione e ripristino in un'unica fase, mentre il SANS le tiene separate. Il ciclo di base è identico.
-
Q: Cosa fai non appena sospetti che un server sia infetto da ransomware?R: Isolo immediatamente il server dalla rete disabilitando la scheda di rete. Non spengo la macchina per preservare i dati in RAM.
-
Q: Come distingui un falso positivo da un vero incidente?R: Analizzo il contesto incrociando i log di rete con gli eventi endpoint. Verifico gli IoC su piattaforme di threat intelligence esterne.
Insidie e errori comuni
-
Spegnere fisicamente il sistema compromesso, perdendo tutti i dati volatili nella RAM (processi attivi, connessioni, chiavi malware).
-
Tentare l'eradicazione senza aver prima isolato l'host, permettendo all'attaccante di eseguire movimenti laterali.
-
Ignorare la fase di "Lessons Learned", mancando l'opportunità di aggiornare policy e firewall per prevenire ricadute.
-
Modificare i file di sistema durante l'analisi senza aver prima fatto un'immagine forense bit-by-bit (es. con dd).
Snippet e comandi
# Esempio di dump della memoria RAM su Linux (LiME)
insmod lime.ko "path=/mnt/usb/ram_dump.bin format=raw"
# Creazione di un'immagine disco bit-by-bit per analisi forense
dd if=/dev/sda of=/mnt/usb/image.dd bs=4M status=progress
# Elencare connessioni di rete sospette
netstat -tulanp
# Cercare file modificati nelle ultime 24 ore
find / -mtime -1 -type fDa ripassare
-
[ ] Strumenti di acquisizione e analisi della memoria volatile (Volatility).
-
[ ] Formattazione e redazione di un report di incident response direzionale.
-
[ ] Gestione della comunicazione esterna e normative data breach (GDPR).
Riferimenti
-
NIST Special Publication 800-61 Revision 2 (Computer Security Incident Handling Guide).
-
SANS Incident Handler's Handbook.
