Per difendere bene bisogna pensare come chi attacca. Le tattiche dei threat actor moderni sono cambiate: meno malware rumoroso, più tecniche silenziose che si confondono con l'attività legittima. Ecco le principali minacce e come il Blue Team può contrastarle.

Le tattiche dei threat actor moderni

  • Living off the Land (LotL): uso di strumenti legittimi del sistema (PowerShell, WMI, PsExec) per non lasciare tracce evidenti.
  • Supply chain attack: compromettere un fornitore fidato per colpire a valle migliaia di clienti.
  • Ransomware-as-a-Service (RaaS): il crimine come servizio, con affiliati e doppia estorsione (cifratura + esfiltrazione).
  • Identity-based attack: furto di credenziali e abuso di token, spesso più redditizio di un exploit.
Codice su schermo
Il Blue Team caccia le anomalie nei log, non solo le firme.

La risposta del Blue Team

  • Visibilità: telemetria centralizzata (SIEM/XDR) e log degli endpoint, non solo del perimetro.
  • Threat hunting: ricerca proattiva guidata da ipotesi, mappata su MITRE ATT&CK.
  • Detection comportamentale: regole su cosa fa un processo, non solo su cosa è.
  • Incident response provata: playbook, contenimento rapido e lessons learned.

Threat hunting in pratica

Esempio: caccia a un uso sospetto di PowerShell, tipico delle tecniche LotL.

# Pseudo-query di hunting (stile SIEM)
process == "powershell.exe"
AND command_line CONTAINS_ANY ("-enc", "DownloadString", "IEX", "bypass")
AND parent_process NOT IN (lista_processi_attesi)
| stats count by host, user, command_line

Un solo segnale raramente è una compromissione; la forza sta nella correlazione di più indicatori deboli in una storia coerente.

Conclusione

Il Blue Team moderno non rincorre le firme: costruisce visibilità, formula ipotesi e caccia. Assumere che la compromissione sia possibile (assume breach) e progettare il rilevamento di conseguenza è ciò che distingue una difesa reattiva da una resiliente.