Questo articolo è stato pubblicato da questo sito
Uno dei pilastri di Cyber Information Superiority è Threat Intelligence, che in pratica è un enorme database di minacce che viene sempre aggiornato e arricchito da dati provenienti da tantissime fonti interne (cioè l’attività di malware analysis dei nostri analisti), fonti esterne (come altre aziende del settore) e fonti aperte di tipo Osint, che ci danno informazioni su nuovi trend nelle minacce informatiche.
Cosa si riesce a fare con le informazioni che raccogliete in questo modo?
In pratica riusciamo a quantificare l’entità del problema creato dall’attacco e a realizzare in modo molto efficace il secondo pilastro di intervento, cioè quella che tecnicamente si chiama threat hunting, ossia la “caccia alla minaccia”. In pratica inseguiamo le tracce lasciate dall’attaccante per prevedere le sue mosse e fermarlo molto rapidamente.
Facciamo un esempio: diciamo che a causa dello smartworking la nostra azienda abbia atomizzato molto l’accesso ai propri server e che questa vulnerabilità venga usata per mandare un ransomware. Io con Cyber Information Superiority riuscirò a vedere che c’è qualcosa di strano nel pc del dipendente, come ad esempio un elemento che sta scrivendo molto rapidamente sul disco oppure un file word che sta provando a connettersi a internet. È un’anomalia che subito ci viene segnalata e ci consente di intervenire nell’immediato.
E con questo sistema si riesce a prevenire le minacce oltre che a limitarne i danni?
Sì, è il terzo pilastro di intervento che si aggiunge alla creazione del database (Threat Intelligence) e del tracciamento immediato di un malware andato a segno (Threat Hunting). Una delle piattaforme di Information Superiority consente di fare un’analisi dei file che arrivano nel server, come ad esempio gli allegati che arrivano via mail, e avvisare subito l’utente del fatto che è stata trovata un’anomalia.
È un funzionamento simile a quello degli antivirus, ma più efficace sia perché in caso di malware riesce a far detonare l’attacco prima che vada a segno e sia perché quell’informazione ottenuta viene subito condivisa con Threat Intelligence così da aggiornare subito il database del sistema e chiudere il cerchio delle informazioni.
Quindi il tutto immagino si basi su AI e machine learning.
Sì, perché in questo modo il sistema riesce a imparare dalle minacce che esso stesso sventa e tende a diventare autonomamente sempre più aggiornato.
Per quale tipo di cliente è pensato un prodotto simile?
Per ora lo stiamo utilizzando sia per il gruppo Leonardo stesso che per alcune realtà particolarmente grandi, innanzitutto all’interno del mondo istituzionale e delle grandi aziende. Però con la suite completa appena lanciata potremo rapportarci anche con aziende più piccole che lavorano insieme alle grandi.
Qui c’è un elemento strategicamente importante: parliamo di un software proprietario italiano, il che è molto importante in un’ottica di sovranità digitale. Anche il server su cui sono depositati i dati sensibili dei clienti sta in Italia ed è sottoposto alle leggi italiane. Immaginiamo un sistema come ad esempio quello della Difesa, a quanto è importante che le informazioni più confidenziali e segrete siano custodite in Italia da un’azienda italiana che rispetta leggi italiane.
