Risolvere un Cyber Crime come Sherlock Holmes!

I responsabili della sicurezza IT, investono molto tempo e risorse nell’analisi forense dei log.

Secondo il SANS 2013 Digital Forensics Survey,

• il 57% degli intervistati conferma di indagare e cercare una soluzione mentre il “crimine” è in atto.
• Gli altri intervistati invece, dichiarano di occuparsi del problema… a danno fatto!

Rilevare l’attività degli hacker non è mai semplice.

Anche se le aziende hanno a disposizione il Top delle soluzioni di sicurezza per individuare anomalie e minacce sulla rete, le risorse critiche continuano ad essere compromesse.

I responsabili devono mettersi letteralmente nei panni di Sherlock Holmes per risolvere i sempre più frequenti cyber crime, devono pensare e agire come un hacker per capire il modo in cui questo avrebbe potuto accedere alla rete.

L’hacker, può essere rintracciato ricostruendo la scena del crimine nella sua totalità.

Una volta fatto questo, è possibile ricostruire l’accaduto e capire che cosa è accaduto sulla rete.

La grande domanda ora è: come può il responsabile della sicurezza IT ricostruire la scena del crimine?

L’unico modo per ricostruire la scena di un crimine informatico, è facendo una analisi sui log generati dall’infrastruttura IT. Ogni attacco lascia una traccia e, i log sono l’unico strumento che può aiutare a capire come è avvenuta questa violazione. I log sono le impronte digitali lasciate da tutti coloro che hanno avuto accesso a rete, dispositivi e applicazioni. Analizzandoli efficacemente, è possibile individuare la causa della violazione, il momento esatto in cui è avvenuta, chi l’ha causata e l’attività da cui ha avuto origine. I log possono essere utilizzati come prova in tribunale. I responsabili della sicurezza, dovrebbero sfruttare maggiormente i log generati dalla loro infrastruttura di rete.

Ecco due requisiti fondamentali per una efficace analisi forense sui log:

• Raccogliere i dati in un unico repository: tutti i log provenienti dai vari sistemi) windows, linux/unix, applicazioni, database, router e switch) devono essere conservati in un unico un unico punto per poter motivi di sicurezza e per poter effettuare in modo efficace una corretta analisi.
• Archiviare i dati dei log almeno per un anno: i dati raccolti da tutti i sistemi di rete, devono esssere archiviati almeno per un anno, i dati memorizzati devono essere facilmente accessibili per le indagini forensi.

Per soddisfare questi prerequisiti, c’è bisogno di automatizzare la gestione dei log.

Raccogliere e archiviare manualmente i dati per delle successive indagini, è praticamente impossibile visto l’elevato numero di eventi generati su base giornaliera. Significherebbe solo investire troppo tempo e risorse!

Una volta automatizzato, il processo di analisi è molto più semplice e veloce. È possibile, digitando alcune keywords o una certa logica legata al cyber crime, avere delle risposte in pochi secondi. Ci si può concentrare sui dai di log e cercare attraverso l’intera infrastruttura di rete in pochi secondi. Risolto il problema dell’archiviazione e ricerca manuale, ci si può dedicare a ricreare la scena del crimine e risolvere il caso!

Uno strumento per l’archiviazione, gestione e consultazione centralizzata dei file di log, è lo strumento migliore che un Security manager può utilizzare per gestire e contrastare gli attacchi alla propria rete!