Monitoraggio della sicurezza di rete (NSM): rilevamento in tempo reale delle minacce di rete

Il monitoraggio della sicurezza di rete (NSM) è l’analisi continua del traffico per identificare minacce, anomalie e attività non autorizzate in tutti i segmenti di rete. Le capacità NSM e di rilevamento e risposta di rete (NDR) di Cypher Sentinel rilevano in tempo reale movimento laterale, esfiltrazione dei dati, comunicazioni di comando e controllo e attacchi DDoS mediante analisi comportamentale, integrazione dei firewall e ispezione avanzata del traffico cifrato.

La maggior parte delle organizzazioni oggi si affida a firewall e sistemi di rilevamento delle intrusioni per proteggere le proprie reti. Tuttavia, i firewall possono applicare solo le regole configurate e le soluzioni IDS/IPS tradizionali non rilevano gli attacchi sofisticati che usano la cifratura o eludono il rilevamento basato sulle firme. Il monitoraggio della sicurezza di rete (NSM) offre un approccio diverso: l’analisi continua di tutto il traffico per rilevare le minacce in base a comportamenti e anomalie anziché a regole predefinite.

Una soluzione NSM completa come Cypher Sentinel offre piena visibilità sul traffico di rete, consentendo di rilevare attacchi interni alla rete, tra cui movimento laterale tra sistemi, esfiltrazione dei dati e comunicazioni di comando e controllo. Questo è essenziale perché molti attacchi avvengono dopo che un aggressore ha già superato il perimetro: l’NSM rileva queste minacce interne prima che possano causare danni significativi.

Che cos’è il monitoraggio della sicurezza di rete (NSM)?

Il monitoraggio della sicurezza di rete (NSM) consiste nella raccolta e analisi complete del traffico di rete per identificare in tempo reale minacce alla sicurezza, anomalie e attività non autorizzate. Le soluzioni NSM acquisiscono tutto il traffico o lo campionano su larga scala, lo analizzano alla ricerca di indicatori di compromissione e schemi di attacco e consentono una risposta rapida alle minacce rilevate.

L’NSM differisce in modo fondamentale da firewall e IDS/IPS tradizionali. I firewall applicano il controllo degli accessi in base a regole predefinite. Gli IDS/IPS tradizionali rilevano gli attacchi tramite firme note o semplici regole di rilevamento delle anomalie. L’NSM analizza il comportamento effettivo visibile nel traffico di rete, identificando sia attacchi noti, attraverso l’intelligence sulle minacce, sia attacchi sconosciuti, attraverso l’analisi comportamentale e il rilevamento delle anomalie.

• Visibilità completa della rete — Osservate tutte le comunicazioni di rete, oltre a quelle registrate o segnalate dai firewall.
• Rilevamento delle minacce oltre le firme — Rilevate minacce sconosciute con analisi comportamentale e rilevamento delle anomalie.
• Rilevamento del movimento laterale — Identificate quando i sistemi compromessi comunicano con altri sistemi della rete.
• Prevenzione dell’esfiltrazione dei dati — Rilevate i tentativi di furto di dati analizzando modelli e dimensioni dei flussi di dati.
• Rilevamento delle minacce cifrate — Analizzate i metadati del traffico cifrato per rilevare comunicazioni cifrate dannose.

Capacità di rilevamento e risposta di rete (NDR)

Il rilevamento e la risposta di rete (NDR) estendono l’NSM aggiungendo capacità di risposta automatizzata alle minacce rilevate. Le piattaforme NDR rilevano gli attacchi di rete e adottano automaticamente misure difensive per contenerli e ridurne al minimo l’impatto.

Le capacità NDR avanzate includono il rilevamento del movimento laterale tramite analisi comportamentale delle comunicazioni tra sistemi, l’identificazione delle attività di ricognizione in cui gli aggressori cercano sistemi e servizi di valore, il rilevamento dell’esfiltrazione attraverso flussi insoliti e grandi trasferimenti in uscita e il rilevamento delle comunicazioni di comando e controllo verso server dannosi. L’NDR consente di isolare rapidamente i segmenti di rete compromessi e bloccare i flussi di traffico dannosi.

Integrazione dei firewall e sicurezza di nuova generazione

La sicurezza di rete moderna richiede l’integrazione di firewall, IDS/IPS, NSM e intelligence sulle minacce in una difesa coordinata. Mentre i firewall applicano il controllo degli accessi e il rilevamento di base delle minacce, l’NSM offre visibilità approfondita sul contenuto e sul comportamento del traffico. Questa combinazione crea una difesa a più livelli che arresta gli attacchi in più punti.

I firewall di nuova generazione (NGFW) combinano le funzionalità tradizionali dei firewall con prevenzione delle intrusioni, filtraggio a livello applicativo e integrazione dell’intelligence sulle minacce. I NGFW ispezionano il traffico a livello applicativo e correlano l’attività di rete con l’intelligence sulle minacce per bloccare il traffico dannoso noto e prevenire schemi di attacco conosciuti.

Quando sono integrati con piattaforme NSM come Cypher Sentinel, i registri e gli avvisi dei firewall si combinano con un’analisi dettagliata del traffico per offrire una sicurezza di rete completa. Cypher Sentinel può aggiornare automaticamente le regole dei firewall in base alle minacce rilevate, bloccando nuove fonti di attacco in tempo reale.

Sistemi di rilevamento e prevenzione delle intrusioni (IDS/IPS)

I sistemi di rilevamento delle intrusioni (IDS) analizzano il traffico di rete alla ricerca di schemi corrispondenti ad attacchi noti, generando avvisi quando rilevano attività sospette. I sistemi di prevenzione delle intrusioni (IPS) vanno oltre, bloccando automaticamente gli attacchi rilevati eliminando i pacchetti dannosi o reimpostando le connessioni.

Tuttavia, i sistemi IDS/IPS tradizionali si basano sul rilevamento tramite firme, che identifica solo gli attacchi noti. Le piattaforme EDR avanzate come Cypher Sentinel combinano firme, analisi comportamentale e apprendimento automatico, consentendo di rilevare exploit zero-day e nuove tecniche di attacco che gli IDS/IPS da soli non individuerebbero.

L’integrazione di IDS/IPS con l’analisi comportamentale offre un rilevamento a più livelli: le firme bloccano gli attacchi noti, mentre l’analisi comportamentale e il rilevamento delle anomalie identificano quelli sconosciuti.

Protezione DDoS e mitigazione degli attacchi

Gli attacchi di negazione del servizio distribuita (DDoS) tentano di sovraccaricare le risorse di rete inondandole di traffico e impedendo agli utenti legittimi di accedere ai servizi. Le soluzioni di protezione DDoS utilizzano tecniche sofisticate per rilevare e mitigare gli attacchi mantenendo la disponibilità dei servizi.

La mitigazione DDoS utilizza l’analisi del traffico per identificare gli schemi di attacco e filtrare il traffico dannoso in tempo reale. Gli attacchi volumetrici che inondano la rete di dati vengono identificati analizzando volume e modelli di traffico. Gli attacchi ai protocolli che ne sfruttano le debolezze vengono rilevati analizzando struttura e comportamento dei pacchetti. Gli attacchi a livello applicativo diretti a specifiche applicazioni vengono identificati analizzando i relativi modelli di traffico.

La protezione DDoS avanzata utilizza l’analisi comportamentale per rilevare attacchi sofisticati che potrebbero eludere il semplice filtraggio volumetrico. La protezione DDoS di Cypher Sentinel combina filtraggio del traffico, protezione a livello di protocollo e applicazione e analisi comportamentale per mantenere la disponibilità della rete anche contro attacchi DDoS sofisticati.

Analisi del traffico cifrato e rilevamento delle minacce nascoste

Con la diffusione della cifratura, gli aggressori la utilizzano sempre più spesso per nascondere comunicazioni dannose. Sebbene protegga la riservatezza dei dati, la cifratura nasconde agli strumenti NSM tradizionali anche comunicazioni dannose di comando e controllo ed esfiltrazione dei dati.

L’analisi del traffico cifrato supera questa difficoltà esaminando i metadati e il comportamento delle comunicazioni anche quando il contenuto è cifrato. Include l’analisi dei modelli di connessione, delle dimensioni dei pacchetti, della frequenza delle comunicazioni e delle informazioni temporali. Le comunicazioni cifrate dannose spesso presentano schemi distintivi diversi dal traffico cifrato legittimo.

Ad esempio, le comunicazioni di comando e controllo spesso prevedono segnali periodici a intervalli fissi, diversi dai normali modelli di traffico applicativo. L’esfiltrazione di dati cifrati comporta spesso trasferimenti grandi e prolungati, diversi dall’uso tipico delle applicazioni cifrate. Analizzando questi schemi comportamentali, le piattaforme NSM possono rilevare traffico cifrato dannoso senza decifrarlo.

Integrazione e contesto dell’intelligence sulle minacce

La sicurezza di rete migliora drasticamente quando le piattaforme NSM integrano flussi di intelligence sulle minacce che identificano indirizzi IP, domini e schemi di attacco dannosi noti. L’intelligence consente di identificare immediatamente le minacce conosciute e fornisce contesto all’analisi di rete.

L’integrazione dell’intelligence sulle minacce con diversi strumenti di rilevamento consente all’NSM di identificare comunicazioni con server dannosi noti, rilevare attacchi corrispondenti a schemi conosciuti, individuare sistemi compromessi che comunicano con infrastrutture botnet e riconoscere schemi di attacco di attori noti. Questo accelera drasticamente il rilevamento delle minacce conosciute, mentre l’analisi comportamentale gestisce gli attacchi sconosciuti.

Cypher Sentinel si integra con più flussi di intelligence sulle minacce e consente alle organizzazioni di aggiungere informazioni personalizzate basate sui propri incidenti di sicurezza e sulla valutazione delle minacce.

Segmentazione della rete e architettura Zero Trust

La segmentazione divide la rete in zone separate con comunicazioni limitate tra le zone, contenendo il movimento laterale quando un sistema viene compromesso. L’architettura Zero Trust va oltre, richiedendo autenticazione e autorizzazione per tutte le comunicazioni di rete, indipendentemente dalla fonte.

Le piattaforme NSM e NDR offrono visibilità essenziale sulla segmentazione della rete, rilevando le comunicazioni tra segmenti e identificando le violazioni delle relative politiche. Consentono così di applicare le politiche di segmentazione e rilevare modelli di comunicazione non autorizzati.

Le capacità di cybersicurezza Zero Trust di Cypher Sentinel applicano la segmentazione della rete e rilevano le violazioni, collaborando con l’NSM per individuare e impedire il movimento laterale.

Modelli di deployment NSM e sovranità dei dati

Il monitoraggio della sicurezza di rete può essere distribuito con diverse architetture per soddisfare i requisiti organizzativi. L’NSM cloud offre servizi gestiti e deployment semplice, ma instrada la telemetria di rete attraverso server esterni. L’NSM on-premise nei data center dell’organizzazione garantisce piena sovranità e controllo dei dati. L’NSM ibrido combina il rilevamento on-premise con l’integrazione selettiva di intelligence sulle minacce basata sul cloud.

Per gli enti pubblici e le organizzazioni che trattano dati sensibili, un deployment NSM sovrano garantisce che tutte le analisi del traffico di rete e i dati sulle minacce rimangano sotto il controllo dell’organizzazione, rispettando i requisiti di residenza dei dati.