Giacomo Lanzi

Coordinazione tra CTI e SOC: come alzare ulteriormente le difese

Estimated reading time: 6 minuti

La Cyber Threat Intelligence (CTI) e un Security Operations Center (SOC) sono due parti importanti nel processo di sicurezza di un’azienda. Aiutano a identificare e mitigare i rischi coinvolti nel mondo digitale. La CTI è una misura proattiva che aiuta a identificare le potenziali minacce, mentre il SOC è una misura reattiva che aiuta a rilevare e mitigare un attacco. Insieme, CTI e SOC, sono due strumenti importanti nel campo IT.

La CTI aiuta le organizzazioni a identificare potenziali minacce raccogliendo dati da varie fonti come social media, dark web, database di malware, ecc. Quindi analizza questi dati utilizzando strumenti di analisi avanzati come algoritmi di apprendimento automatico e fornisce informazioni utili ai responsabili delle decisioni.

Un SOC, d’altra parte ha un approccio più reattivo in quanto rileva e mitiga un attacco non appena si verifica. I SOC usano vari metodi come firewall, sistemi di rilevamento delle intrusioni, sistema di gestione dei registri, etc.

La relazione tra CTI e SOC può essere descritta in una frase:

La CTI fornisce informazioni preziose al SOC, mentre questo fornisce alla CTI un feedback rilevante.

CTI e SOC

CTI e SOC: cosa sono?

Prima di collaborare nella gestione delle sicurezza, CTI e SOC sono due cose distinte che hanno ruoli e scopi differenti. Vediamoli brevemente insieme.

Cos’è la CTI

La Cyber Threat Intelligence (CTI) è il processo di raccolta, analisi e diffusione di informazioni sugli incidenti informatici per aiutare a identificare e combattere le minacce informatiche. È una disciplina di intelligence che si occupa dell’identificazione e dell’analisi delle minacce informatiche. La CTI può essere utilizzata per prevenire futuri attacchi a un’organizzazione identificando potenziali vulnerabilità nel sistema.

La Cyber Threat Intelligence può essere considerata una forma di difesa informatica proattiva. Con la CTI, le organizzazioni sono in grado di proteggersi meglio da vari tipi di attacchi informatici. Esistono tre tipi principali di intelligence relativa alle minacce informatiche:

1) Intelligence sugli attacchi informatici: informazioni sui metodi e le motivazioni dell’attaccante

2) Intelligence per la difesa informatica: informazioni sulle vulnerabilità del difensore e su come possono essere sfruttate dagli aggressori

3) Intelligence sulle minacce informatiche: informazioni sulla strategia, l’intento, le capacità e le risorse dell’agente di minaccia

Cos’è un SOC

Un Security Operation Center (SOC) è un hub centrale per la sicurezza di un’organizzazione. È un luogo in cui tutte le operazioni di sicurezza sono monitorate e gestite. Il SOC può essere considerato un “centro di comando” per la sicurezza informatica di un’organizzazione, in cui tutte le operazioni di sicurezza sono monitorate e gestite.

Noi offriamo il SOC come servizio per i nostri clienti (SOCaaS), sollevandoli dai costi iniziali di implementazione e da quelli costanti di manutenzione dell’infrastruttura. Il nostro SOCaaS, inoltre, utilizza un sistema NextGen SIEM che garantisce velocità e puntualità delle risposte.

La CTI e le costanti evoluzioni delle minacce online

L’intelligence sulle minacce informatiche è la chiave per comprendere l’evoluzione delle minacce informatiche e come queste stiano cambiando. La costante evoluzione delle minacce rende difficile per le organizzazioni tenere il passo con gli ultimi sviluppi della sicurezza. I team di sicurezza informatica devono essere in grado di rispondere in modo rapido ed efficiente per evitare danni.

In questo contesto dinamico in continua evoluzione, entra in gioco la Cyber Threat Intelligence. La CTI è l’elemento chiave che permette di capire come proteggersi dai diversi attacchi informatici. Nella pratica, questo significa che, grazie ad un’accurata serie di analisi, è possibile capire effettivamente come evitare di diventare vittima di attacchi.

La CTI aiuta, quindi, nell’individuare le potenziali minacce e fornisce queste informazioni preziose al SOC, che potrà così implementare dei controlli specifici per le minacce rilevate.

È importante che le aziende dispongano di una propria Cyber Threat Intelligence per stare al passo con la costante evoluzione delle minacce. Le aziende devono capire cosa sta succedendo in ambito di minacce informatiche, e capire quale sia la strada percorsa dai vari gruppi di terrorismo informatico.

Il Security Operation Center e la rilevazione delle minacce

Il Security Operation Center (SOC) è l’hub centrale per il monitoraggio e la gestione della sicurezza informatica. In teoria questo è un luogo fisico in cui lavorano ingegneri e tecnici informatici per difendere l’infrastruttura aziendale. Tuttavia, non è ormai raro trovare il SOC offerto come servizio (SOCaaS).

Il primo passaggio nel rilevamento delle minacce consiste nel creare un programma di intelligence sulle minacce. Questo programma dovrebbe essere in grado di raccogliere, analizzare e condividere informazioni su minacce e attacchi informatici con tutte le parti interessate dell’organizzazione. Questo passaggio è svolto da un team di CTI, e diventa parte integrante del processo di lavoro del SOC.

Il secondo passo è sviluppare una strategia per rispondere a queste minacce e attacchi. Il terzo passaggio consiste nell’implementare la strategia nelle operazioni attraverso procedure, politiche e strumenti progettati per una risposta rapida quando si verifica un attacco.

I Security Operation Center (SOC) sono responsabili del monitoraggio di reti e sistemi per rilevare eventuali segni di attacchi informatici o guasti del sistema che potrebbero causare violazioni dei dati o altri eventi dannosi. Il rilevamento delle minacce coinvolge entrambi in modo pro-attivo.

CTI e SOC cover

Il SOC e la sua importanza nel processo di CTI

Ecco quindi che il rapporto tra CTI e SOC rappresenta un binomio che deve essere sempre presente qualora si voglia avere la certezza che operare online sia un tipo di operazione ottimale da svolgere.

La cosa interessante è l’interazione che si viene a creare tra questi due strumenti, diventando così una soluzione sempre più potente in ambito di sicurezza informatica.

Il SOCaaS che offriamo, infatti, contiene uno strumento di analisi del comportamento, utilissimo nell’individuare comportamenti sospetti e collegarli a potenziali minacce, anche a posteriori. Questo aspetto crea una fonte di informazioni interna per la CTI, che può quindi aggiungere i risultati dell’analisi del comportamento del SOC tra i suoi indizi di ricerca.

CTI e SOC si alimentano a vicenda, possiamo dire, con informazioni e soluzioni a supporto della sicurezza aziendale.

I nostri servizi di SOC e CTI

Come abbiamo visto, SOC e CTI si completano a vicenda, per così dire. Questi due servizi sono entrambi offerti da noi e siamo sicuri dell’impatto positivo che hanno nella lotta contro le minacce informatiche per le aziende.

Se la tua azienda è alla ricerca di informazioni su come proteggere al meglio l’infrastruttura informatica dalla criminalità informatica, contattaci per una consulenza o per chiedere ulteriori informazioni, saremo lieti di rispondere a ogni domanda.

Useful links:

Condividi


RSS

Piu’ articoli…

Categorie …

Tags

RSS Feed sconosciuto

RSS Feed sconosciuto

RSS Full Disclosure

  • iOS Activation Flaw Enables Pre-User Device Compromise and Identity Exposure (iOS 18.5) Luglio 1, 2025
    Posted by josephgoyd via Fulldisclosure on Jun 30Title: iOS Activation Flaw Enables Pre-User Device Compromise Reported to Apple: May 19, 2025 Reported to US-CERT: May 19, 2025 US-CERT Case #: VU#346053 Vendor Status: Silent Public Disclosure: June 26, 2025 ------------------------------------------------------------------------ Summary ------------------------------------------------------------------------ A critical vulnerability exists in Apple’s iOS activation pipeline that allows...
  • Remote DoS in httpx 1.7.0 – Out-of-Bounds Read via Malformed <title> Tag Giugno 26, 2025
    Posted by Brian Carpenter via Fulldisclosure on Jun 25Hey list, You can remotely crash httpx v1.7.0 (by ProjectDiscovery) by serving a malformed tag on your website. The bug is a classic out-of-bounds read in trimTitleTags() due to a missing bounds check when slicing the title string. It panics with: panic: runtime error: slice bounds out […]
  • CVE-2025-32978 - Quest KACE SMA Unauthenticated License Replacement Giugno 24, 2025
    Posted by Seralys Research Team via Fulldisclosure on Jun 23 Seralys Security Advisory | https://www.seralys.com/research ====================================================================== Title: Unauthenticated License Replacement Product: Quest KACE Systems Management Appliance (SMA) Affected: Confirmed on 14.1 (older versions likely affected) Fixed in: 13.0.385, 13.1.81, 13.2.183, 14.0.341(Patch 5), 14.1.101(Patch 4) Vendor: Quest Software Discovered: April...
  • CVE-2025-32977 - Quest KACE Unauthenticated Backup Upload Giugno 24, 2025
    Posted by Seralys Research Team via Fulldisclosure on Jun 23 Seralys Security Advisory | https://www.seralys.com/research ====================================================================== Title: Unauthenticated Backup Upload Product: Quest KACE Systems Management Appliance (SMA) Affected: Confirmed on 14.1 (older versions likely affected) Fixed in: 13.0.385, 13.1.81, 13.2.183, 14.0.341(Patch 5), 14.1.101(Patch 4) Vendor: Quest Software Discovered: April 2025...
  • CVE-2025-32976 - Quest KACE SMA 2FA Bypass Giugno 24, 2025
    Posted by Seralys Research Team via Fulldisclosure on Jun 23 Seralys Security Advisory | https://www.seralys.com/research ====================================================================== Title: 2FA Bypass Product: Quest KACE Systems Management Appliance (SMA) Affected: Confirmed on 14.1 (older versions likely affected) Fixed in: 13.0.385, 13.1.81, 13.2.183, 14.0.341(Patch 5), 14.1.101(Patch 4) Vendor: Quest Software Discovered: April 2025 Severity: HIGH...
  • CVE-2025-32975 - Quest KACE SMA Authentication Bypass Giugno 24, 2025
    Posted by Seralys Research Team via Fulldisclosure on Jun 23 Seralys Security Advisory | https://www.seralys.com/research ====================================================================== Title: Authentication Bypass Product: Quest KACE Systems Management Appliance (SMA) Affected: Confirmed on 14.1 (older versions likely affected) Fixed in: 13.0.385, 13.1.81, 13.2.183, 14.0.341(Patch 5), 14.1.101(Patch 4) Vendor: Quest Software Discovered: April 2025 Severity:...
  • RansomLord (NG v1.0) anti-ransomware exploit tool Giugno 24, 2025
    Posted by malvuln on Jun 23First official NG versioned release with significant updates, fixes and new features https://github.com/malvuln/RansomLord/releases/tag/v1.0 RansomLord (NG) v1.0 Anti-Ransomware exploit tool. Proof-of-concept tool that automates the creation of PE files, used to exploit ransomware pre-encryption. Lang: C SHA256: ACB0C4EEAB421761B6C6E70B0FA1D20CE08247525641A7CD03B33A6EE3D35D8A Deweaponize feature PoC video:...
  • Disclosure Yealink Cloud vulnerabilities Giugno 24, 2025
    Posted by Jeroen Hermans via Fulldisclosure on Jun 23Dear all, ---Abstract--- Yealink RPS contains several vulnerabilities that can lead to leaking of PII and/or MITM attacks. Some vulnerabilities are unpatched even after disclosure to the manufacturer. ---/Abstract--- We are Stefan Gloor and Jeroen Hermans. We are independent computer security researchers working on a disclosure process […]
  • : "Glass Cage" – Zero-Click iMessage → Persistent iOS Compromise + Bricking (CVE-2025-24085 / 24201, CNVD-2025-07885) Giugno 18, 2025
    Posted by josephgoyd via Fulldisclosure on Jun 17"Glass Cage" – Sophisticated Zero-Click iMessage Exploit ChainEnabling Persistent iOS Compromise and Device Bricking CVE-2025-24085, CVE-2025-24201(CNVD-2025-07885) Author: Joseph Goydish II Date: 06/10/2025 Release Type: Full Disclosure Platform Affected: iOS 18.2 (confirmed zero-day at time of discovery) Delivery Vector: iMessage (default configuration) Impact: Remote Code Execution, Privilege Escalation, Keychain […]
  • SEC Consult SA-20250612-0 :: Reflected Cross-Site Scripting in ONLYOFFICE Docs (DocumentServer) Giugno 18, 2025
    Posted by SEC Consult Vulnerability Lab via Fulldisclosure on Jun 17SEC Consult Vulnerability Lab Security Advisory < 20250612-0 > ======================================================================= title: Reflected Cross-Site Scripting product: ONLYOFFICE Docs (DocumentServer) vulnerable version:

Customers

Newsletter

{subscription_form_2}