Descrizione del servizio
Il servizio di Anti-Ransomware Threat Intelligence è una soluzione proattiva di monitoraggio e analisi che si concentra sull’individuazione tempestiva di segnali di compromissione, esposizione o preparazione di attacchi ransomware che possano coinvolgere un’organizzazione e il suo ecosistema.
A differenza di un semplice alert sulle credenziali trapelate, il servizio è in grado di fornire informazioni tecniche concrete riconducibili a workstation potenzialmente compromesse, account specifici e sistemi effettivamente esposti. Ove disponibili, i dati possono includere hostname, username, indirizzo IP, data e ora della compromissione, sistema operativo, software coinvolto e altri elementi utili per un’analisi tecnica mirata.
Questo approccio consente di passare da un generico alert a un’indicazione operativa precisa, permettendo al team di sicurezza di intervenire prima della cifratura e dell’interruzione operativa, poiché l’accesso a un’infrastruttura può essere ceduto o venduto prima che l’attacco ransomware venga effettivamente eseguito.
Il servizio non richiede installazioni, agenti o accessi alla rete interna. È sufficiente definire il perimetro pubblico di riferimento, come domini o indirizzi IP.
Per chi è pensato il servizio?
Il servizio di Anti-Ransomware Threat Intelligence è pensato per tutte le organizzazioni che vogliono ridurre il rischio di fermo operativo dovuto a ransomware, mantenere visibilità sulla propria esposizione e adottare un approccio proattivo alla prevenzione. È particolarmente utile per:
- Aziende di ogni dimensione,
dalle piccole e medie imprese alle grandi multinazionali, che non sono pienamente certe che le misure di sicurezza attuali siano sufficienti e desiderano verificarne l’efficacia mantenendo nel tempo un controllo continuo sulla propria esposizione.
- Istituti finanziari e assicurativi,
banche, società di investimento e compagnie assicurative che gestiscono dati sensibili e vogliono sapere se esistono accessi o compromissioni già presenti ma non ancora visibili internamente, prevenendo così violazioni che potrebbero avere impatti regolamentari e reputazionali.
- Settori regolamentati e ad alto rischio,
organizzazioni che operano in settori come sanità, energia, telecomunicazioni e difesa, che necessitano di rafforzare la propria postura di sicurezza in ottica di compliance (NIS2, DORA, ISO 27001, GDPR) e che richiedono un monitoraggio esteso anche ai fornitori strategici.
- Enti governativi e istituzioni pubbliche,
le agenzie governative e le istituzioni che gestiscono informazioni sensibili o critiche possono beneficiare del servizio per monitorare non solo il proprio perimetro, ma anche quello di partner e terze parti con cui condividono dati o accessi.
- Team di sicurezza informatica e CISO (Chief Information Security Officer),
responsabili della sicurezza che desiderano affiancare e potenziare eventuali soluzioni già in uso, come SOC, EDR o SIEM, con un servizio focalizzato sulla visibilità esterna e sulla prevenzione degli attacchi ransomware.
- Aziende tecnologiche e fornitori di servizi di sicurezza,
fornitori di soluzioni IT e Managed Security Service Providers (MSSP) che vogliono essere all’avanguardia e adottare servizi di cybersecurity di livello avanzato, basati sulle più moderne tecniche di analisi e monitoraggio delle minacce.
Il servizio è particolarmente indicato per realtà che vogliono mantenere controllo e visibilità anche lungo la catena di fornitura.
Benefici del servizio
I principali vantaggi del servizio sono:
- Prevenzione attacchi ransomware,
intercetta segnali di compromissione e preparazione di attacchi prima della cifratura dei dati e dell’interruzione operativa.
- Visibilità esterna sull’esposizione,
fornisce informazioni concrete e azionabili su workstation compromesse, credenziali esposte e accessi venduti nel dark web.
- Monitoraggio della supply chain,
estende la visibilità oltre il proprio perimetro, includendo fornitori strategici, partner e terze parti.
- Supporto alla compliance,
contribuisce al rafforzamento della postura di sicurezza in ottica NIS2, DORA, ISO 27001 e GDPR.
Output del servizio
Il servizio di Anti-Ransomware Threat Intelligence produce in output:
- Report iniziale di analisi delle minacce,
Report fornito contestualmente all’attivazione del servizio con le evidenze rilevate sul perimetro monitorato.
- Notifiche immediate,
Comunicazioni cifrate inviate tempestivamente in caso di rilevazione di nuove compromissioni o fughe di dati.
- Report di stato bimestrale,
Report che fornisce una visione chiara delle evidenze rilevate nel periodo oppure conferma l’assenza di nuove compromissioni.
Come funziona il servizio?
Il processo è suddiviso in diverse fasi chiave per garantire che il servizio venga svolto in modo fluido ed efficace. Ecco le attività principali che verranno svolte:
- Definizione del perimetro pubblico da monitorare,
in questa fase iniziale, viene definito il perimetro di monitoraggio in collaborazione con il cliente, inclusi eventuali fornitori o partner strategici. È sufficiente fornire i domini o gli indirizzi IP di riferimento.
- Raccolta e analisi di evidenze,
viene condotta un’attività continua di raccolta e analisi di evidenze relative a credenziali esposte, accessi compromessi e indicatori riconducibili a infezioni o attività ransomware, attraverso fonti di intelligence proprietarie e del dark web.
- Correlazione tecnica delle informazioni,
le informazioni raccolte vengono correlate per individuare casi concreti e ridurre i falsi positivi, fornendo ove disponibile dati tecnici dettagliati relativi alle workstation coinvolte e agli account compromessi.
- Notifica e raccomandazioni operative,
in presenza di nuove evidenze critiche viene inviata una notifica immediata in forma cifrata, accompagnata su richiesta da raccomandazioni operative per la mitigazione del rischio.
Il servizio non blocca direttamente gli attacchi e non sostituisce soluzioni di difesa attiva. Non prevede accessi interni né attività di penetration test. Le azioni di remediation restano in capo al cliente. Si integra in modo naturale con le misure di sicurezza esistenti, rafforzandole e fornendo un livello aggiuntivo di visibilità e prevenzione.
L’attivazione è rapida e non richiede progetti complessi. Una volta definito il perimetro, il servizio può essere avviato in tempi brevi con il primo report sulle minacce fornito in fase di attivazione.
