Threat intelligence: cos’è, come funziona, perché è utile per la cybersecurity

Quando si affronta il tema della sicurezza informatica è importante, oggi, definire anche l’importanza della threat intelligence, nota anche come cyberthreat intelligence (CTI) o threat intel. Stiamo parlando della capacità di utilizzare un approccio proattivo per intercettare eventuali minacce e anticipare eventuali attacchi informatici.

Se l’approccio base alla cybersecurity è quello di creare delle difese per respingere attacchi DoS, malware e ransomware, con il lavoro di threat intelligence gestiamo le informazioni per anticipare e risolvere gli attacchi prima che diventino un problema. 

Questo avviene trasformando dati raccolti da tante fonti differenti. L’obiettivo è sempre lo stesso: prevenire gli attacchi prima che provochino danni. E con le nuove normative europee come NIS2 e Cyber Resilience Act, investire in un programma di threat intelligence è diventato un requisito base per la cybersecurity. Ecco come procedere su questo fronte.

Cos’è la threat intelligence? Una definizione

Con il termine threat intelligence intendiamo il processo di raccolta, analisi e condivisione di informazioni che riguardano le potenziali minacce informatiche nei confronti della tua attività aziendale. Tutto questo avviene per creare strategie preventive, attivare sistemi di monitoraggio e individuare le migliori tattiche di intervento. Il settore della cyber threat intelligence sta evolvendo rapidamente e tra i principali trend troviamo:

• Integrazione tra threat intelligence e piattaforme XDR. 
• Uso dell’AI generativa per l’analisi delle minacce.
• Condivisione automatizzata degli IOC tramite STIX e TAXII. 
• Maggiore attenzione ai rischi della supply chain. 
• Monitoraggio del dark web sempre più automatizzato. 
• Integrazione con framework MITRE ATT&CK e ATLAS.
• Maggiore attenzione alla protezione delle identità digitali. 

Anche le autorità europee stanno evidenziando il ruolo della threat intelligence nella resilienza informatica. L’AI può aumentare la velocità e la sofisticazione degli attacchi, rendendo ancora più importante l’adozione di processi di intelligence continui e strutturati. 

Quali sono le informazioni raccolte e perché? 

Grazie al lavoro di threat intelligence puoi raccogliere informazioni preziose sulle possibili minacce informatiche, ma anche sulle vulnerabilità interne dell’azienda e sugli indicatori di compromissione (IOC). Inoltre, puoi ottenere dati preziosi rispetto a:

• Tecniche, tattiche e procedure degli attaccanti. 
• Gruppi criminali e campagne APT da anticipare. 

L’obiettivo è quello di andare oltre il sapere se una minaccia esiste o meno, grazie a questo raffinato lavoro di intelligence dobbiamo individuare le probabilità, l’impatto, i possibili bersagli, le modalità operative e le contromisure più efficaci. Le informazioni vengono elaborate per poter prendere decisioni rapide e tutelare la sicurezza informatica dell’azienda.

Threat intelligence e normativa NIS2

Il concetto di threat intelligence è fondamentale quando affrontiamo il tema NIS2. Perché questa direttiva (qui trovi il testo ufficiale) richiede alle aziende di adottare proprio quello che ti permette di avviare il lavoro di threat intelligence: un approccio proattivo alla gestione del rischio cyber. Questo è uno degli strumenti più efficaci per soddisfare i requisiti della direttiva NIS2 consentendo di:

• Monitorare continuamente il panorama delle minacce. 
• Individuare vulnerabilità emergenti. 
• Migliorare il rilevamento degli incidenti.
• Supportare le attività di incident response.

In sintesi, puoi rafforzare la governance dedicata alla sicurezza. L’obiettivo va oltre la possibilità di reagire agli attacchi, puoi prevenirli attraverso una conoscenza aggiornata del contesto di rischio. 

Perché la threat intelligence è importante?

La CTI è il nucleo di qualsiasi piano di cybersecurity ben strutturato perché ti permette di prevenire le minacce sulla base di informazioni concrete e reali. Una buona threat intelligence permette di individuare minacce prima dell’attacco e ridurre il tempo di rilevamento (MTTD). Ma non solo, puoi anche: 

• Velocizzare la risposta agli incidenti (MTTR).
• Migliorare il vulnerability management.
• Ottimizzare gli investimenti in cybersecurity.
• Proteggere dati e infrastrutture critiche. 

Le aziende che utilizzano bene la CTI riescono a rispondere agli incidenti e a limitare l’impatto economico. Grazie a questa attività si possono affrontare gli hacker più abili e aggirare i sistemi di intrusione più all’avanguardia. Sarà difficile diventare bersaglio di attacchi come i Data Breach e più facile anticipare pericolose fughe di dati.

I principali tipi di threat intelligence?

Il mondo della CTI non è monolitico, ci sono delle sfumature da cogliere. Bisogna cogliere le differenze tra un approccio tecnico e uno che si orienta soprattutto sull’aspetto strategico. Quali sono le tendenze?

Strategic threat intelligence

Una soluzione pensata per il management e per chi deve gestire decisioni strategiche, investimenti e rischio aziendale. Offre una panoramica ad alto livello sul panorama globale delle minacce ed è progettata su misura per gli interlocutori aziendali e decisionali, come il CISO, il board aziendale e il risk management.

Tactical threat intelligence

Si concentra sui metodi operativi usati dai cybercriminali e descrive come un attacco viene portato a termine. È pensata prevalentemente per gli analisti della sicurezza, i threat hunter e i progettisti delle architetture di sicurezza.

Operational threat intelligence

L’intelligence operativa analizza le campagne d’attacco imminenti o specifiche e i gruppi criminali che le stanno conducendo. Risponde alle domande: “Chi ci sta attaccando, perché, quando e con quali risorse?”. È indirizzata al team di incident response, agli analisti SOC e agli esperti che possono adottare contromisure difensive tempestive prima che la violazione diventi critica.

Technical threat intelligence

Questo ramo si concentra sugli elementi fisici o digitali di un attacco. Si compone principalmente di indicatori di compromissione come indirizzi IP, nomi di dominio e URL utilizzati per il phishing, hash di file e malware (MD5, SHA-256).

Qual è il rapporto con l’intelligenza artificiale?

Chiaramente, la relazione tra threat intelligence e AI è sicuramente decisiva perché grazie a questa tecnologia puoi attivare un ecosistema predittivo e altamente automatizzato. Come evidenziato dall’IBM X-Force Threat Intelligence Index, l’AI sta accelerando in modo esponenziale sia le capacità offensive dei cybercriminali, sia l’efficacia delle contromisure adattive sviluppate dalle organizzazioni per difendersi.

I gruppi criminali hanno integrato l’intelligenza artificiale generativa e l’apprendimento automatico nei loro arsenali per ottimizzare l’efficienza dei loro attacchi per creare, ad esempio, delle attività di phishing estremamente credibili, automatizzare la ricerca delle vulnerabilità, sviluppare malware più sofisticati e aumentare la velocità degli attacchi. 

Attacchi che in passato richiedevano giorni di ricognizione. Ora vengono portati a termine in poche frazioni di secondo, attivando campagne su larga scala con uno sforzo minimo. 

Per fortuna, anche le contromisure sfruttano l’intelligenza artificiale e il machine learning per migliorare le prestazioni. Le piattaforme di threat intelligence (TIP), integrate con SIEM ed EDR/XDR di nuova generazione, sfruttano l’AI per gestire una quantità di dati che nessun team umano potrebbe elaborare manualmente. In pochi passaggi possiamo:

• Correlare milioni di eventi.
• Individuare anomalie. 
• Identificare nuovi IOC.
• Automatizzare il triage degli alert. 
• Prevedere campagne malevoli. 

Monitorando le discussioni online e correlando i pattern di attacco emergenti, le piattaforme basate su AI riescono a prevedere le tecniche e i vettori che un gruppo criminale utilizzerà a breve, consentendo una difesa proattiva prima che l’attacco abbia luogo.

Come funziona la threat intelligence

Abbiamo detto che il lavoro di threat intelligence comprende la raccolta e l’elaborazione di dati grezzi sulle minacce (come un indirizzo IP sospetto o un file malevolo) in conoscenza operativa consentendo alle aziende di prevenire o bloccare gli attacchi prima che causino danni. Questo avviene grazie a un processo diviso in cinque fasi.

Raccolta delle informazioni

In questa prima fase dobbiamo filtrare il rumore di fondo. Si imposta una rete di monitoraggio ad ampie maglie che attinge sia da fonti esterne – come i bollettini dei CERT nazionali, le direttive di ENISA, i forum del dark web e i feed automatici – sia dal perimetro interno. Questo avviene integrando i dati provenienti da SIEM, EDR, firewall ed endpoint. 

Per gestire una quantità così imponente di dati si utilizzano piattaforme dedicate come le Threat Intelligence Platform per uniformare i formati dei dati tramite standard STIX/TAXII.

Analisi dei dati

Si passa alla fase analitica: dobbiamo pulire le informazioni dai falsi positivi ed effettuare la correlazione degli eventi. Un indirizzo IP o un hash malevolo non dicono molto da soli; dobbiamo collegarli per identificare i singoli indicatori di compromissione e i pattern ricorrenti, le campagne di attacco in corso, le vulnerabilità sfruttate e i cybercriminali. 

Si utilizzano, in questi casi, modelli di riferimento come il framework MITRE ATT&CK – una knowledge base di tattiche e tecniche per supportare i threat hunter – che permette di passare dalla semplice identificazione di un file malevolo alla comprensione della strategia.

Contestualizzazione

Le informazioni raccolte nelle fasi precedenti vengono adattate al contesto aziendale. Tutto è relativo in questi casi: una vulnerabilità critica per una banca potrebbe avere un impatto minimo per un’azienda manifatturiera. L’analista deve pesare la minaccia in base alla mappa degli asset interni e calcolare l’impatto in termini operativi, finanziari e reputazionali.

Distribuzione

In questa fase adattiamo il linguaggio al destinatario. I sistemi automatici di difesa (firewall, SIEM, EDR) necessitano di IOC e regole di blocco immediate; i team tecnici di SOC e Incident Response esigono report dettagliati sulle tattiche degli attaccanti per guidare le attività di bonifica. La dirigenza e il CISO hanno bisogno di sintesi strategiche sul rischio aziendale, utili per orientare le decisioni e gli investimenti in sicurezza.

Miglioramento continuo

La consegna dei report non termina il lavoro. La threat intelligence segue un percorso simile al ciclo di Deming dove si procede ciclicamente con un percorso di miglioramento continuo.

Ogni incidente gestito, attacco sventato e falso positivo identificato dà informazioni per migliorare il processo. Queste informazioni vengono usate per calibrare le fonti di raccolta, eliminare quelle poco affidabili e rendere la difesa reattiva di fronte alle minacce.

I consigli per implementare la threat intelligence

Fin qui abbiamo indicato i passaggi essenziali per organizzare un processo di threat intelligence aziendale. Ma ci sono anche delle piccole attenzioni da mettere in pratica per ottenere buoni risultati. 

In base alla nostra esperienza sul campo, ad esempio, possiamo riscontrare che gli output migliori si ottengono quando si condividono le informazioni con CERT e ISAC di settore, si definiscono gli asset critici e si utilizzano fonti affidabili. 

In questo scenario è importante integrare SIEM, SOAR ed EDR, automatizzare la correlazione degli eventi e aggiornare costantemente gli IOC. Ovvero gli indicatori di compromissione che ti permettono di ottenere informazioni concrete sulla situazione in essere. Monitorare il dark web e formare il personale sono ulteriori attenzioni che ti consentono di registrare buoni risultati.

FAQ: domande e risposte sulla threat intelligence

Le domande rispetto al tema della threat intelligence sono tante, i nostri clienti si interrogano rispetto alle reali necessità di queste attività e noi abbiamo raccolto le principali curiosità aggiungendo le risposte che spesso diamo ai contatti interessati al lavoro di CTI.

Come attivare un processo di threat intelligence?

La threat intelligence è un pilastro della cybersecurity moderna. Grazie alla raccolta e all’analisi continua delle informazioni, puoi passare a un approccio proattivo e migliorare la prevenzione delle minacce. Ma anche il rilevamento e la risposta agli incidenti. Così puoi proteggere il business e garantire la continuità operativa aziendale. 

Non è facile, però, avere dei buoni risultati se non hai un supporto adeguato al tuo fianco. Ecco perché devi chiedere il supporto di un’azienda specializzata in cybersecurity in grado di guidarti per attivare un percorso di threat intelligence adeguato alle tue necessità.