Specialisti DFIR: risposta agli incidenti e analisi forense

Digiventi fornisce specialisti della risposta agli incidenti che affiancano il tuo team durante sospette violazioni o attacchi in corso. Analizzano la telemetria disponibile e ricostruiscono la cronologia, distinguendo le compromissioni confermate dagli avvisi ancora da verificare.

In caso di ransomware o intrusioni condotte direttamente dagli attaccanti, ricostruiscono le attività e definiscono il perimetro di contenimento. Possono isolare i dispositivi coinvolti, revocare le sessioni compromesse, bloccare gli indicatori malevoli e coordinare l'acquisizione delle prove prima di modifiche distruttive. Le decisioni considerano le dipendenze aziendali e il rischio di interrompere servizi essenziali.

Gli analisti forensi digitali ricostruiscono gli eventi quando la causa o l'estensione dell'incidente restano incerte. Documentano le acquisizioni e gli hash crittografici, mantenendo una catena di custodia adeguata all'indagine.

• Analisi forense di dispositivi e memoria: Esaminano artefatti su disco e memoria volatile con strumenti come Velociraptor e Volatility, cercando tracce di esecuzione e meccanismi di persistenza.
• Cronologia e relazione sulle evidenze: Correlano gli artefatti dei sistemi con i log di sicurezza, distinguendo i riscontri dalle ipotesi e documentando i limiti dell'analisi. Quando necessario, concordano accesso e conservazione delle prove con i referenti legali o privacy.

Gli specialisti di risposta agli incidenti cloud indagano sulle compromissioni degli account e della posta aziendale, compreso l'abuso di accessi privilegiati. Identificano le identità utilizzate e le azioni dimostrabili attraverso i log disponibili.

• Microsoft 365 ed Entra ID: Esaminano i registri di accesso e di controllo delle caselle di posta per individuare regole di inoltro sospette o consensi non autorizzati alle applicazioni.
• Analisi del piano di controllo cloud: Esaminano AWS CloudTrail o Azure Activity Log per ricostruire modifiche non autorizzate e individuare la persistenza. Supportano la revoca degli accessi preservando le registrazioni pertinenti all'indagine.

Gli specialisti del ripristino verificano che gli accessi compromessi e i meccanismi di persistenza identificati siano stati rimossi. Dopo un ransomware, controllano l'integrità dei backup e le dipendenze di ripristino prima del rientro in servizio. La decifratura o il recupero completo dei dati non sono garantiti.

Per la preparazione continuativa, i consulenti sviluppano procedure di risposta e conducono simulazioni da tavolo su attacchi realistici. Le revisioni successive all'incidente traducono i riscontri in ticket di correzione con criteri di verifica espliciti. Le lacune nei log e i limiti di conservazione delle prove diventano modifiche da verificare prima dell'incidente successivo.