Riconoscere gli Attori di Minaccia nel Cloud: L'Analisi degli Alert con MITRE ATT&CK

Punti Chiave:

• Minaccia: Difficoltà nel distinguere attività cloud normali da attacchi mirati.
• Colpiti: Organizzazioni di tutte le dimensioni che utilizzano servizi cloud.
• Contromisura: Analisi degli alert basata sul framework MITRE ATT&CK per identificare pattern distintivi.

Distinguere Attori di Minaccia nel Cloud: Un'Analisi di Alert Basata sul Framework MITRE ATT&CK

La difficoltà nel distinguere attività cloud normali da operazioni malevole mirate da attori di minaccia noti non risiede nell'identificazione di modelli di alert complessi o nel tracciamento delle risorse, ma nell'accuratezza con cui vengono rilevate le tecniche specifiche utilizzate da questi attori nel contesto del cloud. Questa analisi esplora un nuovo approccio all'analisi degli alert, basato sulla correlazione tra eventi di alert cloud e le tattiche e tecniche associate delineate nel framework MITRE ATT&CK®. L'obiettivo è identificare pattern distintivi che permettano di riconoscere la presenza di attori di minaccia noti all'interno di un ambiente cloud.

Metodologia e Gruppi di Riferimento

La ricerca si è concentrata sull'analisi di due gruppi di attori di minaccia con approcci operativi fondamentalmente diversi: Muddled Libra (https://unit42.paloaltonetworks.com/tag/muddled-libra/) (cybercrime) e Silk Typhoon (https://www.microsoft.com/en-us/security/security-insider/threat-landscape/silk-typhoon) (nation-state). Entrambi i gruppi sono noti per la loro attività nel cloud. L'analisi ha riguardato alert cloud raccolti tra giugno 2024 e giugno 2025, abbinando le tecniche MITRE ATT&CK® utilizzate da ciascun gruppo con gli alert specifici che tendono a generare negli ambienti cloud. I risultati hanno confermato la possibilità di distinguere pattern di alert unici per ciascun gruppo, suggerendo che l'integrazione del framework MITRE ATT&CK® può fornire una maggiore granularità e precisione nella rilevazione delle minacce cloud.

Muddled Libra: Tecniche di Compromissione e Obiettivi

Muddled Libra, conosciuta anche come Scattered Spider o UNC3944, è un gruppo di cybercriminali attivo dal 2021, noto per l'uso di tecniche di social engineering, tra cui smishing, vishing e spear phishing. Il gruppo collabora spesso con programmi ransomware-as-a-service (RaaS) e aggiorna costantemente le proprie tattiche. I settori più frequentemente presi di mira includono:

• Aerospace e difesa
• Servizi finanziari
• Alta tecnologia
• Ospitalità
• Media e intrattenimento
• Servizi professionali e legali
• Telecomunicazioni
• Trasporti e logistica
• Commercio all'ingrosso e al dettaglio

Per identificare l'attività di Muddled Libra, sono state analizzate le tecniche specifiche utilizzate nel cloud, come mostrato nella Tabella 1.

Tabella 1: Tecniche Cloud di Muddled Libra

| MITRE Tattiche | MITRE Tecniche | Nome Tecniche MITRE | |---|---|---| | Collection | T1578.002, T1078.004, T1069.003, T1087.004, T1526, T1538, T1580, T1021.007, T1098.001, T1098.003 | | È importante notare che un singolo evento di alert può essere associato a più tecniche MITRE ATT&CK®.

Silk Typhoon: Un Attore di Minaccia Nation-State

Silk Typhoon (https://www.microsoft.com/en-us/security/security-insider/threat-landscape/silk-typhoon) è un gruppo di attori di minaccia con legami a un governo nazionale. I dettagli specifici delle loro tattiche e obiettivi non sono ampiamente disponibili pubblicamente, ma la loro attività è stata collegata a operazioni di spionaggio e raccolta di informazioni.

Analisi degli Alert: Oltre la Sostanza, alla Forma

L'approccio utilizzato per l'analisi degli alert può essere paragonato all'osservazione di diversi tipi di frutta in un cesto. Ogni gruppo di attori di minaccia ha un "cesto" unico di alert, con una combinazione diversa di tipi di alert. Ad esempio, se si osservano 10 arance, 14 limoni e così via, confrontando questa "composizione" con i "cestini" noti di Muddled Libra e Silk Typhoon, è possibile formulare un'ipotesi ragionevole sull'attore di minaccia coinvolto. L'analisi ha considerato:

• Nomi degli alert
• Piattaforme di origine
• Date degli alert
• Metadati come settore, regione, frequenza di occorrenza e numero medio di occorrenze per organizzazione.

Integrazione del Framework MITRE ATT&CK® e Correlazione con i Dati Aziendali

L'integrazione del framework MITRE ATT&CK® è cruciale per comprendere il contesto degli alert e correlarli a specifiche tattiche e tecniche di attacco. Questo permette di passare da una semplice segnalazione di un evento anomalo a una comprensione più approfondita dell'attacco in corso. Ad esempio, un alert riguardante una "modifica anomala delle risorse da parte di un nuovo utente IAM" potrebbe essere collegato alla tecnica MITRE ATT&CK® "Valid Accounts: Cloud Accounts". Questa correlazione fornisce informazioni preziose sull'attività dell'attaccante e permette di intraprendere azioni di risposta appropriate.

Conclusioni

L'analisi degli alert basata sul framework MITRE ATT&CK® offre un approccio più preciso e contestualizzato per la rilevazione di attori di minaccia nel cloud. La capacità di distinguere i pattern di alert unici per ciascun gruppo, come Muddled Libra e Silk Typhoon, può migliorare significativamente la capacità di un'organizzazione di identificare e rispondere alle minacce in modo efficace. L'adozione di questo approccio richiede una comprensione approfondita del framework MITRE ATT&CK® e una capacità di integrare i dati degli alert con altre informazioni contestuali.