Attacchi 4 volte più veloci nel 2026: come difendere le aziende con un SOC moderno

Cibercriminali quattro volte più rapidi nell'esfiltramento dati

Il 2026 Unit 42 Global Incident Response Report di Palo Alto Networks rappresenta un allarme concreto per le aziende: gli attori delle minacce agiscono ora quattro volte più velocemente rispetto al 2025 nel raggiungere l'esfiltramento dei dati. Questo drastico aumento della velocità è reso possibile dall'attacco simultaneo a tre o più superfici, sfruttando i punti ciechi creati da una eccessiva dipendenza dai dati degli endpoint.

Superficie di attacco in espansione

Se l'endpoint rimane una linea di difesa cruciale, la rapida proliferazione di servizi cloud, microservizi e utenti remoti ha ampliato la superficie di attacco oltre le capacità di monitoraggio di qualsiasi singolo strumento. Nel 75% degli incidenti analizzati da Unit 42, prove critiche dell'intrusione iniziale erano presenti nei log. Tuttavia, a causa di sistemi complessi e frammentati, queste informazioni non erano facilmente accessibili o utilizzabili, permettendo agli attaccanti di sfruttare le lacune senza essere rilevati. Per stare al passo, i SOC devono evolversi per raccogliere e correlare telemetrie provenienti da tutto il panorama organizzativo.

Le zone invisibili dell'attacco

Gli ambienti IT sono generalmente composti da zone distinte: gestione dell'identità e accesso (IAM), asset cloud, tecnologia operativa (OT), Internet of Things (IoT) e workload di intelligenza artificiale, ciascuna con le proprie necessità di logging e sicurezza. Sebbene esistano strumenti specifici per proteggere gli asset in ogni zona, i SOC devono essere in grado di analizzare in modo olistico i log e gli allarmi provenienti da queste zone e utilizzare gli strumenti di sicurezza corrispondenti per contrastare le minacce.

I limiti dell'approccio basato su endpoint

Unit 42 ha identificato tre scenari specifici in cui un approccio basato esclusivamente sugli endpoint fallisce nel fornire una visione completa:

• Il pivot cloud-to-endpoint: Quando gli attaccanti ottengono l'accesso tramite una chiave di accesso al servizio cloud mal configurata, possono pivotare verso gli endpoint nascondendo le loro tracce dagli agenti EDR. Dalla console cloud, possono pivotare verso un server ospitato nel cloud per iniziare la scoperta. Per un SOC che monitora solo gli endpoint, l'ingresso iniziale e la manipolazione della console sono invisibili, e l'attività dell'attaccante può apparire come un login legittimo, aumentando la probabilità di un falso negativo durante la triage di questo evento.
• C2 covert e furto di identità: Immaginate un attaccante che utilizza il tunneling DNS verso una posizione di archiviazione cloud per controllare un dispositivo compromesso. Per utilizzare applicazioni legittime per mascherare la loro attività, devono rubare credenziali e possono scatenare allarmi di viaggio impossibile in più applicazioni software-as-a-service (SaaS). Se il SOC cerca solo malware sul dispositivo, mancherà il compromesso a livello di identità che avviene nella rete e nei fornitori cloud.
• La minaccia degli asset rogue: Shadow IT e dispositivi non gestiti sono intrinsecamente opachi. Poiché questi dispositivi spesso mancano di agenti di sicurezza, sono frequentemente invisibili agli strumenti tradizionali di rilevamento e risposta degli endpoint e di gestione delle informazioni e degli eventi di sicurezza. Gli attaccanti spesso introducono i propri dispositivi rogue per mantenere la persistenza. Senza un monitoraggio continuo della rete e una gestione esterna della superficie di attacco, questi asset rimangono porte aperte per il movimento coperto.

Una strategia di difesa multi-superficie

Per contrastare queste minacce, Unit 42 raccomanda una strategia di "single-pane-of-glass" alimentata da una piattaforma SOC basata su intelligenza artificiale come Cortex XSIAM. Questo approccio si basa su due principi fondamentali: tutti i log di sicurezza devono risiedere in un unico repository e tutti gli allarmi devono essere elaborati in un workbench centralizzato.

Integrando dati provenienti da tutte le 10 zone IT - inclusi codice, comunicazioni e AI - il SOC può sfruttare il machine learning per:

• Stitching degli allarmi: Connettere automaticamente eventi provenienti da diverse zone in una timeline coerente
• Scoring degli incidenti basato su ML: Prioritizzare le minacce in base all'impatto aziendale e al rischio utente
• Analisi del comportamento degli utenti e delle entità: Rilevare comportamenti anomali che segnalano credenziali compromesse prima che causino un impatto materiale

Questa integrazione migliora la vita degli analisti riducendo la fatica degli allarmi e fornendo alla direzione una chiara visibilità sui carichi di lavoro e sulle metriche di performance.

Verso un SOC moderno

La transizione a una difesa multi-superficie abilitata dall'IA è l'unico modo per contrastare gli attaccanti che prosperano nelle lacune tra strumenti isolati. Per garantire che il vostro SOC sia ottimamente attrezzato per questa sfida, considerate di valutare la vostra visibilità attuale attraverso una valutazione formale.

Unit 42 Frontier AI Defense è un servizio di élite che utilizza l'accesso a modelli di frontiera per identificare i probabili percorsi di attacco della vostra organizzazione prima che gli attaccanti possano strumentarli.