L’analisi dei dati di rete è il cuore delle attività di security operations (SecOps): significa raccogliere, correlare e interpretare le evidenze prodotte da sistemi, host e apparati per capire se sta accadendo qualcosa di anomalo. Il principio guida è semplice: non puoi riconoscere ciò che è “strano” se prima non hai definito ciò che è “normale”. Questa unità collega packet capture, log, baseline, alert IPS e verifica di integrità tramite hashing.
Packet capture: guardare dentro il traffico
Un packet capture (spesso chiamato PCAP) registra i pacchetti che transitano su un segmento di rete, permettendo l’analisi a livello di header e payload. È lo strumento più granulare per un analista: consente di ricostruire una sessione TCP, individuare porte inattese, protocolli non autorizzati o pattern di command-and-control.
- Full packet capture: cattura tutto, massima visibilità ma alto costo di storage.
- Metadati/flow (NetFlow, IPFIX): registrano solo “chi ha parlato con chi, quando, quanto” senza payload. Ideali per rilevare volumi anomali (es. data exfiltration) con footprint ridotto.
Per acquisire traffico si usano tipicamente uno SPAN port (port mirroring) o un network TAP sullo switch, così da inviare una copia dei pacchetti al sensore.
I tipi di log
I log sono la memoria della rete. Un analista deve saperli distinguere per fonte:
| Tipo di log | Origine | Esempi di evidenza |
|---|---|---|
| Host log | Endpoint / OS | Login riusciti/falliti, creazione processi, modifiche a file |
| Network log | Firewall, router, switch, IPS | ACL deny, sessioni NAT, connessioni bloccate/permesse |
| Application log | Web server, DB, servizi | Errori HTTP, query anomale, transazioni |
La correlazione di queste fonti — tipicamente in un SIEM — trasforma eventi isolati in una narrazione coerente. Un login fallito ripetuto (host log) seguito da una connessione in uscita insolita (network log) racconta molto più dei singoli eventi.
La baseline: il metro di misura
Una baseline è la fotografia quantitativa del comportamento normale della rete e degli host in un periodo rappresentativo: volumi di traffico per ora del giorno, protocolli tipici, host che comunicano abitualmente, numero medio di sessioni, utilizzo di CPU/banda.
Il suo valore è comparativo: ogni misura successiva viene confrontata con la baseline e ciò che se ne discosta in modo significativo diventa un’anomalia da investigare. Esempi classici:
- Traffico verso un paese o un IP mai contattato prima.
- Un picco di DNS query fuori orario (possibile tunneling).
- Un host che improvvisamente genera traffico SMB o SSH verso decine di destinazioni (lateral movement).
Una baseline efficace deve essere aggiornata: reti e abitudini cambiano, e una baseline obsoleta produce falsi positivi o, peggio, considera “normale” un comportamento già compromesso.
Alert IPS: rilevamento in tempo reale
Un IPS (Intrusion Prevention System) ispeziona il traffico e genera alert quando riconosce attività ostile, potendo anche bloccarla (a differenza dell’IDS, che solo rileva). Due approcci principali:
- Signature-based: confronta il traffico con firme di attacchi noti. Preciso sul noto, cieco sullo zero-day.
- Anomaly-based: usa proprio la baseline per segnalare deviazioni; capace di cogliere minacce nuove ma più soggetto a false positive.
Gli alert vanno triageati: severità, contesto e correlazione con i log decidono se si tratta di un vero incidente o di rumore.
Hashing e integrità dei dati
L’hashing applica una funzione (es. SHA-256) che produce un valore di lunghezza fissa (digest) univoco per un dato. Serve a garantire l’integrity: se anche un solo bit cambia, l’hash cambia radicalmente (effetto valanga).
Usi tipici in SecOps:
- Verifica di file/immagini: si confronta l’hash calcolato con quello pubblicato per rilevare manomissioni.
- Chain of custody delle evidenze: si calcola l’hash di un PCAP o di un disco al momento dell’acquisizione; se in seguito il digest coincide, si prova che l’evidenza non è stata alterata.
Nota bene: l’hashing garantisce integrità, non riservatezza. MD5 e SHA-1 sono deprecati per collisioni; si preferisce la famiglia SHA-2.
Trappole tipiche d’esame
- Nessuna baseline disponibile → è impossibile distinguere traffico anomalo da legittimo. Serve prima definire il “normale”: senza baseline ogni anomaly detection perde di senso.
- Devi verificare che un file/evidenza non sia stato modificato → usa l’hashing (SHA-256), non la cifratura. L’integrità si prova confrontando i digest.
- L’IPS deve fermare un attacco zero-day mai visto → serve rilevamento anomaly-based (basato su baseline), non signature-based. Le firme coprono solo attacchi noti.
- Devi rilevare data exfiltration su grandi volumi con storage limitato → usa flow data (NetFlow/IPFIX), non full packet capture. I metadati bastano a vedere volumi e destinazioni anomale.
- Un solo login fallito non basta a dichiarare un incidente → correla host, network e application log. La verità emerge dalla correlazione, non dal singolo evento.