La digital forensics analizza ciò che un attaccante ha lasciato dietro di sé, mentre l’attribuzione cerca di ricostruire chi ha agito e come. Per farlo in modo strutturato, un analista SecOps non si affida all’intuito ma a framework di riferimento che descrivono il comportamento dell’avversario. I tre più diffusi — Cyber Kill Chain, MITRE ATT&CK e Diamond Model — non sono alternativi: raccontano lo stesso incidente da angolazioni diverse.

Tre modelli, tre prospettive

Cyber Kill Chain (Lockheed Martin)

Descrive un’intrusione come una sequenza lineare di 7 fasi: Reconnaissance, Weaponization, Delivery, Exploitation, Installation, Command & Control (C2), Actions on Objectives. È utile per capire a che punto si è interrotta (o va interrotta) la catena: spezzare anche un solo anello blocca l’attacco. Il limite è la rigidità sequenziale, poco adatta ad attacchi moderni con movimenti laterali ripetuti.

MITRE ATT&CK Matrix

È una knowledge base di comportamenti reali osservati, organizzata in Tactics (il perché, l’obiettivo — es. Initial Access, Persistence, Privilege Escalation, Exfiltration) e Techniques/Sub-techniques (il come, es. Phishing, Valid Accounts). Ogni tecnica ha un ID (es. T1566). ATT&CK descrive il “come” con un dettaglio che la Kill Chain non ha, ed è oggi lo standard per mappare le TTP e per il threat hunting.

Diamond Model

Modella ogni evento di intrusione con quattro vertici collegati: Adversary, Capability, Infrastructure, Victim. La forza del modello è mostrare le relazioni: se due incidenti diversi condividono la stessa Infrastructure (es. un dominio C2) o la stessa Capability (uno specifico malware), si possono raggruppare e ricondurre allo stesso Adversary. È il modello più orientato all’attribuzione.

Modello Prospettiva Punto di forza
Cyber Kill Chain Fasi sequenziali dell’attacco Individuare dove interrompere
MITRE ATT&CK Tattiche e tecniche (TTP) Descrivere come agisce
Diamond Model Relazioni tra entità Correlare eventi e attribuire

Le TTP come impronta comportamentale

Le Tactics, Techniques and Procedures sono la “firma comportamentale” di un attore. Le Procedures — l’implementazione concreta di una tecnica — sono la parte più difficile da cambiare per l’avversario: mentre un IP o un hash cambiano in minuti (indicatori “fragili”), il modus operandi resta stabile. Per questo le TTP stanno in cima alla Pyramid of Pain: rilevarle e bloccarle causa il massimo disagio all’attaccante.

Raccolta delle evidenze (artifacts)

L’attribuzione si regge sulle evidenze raccolte durante l’incident response. Le fonti principali:

  • Volatili: contenuto della RAM, processi in esecuzione, connessioni di rete attive, cache ARP.
  • Non volatili: immagini disco, log di sistema e applicativi, file di configurazione, metadati e timestamp.
  • Di rete: cattura pacchetti (PCAP), record NetFlow, log di firewall (es. Firepower) e proxy, log di autenticazione (es. Cisco ISE).

Vale l’order of volatility: si raccoglie prima ciò che si perde più facilmente (memoria e stato di rete) e solo dopo il disco. Ogni reperto va acquisito preservando l’integrità — hashing (es. SHA-256) prima/dopo la copia, uso di write blocker — e tracciato lungo la chain of custody per restare valido come prova.

Attribuzione: probabilistica, non certa

Correlando TTP ricorrenti, infrastrutture riutilizzate e capability condivise si arriva a ipotizzare un attore. Ma l’attribuzione resta probabilistica: gli avversari usano false flag (deliberate tracce fuorvianti), infrastrutture compromise di terzi e tool pubblici per confondere le acque. Un analista corretto ragiona per livello di confidenza, non per certezza assoluta.

Trappole tipiche d’esame

  • “Quale modello devo scegliere al posto degli altri?” → Trappola: i modelli sono complementari, non alternativi. Kill Chain per le fasi, ATT&CK per le TTP, Diamond per le relazioni/attribuzione.
  • “L’analisi indica con certezza il gruppo X.” → Risposta giusta: l’attribuzione è probabilistica; le false flag possono ingannare. Si esprime un livello di confidenza.
  • “In un incidente attivo raccogli prima l’immagine del disco.” → Errato: si segue l’order of volatility, prima la RAM e lo stato di rete, poi il disco.
  • “Nella matrice ATT&CK, Phishing è una Tactic.” → No: Phishing è una Technique; la Tactic corrispondente è Initial Access (la Tactic è il perché, la Technique è il come).
  • “Per attribuire conviene basarsi su IP e hash.” → Sono indicatori fragili e facilmente mutabili; le TTP/Procedures sono l’impronta più stabile (Pyramid of Pain).