Due filosofie di detection a confronto

Nel Security Operations Center convivono due approcci complementari per riconoscere un’attività malevola nel traffico e sugli host. Comprenderne forze e limiti è centrale per il ruolo dell’analista di livello 1.

La detection signature-based (detta anche rule-based o pattern-matching) confronta ciò che osserva con un catalogo di firme note. È il modello degli IDS/IPS: Snort e il motore integrato in Cisco Secure Firewall (Firepower/FTD) ispezionano i pacchetti e scattano quando un flusso corrisponde a una regola. Una firma Snort tipica descrive protocollo, porte, direzione e contenuto (content:, pcre:) di un exploit conosciuto.

alert tcp any any -> $HOME_NET 445 (msg:"EternalBlue SMB exploit";
  content:"|FF|SMB"; flow:to_server,established; sid:1000001;)

Punti di forza: altissima precisione, bassissimo tasso di falsi positivi, verdetto immediato e spiegabile (l’analista sa esattamente quale firma è scattata). Limite strutturale: rileva solo ciò che qualcuno ha già catalogato. Contro uno zero-day, un malware polimorfico o un exploit mai visto, la firma semplicemente non esiste e la minaccia passa indisturbata.

La detection behavioral (o anomaly-based / statistical) rovescia la logica. Invece di descrivere il male, costruisce una baseline del comportamento normale — volumi di traffico, orari, peer abituali, protocolli, quantità di dati trasferiti — e segnala le deviazioni statisticamente significative. Non serve conoscere in anticipo la minaccia: un host che di colpo apre migliaia di connessioni in uscita, esegue data exfiltration verso una destinazione mai contattata o mostra beaconing verso un C2 viene evidenziato come anomalo anche se privo di firma.

Caratteristica Signature-based Behavioral / anomaly
Cosa cerca Pattern noti Deviazioni dalla baseline
Zero-day / minacce ignote Non rilevabili Rilevabili
Falsi positivi Bassi Più alti (baseline da tarare)
Spiegabilità Alta (SID preciso) Interpretativa
Fase di apprendimento Non necessaria Necessaria (learning period)

NDR e Cisco Secure Network Analytics

L’approccio behavioral applicato all’intera rete prende il nome di NDR (Network Detection and Response). Il prodotto Cisco di riferimento è Secure Network Analytics, storicamente noto come Stealthwatch.

La sua caratteristica chiave è che non ispeziona il payload: si basa sui metadati di flusso, principalmente NetFlow (e IPFIX), esportati da router, switch e firewall. Analizzando i record di flusso, costruisce un profilo comportamentale di ogni host e rileva pattern sospetti. Componenti tipici:

  • Flow Collector — raccoglie e deduplica i record NetFlow provenienti dai dispositivi di rete (exporter).
  • Flow Sensor — genera telemetria dove i device non esportano NetFlow nativamente.
  • Management Console (SMC) — motore di analisi, baseline e allarmi.

Poiché lavora sui metadati, Secure Network Analytics mantiene visibilità anche sul traffico cifrato senza decrittarlo: con la tecnica ETA (Encrypted Traffic Analytics) analizza caratteristiche del flusso TLS (es. sequenza e lunghezza dei pacchetti) per stimare la presenza di malware dentro sessioni HTTPS. È esattamente ciò che un IDS signature-based, cieco davanti alla cifratura, non può fare.

Il ruolo del SIEM nella correlazione

Nessuno dei due approcci vive isolato. Il SIEM (Security Information and Event Management) è il livello di correlazione: aggrega log ed eventi da sorgenti eterogenee — allarmi IPS signature-based, anomalie NDR, log di firewall, autenticazioni, endpoint — e li mette in relazione. Un evento isolato può essere rumore; la correlazione di più segnali (firma IPS + spike anomalo NetFlow + login anomalo) trasforma indizi deboli in un incident affidabile e ne riduce i falsi positivi. In un SOC Cisco questo si integra tipicamente con SecureX/XDR per l’orchestrazione della risposta.

In sintesi: signature e behavioral non sono alternative da scegliere, ma strati che si rafforzano a vicenda. La firma dà precisione sul noto; il behavioral dà copertura sull’ignoto; il SIEM cuce insieme il quadro.

Trappole tipiche d’esame

  • Scenario: viene chiesto quale metodo rileva un attacco zero-day / malware senza firma nota → la risposta corretta è behavioral/anomaly-based. La signature-based, per definizione, non può rilevare ciò che non è ancora catalogato.
  • Scenario: “quale detection genera più falsi positivi?” → behavioral/anomaly, perché dipende da una baseline che va appresa e tarata; la signature-based è precisa ma cieca sull’ignoto.
  • Scenario: monitorare comportamenti di rete anomali usando NetFlow senza analizzare il payload → Cisco Secure Network Analytics (Stealthwatch), soluzione NDR flow-based; non è un IPS che ispeziona i pacchetti.
  • Scenario: si menzionano Snort o le regole di Firepower → è detection signature/rule-based, non behavioral. Non confondere la presenza di regole con l’analisi comportamentale.
  • Scenario: correlare eventi da più sorgenti eterogenee per ridurre i falsi positivi → è compito del SIEM, non dell’IDS né dell’NDR presi singolarmente.