Perché partire dal panorama delle minacce
Progettare una security architecture significa prima capire cosa stiamo respingendo. Il blueprint SCOR chiede di classificare le minacce e di ragionare su come il rischio cambia quando lo stesso workload vive on-prem, in ambiente ibrido o interamente in cloud. La superficie d’attacco non è statica: sposta perimetro, identità e telemetria, e con essa cambiano i controlli che consideriamo “primari”.
Tassonomia del malware e degli attacchi
| Categoria | Meccanismo chiave | Rischio prevalente per ambiente |
|---|---|---|
| Worm | Auto-propagazione senza interazione utente, sfrutta vulnerabilità di rete | Alto on-prem (movimento laterale est-ovest in LAN piatte, VLAN senza microsegmentazione) |
| Trojan | Codice malevolo mascherato da software legittimo, richiede esecuzione | Trasversale; endpoint come vettore, poi C2 in uscita |
| Ransomware | Cifratura dati + estorsione, spesso preceduto da trojan/loader | Ibrido: cifra file share on-prem e propaga a storage cloud sincronizzato |
| Phishing / social engineering | Manipola la persona, non la macchina | Cloud/ibrido: furto credenziali → account takeover di identità SaaS/IdP |
| MITM | Intercetta/altera traffico (ARP spoofing, rogue AP, SSL stripping) | On-prem su L2; in cloud mitigato da TLS e mutual auth, ma vivo su reti di transito |
Concetto d’esame: il rischio non dipende solo dal malware ma da dove risiede l’asset. In cloud il perimetro di rete si assottiglia e l’identità diventa il nuovo perimetro: il phishing che ruba credenziali federate è spesso più pericoloso di un worm, perché bypassa i controlli di rete. On-prem, al contrario, un worm su una LAN senza segmentazione è devastante.
Attacchi volumetrici DDoS: reflection e amplification
Gli attacchi volumetrici puntano a saturare banda o risorse. Due tecniche vanno tenute distinte con precisione.
- Reflection: l’attaccante invia richieste a server di terze parti (reflector) usando lo spoofing dell’IP sorgente, impostandolo come quello della vittima. Le risposte vengono quindi “riflesse” verso il bersaglio. Serve a nascondere l’origine e a distribuire la sorgente del traffico.
- Amplification: proprietà per cui la risposta è molto più grande della richiesta. Si misura con l’amplification factor (rapporto byte risposta / byte richiesta).
I due concetti quasi sempre coesistono (reflection + amplification), ma non sono sinonimi: la reflection nasconde il mittente, l’amplification moltiplica il volume. Un attacco può essere reflection senza amplificazione significativa; l’amplificazione, invece, richiede quasi sempre reflection su protocolli UDP (connectionless, quindi facilmente spoofabile).
Fattori di amplificazione tipici (valori di riferimento US-CERT):
| Protocollo | Amplification factor (circa) |
|---|---|
| DNS | 28–54x |
NTP (comando monlist) |
circa 556x |
| memcached | fino a circa 10.000–51.000x |
Il precondizionamento comune è UDP + source IP spoofing: TCP, con il three-way handshake, rende lo spoofing molto più difficile. Difese chiave: anti-spoofing (BCP 38 / uRPF), rate limiting, e servizi di scrubbing/clean-pipe upstream.
Threat intelligence: authored, shared, consumed
La security intelligence segue un ciclo:
- Authored — un team di ricerca (es. Cisco Talos, uno dei più grandi al mondo) analizza telemetria globale, sandbox e honeypot per produrre indicatori: IP, domini, URL, hash di file malevoli.
- Shared — gli indicatori si scambiano con standard aperti: STIX (formato dati per descrivere IoC e TTP) e TAXII (protocollo di trasporto/subscription per distribuire i feed STIX).
- Consumed — i controlli di sicurezza ingeriscono i feed e li applicano.
In pratica Cisco, alimentandosi da Talos, distribuisce Security Intelligence feed dinamici. Su FTD (Firepower Threat Defense) la funzione Security Intelligence applica blocklist di IP/URL/DNS prima dell’ispezione approfondita (Access Control), scartando in anticipo il traffico verso indicatori noti-malevoli. Cisco Umbrella agisce a livello DNS, bloccando la risoluzione verso domini malevoli/C2 ancora prima che si stabilisca la connessione. È possibile integrare feed di terze parti via STIX/TAXII accanto a quelli Talos.
Trappole tipiche d’esame
- “L’attacco DNS restituisce risposte molto più grandi delle query” → è amplification (il fattore è la moltiplicazione del volume), tipicamente combinato con reflection. Non chiamarlo semplicemente “reflection”.
- “L’attaccante falsifica l’IP sorgente per dirottare le risposte verso la vittima” → questa è la definizione di reflection; lo spoofing serve a riflettere, non ad amplificare di per sé.
- “Bloccare traffico verso IP/URL malevoli noti prima dell’Access Control su Firepower” → Security Intelligence su FTD, alimentata da Talos; non è la policy di Access Control né IPS.
- “Standard per condividere indicatori di minaccia tra organizzazioni” → STIX (formato) trasportato da TAXII (protocollo). Non confondere il formato con il trasporto.
- “Rischio maggiore in ambiente cloud/SaaS” → spesso phishing/account takeover dell’identità federata, non il worm di rete: in cloud l’identità è il perimetro.