Un SOC che non correla lavora due volte sullo stesso attacco. In FortiSOAR la correlazione non è un motore separato: è il data model stesso, fatto di moduli, record e campi di relazione. Un alert si lega a un incidente, un incidente a una campagna, un indicatore a decine di alert, e ogni legame è un campo di tipo relazione definito nel Module Editor. Sapere dove si crea un legame, dove si vede e dove serve una configurazione preliminare è ciò che l’esame verifica.
Legare un record a un altro
Nel dettaglio di un record la scheda Correlations mostra le sottoschede delle entità a cui quel record è attivamente legato: incidenti, email, eventi, indicatori. Per creare un legame apri la sottoscheda dell’entità e clicchi il pulsante di collegamento, per esempio «Link Incidents» dentro la sottoscheda Incidents: si apre la finestra Change Relationship, scegli il record e confermi con Save Relationship. Per togliere un legame selezioni l’elemento e clicchi Remove Link.
Due dettagli che valgono il punto. Primo: i permessi sui record correlati sono decisi dal record padre. Se stai guardando un alert che ha un incidente collegato su cui non hai permessi, l’incidente lo vedi comunque, in sola lettura, dentro le relazioni. Secondo: rimuovere un link non cancella nulla, e nemmeno cancellare il record padre distrugge le entità collegate. La cancellazione di un record elimina i suoi dati e le sue relazioni, ma non le entità a cui era legato.
L’escalation è un legame automatico: il pulsante Escalate sul modulo Alerts, presente di default, lancia un playbook che crea l’incidente e collega l’alert al nuovo incidente e viceversa, nei due sensi. Nella griglia la colonna Escalated passa a Yes.
Correlare in automatico: alert simili e deduplica
Il motore di raccomandazione propone i record simili in base ai criteri configurati, con pesi diversi per campo (per esempio il Type pesa più della Source). Da quella lista puoi lanciare i playbook che hai abilitato, tipicamente Indicator Evaluation o Link Similar Alerts, e la casella «Include this record» decide se il playbook gira anche sul record padre. Se vuoi risolvere i duplicati tenendo aperto solo il padre, nel playbook Resolve Alert si modifica lo step Update Record inserendo nel campo Alerts della scheda Correlations questo riferimento:
vars.request.data.__parentIdSul fronte dell’ingestion, una regola di deduplica può contenere l’azione che collega il record in arrivo al record esistente che soddisfa le condizioni. Qui c’è un limite netto da ricordare: quel collegamento funziona solo sui moduli che supportano relazioni molti-a-molti verso sé stessi. Un alert si lega a un altro alert e un incidente a un altro incidente, ma un record People non si lega a un altro record People. Chi risponde «funziona su qualsiasi modulo» sbaglia la domanda intera.
Visual Correlation: il grafo non appare da solo
Il widget Visual Correlation mostra i nodi correlati a un record in forma di grafo, ma richiede due passi distinti, ed è la trappola più comune del task. Il primo è amministrativo: Settings, sezione Application Editor, Correlation Settings, dove scegli il modulo, aggiungi i moduli correlati e definisci per ciascuno Node Label, Node Shape e Node Color. Alerts, Assets, Incidents, Indicators e War Rooms sono già preconfigurati; per il modulo Alerts risultano configurati come correlati Alerts, Incidents, Indicators, Vulnerabilities e Assets. Se aggiungi un modulo non configurato devi configurare anche quello, altrimenti la correlazione non funziona. Il secondo passo è nel template: aggiungi il widget Visual Correlation alla vista di dettaglio, eventualmente come nuova scheda. Senza la configurazione amministrativa il widget semplicemente non si vede.
Il colore del nodo è guidato da un campo: Severity per alert e incidenti, Asset Criticality per gli asset, e in generale il colore assegnato al valore della picklist. La profondità di default dei nodi mostrati è 3, e da un nodo puoi fare doppio clic per andare oltre. Il grafo si legge in vista Tree, gerarchica e predefinita, con i livelli che decidi trascinando i nodi quando aggiungi il widget, oppure in vista Hub and Spoke, circolare. Dal menu contestuale di un nodo apri il record correlato nella stessa scheda o in una nuova, cosa che serve quando vuoi agire su un indicatore senza perdere il contesto del record principale. Il nodo principale non ha menu contestuale.
MITRE ATT&CK è contenuto, non piattaforma
Tattiche e tecniche non sono una funzione nativa: arrivano come solution pack. Nel Content Hub esiste il MITRE ATTACK Enrichment Framework, che porta in FortiSOAR la base di conoscenza del framework sotto forma di contenuto installabile; una volta installato, i suoi record vivono in moduli e si legano ad alert e incidenti con le stesse meccaniche di relazione viste sopra, e possono comparire nel grafo se li configuri fra i moduli correlati. Se un solution pack custom dichiara una dipendenza da un pack del repository come MITRE Framework, quel pack viene installato automaticamente insieme al tuo.
Sul mapping delle fasi, il modulo Incidents porta il campo Phase accanto a Status, e campi temporali come Containment Time e Recovery Time che alimentano i widget di aggregazione: è così che si misura quanto tempo passa fra contenimento e ripristino. Attenzione a due ultimi dettagli: Campaigns, il modulo che raccoglie incidenti riconducibili a un unico threat actor, non fa parte dei moduli di default; e disinstallare un solution pack elimina il template ma conserva i dati già prodotti sul sistema.