EVACTI: Trasformare la Cyber Threat Intelligence da Informazione a Azione Concreta

Introduzione: Il Diluvio di Dati nella Cybersecurity

Parliamoci chiaro: nel mondo della cybersecurity, siamo letteralmente sommersi da informazioni. Ogni giorno sentiamo parlare di Cyber Threat Intelligence (CTI) come la panacea per tutti i mali digitali. Ci viene detto che analizzare gli incidenti passati ci aiuterà a gestire le minacce future. Ed è vero, in linea di principio. Ma c’è un “ma” grande come una casa: siamo sicuri che tutta questa intelligence sia davvero utilizzabile? Che sia, come dicono gli esperti, “azionabile”?

Ecco, l’azionabilità è la parola chiave. Significa semplicemente: questa informazione mi serve concretamente a prendere decisioni migliori, a implementare misure di sicurezza efficaci, a tappare le falle prima che sia troppo tardi? Perché diciamocelo, ricevere un report di 100 pagine pieno di tecnicismi astrusi potrebbe non essere esattamente la cosa più utile del mondo quando hai un attacco in corso.

Il problema è che valutare questa “azionabilità” è un vero rompicapo. E qui entra in gioco la necessità di un metodo, una sorta di bussola per navigare in questo mare magnum di dati.

Il Nocciolo del Problema: Perché Valutare è Così Difficile?

Vi siete mai chiesti perché è così complicato capire se un pacchetto di CTI (che chiameremo CTIP, Cyber Threat Intelligence Product, quando è strutturato) sia davvero utile? I motivi sono principalmente due, e sono piuttosto fastidiosi:

• Variabilità: Immaginate un mondo in cui ogni cuoco usa unità di misura diverse. Uno usa i grammi, uno le tazze, un altro “un pizzico abbondante”. Come fate a seguire una ricetta o a confrontare due piatti? Ecco, nel mondo della CTI succede qualcosa di simile. Ogni organizzazione, ogni analista, usa spesso criteri diversi (fiducia, reputazione, rilevanza, tempestività…) per valutare l’azionabilità. Risultato? Valutazioni inconsistenti e impossibili da confrontare. Un caos.
• Soggettività: Molti approcci attuali guardano solo al contenuto del CTIP. È dettagliato? Sì. È scritto bene? Forse. Ma si dimenticano il contesto! Un’informazione super dettagliata su una minaccia che colpisce solo sistemi Windows potrebbe essere inutile per un’azienda che usa solo Mac, no? Oppure, un CTIP potrebbe essere in un formato dati che i sistemi dell’azienda non riescono nemmeno a leggere. Valutare senza considerare chi riceve l’informazione e come può usarla è come dare indicazioni stradali senza sapere se l’altra persona ha una macchina, una bici o solo le sue gambe. È una valutazione monca, soggettiva.

Aggiungiamoci che spesso si ignora l’intero “viaggio” dell’informazione: da chi la produce, a come viene diffusa, a chi la consuma. Ogni fase ha le sue sfide e influisce sull’utilità finale.

La Soluzione si Chiama EVACTI

Ed è qui che entra in scena EVACTI (Evaluating the Actionability of Cyber Threat Intelligence). Non è solo un acronimo accattivante, ma una nuova metodologia pensata proprio per mettere ordine in questo caos. L’idea di fondo è semplice ma potente: valutare l’azionabilità dei CTIP in modo completo e contestualizzato.

Come fa? Principalmente attraverso tre pilastri:

1. Considera l’Intero Ciclo di Vita: EVACTI non guarda solo al prodotto finito, ma all’intero percorso della CTI: produzione, disseminazione e consumo. Capisce che l’azionabilità non è un valore fisso, ma cambia a seconda di chi la valuta (chi produce vs. chi consuma) e quando.
2. Usa Criteri Standardizzati: Basta con il “far west” dei criteri! EVACTI adotta un set ben definito e riconosciuto di criteri di azionabilità proposto dall’ENISA (l’Agenzia dell’Unione Europea per la Cybersecurity). Questo mette tutti sulla stessa pagina e combatte la variabilità.
3. Mette il Contesto al Centro: EVACTI sa che un’informazione non vive nel vuoto. Considera il contesto operativo sia di chi produce l’intelligence sia di chi la riceve (settore industriale, obiettivi di business, infrastruttura tecnologica, ecc.). Questo approccio mirato combatte la soggettività.

Come Funziona EVACTI in Pratica?

EVACTI non si limita a dire “usate questi criteri”, ma propone anche come valutarli nelle diverse fasi.

Un Viaggio in Tre Tappe: Il Ciclo di Vita della CTI secondo EVACTI

Immaginiamo il viaggio di un CTIP:

• Produzione: Qui l’entità (il “produttore”) crea il CTIP. Già in questa fase, EVACTI spinge il produttore a valutare l’azionabilità secondo i criteri ENISA, pensando a chi potrebbe ricevere quell’informazione. Questo permette di “aggiustare il tiro” prima ancora di condividere il CTIP.
• Disseminazione: Il CTIP viene condiviso, magari direttamente o tramite piattaforme apposite (come MISP).
• Consumo: L’entità ricevente (il “consumatore”) prende il CTIP. Ora tocca a lei rivalutare l’azionabilità, ma questa volta basandosi sul proprio specifico contesto operativo. L’informazione è rilevante per il mio settore? I miei sistemi possono processarla? È arrivata in tempo utile?

Questo doppio livello di valutazione (produttore e consumatore) è cruciale.

I Fantastici Cinque: I Criteri ENISA al Microscopio di EVACTI

EVACTI si basa sui 5 criteri chiave identificati da ENISA. Vediamoli brevemente e come EVACTI li interpreta:

• Rilevanza: Il CTIP è pertinente per il settore, l’infrastruttura o gli obiettivi del consumatore? EVACTI suggerisce di usare informazioni come il settore industriale (magari specificato usando standard come STIX) per valutarla. Se il CTIP riguarda il settore bancario e io sono una banca, bingo!
• Completezza: Il CTIP contiene abbastanza informazioni per essere utile? EVACTI propone di guardare a quanti campi opzionali (ma utili) sono stati compilati all’interno del formato strutturato (es. STIX). Più dettagli ci sono, meglio è (in genere).
• Tempestività: L’informazione è arrivata in tempo utile? La CTI invecchia rapidamente! EVACTI usa i timestamp presenti nel CTIP (creazione, ultima modifica) per stimare quanto tempo è passato dalla “nascita” dell’informazione alla sua ricezione, confrontandolo con soglie massime accettabili.
• Accuratezza: L’informazione è corretta? Non ci sono errori, falsi positivi (allarmi inutili) o falsi negativi (minacce reali non segnalate)? EVACTI suggerisce di valutare sia la conformità allo schema tecnico (es. STIX) sia la correttezza del contenuto, magari verificando con fonti OSINT (Open Source Intelligence) come VirusTotal.
• Ingestibilità: Il CTIP è in un formato che i sistemi del consumatore possono “digerire” automaticamente? Se un CTIP è in formato STIX ma i sistemi del consumatore non lo supportano, l’ingestibilità è zero, e questo può azzerare l’intera azionabilità del CTIP, anche se fosse perfetto su tutti gli altri fronti! EVACTI dà un peso fondamentale a questo aspetto pratico.

Mettere i Puntini sulle ‘i’: La Valutazione Complessiva

EVACTI non si ferma ai singoli criteri. Propone una formula (tranquilli, non la mettiamo qui!) per combinare i punteggi dei singoli criteri in un valore di azionabilità complessivo, sia per la fase di produzione che per quella di consumo. La cosa interessante è che l’Ingestibilità agisce come un “interruttore”: se è zero, l’azionabilità totale va a zero. Logico, no? Se non puoi nemmeno leggere l’informazione, a che serve?

Perché EVACTI Cambia le Regole del Gioco? I Vantaggi

Ok, tutto molto bello, ma in pratica, a cosa serve EVACTI?

• Per i Produttori di CTI: Li spinge a creare intelligence di qualità superiore fin dall’inizio. Valutando l’azionabilità prima della condivisione, possono identificare punti deboli (es. scarsa completezza) e migliorare il CTIP. Inoltre, possono comunicare in modo trasparente il livello di azionabilità stimato.
• Per i Consumatori di CTI: Permette loro di prendere decisioni rapide e informate. Possono usare la valutazione del produttore come primo filtro e poi fare la propria valutazione specifica per il loro contesto. Questo aiuta a dare priorità ai CTIP più utili, ottimizzando risorse preziose (tempo, personale). Immaginate una piccola organizzazione con risorse limitate: poter contare su una valutazione iniziale affidabile è un aiuto enorme!
• Trasparenza nella Condivisione: EVACTI propone persino un modo per “impacchettare” i risultati della valutazione (il punteggio generale e quelli dei singoli criteri) all’interno del CTIP stesso, usando un oggetto STIX personalizzato (chiamato “Actionability SDO”). Questo rende la condivisione dei valori di azionabilità strutturata e trasparente.
• Meno Caos, Più Collaborazione: Usando criteri standard e un approccio contestualizzato, EVACTI promuove una maggiore coerenza e comprensione reciproca tra chi produce e chi consuma CTI, rafforzando la cybersecurity collaborativa.

Un Passo Avanti Rispetto al Passato

Rispetto agli approcci precedenti, EVACTI si distingue nettamente. Laddove prima c’era frammentazione e soggettività, ora c’è un quadro strutturato. Laddove si guardava solo al contenuto, ora si considera l’intero ciclo di vita e il contesto operativo. Laddove mancava un linguaggio comune per l’azionabilità, ora ci sono i criteri ENISA e un metodo per applicarli. È un cambio di paradigma importante.

Guardando al Futuro: Cosa Ci Aspetta?

EVACTI è una metodologia promettente, ma il lavoro non finisce qui. I prossimi passi includono testare EVACTI su larga scala, usando dataset reali provenienti da repository pubblici (come MISP) e collaborando con aziende per usarlo in ambienti operativi diversi. Si punta anche a integrare EVACTI direttamente nelle piattaforme di condivisione CTI per automatizzare il processo di valutazione, magari sfruttando l’intelligenza artificiale (Machine Learning e Deep Learning) per rendere le valutazioni ancora più precise e dinamiche, adattandole alle minacce in continua evoluzione.

In conclusione, EVACTI rappresenta un passo significativo per rendere la Cyber Threat Intelligence non solo un mare di informazioni, ma una vera e propria risorsa strategica, azionabile, per difenderci meglio nel complesso panorama delle minacce digitali. È ora di trasformare i dati in azioni concrete!

Fonte: Springer