Libreria di regole di Cyber Intelligence¶
La Cyber Intelligence del Log Manager sorveglia i log in arrivo e reagisce quando compare un evento che si è deciso di considerare rilevante. Scrivere da zero i criteri — condizioni sui campi del log, soglia di frequenza, azioni — richiede di conoscere gli ID evento e i messaggi di ogni sistema. La Libreria regole contiene criteri già scritti, da copiare nel proprio ambiente con un clic e adattare dove serve.
Si raggiunge da Gestione → Cyber Intelligence, scheda Libreria regole. La libreria conta oltre duecento regole; la scheda accanto, Elenco dei criteri di gruppo, mostra invece i criteri attivi sull'appliance, comprese le regole copiate.
Come è fatta una regola della libreria¶
Ogni riga della libreria riporta:
- il nome della regola, che diventerà l'etichetta del criterio;
- una descrizione che dice quale evento intercetta, con gli ID evento Windows o le stringhe di log su cui si basa, la tecnica MITRE quando c'è, e i riferimenti ai controlli di conformità che copre (per esempio ISO 27001 A.8.15; NIS2 art.21 c.2 lett. b). In alcune descrizioni c'è anche un'indicazione su cosa adattare dopo la copia: «Tarare la soglia sul file server», «Adattare i pattern alle cartelle reali del cliente»;
- le etichette dei temi a cui appartiene;
- il pulsante Copia.
Dietro la riga c'è un criterio completo: una o più condizioni in AND, la
frequenza (quante volte in quanti minuti), la validità su tutti i giorni e
tutte le ore. Le condizioni sono scritte come quelle che si creano a mano: campo,
operatore, valore, con i valori alternativi in Oppure. Questa, per esempio, è
la prima condizione della regola Accesso a credenziali salvate nei browser:
il messaggio contiene Login Data oppure logins.json, key4.db,
Web Data, signons.sqlite, Cookies, Local State.
Le regole della libreria non hanno nulla di speciale rispetto ai criteri scritti a mano: sono un punto di partenza, non un oggetto bloccato.
I temi¶
Una regola appartiene di norma a più temi insieme. Password brute force attack, per esempio, sta nel Set base consigliato, in Autenticazione e accessi, in ISO/IEC 27001, in Compliance NIS2, in ATT&CK: Accesso credenziali, in PCI DSS e in DORA. I temi non sono cartelle: sono viste diverse sullo stesso insieme di regole, e servono a rispondere a domande diverse.
Il menu in cima alla libreria elenca i temi con il numero di regole di ciascuno; scegliendone uno compaiono la sua descrizione e le sole regole che ne fanno parte. La casella Cerca filtra ulteriormente per testo.
Temi operativi: «che cosa voglio sorvegliare»¶
| Tema | Copre |
|---|---|
| Set base consigliato | Il pacchetto di partenza per un nuovo cliente: le regole essenziali di sicurezza e operatività |
| Autenticazione e accessi | Login riusciti e falliti, brute force, lockout, RDP, accessi fuori orario, account Guest |
| Active Directory e privilegi | Gruppi privilegiati, account, Kerberos, DCSync, ADCS, replica, criteri di dominio |
| Persistenza e strumenti offensivi | Scheduled task, servizi, registro, WMI, PowerShell, tool di attacco, Sysmon |
| Ransomware, file e share | Precursori ransomware, file e share audit, cancellazioni e rinomine massive, estensioni note |
| Antivirus e Defender | Rilevazioni, quarantena, protezione disattivata, ASR, firme e piattaforma, antivirus di terze parti |
| Sistema Windows e stabilità | Crash, arresti, servizi, dischi, NTFS, Windows Update, driver, certificati, Group Policy |
| Server applicativi e backup | Backup/VSS, SQL Server, Exchange, IIS, Hyper-V, DHCP, DNS, NAS |
| Performance e risorse | Spazio disco, CPU e RAM dal Performance Monitor |
| Linux | SSH, sudo, utenti, systemd, OOM, errori I/O |
| Firewall e VPN | Fortinet e SonicWall: login, VPN, IPS, configurazione |
| Office 365 e cloud | Entra ID sign-in: login falliti, a rischio, da paese estero, autenticazione legacy, AD Sync |
| Audit, log e conformità | Cancellazione log, audit interrotto, modifiche a policy, orario, firewall e configurazioni |
| Endpoint e periferiche | USB, agent LMService, BitLocker, Dropbox |
Temi di conformità: «che cosa devo dimostrare»¶
Raccolgono le regole che producono evidenze utili per un requisito normativo. Sono i temi più ampi, perché uno stesso evento — un login amministrativo, un backup fallito, un log cancellato — è rilevante per più norme.
| Tema | Copre |
|---|---|
| ISO/IEC 27001 (Annex A) | I controlli dell'Annex A 2022: accessi e privilegi (5.15–5.18, 8.2, 8.5), logging e monitoraggio (8.15, 8.16), malware (8.7), configurazioni e software (8.9, 8.19, 8.32), backup (8.13), rete e web filtering (8.20–8.23), crittografia (8.24) |
| Compliance NIS2 (art. 21) | Le misure minime dell'art. 21 c.2: gestione incidenti (b), continuità e backup (c), supply chain (d), sicurezza di reti e sistemi (e), igiene cyber (g), crittografia (h), controllo accessi e asset (i), MFA e autenticazione (j) |
| PCI DSS v4.0 | I requisiti rilevabili dai log: firewall e rete (1), anti-malware (5), sistemi sicuri e change (6), accessi e privilegi minimi (7), autenticazione e MFA (8), logging e monitoraggio (10), IDS e file integrity monitoring (11) |
| DORA (Reg. UE 2022/2554) | Per il settore finanziario: protezione e prevenzione ICT (art. 9), rilevamento di attività anomale (art. 10), risposta, ripristino e backup (art. 11–12), gestione degli incidenti ICT |
| ISO 22301 (continuità) | Gli eventi che minacciano la continuità operativa: guasti hardware, arresti di servizi e sistema, backup falliti, inibizione del ripristino, ransomware, saturazione delle risorse |
Coprono la parte rilevabile dai log, non l'intera norma
Ogni norma prevede anche controlli fuori dalla portata di un sistema di log management — organizzativi, sulle persone, sui fornitori, sulla sicurezza fisica. I temi di conformità sono uno strumento coadiuvante per il percorso verso la conformità: forniscono rilevazione ed evidenze per i controlli che passano dai log, e nulla di più.
Le regole di questi temi sono descritte in dettaglio in Regole di Cyber Intelligence per la conformità.
Temi MITRE ATT&CK: «in quale fase di un attacco siamo»¶
Dodici temi, uno per tattica del framework ATT&CK, dall'accesso iniziale all'impatto. Le descrizioni delle regole riportano la tecnica (per esempio T1003.001 per il dump di LSASS), così un evento rilevato si colloca subito in una fase precisa dell'attacco.
| Tattica | Regole tipiche |
|---|---|
| Accesso iniziale (TA0001) | Account validi, servizi remoti esposti, phishing, supporti rimovibili |
| Esecuzione (TA0002) | Shell e script, WMI, LOLBin di sistema, esecuzione da parte dell'utente |
| Persistenza (TA0003) | Run key, servizi, task pianificati, WMI, account, cartella Esecuzione automatica |
| Escalation privilegi (TA0004) | UAC bypass, manipolazione token, gruppi privilegiati, sudo |
| Evasione difese (TA0005) | Disattivazione di antivirus, firewall e log, cancellazione tracce, LOLBin, offuscamento |
| Accesso credenziali (TA0006) | Dump di LSASS/SAM/NTDS, Kerberoasting, DCSync, brute force, DPAPI |
| Scoperta (TA0007) | Enumerazione di account e gruppi, sistema, rete, servizi, scanner |
| Movimento laterale (TA0008) | RDP, share amministrative, WinRM, PsExec, pass-the-hash |
| Raccolta (TA0009) | Dati da share e file locali, archiviazione (rar/7z), staging |
| Esfiltrazione (TA0010) | Upload verso cloud storage, supporti rimovibili, canali alternativi |
| Comando e controllo (TA0011) | Botnet e C2, download di tool, software di accesso remoto, tunneling |
| Impatto (TA0040) | Ransomware, cancellazione dati, inibizione del ripristino, arresto di servizi e sistema |
Copiare una regola¶
Il pulsante Copia a destra della riga apre una finestra con due scelte.
- Azienda di destinazione — su un'appliance multi-tenant, l'azienda per cui
il criterio varrà, oppure Tutte le aziende. Nell'elenco dei criteri
l'azienda compare poi con il nome scelto o con
*. - Azioni di default — facoltativo: una o più azioni già esistenti (email, Journal, notifica push, webhook, Conta) da assegnare subito al criterio.
Confermando, l'appliance crea il criterio e le sue condizioni, e lo mostra nell'Elenco dei criteri di gruppo già attivo, con il nome della regola come etichetta, la descrizione della libreria nel campo Descrizione e la frequenza prevista dal template.
Le condizioni create dalla copia diventano oggetti riutilizzabili del proprio ambiente, come quelle scritte a mano: compaiono nell'elenco quando si compone un altro criterio e, se modificate, cambiano in tutti i criteri che le usano.
Senza azioni il criterio non viene valutato
Se nella finestra di copia non si sceglie nessuna azione, il criterio arriva nell'elenco con la dicitura Azione da definire e l'appliance lo salta finché non gliene si assegna una. La finestra lo ricorda con un avviso. Assegnare l'azione al momento della copia evita di dimenticarlo.
Copiare un intero tema¶
Con un tema selezionato nel menu, il pulsante Copia tutte le regole del tema copia in una volta tutte le regole che ne fanno parte. La finestra è la stessa della copia singola — azienda di destinazione e azioni di default valgono per tutte le regole del tema — con una regola in più:
Le regole già presenti per l'azienda di destinazione (stessa etichetta o stessa descrizione) verranno saltate.
La copia di un tema si può quindi ripetere senza creare doppioni: le regole che l'azienda ha già restano com'erano, comprese le modifiche fatte nel frattempo, e arrivano solo quelle mancanti. È anche il modo per allineare un cliente a un tema aggiornato dopo un aggiornamento dell'appliance.
Il Set base consigliato con un'azione di tipo Journal è il modo più rapido per mettere in sorveglianza un nuovo cliente: la procedura è in Attivare il set base di Cyber Intelligence.
Dopo la copia¶
Una regola copiata è un criterio come gli altri e si gestisce dall'Elenco dei criteri di gruppo: Modifica apre il criterio, Duplica ne crea una variante, Elimina lo rimuove.
Tre verifiche valgono per ogni regola copiata:
- La sorgente dei log c'è? Una regola lavora solo su ciò che l'appliance riceve. Le regole file audit richiedono l'Endpoint Client con il modulo di audit dei file attivo nel profilo; quelle su CPU, RAM e disco il Performance Monitor; quelle Office 365 il connettore cloud verso Entra ID; quelle Fortinet e SonicWall il syslog del firewall verso il Log Manager. Senza la sorgente la regola resta attiva ma non scatta mai.
- La soglia è adatta? Le frequenze della libreria sono valori di partenza. Cancellazione file massiva è tarata su 50 file in 5 minuti: su un file server con molti utenti può essere poco, su un PC singolo troppo. La descrizione della regola segnala quando la taratura è attesa.
- I valori sono quelli del cliente? Alcune regole cercano nomi di cartelle o
pattern generici — Accesso a documenti riservati cerca
Riservato,Paghe,Contratti,Bilanci— che vanno sostituiti con quelli reali.
Le modifiche si fanno sulla copia: la libreria non cambia e resta disponibile per una nuova copia se serve ripartire dall'originale.
Aggiornamenti della libreria¶
La libreria viene ampliata con gli aggiornamenti dell'appliance. Le regole già copiate non vengono toccate dagli aggiornamenti: chi vuole le versioni nuove le copia dalla libreria, e la copia di un tema salta quelle che ha già.
La funzione nel suo insieme — criteri, condizioni, azioni, frequenza, test — è descritta nel capitolo Cyber Intelligence del manuale Log Manager.