Corso di Monitoraggio della Sicurezza

Lezione 1 • Panoramica del panorama delle minacce

Esamina le categorie di attaccanti, le motivazioni e gli schemi di attacco più comuni. Fornisce il contesto per comprendere perché vengono privilegiati determinati controlli di monitoraggio.

Lezione 2 • Concetti e obiettivi del monitoraggio della sicurezza

Definisce il monitoraggio della sicurezza, i suoi obiettivi e la sua relazione con la gestione del rischio. Stabilisce un vocabolario condiviso utilizzato durante l'intero corso.

Lezione 3 • Driver normativi e di conformità

Tratta i quadri normativi di conformità e i requisiti di audit che plasmano i programmi di monitoraggio. Collega gli obblighi normativi alle decisioni pratiche di registrazione e generazione di allerte.

Lezione 1 • Integrità e conservazione dei log

Tratta la registrazione a prova di manomissione, la catena di custodia e le politiche di conservazione. Garantisce che i dati di log rimangano affidabili e disponibili per gli accertamenti.

Lezione 2 • Fonti di log e tipi di dati

Identifica le fonti di log critiche a livello di rete, endpoint e applicazione. Stabilisce quali tipi di dati sono essenziali per un rilevamento efficace.

Lezione 3 • Risoluzione dei problemi della pipeline di log

Diagnostica i più comuni errori di raccolta, le lacune e i problemi di qualità dei dati. Costruisce la sicurezza operativa necessaria per mantenere una pipeline di log efficiente.

Lezione 4 • Architetture di raccolta dei log

Confronta i metodi di raccolta basati su agent, senza agent e syslog. Guida lo studente nella scelta dell'architettura più adatta al proprio ambiente.

Lezione 1 • Architettura SIEM e componenti principali

Spiega le pipeline di ingestione SIEM, l'indicizzazione e i livelli di archiviazione. Fornisce allo studente solide basi su come i dati fluiscono dalla sorgente all'interfaccia dell'analista.

Lezione 2 • Dashboard e visualizzazioni

Guida alla creazione di dashboard operative utilizzando grafici, tabelle e mappe. Visualizzazioni efficaci accelerano la consapevolezza situazionale durante i turni di monitoraggio.

Lezione 3 • Aggregazione e analisi statistica

Tratta le funzioni di raggruppamento, conteggio e statistiche all'interno delle query SIEM. Trasforma gli eventi grezzi in viste riepilogative che rivelano schemi ricorrenti.

Lezione 4 • Fondamenti del linguaggio di query di ricerca

Introduce la sintassi delle query, il filtraggio per campo e la selezione dell'intervallo temporale. Consente agli analisti di estrarre set di dati precisi da grandi volumi di log.

Lezione 1 • Test e validazione delle regole

Insegna il test unitario, il test di replay e la validazione red-team delle regole di rilevamento. Regole convalidate garantiscono affidabilità prima del deployment in produzione.

Lezione 2 • Fondamenti della logica di rilevamento

Introduce gli approcci di rilevamento basati su soglia, firma e comportamento. Stabilisce i tipi di logica che gli analisti utilizzano per tradurre le minacce in regole.

Lezione 3 • Integrazione della threat intelligence

Spiega come arricchire le regole con indicatori di compromissione e feed di minacce. Le regole guidate dall'intelligence migliorano la precisione e riducono il carico di lavoro dell'analista.

Lezione 4 • Scrittura di regole di allerta efficaci

Tratta la sintassi delle regole, il concatenamento delle condizioni e la logica di soppressione. Regole ben strutturate riducono il rumore mantenendo la sensibilità di rilevamento.

Lezione 1 • Analisi dei dati di flusso

Insegna l'analisi di NetFlow, IPFIX e sFlow per una visibilità del traffico di alto livello. I dati di flusso consentono il rilevamento senza l'overhead della cattura completa dei pacchetti.

Lezione 2 • Fondamenti del monitoraggio di rete

Ripassa i livelli TCP/IP, i protocolli chiave e le linee di base del traffico normale. La conoscenza della baseline è un prerequisito per riconoscere le deviazioni.

Lezione 3 • Ottimizzazione dei sistemi di rilevamento delle intrusioni

Spiega i set di regole IDS, gli aggiornamenti delle firme e l'ottimizzazione delle prestazioni. Sensori IDS correttamente ottimizzati massimizzano il rilevamento con un minimo di falsi positivi.

Lezione 4 • Analisi del traffico cifrato

Affronta l'ispezione TLS, l'impronta digitale JA3 e il rilevamento basato sui metadati. Consente il monitoraggio dei canali cifrati senza violare la riservatezza.

Lezione 1 • Persistenza ed escalation dei privilegi

Esamina le chiavi di esecuzione automatica del registro, le attività pianificate e i percorsi di escalation dei privilegi. Rilevare precocemente la persistenza limita il tempo di permanenza dell'attaccante.

Lezione 2 • Fonti di telemetria degli endpoint

Identifica i processi, i file, il registro di sistema e la telemetria di rete raccolti dagli agent EDR. Una telemetria ricca è il fondamento di un rilevamento efficace sugli endpoint.

Lezione 3 • Triage e risposta agli allerta EDR

Insegna la prioritizzazione degli allerta, l'isolamento degli host e i flussi di lavoro per la raccolta delle prove. Un triage rapido riduce il tempo medio per contenere le minacce confermate.

Lezione 4 • Rilevamento del comportamento del malware

Tratta i comuni schemi di esecuzione del malware, le tecniche di injection e le tattiche di evasione. Le firme comportamentali individuano le minacce che eludono l'antivirus statico.

Lezione 1 • Classificazione e prioritizzazione degli incidenti

Definisce i livelli di gravità degli incidenti, i criteri di impatto e le soglie di escalation. Una classificazione coerente garantisce che le risorse siano assegnate agli eventi a più alto rischio.

Lezione 2 • Analisi della causa radice

Applica un'analisi strutturata per identificare il vettore di accesso iniziale e le condizioni che lo hanno permesso. I risultati dell'analisi della causa radice guidano la bonifica e prevengono il ripetersi dell'incidente.

Lezione 3 • Raccolta e conservazione delle prove

Tratta la raccolta di prove volatili e non volatili, la catena di custodia e l'hashing. Una corretta conservazione mantiene l'integrità probatoria per uso legale e forense.

Lezione 4 • Ricostruzione della sequenza temporale dell'attacco

Insegna la correlazione dei log, l'analisi pivot degli artefatti e le tecniche di visualizzazione della linea temporale. Timeline accurate rivelano le azioni dell'attaccante e l'entità della compromissione.

Lezione 1 • Analisi comportamentale e definizione delle linee di base

Tratta l'analisi comportamentale di utenti ed entità, il raggruppamento tra pari e il punteggio delle anomalie. Le linee di base statistiche fanno emergere sottili deviazioni non rilevate dal rilevamento basato su regole.

Lezione 2 • Mappatura delle tecniche dell'avversario

Applica strutturati modelli di avversario per mappare i rilevamenti a tecniche note. La mappatura della copertura rivela le lacune e guida le priorità di sviluppo delle regole.

Lezione 3 • Misurazione dell'efficacia dell'hunting e del rilevamento

Definisce le metriche per la produttività dell'hunting, la copertura del rilevamento e il tempo medio di rilevamento. La misurazione consente il miglioramento continuo del programma di monitoraggio.

Lezione 4 • Metodologia di threat hunting

Introduce l'hunting basato su ipotesi, i modelli di maturità e la pianificazione dell'hunting. Una metodologia strutturata trasforma la ricerca estemporanea in una pratica ripetibile.