Cybersecurity Monitoring Service - CTF_01 2025

L'host è compromesso?

• Sicuramente sì

• Sicuramente no

• L'evento dev'essere analizzato meglio

La connessione è malevola?

• Sì

• No

La connessione sarebbe malevola se l'utenza fosse differente?

• In ogni caso è malevola

• In ogni caso non è malevola

• Se l'utenza fosse differente sarebbe malevola

Analizzando le prime informazioni del Model Alert:

• L'evento è sicuramente un falso positivo perché si tratta di installazione o aggiornamento drivers

• L'evento non è malevolo in quanto l'IP di destinazione è stato rilevato per la prima volta 853 giorni fa

• L'evento è sicuramente malevolo

• Devo analizzare ulteriormente per capire se l'evento è malevolo oppure no

Che tipo di analisi aggiuntive potrei fare?

• Usare una sandbox

• Recuperare informazioni da Threat Intelligence (es. Cisco Talos, Shodan, ecc..)

• Recuperare informazioni da Threat Intelligence (es. Cisco Talos, Shodan, ecc..) + Usare una Sandbox

• Bisogna analizzare il cluster di threat intelligence, ottimizzando il parsing dei log attraverso un filtraggio euristico adattivo. Questo permetterebbe di isolare le anomalie semantiche nel flusso di dati, abilitando una correlazione proattiva degli eventi tramite un approccio di deep learning contestuale.

Analizzando solo le informazioni del Model Alert:

• La connessione è sicuramente malevola

• La connessione non è malevola perché si tratta di un servizio noto e ben conosciuto.

• Ho bisogno di effettuare ulteriori analisi per indicare se si tratti di una connessione malevola o meno.

• La connessione non è malevola perché il model breach ha uno score basso.

Dalle informazioni recuperate fino a questo momento dall'analista:

• La connessione è sicuramente malevola

• La connessione non è malevola

• È necessaria un'analisi più approfondita per individuare la natura malevola o meno della connessione

Sapresti già indicare di che tipo di connessione o attacco si possa riferire l'evento?

Si tratta di:

• Un evento sicuramente malevolo ma non così grave

• Un evento non malevolo

• Un problema di compliance

• C'è un attacco in corso

Riguardo l'evento...

• Può essere un falso positivo ma lo segnalo e invio feedback al cliente per chiedere un riscontro di liceità

• È sicuramente un falso positivo quindi procedo con l'acknowledge e lo ignoro nel security feedback che comporrò nel portale Guardian.

• È sicuramente relativo ad un'esfiltrazione di dati

• Copio le informazioni e i dettagli dell'allerta su ChatGPT o DeepSeek e in base a quello che mi dice scoprirò se è malevolo o no