Due SOC, due esiti opposti sotto gli stessi attaccanti
CISA ha pubblicato un confronto tra due red team assessment che porta a una conclusione netta: a fare la differenza non è stata la tecnica degli attaccanti, ma la copertura di telemetria e la disciplina di triage e contenimento. In un’organizzazione la lateral movement è passata inosservata fino a toccare sistemi business e risorse cloud; nell’altra il compromesso iniziale è stato visto subito e contenuto.
Lo stesso tradecraft ha prodotto due percorsi diversi perché un SOC ha intercettato il primo accesso e ha messo in quarantena i sistemi coinvolti, mentre l’altro ha lasciato avanzare gli intrusi come utenti legittimi. Da lì, il movimento interno ha potuto raggiungere anche un host nella OT DMZ, e proprio quel secondo allarme ha fermato l’espansione.
Per chi gestisce monitoraggio e contenimento in IT, cloud e OT, il punto non è il perimetro d’ingresso ma il ritardo nel riconoscere il primo segnale e nel chiudere il contatto. Se quella prima compromissione sfugge o viene gestita male, l’accesso ordinario si trasforma in raggio d’azione interno molto più ampio.