In questo articolo4
Ascolta
Voce del browser e privacy
Parte solo quando premi Ascolta. Alcune voci possono usare un servizio online. La nuova velocità può applicarsi dal passaggio successivo. Il testo non viene tradotto.
Il problema della visibilità frammentata
Unit 42 ha pubblicato un'analisi sulle difficoltà che i SOC incontrano quando un attacco si sposta tra più ambienti. Secondo il 2026 Unit 42 Global Incident Response Report, il 43% degli attacchi ha coinvolto attività su quattro o più superfici d'attacco, con casi che ne hanno toccate fino a otto.
Il punto di partenza è spesso un evento isolato: un alert su un endpoint, una risorsa cloud creata fuori dall'orario normale, un'applicazione che richiede privilegi elevati. Da solo, nessuno di questi segnali indica necessariamente un attacco in corso.
Il problema emerge quando attività correlate compaiono in ambienti diversi: modifiche ai permessi in un'app SaaS, risorse cloud riconfigurate, dati preparati per l'esfiltrazione, connessioni di rete tra sistemi che di solito non comunicano. Se ogni segnale viene analizzato separatamente, il collegamento con l'attacco più ampio può sfuggire.
Ricostruire il percorso dell'attacco
Unit 42 sottolinea che il quadro completo emerge solo quando l'attività viene correlata tra i diversi domini di sicurezza. La correlazione basata su intelligenza artificiale aiuta a collegare segnali apparentemente non correlati, permettendo agli analisti di ricostruire come l'attaccante ha ottenuto l'accesso, dove si è mosso, cosa ha raggiunto e quale obiettivo stava perseguendo.
Poiché gli attaccanti non operano entro i confini monitorati dai singoli strumenti di sicurezza, anche le operazioni di difesa devono seguire l'attività attraverso l'intera azienda e trattare l'intrusione come un unico incidente connesso. Questo richiede monitoraggio e risposta continui, oltre a un'ottimizzazione costante di rilevamenti, regole di correlazione e workflow.
Le raccomandazioni per i SOC
Unit 42 suggerisce tre aree di intervento. La prima è usare l'AI per investigare l'attacco, non il singolo alert: l'obiettivo è ricostruire un percorso completo piuttosto che rispondere a eventi isolati.
La seconda è collegare le evidenze lungo l'intero ciclo di vita dell'attacco, dal primo segnale fino a movimento laterale, persistenza e impatto. La visibilità richiede correlazione cross-domain, e l'hunting dovrebbe testare comportamenti che non hanno ancora generato alert.
La terza è trattare ogni investigazione come un'opportunità di miglioramento: rivedere dove gli analisti hanno perso contesto, quali rilevamenti o regole di correlazione possono essere migliorati e quali passaggi di risposta hanno creato ritardi. I risultati servono a perfezionare logica di rilevamento, automazione e playbook di risposta.
Il ruolo dei servizi gestiti
L'articolo descrive anche come Unit 42 Managed Services applica questi principi. La correlazione AI e l'analisi comportamentale nella piattaforma Cortex SecOps riuniscono i segnali correlati in un'indagine unificata. Gli analisti MDR validano il percorso dell'attacco, mentre i threat hunter cercano proattivamente comportamenti che potrebbero non aver ancora generato alert.
Con Managed XSIAM, i team di Unit 42 ottimizzano continuamente integrazioni dati, logica di rilevamento, regole di correlazione personalizzate, playbook di risposta automatizzati e workflow di investigazione, con l'obiettivo di ridurre i tempi di investigazione e risposta.
