Rilevamento e indagini

Rilevare, collegare, indagare, rispondere: che cosa fa il SOC di ogni segnale

Gli alert di tutte le sue fonti arrivano in un'unica lista, classificata e spiegata dall'IA di LuxGap. Quelli che raccontano lo stesso attacco diventano un'indagine redatta, e un account Microsoft 365 compromesso può essere bloccato in pochi minuti, su decisione di un analista.

Tutte le schermate provengono dalla console LuxGap SOC, su un cliente dimostrativo: la società Nordlux Manufacturing e i suoi dati sono fittizi.

Incidenti e alert

Un'unica lista per tutto ciò che accade nella sua organizzazione, classificata e spiegata dall'IA

Microsoft 365, Google Workspace, antivirus ed EDR, server, rete, vulnerabilità, dark web, siti web, backup: tutti gli alert arrivano nella stessa lista. A partire dalla gravità media, l'IA di LuxGap classifica ciascuno come «rischio reale» o «rumore» e redige una spiegazione in francese, con i passaggi da seguire.

Pannello dell'alert: le prove, l'indirizzo di origine geolocalizzato (paese, hosting provider, VPN o Tor), l'analisi dell'IA e le azioni possibili
Il rumore viene archiviato automaticamente; un errore del modello non archivia mai nulla
Correlazione: cinque tentativi falliti seguiti da un accesso riuscito dallo stesso indirizzo diventano un solo alert critico
Il suo amministratore prende in carico un alert o lo classifica come falso positivo; la chiusura definitiva resta in capo al SOC

Esempio — cliente dimostrativo

Questa mattina la password trapelata dello stagista IT viene provata dallo stesso indirizzo che quattro giorni prima aveva violato l'account di un direttore. La MFA blocca l'accesso; l'IA classifica l'alert come «rischio reale», lo collega alla prima intrusione e la disattivazione dell'account attende la convalida di un analista.

Attivazione: Incluso: gli alert provengono dalle fonti collegate, sincronizzate ogni ora.

Console LuxGap SOC: pannello di un alert critico con l'analisi dell'IA e l'azione proposta — Cliente dimostrativo, dati fittizi. Clicchi su una schermata per ingrandirla.

Console LuxGap SOC: elenco degli incidenti e degli alert, tutte le fonti insieme — Cliente dimostrativo, dati fittizi. Clicchi su una schermata per ingrandirla.

Indagini IA

Gli alert che raccontano lo stesso attacco, riuniti e raccontati

Ogni 10 minuti il SOC collega gli alert di uno stesso cliente che condividono un account, un indirizzo IP, un dispositivo, un dominio o un file a meno di 72 ore di distanza. L'IA di LuxGap legge il fascicolo di prove e redige il resoconto dell'incidente: che cosa è successo, in quale ordine, con quale gravità e che cosa occorre fare.

Cronologia, grafo degli account, degli indirizzi e dei dispositivi coinvolti, tecniche di attacco MITRE ATT&CK
L'IA può aumentare la gravità di un'indagine, mai ridurla
I dati restano presso LuxGap: queste indagini non passano da alcun fornitore di IA esterno
Nulla viene eseguito senza un analista: le azioni proposte confluiscono nel modulo Risposta, dove vengono convalidate o rifiutate
Ricerca dell'analista: un indirizzo, un dominio, un IP o una CVE cercati in un colpo solo in tutto ciò che il SOC ha già archiviato (fughe, domini simili, superficie esposta, ransomware, threat hunting, monitoraggio delle minacce), senza alcuna richiesta fuori dal SOC; il termine cercato non viene mai conservato

Esempio — cliente dimostrativo

Sei alert distribuiti su quattro giorni (password spraying, accesso IMAP senza MFA, regola che inoltra la posta, account segnalato come compromesso, accesso di un amministratore dalla Nigeria, password trapelata provata questa mattina) formano un'unica indagine critica: «Account di Jean Thill violato con una password trapelata; l'attaccante ora punta ad altri account».

Attivazione: Incluso, nulla da attivare. Le indagini sono lo strumento degli analisti LuxGap: Lei ne riceve le conclusioni e le azioni da intraprendere.

Console LuxGap SOC: resoconto di un'indagine critica redatto dall'IA di LuxGap — Cliente dimostrativo, dati fittizi. Clicchi su una schermata per ingrandirla.

Console LuxGap SOC: cronologia e grafo delle entità di un'indagine — Cliente dimostrativo, dati fittizi. Clicchi su una schermata per ingrandirla.

Risposta agli incidenti

Un account Microsoft 365 compromesso, bloccato in pochi minuti anziché in ore

Quando un account viene violato, il SOC può interrompere le sue sessioni, disattivarlo e poi riattivarlo una volta cambiata la password. Il rilevamento propone l'azione, un analista la convalida, poi un servizio separato la esegue dopo aver ricontrollato tutte le regole di sicurezza.

Nulla parte senza il suo mandato firmato né il suo consenso a un'applicazione dedicata, limitata a tre autorizzazioni
Mai su un account amministratore, su un account sincronizzato dalla sua directory locale o su un account da Lei protetto
Ogni azione viene registrata nei log e Lei riceve un avviso via email
Il suo amministratore consulta nella console il mandato, il consenso e lo storico delle azioni

Esempio — cliente dimostrativo

Le sessioni di Jean Thill vengono interrotte e il suo account viene disattivato 32 minuti dopo l'intrusione; viene riattivato il giorno dopo, con la password cambiata. Il blocco richiesto sull'account amministratore di Tom Kremer è rifiutato dalla guardia: questo account si gestisce con la CISO.

Attivazione: Connettore Microsoft 365, mandato di risposta allegato al contratto, consenso del suo amministratore globale all'applicazione «LuxGap SOC — Risposta».

Console LuxGap SOC: storico delle azioni di risposta, convalidate, eseguite o rifiutate — Cliente dimostrativo, dati fittizi. Clicchi su una schermata per ingrandirla.

Console LuxGap SOC: mandato, consenso, policy e account protetti del modulo Risposta — Cliente dimostrativo, dati fittizi. Clicchi su una schermata per ingrandirla.

Comportamento per account

Individuare l'attaccante che accede con credenziali reali

Una password rubata non fa scattare alcuna regola. Il SOC impara quindi che cosa fa abitualmente ogni account (paese, operatore, dispositivo, modalità di accesso, orari, volumi, azioni sensibili) e assegna un punteggio a ogni ora di attività: più è improbabile per quell'account, più pesa.

Un account viene appreso in 14 giorni; un'abitudine viene considerata tale solo dopo tre giorni distinti, perché un attaccante non finisca per essere appreso come normale
Un'ora molto insolita genera un alert, al massimo cinque al giorno per cliente
Uno spostamento legittimo si contrassegna come «è normale» e non genera più alert
Fonti: accessi e log di audit di Microsoft Entra ID, attività di Google Workspace

Esempio — cliente dimostrativo

L'accesso IMAP di Jean Thill in piena notte, dalla Nigeria, cumula un paese, un operatore e un protocollo mai visti: l'ora viene segnalata. Lo spostamento della DPO a Lisbona, invece, è contrassegnato come «è normale».

Attivazione: Disattivato per impostazione predefinita. Attivato da LuxGap dopo la valutazione d'impatto convalidata dal suo DPO e l'informativa al personale (Codice del lavoro lussemburghese, art. L.261-1).

Console LuxGap SOC: account monitorati, apprendimento e ore insolite per account — Cliente dimostrativo, dati fittizi. Clicchi su una schermata per ingrandirla.

Log grezzi

Tutti i suoi log conservati e interrogabili durante un incidente

I log dei suoi servizi cloud, firewall, server e applicazioni vengono raccolti in un indice dedicato alla sua organizzazione. Durante un incidente l'analista cerca su tutte le fonti contemporaneamente e ricostruisce la cronologia di un account, di un indirizzo o di un dispositivo.

Conservazione a scelta: 30, 60, 90, 180 o 365 giorni, applicata al giorno esatto
Ricerca su tutte le fonti, da un'ora a 90 giorni, esportazione CSV
Cronologia a 1 h, 6 h, 24 h o 72 h attorno a un evento, esportabile con un'impronta SHA-256 come prova
Diciotto regole di rilevamento ogni 5 minuti, di cui sei per la sonda di rete e quattro per i report ricevuti via email: password spraying, account compromesso, escalation dei privilegi, condivisione pubblica, autenticazione legacy, riutilizzo di una password trapelata
Una fonte silente da più di 6 ore genera un alert; ogni ricerca viene registrata nei log

Esempio — cliente dimostrativo

Vengono raccolte nove fonti: accessi, audit e rilevamenti di rischio di Entra ID, alert di Defender, eventi e alert di Sophos, log dei server e attività nella console.

Attivazione: Connettori dei suoi servizi e, per i log di rete e dei server, una macchina di raccolta installata presso la sua sede, collegata al SOC tramite un tunnel cifrato in uscita.

Console LuxGap SOC: fonti di log grezzi raccolte e loro stato — Cliente dimostrativo, dati fittizi. Clicchi su una schermata per ingrandirla.

E inoltre

Gli altri moduli della famiglia

Threat intelligence e threat hunting

Quando viene pubblicata una minaccia, il SOC verifica se ha già colpito la sua organizzazione

Gli indicatori di compromissione pubblicati dal CIRCL, il centro di risposta lussemburghese, vengono importati ogni 6 ore e ricercati nei suoi log dei 90 giorni precedenti, poi in continuo. Il monitoraggio delle minacce aggrega anche gli avvisi del CERT-FR, della CISA, di Microsoft e di ESET, riassunti in francese.

Verdetto per cliente: colpito, non colpito nel periodo coperto, oppure non verificabile con indicazione del motivo
Una corrispondenza viene qualificata da un analista prima di essere segnalata a Lei
Briefing quotidiano e clienti interessati individuati per produttore e per prodotto

Esempio

Un feed pubblica l'indirizzo di un server di comando e controllo; la caccia lo ritrova nelle sue connessioni del mese scorso; l'analista conferma e poi La avvisa.

Attivazione: Incluso non appena i suoi log grezzi vengono raccolti.

Report ricevuti via email

I report che nessuno legge per intero, letti per Lei

Firewall, antivirus, backup, supervisione: i suoi strumenti inviano report via email. Lei li fa inoltrare a una casella dedicata; il SOC legge il corpo del messaggio e gli allegati (PDF, CSV, Excel, HTML), li riversa nei suoi log e ne trattiene solo ciò che conta.

Quattro regole: errore segnalato, picco di righe bloccate, bersaglio che il SOC sa essere vulnerabile o esposto, strumento che smette di inviare
Vengono letti solo i mittenti da Lei autorizzati
Sintesi su richiesta tramite l'IA di LuxGap, senza fornitori esterni

Esempio

Il suo firewall invia un report ogni notte. Il giorno in cui le sue righe bloccate triplicano scatta un alert; scatta anche il giorno in cui tace.

Attivazione: Con LuxGap: creazione della casella dei report ed elenco dei mittenti autorizzati.

Questi moduli, sul suo perimetro

Descriva ciò che desidera monitorare: preventivo vincolante entro 24 ore, contratto annuale, perimetro garantito al 100%.

Richieda il collegamento Veda i prezzi

Ha un incidente in corso? Chiami il +352 621 583 116.