Il tempo è il nemico
In un attacco cyber, ogni minuto conta. Il tempo tra l'accesso iniziale e il passaggio del controllo a un gruppo secondario è crollato: da oltre 8 ore nel 2022 a una mediana di 22 secondi nel 2025 (Mandiant M-Trends 2026). Se il vostro team di sicurezza lavora 8 ore al giorno e l'attacco avviene alle 23:00 di venerdì, avete un problema. L'active response lo risolve.
Cos'è l'active response
L'active response è la capacità di un sistema di sicurezza di reagire automaticamente a una minaccia rilevata, senza intervento umano. Non sostituisce l'analista: gli compra tempo bloccando la minaccia mentre lui analizza.
Azioni automatiche tipiche
- Blocco IP: un IP che fa brute force su SSH viene bannato automaticamente dopo 5 tentativi falliti
- Isolamento endpoint: un PC che mostra comportamento da ransomware (cifratura massiva di file) viene isolato dalla rete in secondi
- Kill processo: un processo malevolo identificato dall'EDR viene terminato immediatamente
- Disabilitazione account: un account compromesso viene sospeso automaticamente
- Blocco USB: un dispositivo USB non autorizzato viene disabilitato all'inserimento
- Quarantena file: un allegato email malevolo viene isolato prima che l'utente possa aprirlo
Il framework SOAR
Le piattaforme SOAR (Security Orchestration, Automation and Response) portano l'active response al livello successivo con i playbook: sequenze di azioni automatiche attivate da specifici trigger. Esempio di playbook ransomware:
- Trigger: EDR rileva cifratura massiva di file
- Azione 1: isola l'endpoint dalla rete (EDR)
- Azione 2: disabilita l'account utente (Active Directory)
- Azione 3: blocca l'IP di comando e controllo (firewall)
- Azione 4: crea ticket di incidente e notifica il team
- Azione 5: raccoglie evidenze forensi dall'endpoint
- Tempo totale: meno di 60 secondi
Active response per PMI
Non serve un SOC 24/7 per avere active response. Soluzioni accessibili:
- Wazuh (open source): active response integrata con regole personalizzabili. Blocco IP, kill processo, esecuzione script.
- CrowdStrike Falcon Go: antivirus di nuova generazione, controllo dei dispositivi e protezione mobile, 59,99 USD/endpoint/anno (7,99 USD al mese) con un massimo di 100 endpoint. L'EDR non è incluso nel bundle di ingresso e compare solo a partire da Falcon Enterprise (listino CrowdStrike).
- Shuffle SOAR (open source): playbook automation integrabile con qualsiasi stack di sicurezza.
La piattaforma Presidio XDR integra nativamente Wazuh e Shuffle SOAR, offrendo active response pronta all'uso con playbook preconfigurati per gli scenari più comuni. Combinata con la deception di Mirage, ogni interazione con un'esca attiva automaticamente il contenimento.
Il bilanciamento: automazione vs controllo
L'active response deve essere calibrata. Regola d'oro: automatizzate le azioni ad alto impatto e bassa probabilità di falso positivo. Bloccare un IP dopo 50 tentativi di login falliti? Sicuro, automatizzate. Isolare il server di produzione? Meglio avere un analista che conferma. Il giusto equilibrio protegge senza interrompere il business.