{"id":517,"date":"2023-07-31T18:04:30","date_gmt":"2023-07-31T16:04:30","guid":{"rendered":"https:\/\/fred151.net\/site\/?p=517"},"modified":"2023-08-01T10:51:32","modified_gmt":"2023-08-01T08:51:32","slug":"migliorare-lanalisi-delle-ipotesi-concorrenti-ach-per-la-cybersecurity","status":"publish","type":"post","link":"https:\/\/fred151.net\/site\/2023\/07\/31\/migliorare-lanalisi-delle-ipotesi-concorrenti-ach-per-la-cybersecurity\/","title":{"rendered":"Migliorare l’analisi delle ipotesi concorrenti (ACH) per la cybersecurity"},"content":{"rendered":"\n

Prefazione<\/h2>\n\n\n\n

L’Analisi delle ipotesi concorrenti (ACH) \u00e8 una metodologia sviluppata da Richard Heuer nel suo libro “Psicologia dell’analisi dell’intelligence”, un processo originariamente sviluppato per la Central Intelligence Agency (CIA) per affrontare il bias cognitivo (cognitive bias) e valutare efficacemente situazioni complesse e incerte. Questo metodo aiuta gli analisti a migliorare la valutazione delle informazioni e ad evitare il bias cognitivo. Il bias cognitivo \u00e8 la tendenza a cercare, interpretare e ricordare le informazioni in modo da confermare le nostre convinzioni o ipotesi preesistenti. Ci\u00f2 significa che possiamo prestare maggiore attenzione alle prove che supportano ci\u00f2 che gi\u00e0 crediamo e ignorare le prove che contraddicono le nostre convinzioni.<\/p>\n\n\n\n

L’ACH spinge l’analista a considerare contemporaneamente tutte le ipotesi possibili, valutando i dati o le prove rispetto a ciascuna di esse. L’obiettivo \u00e8 confutare le ipotesi piuttosto che confermarle e, grazie a questo processo, gli analisti possono valutare in modo pi\u00f9 oggettivo quali ipotesi sono pi\u00f9 coerenti con le evidenze analizzate (attenzione, non la pi\u00f9 probabile!).<\/p>\n\n\n\n

Ecco una rappresentazione tabellare di una matrice SACH (Structure Analysis of Competing Hypotheses):<\/p>\n\n\n

\n
\"\"<\/figure>\n<\/div>\n\n\n

In questa matrice, ogni colonna riporta la sua ipotesi e ogni riga l’evidenza. L’intersezione di un’ipotesi e di una prova \u00e8 contrassegnata con “+” se l’evidenza \u00e8 coerente\/supporta l’ipotesi, “-” se l’evidenza contraddice l’ipotesi e “0” se la l’evidenza \u00e8 neutra o irrilevante per l’ipotesi.<\/p>\n\n\n\n

Ora che abbiamo trattato le basi dell’ACH, approfondiamo i miglioramenti che possono rendere questa metodologia ancora pi\u00f9 efficace nel campo della cybersecurity.<\/p>\n\n\n\n

Introduzione<\/h2>\n\n\n\n

La sicurezza informatica non \u00e8 pi\u00f9 solo un problema tecnologico. Nell’attuale panorama digitale, gli incidenti di sicurezza sono intrinsecamente legati alla vitalit\u00e0 delle operazioni aziendali. Le azioni intraprese nelle prime ore cruciali di un incidente di sicurezza, prima ancora che ne siano chiari la portata e l’impatto, possono influenzare profondamente la continuit\u00e0 aziendale. Le decisioni di contenimento prese in queste prime fasi possono avere implicazioni di vasta portata. Questo articolo si propone di introdurre una serie di regole migliorate per aumentare l’efficacia dell’analisi strutturata delle ipotesi concorrenti (SACH) nel contesto della sicurezza informatica. Fornendo un solido quadro analitico per il processo decisionale, questi miglioramenti mirano ad aiutare le aziende a navigare con maggior successo nel difficile terreno delle minacce alla sicurezza informatica.<\/p>\n\n\n\n

The Cybersecurity Analysis (Improved)<\/h2>\n\n\n\n

Possiamo migliorare con 5 regole l’analisi della struttura delle ipotesi concorrenti (SACH):<\/p>\n\n\n\n

1. Esplicitare la domanda: ipotesi uniformi<\/h3>\n\n\n\n

Assicurare che tutte le ipotesi siano tentativi di rispondere alla stessa domanda. In altre parole, il problema o la domanda da indagare deve essere ben definita e tutte le ipotesi generate devono essere in linea con essa. Questo chiarimento snellir\u00e0 il processo di analisi, riducendo il rumore di fondo e garantendo un’indagine mirata. Le domande chiuse possono aiutare a confermare dettagli specifici, mentre quelle aperte possono incoraggiare un pensiero pi\u00f9 ampio e scoprire nuove prospettive.<\/p>\n\n\n\n

2. Spettro delle ipotesi: Dalla negazione all’affermazione<\/h3>\n\n\n\n

Utilizzare un ordine sistematico delle ipotesi, dalla negazione all’affermazione della domanda centrale. Iniziare con le ipotesi che negano la domanda incoraggia gli analisti a considerare le evidenze di inganno (deception), attenuando il bias cognitivo e favorendo un’indagine equilibrata. Questo spettro di ipotesi fornisce una struttura per il confronto e garantisce una considerazione completa di tutte le possibilit\u00e0, compreso l’inganno. Quando si formulano le ipotesi, si pu\u00f2 iniziare con una domanda chiusa (ad esempio, “L’attore della minaccia X \u00e8 responsabile dell’attacco?”), mentre l’utilizzo di domande aperte permette di esplorare le prove e le implicazioni (ad esempio, “Quali tattiche, tecniche e procedure usa di solito l’attore della minaccia X e come si allineano con le caratteristiche dell’attacco?”).<\/p>\n\n\n\n

3. Reporting cronologico: Dati basati sulla timeline<\/h3>\n\n\n\n

Organizzare le prove in ordine cronologico. La costruzione di una linea temporale e la collocazione delle prove all’interno di essa possono rivelare schemi, tendenze e relazioni causali che altrimenti potrebbero passare inosservate. Un approccio basato sulla cronologia offre una visualizzazione pi\u00f9 chiara degli eventi e aiuta a comprendere come certe ipotesi possano essere pi\u00f9 plausibili di altre a causa della sequenza degli eventi.<\/p>\n\n\n\n

4. Verificate e non verificate: Classificazione delle evidenze<\/h3>\n\n\n\n

Stabilire che tutte le evidenze devono essere classificate come “verificate” o “non verificate”. La verifica \u00e8 essenziale nell’analisi; questa regola sottolinea l’importanza di distinguere le evidenze confermate da fonti affidabili (“verificate”) dalle informazioni prive di convalida definitiva (“non verificate”). In particolare, ci\u00f2 non suggerisce che le prove non verificate debbano essere ignorate, ma indica semplicemente che tali prove dovrebbero avere un peso minore nell’analisi.<\/p>\n\n\n\n

5. Pesare le evidenze: Eventi\/dati verificati vincono su quelli non verificati<\/h3>\n\n\n\n

Assegnare un punteggio pi\u00f9 alto ai dati verificati. Questa regola garantisce che i dati verificati, data la loro natura confermata, abbiano pi\u00f9 peso nell’analisi. Una proposta iniziale potrebbe essere un semplice sistema di punteggio, come 2 punti per le evidenze verificate e 1 punto per quelle non verificate. Il sistema di punteggio specifico dovrebbe essere adattato in base al contesto dell’analisi, con la consapevolezza che le evidenze verificate hanno un peso analitico maggiore.<\/p>\n\n\n\n

Teamplate<\/h3>\n\n\n
\n
\"\"<\/figure>\n<\/div>\n\n\n

Lo stato di verifica di ogni evidenza \u00e8 elencato accanto all’etichetta della prova nella prima colonna (V per verificata, U per non verificata).<\/p>\n\n\n\n

L’intersezione tra un’ipotesi e un’evidenza \u00e8 contrassegnata con “+” se l’evidenza \u00e8 coerente con l’ipotesi, “-” se non coerente con l’ipotesi e “0” se \u00e8 neutra o irrilevante per l’ipotesi.<\/p>\n\n\n\n

Esempio<\/h3>\n\n\n
\n
\"\"<\/figure>\n<\/div>\n\n\n

Conclusioni<\/h2>\n\n\n\n

In sintesi, questi miglioramenti mirano a migliorare il processo ACH nell’analisi della cybersecurity. Garantendo ipotesi uniformi, classificando e pesando le evidenze in base al loro stato di verifica, organizzando i dati in una cronologia e ordinando sistematicamente le ipotesi dalla negazione all’affermazione, queste regole promuovono un’analisi completa ed equilibrata. Queste regole sono in linea con i principi fondamentali dell’ACH – evitare il bias cognitivo, ricercare evidenze verificate e considerare tutte le ipotesi ragionevoli – e aggiungono specificit\u00e0 e struttura per migliorare il processo. Con l’evoluzione delle minacce informatiche, devono evolversi anche i nostri metodi per comprenderle.<\/p>\n\n\n\n

Ecco alcune aree della sicurezza informatica in cui questa metodo potrebbe essere applicato:<\/p>\n\n\n\n

1. Threat Analysis<\/h3>\n\n\n\n

Gli analisti delle minacce hanno spesso a che fare con una grande quantit\u00e0 di informazioni incerte e incomplete. Hanno bisogno di capire le motivazioni, le capacit\u00e0 e le tattiche dei potenziali attori delle minacce. Questo metodo potrebbe aiutare gli analisti delle minacce a valutare sistematicamente diverse ipotesi sull’identit\u00e0, le intenzioni o le prossime mosse di un attore minaccioso.<\/p>\n\n\n\n

2. Incident Response<\/h3>\n\n\n\n

Quando si verifica un incidente di sicurezza, gli analisti di incident response devono determinare rapidamente cosa \u00e8 successo, come \u00e8 successo e chi \u00e8 responsabile. Con questo metodo, gli analisti possono tracciare diverse ipotesi sull’incidente (ad esempio, si \u00e8 trattato di un attacco esterno o di una minaccia interna? Si \u00e8 trattato di un attacco mirato o di una minaccia interna?) e valutare le prove che supportano o confutano ciascuna di esse.<\/p>\n\n\n\n

3. Security Operations Center (SOC) Analysis<\/h3>\n\n\n\n

Gli analisti SOC monitorano e analizzano l’attivit\u00e0 di reti, server, endpoint, database, applicazioni, siti web e altri sistemi tecnologici per identificare eventuali segnali di incidenti di sicurezza. Spesso si trovano di fronte a un volume elevato di avvisi e devono determinare quali rappresentano minacce reali. Questo metodo potrebbe aiutare gli analisti SOC a soppesare le prove relative a ciascun avviso e a determinare la spiegazione pi\u00f9 coerente con le evidenze a disposizione.<\/p>\n\n\n\n

4. Digital Forensics<\/h3>\n\n\n\n

Nella digital forensics, gli analisti cercano di scoprire i dettagli dei crimini elettronici, come hacking, frodi, cyberstalking, ecc. Con questo metodo, gli analisti possono confrontare e valutare diverse ipotesi su come \u00e8 stato commesso un crimine e su chi ne \u00e8 responsabile.<\/p>\n\n\n\n

<\/p>\n","protected":false},"excerpt":{"rendered":"

Prefazione L’Analisi delle ipotesi concorrenti (ACH) \u00e8 una metodologia sviluppata da Richard Heuer nel suo libro “Psicologia dell’analisi dell’intelligence”, un processo originariamente sviluppato per la Central Intelligence Agency (CIA) per affrontare il bias cognitivo (cognitive bias) e valutare efficacemente situazioni complesse e incerte. Questo metodo aiuta gli analisti a migliorare la valutazione delle informazioni e […]<\/p>\n","protected":false},"author":1,"featured_media":518,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[4],"tags":[54,50,53,52,51],"class_list":["post-517","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","tag-bias","tag-cybersecurity","tag-intelligence","tag-socanalyst","tag-threateintelligence"],"_links":{"self":[{"href":"https:\/\/fred151.net\/site\/wp-json\/wp\/v2\/posts\/517","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/fred151.net\/site\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/fred151.net\/site\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/fred151.net\/site\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/fred151.net\/site\/wp-json\/wp\/v2\/comments?post=517"}],"version-history":[{"count":6,"href":"https:\/\/fred151.net\/site\/wp-json\/wp\/v2\/posts\/517\/revisions"}],"predecessor-version":[{"id":528,"href":"https:\/\/fred151.net\/site\/wp-json\/wp\/v2\/posts\/517\/revisions\/528"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/fred151.net\/site\/wp-json\/wp\/v2\/media\/518"}],"wp:attachment":[{"href":"https:\/\/fred151.net\/site\/wp-json\/wp\/v2\/media?parent=517"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/fred151.net\/site\/wp-json\/wp\/v2\/categories?post=517"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/fred151.net\/site\/wp-json\/wp\/v2\/tags?post=517"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}