Come il Log Management aiuta a contrastare il Ransomware

Il Ransomware continua a rappresentare una delle minacce più impattanti per le organizzazioni europee.

Secondo l’ENISA Threat Landscape 2025, il Ransomware è la minaccia con il maggiore impatto nell’Unione Europea e il settore manifatturiero è tra quelli maggiormente colpiti.

Lo stesso report evidenzia inoltre come gli attacchi sfruttino sempre più vulnerabilità, credenziali compromesse e tecniche di evasione per raggiungere i propri obiettivi.

Quando un’azienda si accorge dell’attacco, spesso l’attaccante è già entrato nella rete, ha compromesso uno o più account, ha ottenuto privilegi elevati e ha iniziato a muoversi tra sistemi e server alla ricerca dei dati più importanti.

È proprio nella fase che precede la cifratura che il Log Management può fare la differenza.

I log registrano continuamente ciò che accade all’interno delle infrastrutture IT e OT: accessi, autenticazioni, modifiche ai privilegi, connessioni, attività sui server, utilizzo degli account e molti altri eventi.

Presi singolarmente, possono sembrare semplici informazioni tecniche, ma correlati tra loro, possono invece raccontare la storia di un attacco mentre è ancora in corso.

Quali sono i segnali di un attacco Ransomware?

I segnali di un imminente attacco Ransomware si manifestano durante il cosiddetto “dwell time”, ovvero il tempo di permanenza dell’attaccante nella rete, e includono attività anomale di file, account, rete e sicurezza.

Di seguito i segnali di pre-attacco da considerare:

• Attività anomale degli account: login in orari insoliti, autenticazioni da località sospette e comportamenti che si discostano dalle linee guida abituali.

• Escalation dei privilegi: modifica inattesa dei privilegi amministrativi di un account o l’assegnazione di permessi particolari.

• Movimento laterale: connessioni tra sistemi che normalmente non comunicano, autenticazioni ripetute verso diversi server, utilizzo anomalo di account privilegiati o accessi consecutivi a molte risorse possono rappresentare segnali da investigare.

• Attività anomale su Endpoint e server: esecuzione di processi, modifiche alle configurazioni, accesso a directory, utilizzo anomalo di strumenti amministrativi o attività che precedono la cifratura dei dati.

Perché la gestione dei Log è cruciale nell’individuare un Ransomware?

Il Log Management consente di individuare fin dalle prime fasi minacce ransomware aggregando, normalizzando e correlando in tempo reale i log di endpoint, rete, identità e backup per far emergere le anomalie comportamentali tipiche delle diverse fasi della catena di attacco (ricognizione, movimento laterale, inibizione recovery, cifratura).

• Il ransomware lascia “impronte” operative prima e durante la cifratura: accessi anomali, esecuzione di tool di living-off-the-land (es. PowerShell, PsExec), modifiche a policy di backup, cancellazione di snapshot, picchi di scrittura file e cambi di estensione.

• Senza log centralizzati e protetti, questi segnali restano dispersi in silos e l’organizzazione spesso si accorge dell’attacco solo quando i file sono già cifrati.

• Una strategia di logging ben progettata riduce il tempo medio di rilevamento (MTTD) e permette di attivare contromisure prima della fase di impatto.

Come strutturare il Log Management per la detection

Per rendere efficace la detection ransomware, il logging deve essere progettato con questi criteri:

• Copertura: abilitare logging su network device, server, endpoint, applicazioni critiche, identity provider, email gateway, Cloud e soprattutto sistemi di backup.

• Centralizzazione e normalizzazione: inviare tutti i log a un SIEM/Log Management, normalizzare i campi (utente, host, IP, processo, azione) per poter correlare eventi eterogenei.

• Protezione dei log: garantire integrità e confidenzialità dei log (WORM storage, permessi ristretti, canali sicuri) per evitare che l’attaccante li alteri o li cancelli.

• Baseline e behavioral analytics: usare dati storici per definire baseline di comportamento (login, processi, traffico, file activity) e attivare alert su deviazioni significative, non solo su IOC statici.

• Integrazione threat intelligence: arricchire i log con Indicatori di Compromissione di campagne ransomware note per migliorare la detection e ridurre i falsi positivi.

Advanced Log Management di SGBox: trasformare i log in una capacità di detection

Per affrontare il ransomware, SGBox combina funzionalità di Log Management avanzato, SIEM e SOAR all’interno di un’unica piattaforma proprietaria, modulare e scalabile.

SGBox consente di gestire i log in modo centralizzato e di proteggerli attraverso meccanismi di archiviazione sicura e immutabilità, preservando l’affidabilità delle informazioni raccolte.

Il valore nasce dalla combinazione di più livelli:

• Raccolta e centralizzazione dei log, per avere una visione unificata dell’infrastruttura;
• Log immutabili, per proteggere le evidenze e supportare le attività di analisi e risposta.
• Log Correlation Engine, per creare regole di correlazione e monitorare in tempo reale gli eventi di sicurezza.
• Threat Intelligence Feed, per aggiungere contesto alle attività rilevate.
• User Behavior Analytics (UBA), per individuare comportamenti anomali degli utenti.
• SOAR, per creare regole e workflow automatici nella gestione degli incidenti.

In questo modo, il Log Management diventa parte integrante della strategia di rilevamento e risposta, per permette di rilevare ciò che sta accadendo all’interno del perimetro digitale aziendale mentre un attacco è in corso.

Approfondisci le funzionalità del Log Management di SGBox>>