Guida pratica all’indagine di un incidente informatico: contenimento, raccolta delle prove, analisi dei log e ripristino. Include criteri per valutare supporto forense esterno, strumenti e costi da richiedere in preventivo.
Un sospetto incidente informatico va gestito con tre priorità: isolare, documentare
e valutare rapidamente se coinvolgere specialisti esterni. Spegnere, cancellare file o ripristinare sistemi senza un piano può rendere più difficile ricostruire l’accaduto e lasciare attivo il vettore di accesso.
Un team interno può affrontare eventi limitati se dispone di log, competenze e procedure chiare; per casi complessi, una consulenza di forense digitale o un servizio di incident response può offrire un supporto più strutturato.
La scelta dipende dalla gravità dell’evento, dai sistemi coinvolti, dalla disponibilità di evidenze e dalla copertura fuori orario necessaria. Non esistono tempi o costi standard: vanno definiti nel perimetro dell’intervento e verificati nel preventivo.
In breve
- Isolare: limitare la propagazione senza cancellare possibili evidenze.
- Documentare: annotare orari, sistemi, utenti coinvolti e azioni effettuate.
- Valutare l’escalation: coinvolgere un consulente forense o un servizio di incident response se il team non può analizzare il caso in sicurezza.
| Opzione | Quando può essere adatta | Elementi da verificare |
|---|---|---|
| Indagine interna | Evento circoscritto, competenze disponibili e log accessibili. | Procedure, accessi controllati, capacità di preservare copie e tracciare le attività. |
| Consulente di forense digitale | Possibile compromissione rilevante, necessità di ricostruire i fatti o di acquisire evidenze. | Ambito dell’incarico, acquisizione forense, report finale, disponibilità e supporto al ripristino. |
| Servizio MDR/SOC gestito | Organizzazioni che cercano monitoraggio e gestione continuativa degli eventi di sicurezza. | Copertura oraria, fonti di log incluse, modalità di escalation, reperibilità e limiti del servizio. |
Cosa fare nelle prime ore dopo un sospetto incidente
Nelle prime ore l’obiettivo non è trovare subito un responsabile, ma ridurre l’impatto senza compromettere l’analisi. Occorre distinguere ciò che si osserva da ciò che si ipotizza: un avviso antivirus, un accesso insolito o file non disponibili sono segnali da registrare, non conclusioni definitive.
Isolare i sistemi senza cancellare possibili evidenze
Se un dispositivo sembra coinvolto, può essere opportuno separarlo dalla rete per limitare ulteriori comunicazioni o propagazioni. Prima di eseguire azioni irreversibili, annotate lo stato del sistema, l’utente collegato, l’orario e il motivo dell’intervento. Evitate cancellazioni, reinstallazioni frettolose o modifiche alle configurazioni se non sono strettamente necessarie al contenimento.
Registrare fatti, orari, persone coinvolte e azioni eseguite
Una cronologia semplice è già utile: chi ha rilevato l’anomalia, quali sistemi sono interessati, quali messaggi sono comparsi e quali azioni sono state effettuate. Conservate, quando possibile, screenshot, notifiche, intestazioni delle e-mail e riferimenti ai log. La tracciabilità delle attività aiuta a separare gli eventi dell’incidente dagli interventi eseguiti durante la risposta.
Quando l’urgenza supera le capacità del team interno
È ragionevole valutare supporto esterno quando mancano log affidabili, sono coinvolti più sistemi, non è chiaro il punto d’ingresso o il team non può garantire copertura tempestiva. Un fornitore di incident response o una consulenza cybersecurity può definire priorità operative, acquisire elementi tecnici e assistere nel contenimento. L’eventuale necessità di coinvolgere legali, autorità o altri soggetti dipende dal caso concreto e dai dati coinvolti.
Indagine interna, consulente forense o servizio gestito: confronto per decidere
La scelta non riguarda solo la competenza tecnica. Conta anche quanto rapidamente il team può intervenire, quali strumenti possiede e se riesce a mantenere separati analisi, comunicazione e ripristino.
Competenze, tempi di risposta e copertura fuori orario
Un’indagine interna può essere efficace se esistono procedure, persone autorizzate e fonti di log disponibili. Un consulente forense può essere utile per un’attività puntuale e delimitata. Un servizio MDR o SOC gestito è invece da valutare quando l’esigenza è continua: monitoraggio, gestione degli alert ed escalation possono ridurre il tempo necessario per iniziare una verifica, senza però garantire da soli l’identificazione completa dell’autore o l’eliminazione definitiva del rischio.
Costi da valutare: intervento una tantum, reperibilità e attività extra
Nel confronto tra preventivi non considerate soltanto il costo iniziale espresso in euro. Chiedete se sono inclusi reperibilità, analisi dei log, acquisizione delle immagini forensi, trasferte, report, riunioni di coordinamento e assistenza al ripristino. Verificate inoltre come vengono gestite attività fuori perimetro o richieste urgenti.
Quali risultati concreti richiedere nel perimetro dell’incarico
Un incarico chiaro dovrebbe descrivere cosa verrà analizzato, quali fonti saranno raccolte e quali consegne sono previste. Può essere utile richiedere una cronologia degli eventi osservati, i sistemi esaminati, le evidenze disponibili, le ipotesi sul vettore iniziale e le azioni suggerite. Un report deve distinguere chiaramente fatti verificati, limiti dell’analisi e aspetti da approfondire.
Raccolta e conservazione delle prove digitali
La preservazione delle evidenze richiede attenzione: aprire file, riavviare dispositivi o modificare registri può alterare informazioni potenzialmente rilevanti. L’obiettivo è mantenere copie utilizzabili e sapere chi le ha gestite.
Log, endpoint, e-mail, identità e traffico di rete
Per ricostruire una sequenza degli eventi possono essere utili log di autenticazione, dati degli endpoint, messaggi e-mail, configurazioni, timestamp e informazioni sul traffico di rete. Non tutte queste fonti saranno disponibili o complete. Prima di intervenire, individuate dove sono conservate, chi può accedervi e quale intervallo temporale è rilevante.
Integrità delle copie, controllo degli accessi e tracciabilità delle attività
Quando si creano copie di file o si acquisiscono dispositivi, annotate origine, data, ora, persona incaricata e modalità di conservazione. Limitate gli accessi alle evidenze alle sole persone autorizzate. Questa disciplina è utile sia per l’analisi tecnica sia per evitare confusione tra la copia originale, le copie di lavoro e i materiali prodotti successivamente.
Errori che possono rendere più difficile ricostruire l’accaduto
Gli errori frequenti includono la cancellazione di file sospetti, il riutilizzo immediato di un account compromesso, il ripristino senza conservare informazioni disponibili e la mancata annotazione delle azioni svolte. Anche condividere evidenze tramite canali non controllati può complicare la gestione. Se non esiste una procedura interna, fermarsi e chiedere supporto può essere più prudente che procedere per tentativi.
Ricostruire l’incidente e limitare il danno
La ricostruzione serve a capire cosa è successo, quali sistemi potrebbero essere coinvolti e quali controlli vanno verificati. Non coincide con il semplice ritorno alla normale operatività.
Identificare il possibile vettore iniziale e i sistemi coinvolti
L’analisi può partire da una e-mail sospetta, un accesso anomalo, un dispositivo remoto o un comportamento inatteso su un endpoint. Il vettore iniziale va trattato come un’ipotesi finché non emergono elementi coerenti dai log, dai timestamp e dalle configurazioni. È importante ampliare la verifica ai sistemi collegati, senza assumere che il primo dispositivo osservato sia l’unico coinvolto.
Separare contenimento, eradicazione e ripristino
Il contenimento limita la diffusione dell’evento. L’eradicazione punta a rimuovere la causa o gli elementi residui identificati. Il ripristino riporta i servizi in funzione con verifiche ragionevoli. Mescolare queste fasi può portare a ripristinare un sistema prima di aver controllato credenziali, configurazioni e meccanismi di persistenza.
Verificare credenziali, configurazioni e punti di persistenza
Dopo un accesso sospetto, la verifica non dovrebbe limitarsi alla password dell’utente coinvolto. Possono essere rilevanti autorizzazioni, account amministrativi, impostazioni di accesso remoto, regole di inoltro e-mail, configurazioni di rete e attività pianificate. Le azioni concrete dipendono dall’infrastruttura e devono essere documentate per poter valutare cosa è stato corretto.
Come cambiano le priorità in base allo scenario
Ogni scenario richiede una sequenza diversa. Il principio resta identico: contenere, preservare ciò che è disponibile e valutare il perimetro reale prima di dichiarare chiuso l’incidente.
Ransomware o cifratura di file
Se file o risorse risultano cifrati o non disponibili, la priorità è limitare la propagazione e individuare i sistemi interessati. Conservate le informazioni visibili, gli avvisi ricevuti e i riferimenti temporali. Il ripristino da copie disponibili va valutato insieme alla verifica del possibile vettore di accesso, perché ripristinare senza affrontarlo può esporre a una nuova compromissione.
Account compromesso tramite phishing
In caso di e-mail ingannevole o credenziali potenzialmente sottratte, verificate accessi, sessioni, regole di inoltro, modifiche alle impostazioni e attività dell’account. Segnalare il messaggio, preservarne i dettagli e limitare l’uso dell’account coinvolto può aiutare l’analisi. Non è possibile stabilire l’estensione dell’evento senza esaminare le evidenze disponibili.
Esfiltrazione o possibile perdita di dati
Quando esiste il sospetto di accesso o trasferimento non autorizzato di dati, occorre definire quali archivi potrebbero essere coinvolti, quali utenti avevano accesso e quali log possono essere esaminati. Obblighi di conservazione, comunicazione o notifica possono dipendere dal contesto organizzativo e dalla tipologia di dati: è necessario valutare il caso concreto con le figure competenti.
Dispositivo aziendale smarrito o accesso sospetto da remoto
Per un dispositivo smarrito o un collegamento remoto insolito, verificate identità associate, autorizzazioni, stato delle credenziali e informazioni tecniche disponibili. La priorità può essere revocare o modificare accessi secondo le procedure interne, documentando ogni passaggio. Anche qui, l’impatto effettivo dipende dalle protezioni già presenti e dalle informazioni che si riescono a raccogliere.
Criteri di scelta e confronto finale per il supporto all’incidente
Un fornitore non si valuta solo dal nome dello strumento utilizzato. Per servizi di incident response, consulenza forense digitale o monitoraggio gestito, contano soprattutto il perimetro, la reperibilità e la qualità delle consegne.
Checklist per confrontare fornitori, SLA e modalità di reperibilità
- Orari di copertura e modalità di contatto in caso di urgenza.
- Fonti tecniche incluse: endpoint, e-mail, identità, log e rete.
- Modalità di acquisizione e conservazione delle evidenze.
- Report previsti, aggiornamenti durante l’attività e supporto al ripristino.
- Attività escluse, costi aggiuntivi e criteri per l’ampliamento del perimetro.
Domande da porre prima di accettare un preventivo
Chiedete chi coordinerà l’intervento, quali informazioni servono per iniziare, come verranno gestiti i dati raccolti e quali output saranno consegnati. È utile chiarire se il servizio comprende solo analisi tecnica o anche supporto operativo, comunicazione con le parti coinvolte e indicazioni per il rafforzamento successivo.
Misure successive per ridurre il rischio di un nuovo incidente
Dopo l’emergenza, trasformate quanto appreso in azioni verificabili: migliorare la raccolta dei log, rivedere accessi e configurazioni, aggiornare le procedure di escalation e chiarire chi decide durante un incidente. Un servizio di monitoraggio sicurezza può essere una scelta da confrontare se l’organizzazione non dispone di presidio interno continuativo.
Scelta e confronto: riepilogo operativo
Prima di scegliere tra gestione interna, consulente forense o MDR/SOC, controllate gravità dell’evento, disponibilità dei log, competenze interne, copertura fuori orario e risultati inclusi nell’incarico. Confrontate anche le modalità di acquisizione delle prove, il report finale e il supporto previsto nella fase di ripristino. Per valutare un servizio di incident response, consultate la pagina ufficiale del fornitore e verificate con attenzione copertura, tempi di intervento e condizioni contrattuali.
Conclusione
Un’indagine informatica efficace parte da azioni semplici e ordinate: isolare con cautela, annotare ciò che accade e conservare le evidenze disponibili. Il ripristino è importante, ma non dovrebbe sostituire l’analisi del possibile punto di accesso. Quando il caso supera le capacità del team, un supporto specialistico può rendere più chiari perimetro, priorità e limiti dell’indagine. La preparazione precedente all’incidente resta una delle risorse più utili per rispondere con meno improvvisazione.
Informazioni utili da conoscere
1. I log possono essere decisivi, ma potrebbero non essere completi o disponibili per tutto il periodo necessario.
2. Un’immagine forense e una copia di lavoro non sono la stessa cosa: entrambe richiedono gestione controllata.
3. La documentazione delle azioni eseguite è utile anche se l’incidente si rivela meno grave del previsto.
4. Un backup non sostituisce la verifica del vettore di accesso.
5. Reperibilità, perimetro e report sono elementi centrali nel confronto di una consulenza cybersecurity.
Punti importanti da verificare
Questa guida offre indicazioni generali e non consente di stabilire l’origine, l’impatto o gli eventuali obblighi applicabili a un caso specifico. Tempi, costi e complessità dipendono dall’infrastruttura, dal volume dei dati, dalla gravità dell’evento e dalle evidenze disponibili. Per valutazioni su notifiche, conservazione dei dati, comunicazioni o coinvolgimento di autorità, legali o specialisti, è necessario esaminare la situazione concreta.
Domande frequenti
Q1. Quanto costa affidare l’indagine di un incidente informatico a un consulente esterno?
A1. Non esiste un costo unico. Dipende dal numero di sistemi, dal volume dei dati, dall’urgenza, dalla disponibilità dei log e dalle attività richieste. In un preventivo è utile distinguere analisi, acquisizione forense, reperibilità, report, supporto al ripristino ed eventuali attività extra.
Q2. È sicuro spegnere subito un computer che potrebbe essere stato compromesso?
A2. Non sempre. Spegnere o riavviare può modificare o rendere non disponibili alcune evidenze. Se possibile, documentate lo stato del dispositivo, limitate la connettività secondo le procedure interne e valutate il supporto di persone competenti prima di compiere azioni irreversibili.
Q3. Quando una piccola impresa dovrebbe scegliere un servizio di monitoraggio gestito invece di intervenire solo dopo un attacco?
A3. Può essere una scelta da valutare quando non esiste una copertura interna continua, mancano risorse per analizzare gli alert o l’organizzazione vuole definire un processo di escalation più strutturato. Prima di scegliere, confrontate fonti monitorate, orari di copertura, modalità di risposta e limiti del servizio.
