IOC nella sicurezza informatica: limiti e approccio ibrido alla bonifica logica

Per decenni individuare una sorveglianza ha significato cercare un segnale: una radiofrequenza, un trasmettitore, un oggetto nascosto nell’ambiente. La minaccia stava fuori dal dispositivo e lasciava un’emissione da intercettare.

Oggi quel presupposto non regge più. Il software di sorveglianza può risiedere dentro il sistema operativo di uno smartphone, raccogliere i dati alla sorgente e trasmetterli dentro flussi cifrati indistinguibili dal traffico ordinario. Il problema si sposta dal segnale al comportamento del sistema.

Questo spostamento mette in crisi uno degli strumenti più usati nella bonifica logica, cioè gli indicatori di compromissione. Un indicatore riconosce solo ciò che qualcuno ha già catalogato. L’articolo spiega perché un’analisi fondata solo su indicatori è strutturalmente incompleta, come si integra con l’analisi dei comportamenti e quali limiti conserva anche l’approccio combinato.

Due termini ricorrono nel testo con significato fisso. Per bonifica logica si intende l’analisi dei dispositivi e del loro traffico di rete. Per bonifica tecnica si intende il processo complessivo, che comprende anche l’ispezione fisica dell’ambiente e l’analisi dello spettro radio.

Questo articolo è un estratto del paper di Stefano Cangiano, Contromisure tecniche alla sorveglianza nell’era digitale: il Metodo SPECTRA, https://www.ictsecuritymagazine.com/pubblicazioni/contromisure-tecniche-alla-sorveglianza-nellera-digitale-il-metodo-spectra/

Che cosa sono gli indicatori di compromissione

Gli indicatori di compromissione (IOC) sono elementi osservabili che segnalano una possibile compromissione. Rientrano nella categoria le impronte crittografiche (hash) di file malevoli, i domini e gli indirizzi IP associati a infrastrutture di comando e controllo (C2), i nomi di processi noti, i certificati digitali anomali, le stringhe di firma binaria e gli schemi di traffico già classificati.

Sono tracce di minacce che qualcuno ha già identificato e documentato. Il funzionamento segue una logica semplice: se compare un elemento già noto come malevolo, il sistema segnala la compromissione. È il paradigma su cui si reggono gli antivirus tradizionali, gli EDR basati su firme, gli archivi di spyware noti, le liste di blocco di domini e indirizzi IP e gli scanner commerciali per dispositivi mobili.

Restano strumenti preziosi. Servono a identificare rapidamente le minacce conosciute, sono centrali nella risposta agli incidenti, risultano indispensabili per la correlazione con fonti aperte e funzionano bene come primo filtro. Il problema non è il loro uso, ma il loro uso esclusivo.

Perché le firme non bastano

Un sistema basato su firme confronta il campione osservato con un archivio di firme conosciute. Se il campione non compare nell’archivio, il sistema non lo rileva e tende a classificarlo come pulito. Da qui discende un limite strutturale: riconosce solo ciò che già conosce.

Nella bonifica logica questo limite pesa in modo specifico. Uno spyware sviluppato su misura non compare negli archivi pubblici. Un’operazione mirata può usare infrastrutture dedicate e mai riutilizzate. Un captatore impiegato da un’autorità non finisce nelle liste di blocco commerciali. Un malware evoluto può cambiare impronta crittografica a ogni compilazione.

Gli archivi pubblici hanno inoltre quattro limiti che vale la pena rendere espliciti.

Il primo è il ritardo: l’indicatore diventa pubblico solo dopo l’analisi e la divulgazione.

Il secondo è la visibilità parziale: non tutte le operazioni vengono rese pubbliche.

Il terzo è una distorsione commerciale: gli strumenti mostrano ciò che sanno rilevare, non ciò che esiste.

Il quarto riguarda le operazioni selettive, che possono non lasciare alcuna traccia pubblica.

Il problema emerge con chiarezza davanti a vulnerabilità sconosciute (zero-day), malware polimorfico, captatori su misura, infrastrutture temporanee, canali di comando e controllo ospitati su reti di distribuzione dei contenuti legittime e uso di servizi cloud comuni. In questi casi l’indirizzo IP appare legittimo, il dominio neutro, il traffico cifrato in HTTPS e il processo dotato di un nome innocuo. Dal punto di vista degli indicatori non esiste nulla di classificato come malevolo. Dal punto di vista comportamentale possono invece emergere persistenza anomala, flussi costanti in orari atipici, connessioni ripetute verso sistemi autonomi non coerenti con l’uso del dispositivo e schemi compatibili con l’esfiltrazione di dati.

L’illusione del “nessun risultato”

Il rischio operativo maggiore sta in un’inferenza scorretta: non abbiamo trovato indicatori, quindi il dispositivo è pulito.

L’assenza di indicatori significa soltanto che nessun indicatore già noto ha trovato riscontro. Non equivale all’assenza di compromissione. Nella bonifica logica questo errore produce falsi negativi critici.

Il punto non è controverso e non riguarda solo la contro-sorveglianza. La stessa metodologia forense pubblicata dal Security Lab di Amnesty International per l’individuazione di Pegasus segnala che l’esame di un dispositivo può restituire un esito negativo senza che ciò escluda una compromissione, perché le tracce disponibili dipendono dal sistema operativo, dal periodo coperto dai registri e dalle capacità dell’attaccante.

Un approccio fondato solo sugli indicatori è quindi reattivo e dipendente da intelligence prodotta da altri. Non analizza il comportamento, non costruisce un profilo di riferimento, non misura le anomalie rispetto al contesto. Si limita a confrontare.

L’analisi per pattern comportamentali

L’approccio pattern-centrico non cerca etichette, ma comportamenti. Non chiede se un indirizzo IP sia noto. Chiede se quel comportamento sia coerente con un uso legittimo del dispositivo.

L’osservazione riguarda frequenza, durata, periodicità, volume e direzione dei flussi. L’obiettivo è individuare regolarità anomale: connessioni a intervalli costanti, trasmissioni notturne ripetute, sincronizzazioni che l’attività dell’utente non giustifica.

In assenza di ispezione profonda dei pacchetti (DPI), l’analisi lavora su conteggi, distribuzioni e correlazioni temporali. Due nozioni diventano centrali.

Un flusso persistente è una comunicazione che si ripete nel tempo, mantiene endpoint stabili e mostra una struttura riconoscibile. La persistenza è un parametro chiave nella valutazione di compatibilità con scenari di monitoraggio remoto.

Un nodo dominante è un endpoint che concentra una quota significativa dei flussi e aggrega relazioni multiple. In uno scenario di sorveglianza può corrispondere a un server di raccolta, a un ripetitore o a un punto di orchestrazione. La sua individuazione resta però strutturale, non attributiva: dice dove converge il traffico, non chi lo raccoglie.

Decisiva è spesso l’analisi temporale: attività in assenza di interazione dell’utente, picchi in fasce orarie precise, variazioni cicliche, aumenti improvvisi del traffico in uscita. Un traffico in uscita anomalo e persistente è uno degli elementi più significativi, perché compatibile con scenari di esfiltrazione.

L’approccio ibrido: come si combinano

Nessuno dei due approcci basta da solo. Un modello fondato solo sugli indicatori è cieco verso ciò che non è catalogato. Un modello fondato solo sui comportamenti rischia di sovrainterpretare l’anomalia.

L’integrazione non è una somma di tecniche, ma una sequenza. Si parte dalla ricerca di indicatori, che esclude rapidamente le minacce note. Si passa all’analisi strutturale dei flussi, poi allo studio della persistenza e all’individuazione dei nodi dominanti. Segue la valutazione temporale. Si conclude separando il traffico infrastrutturale ordinario dagli schemi compatibili con un monitoraggio.

L’esito non è una certezza. Sono gradi di compatibilità, scenari probabilistici e valutazioni argomentabili sul piano tecnico.

Esempio illustrativo

Lo scenario che segue ha finalità didattiche. Non descrive un caso reale: serve a mostrare come si separano il dato, l’analisi e l’ipotesi.

Si supponga di acquisire in modo passivo, per sette giorni, il traffico di rete di uno smartphone presente in un ambiente sensibile.

Il dato è l’insieme degli elementi osservabili e verificabili. Lo smartphone si connette a un medesimo endpoint a intervalli regolari di circa quindici minuti, anche di notte e in assenza di interazione dell’utente. Il volume in uscita verso quell’endpoint è costante e superiore a quello in entrata. Il flusso viaggia su HTTPS. L’endpoint non compare in alcuna lista di blocco pubblica.

L’analisi mette in relazione questi elementi. La regolarità dell’intervallo è compatibile con un meccanismo di beaconing, cioè con contatti periodici verso un server. La prevalenza del traffico in uscita, in assenza di attività dell’utente, è coerente con un trasferimento di dati verso l’esterno. La persistenza notturna esclude una correlazione con l’uso applicativo dichiarato. Il confronto con gli altri dispositivi dell’ambiente non mostra profili analoghi. L’analisi registra però anche le spiegazioni legittime: notifiche push, sincronizzazione cloud, telemetria di sistema o messaggi di mantenimento della connessione di un’applicazione di messaggistica producono schemi simili.

L’ipotesi resta condizionale. Il comportamento osservato è tecnicamente compatibile con un’esfiltrazione remota persistente, a condizione che le spiegazioni alternative vengano escluse correlando il dato con il dispositivo e verificando le applicazioni installate.

L’esito corretto non è quindi “il dispositivo è intercettato”. È una valutazione di compatibilità tecnica, argomentata e subordinata all’esclusione delle ipotesi fisiologiche.

I principi dell’analisi passiva

La metodologia si regge su cinque principi.

Osservazione passiva. L’analisi lavora su traffico già generato, metadati, distribuzione dei protocolli, persistenza dei flussi, frequenza e periodicità delle connessioni. Non genera traffico di prova e non forza risposte dal dispositivo. Questo preserva l’integrità forense del contesto e riduce i falsi positivi prodotti da stimolazioni artificiali.

Nessuna interazione attiva. L’analisi non prevede l’installazione di software di scansione invasivo, l’esecuzione di exploit di verifica, test di penetrazione sul dispositivo o interrogazioni dirette verso endpoint sospetti. Un’interazione attiva può modificare i registri, attivare meccanismi di autodifesa e alterare gli schemi di comunicazione. Il dispositivo va trattato come una sorgente di dati, non come un bersaglio da stimolare.

Non attribuzione. L’analisi non identifica un autore e non formula accuse. Risponde a una domanda tecnica: il comportamento osservato è compatibile con un’architettura di sorveglianza remota? Ogni riferimento a soggetti o organizzazioni resta fuori dall’ambito metodologico, perché riduce le distorsioni interpretative.

Centralità dei pattern. Un evento isolato non ha valore diagnostico. Un comportamento ripetuto, strutturato e coerente nel tempo può assumere significato tecnico. L’attenzione si concentra sulla coerenza del sistema, non sull’eccezione.

Separazione tra dato, analisi e ipotesi. Il dato è osservabile, numerico e riproducibile. L’analisi è la sua interpretazione tecnica. L’ipotesi è uno scenario possibile, sempre condizionale. La separazione impedisce che il sospetto diventi conclusione.

Limiti e ambiguità

Ogni analisi opera dentro limiti strutturali, e dichiararli fa parte del metodo.

Il traffico cifrato. L’uso di TLS 1.3, HTTPS, DNS su HTTPS e su TLS, reti private virtuali e protocolli proprietari rende il contenuto non analizzabile in modo passivo. L’analisi si concentra allora su persistenza, frequenza, distribuzione temporale, nodi dominanti e scostamenti dal profilo di riferimento. Un flusso cifrato verso un endpoint remoto non indica di per sé un’attività malevola.

I servizi cloud legittimi. Aggiornamenti di sistema, sincronizzazioni, copie di sicurezza, piattaforme di messaggistica e servizi di analisi producono comunicazioni costanti. Molti captatori usano le stesse infrastrutture per mimetizzarsi. Ne consegue che il traffico verso i grandi fornitori non è di per sé indicativo, che la reputazione dell’indirizzo IP non è decisiva e che l’assenza dalle liste di blocco non equivale a innocuità.

I falsi positivi. Applicazioni che mantengono connessioni persistenti per le notifiche, sistemi di copia che generano caricamenti periodici, servizi VoIP con messaggi di mantenimento frequenti e sincronizzazioni in secondo piano producono schemi indistinguibili, a prima vista, da quelli di un captatore. La distinzione richiede correlazione temporale, analisi del contesto, confronto con il profilo di riferimento e validazione su più fonti. L’errore più grave consiste nel trattare un’anomalia come prova.

L’assenza di certezza assoluta. In un’analisi passiva non si dispone del controllo dell’infrastruttura, delle chiavi di cifratura, dell’accesso ai server remoti né dei registri della controparte. L’analisi può stabilire una compatibilità tecnica, escludere determinate ipotesi e pesare la probabilità di certi comportamenti. Non può, nella maggior parte dei casi, identificare l’operatore remoto o confermare la presenza di un captatore specifico senza artefatti diretti.

La credibilità di un’analisi non deriva dall’enfasi della conclusione, ma dalla chiarezza con cui dichiara i propri limiti.

L’intelligenza artificiale come supporto analitico

L’analisi di traffico, registri di sistema e metadati genera volumi elevati di dati eterogenei. Gli strumenti basati su intelligenza artificiale possono aiutare l’analista nelle fasi di normalizzazione, correlazione e assegnazione delle priorità.

Sul piano delle tecniche si tratta di metodi già consolidati. Gli algoritmi di rilevamento delle anomalie, come Isolation Forest o gli autocodificatori, segnalano flussi che si discostano da un profilo di riferimento appreso. Le tecniche di raggruppamento non supervisionato, come DBSCAN o k-means applicati a frequenza, volume, durata e periodicità, isolano i flussi che non rientrano in alcun gruppo atteso. I modelli linguistici di grandi dimensioni possono assistere nella normalizzazione di registri eterogenei e nella sintesi di sequenze di eventi.

Il rischio principale è l’automazione dell’interpretazione. Un’anomalia statistica non equivale a una compromissione. Un flusso persistente non equivale a un canale di esfiltrazione. Un nodo dominante non è necessariamente un server di comando e controllo.

Questi strumenti rendono più leggibili strutture complesse di dati. Non decidono se un dispositivo sia compromesso. Il processo decisionale resta responsabilità dell’analista, che valuta gli esiti alla luce del contesto, delle spiegazioni alternative e dei limiti dell’osservazione passiva.

Il metodo SPECTRA: la proposta dell’autore

Nota redazionale. Quanto segue non descrive uno standard riconosciuto né una prassi condivisa dal settore. SPECTRA è la metodologia proposta dall’autore di questo articolo, che svolge professionalmente attività di bonifica. Il paragrafo va letto come dichiarazione di parte e come proposta metodologica, non come stato dell’arte.

Le attività di contro-sorveglianza tecnica (TSCM) dispongono già di linee guida consolidate in ambito istituzionale, centrate sull’analisi radioelettrica, sull’ispezione fisica e sulla rilevazione elettronica. Sul versante dei dispositivi, i lavori del Security Lab di Amnesty International e del Citizen Lab hanno introdotto approcci forensi fondati su indicatori tecnici, analisi dei registri e correlazione delle infrastrutture.

Questi approcci restano però organizzati per dominio: le metodologie TSCM lavorano sul piano fisico e radio, quelle forensi sul dispositivo e sul traffico.

SPECTRA (Security Pattern Environment Correlation Technical Reconnaissance and Analysis) si propone come formalizzazione di un approccio integrato. Secondo l’autore non introduce nuove tecniche di rilevazione: organizza in un unico processo l’analisi ambientale e radioelettrica, l’ispezione fisica, l’analisi dei dispositivi e l’osservazione del traffico, trattandole come componenti interdipendenti. L’elemento distintivo rivendicato non è lo strumento, ma la logica di integrazione: il valore analitico non starebbe nella singola evidenza, bensì nella correlazione fra evidenze eterogenee osservate nel tempo.

Il metodo si articola in sei componenti da applicare insieme.

1. Analisi ambientale fisica: ispezione strutturale, verifica degli accessi e dei punti sensibili, individuazione di modifiche o anomalie.
2. Analisi dello spettro radio: scansione a banda larga e mirata, individuazione di segnali persistenti e a impulso, valutazione della potenza rispetto al contesto.
3. Rilevazione elettronica con giunzioni non lineari: individuazione di circuiti attivi e passivi, compresi i dispositivi spenti o non trasmittenti.
4. Analisi dei dispositivi autorizzati: smartphone, personal computer e dispositivi connessi, con verifica logica e comportamentale del traffico.
5. Gestione dei dispositivi non verificabili: apparati di ospiti, fornitori e terzi, per i quali si prevedono isolamento controllato, esclusione dall’ambiente sensibile e misure attive come la saturazione acustica dei microfoni.
6. Monitoraggio temporale: osservazione a breve, medio e lungo termine e correlazione degli eventi nel tempo.

Il principio dichiarato è che nessuna tecnica basti da sola e che ciò che non è verificabile vada comunque contenuto: l’assenza di rilevazioni non equivale all’assenza di capacità di acquisizione.

Conclusioni

Il punto di acquisizione delle informazioni si è spostato dall’ambiente fisico al dispositivo personale, e dall’hardware dedicato al software residente. Il cambiamento non è solo tecnologico: è metodologico.

Le tecniche tradizionali restano necessarie, ma non coprono più l’intero dominio della minaccia. Allo stesso modo, una bonifica logica fondata solo su indicatori già noti resta strutturalmente incompleta, perché molte minacce restano fuori campo finché nessuno le ha classificate.

L’analisi per indicatori individua ciò che è già conosciuto. L’analisi comportamentale individua ciò che si comporta in modo anomalo. Solo la loro integrazione permette una valutazione coerente. In questo quadro il dato isolato perde significato, il pattern diventa l’unità di analisi, il tempo diventa una variabile critica e la certezza lascia spazio alla valutazione probabilistica.

La bonifica tecnica moderna non consiste nel trovare una microspia. Consiste nello stabilire se un sistema, nel suo complesso, presenti comportamenti compatibili con uno scenario di sorveglianza.

Bibliografia e fonti

Amnesty International Security Lab, Forensic Methodology Report: How to Catch NSO Group’s Pegasus, luglio 2021. https://securitylab.amnesty.org/latest/2021/07/forensic-methodology-report-how-to-catch-nso-groups-pegasus/

Stefano Cangiano, Contromisure tecniche alla sorveglianza nell’era digitale: il Metodo SPECTRA, white paper, ICT Security Magazine. https://www.ictsecuritymagazine.com/pubblicazioni/contromisure-tecniche-alla-sorveglianza-nellera-digitale-il-metodo-spectra/

Il presente contributo si basa sull’esperienza tecnica operativa dell’autore e sull’analisi di casi documentati nella letteratura tecnica e giornalistica internazionale relativi a captatori informatici e spyware commerciali.