NCSC sollecita una migliore visibilità forense nei dispositivi di rete

Il National Cyber Security Centre (NCSC) del Regno Unito invita produttori e clienti a rendere l’osservabilità forense una funzionalità standard di firewall, gateway VPN e altri dispositivi di rete.

Questi dispositivi si trovano spesso ai margini della rete di un’organizzazione e sono sempre più presi di mira da attori delle minacce capaci. Quando uno di essi viene compromesso, i difensori devono stabilire cosa è accaduto, determinare l’estensione dell’intrusione e decidere se il sistema può ancora essere considerato affidabile. In molti casi, tuttavia, le informazioni disponibili sul dispositivo sono insufficienti.

In cosa consiste l’osservabilità forense

L’osservabilità forense è la capacità di esaminare l’attività attuale e storica di un dispositivo tramite funzioni affidabili e supportate. Tra le funzionalità rilevanti rientrano dati telemetrici e log dettagliati, la cronologia delle configurazioni e la raccolta di prove forensi dalla memoria e dallo spazio di archiviazione.

È importante anche la trasparenza sul software in esecuzione su un dispositivo. Informazioni chiare sulle versioni e una distinta dei materiali software possono aiutare gli investigatori a identificare i componenti interessati e ridurre il tempo necessario per valutare un incidente. Le prove devono essere affidabili e progettate per resistere alle manomissioni da parte di un attaccante.

Ridurre la dipendenza da soluzioni alternative

L’NCSC afferma che la risposta agli incidenti non dovrebbe dipendere dal reverse engineering, da metodi improvvisati o dallo sfruttamento delle vulnerabilità nel prodotto oggetto dell’indagine. Tali approcci possono lasciare ai difensori meno strumenti pratici rispetto all’attaccante e ritardare il contenimento e il ripristino.

Nel 2025, l’agenzia ha pubblicato linee guida che trattano le specifiche di digital forensics e monitoraggio protettivo per i produttori di dispositivi e appliance di rete. Sta inoltre collaborando con partner internazionali a un’architettura di riferimento destinata ad aiutare i produttori a fornire un accesso forense sicuro e affidabile senza indebolire i controlli di sicurezza fondamentali.

Una responsabilità condivisa

Alcuni fornitori stanno già migliorando la registrazione degli eventi, la raccolta delle prove e la trasparenza dei sistemi. Sophos, riflettendo sulla propria campagna Pacific Rim, ha dichiarato che estendere le attività di rilevamento e risposta oltre gli endpoint, fino ai dispositivi firewall, ha contribuito a ridurre i danni ai clienti. L’azienda ha affermato che questa esperienza ha rafforzato la necessità di pianificare il possibile malfunzionamento dei sistemi perimetrali, invece di presumere che possano essere sempre protetti.

Per gli acquirenti, le funzionalità forensi dovrebbero rientrare nelle valutazioni di approvvigionamento e sicurezza. I fornitori, nel frattempo, dovrebbero considerare l’osservabilità un requisito del prodotto. Un’adozione più ampia aiuterebbe le organizzazioni a indagare più rapidamente, fornirebbe ai produttori informazioni più chiare sugli incidenti e renderebbe il ripristino meno dipendente da competenze specialistiche scarse.