La rete collega eventi che sui singoli sistemi appaiono isolati.
La network forensics utilizza log e dati di traffico per ricostruire connessioni, autenticazioni, comunicazioni verso infrastrutture sospette e trasferimenti. La profondità dell'analisi dipende dalla telemetria disponibile, dalla retention e dalla corretta sincronizzazione temporale.
Fonti analizzabili
- firewall, IDS/IPS e sistemi di filtraggio;
- VPN, accessi remoti e identity provider;
- DNS, proxy, secure web gateway e posta;
- NetFlow, packet capture e sensori di rete;
- log cloud, bilanciatori, WAF e applicazioni;
- EDR/XDR e SIEM per correlazione con gli endpoint.
AttivitÃ
Vengono normalizzati i riferimenti temporali, correlati IP, host, utenti e sessioni, ricercati indicatori e analizzati i pattern di comunicazione. Particolare attenzione viene dedicata a connessioni rare, beaconing, trasferimenti anomali e movimenti tra segmenti.
Output
- timeline delle comunicazioni rilevanti;
- mappa di sorgenti, destinazioni e sistemi coinvolti;
- indicatori e query riutilizzabili per threat hunting;
- valutazione dei limiti di visibilità ;
- raccomandazioni su logging, segmentazione e detection.