Ricognizione del Ritmo Operativo: Identify Business Tempo (T1591.003)

In un esercizio red team la ricostruzione del ritmo operativo è pura OSINT lab-safe: si lavora su dati pubblici, senza toccare il perimetro del target. L'obiettivo è profilare quando l'organizzazione è più vulnerabile e quando arrivano forniture IT.

Un primo blocco di attività riguarda l'automazione della raccolta:

• SpiderFoot (open source) per orchestrare decine di moduli OSINT e correlare orari di attività da social, comunicati e metadati;
• Recon-ng (open source) come framework modulare per interrogare fonti pubbliche e archiviare risultati in workspace strutturati;
• theHarvester (open source) per raccogliere e-mail, sottodomini e riferimenti a personale dai motori di ricerca.

L'analisi temporale sfrutta i metadati. I timestamp di commit su repository pubblici rivelano gli orari reali di lavoro dei team di sviluppo: con git log --pretty=format:"%an %ad" si estraggono autore e data di ogni commit, ricostruendo i fusi orari e le fasce operative. Analogamente, gli orari di pubblicazione sui profili social aziendali e i pattern di risposta del supporto clienti disegnano la settimana lavorativa.

Per intercettare le finestre di acquisto e spedizione hardware si osservano fonti diverse: bandi di gara pubblici, comunicati su nuove infrastrutture, offerte di lavoro che citano tecnologie in adozione, e i profili professionali di chi gestisce procurement. Un annuncio che cerca competenze su una specifica piattaforma segnala un'imminente introduzione di quella tecnologia.

La catena d'attacco simulata prosegue collegando il tempo operativo alle fasi successive. Se il red team individua la finestra in cui un fornitore rilascia aggiornamenti, può modellare uno scenario di Supply Chain Compromise o di Trusted Relationship, pianificando l'azione nel momento di massima aspettativa e minima diffidenza. Se invece emerge che la copertura SOC si interrompe nel weekend, l'ingaggio successivo (phishing o accesso iniziale) viene calendarizzato in quella fascia.

Per l'elicitazione diretta, in scope autorizzato, si costruiscono pretesti coerenti con il calendario aziendale: una falsa comunicazione di consegna programmata risulta credibile solo se allineata al ritmo reale. Strumenti come Maltego (freemium) aiutano a visualizzare le relazioni tra persone, fornitori e date, trasformando dati grezzi in una mappa temporale sfruttabile. Tutto il lavoro resta passivo: nessun pacchetto raggiunge il target, quindi l'esercizio è ripetibile e sicuro in laboratorio.

La rilevazione diretta di questa tecnica è, per ammissione della stessa detection AN1981, quasi impossibile: la raccolta avviene fuori dalla visibilità dell'organizzazione e ha altissima frequenza con tassi di falso positivo elevati. Il SOC deve quindi spostare il focus sulla detection indiretta, cioè su ciò che accade quando il ritmo operativo mappato viene sfruttato nelle fasi successive.

Il primo segnale utile è la correlazione temporale anomala. Se l'attaccante ha profilato le vostre finestre di scopertura, gli eventi di accesso iniziale tenderanno a concentrarsi fuori orario. Vale la pena costruire baseline comportamentali delle autenticazioni e allertare su login e accessi VPN in fasce insolite. Su ambienti Windows i log da monitorare sono EventCode 4624 e 4625 (logon riusciti e falliti) correlati all'orario, mentre l'accesso a caselle e servizi cloud emerge dai log di Azure AD / Entra ID e dagli Unified Audit Log di Microsoft 365.

Un secondo fronte è il phishing mirato che sfrutta il ritmo operativo: e-mail che citano consegne, forniture o scadenze reali. Qui le soluzioni di email security come Proofpoint (a pagamento), Microsoft Defender for Office 365 (a pagamento) o Mimecast (a pagamento) aiutano a intercettare pretesti coerenti col calendario aziendale. L'applicazione rigorosa di SPF, DKIM e DMARC riduce lo spoofing dei fornitori citati nei pretesti.

Sul versante preventivo, che qui coincide con la mitigazione M1056, il SOC dovrebbe collaborare con chi gestisce l'esposizione informativa. Monitorare la propria superficie esterna con Shodan (freemium) e Censys (freemium) segnala quali informazioni operative trapelano. Piattaforme di OSINT monitoring come SpiderFoot (open source) permettono di verificare quanto del vostro ritmo operativo sia deducibile da fonti pubbliche, così da ridurlo alla fonte.

L'intelligence sui pattern di attacco si arricchisce con piattaforme come MISP (open source), Anomali (a pagamento) o Recorded Future (a pagamento), utili per riconoscere quando infrastrutture o pretesti noti si allineano alle vostre finestre deboli.

Infine, attenzione ai falsi positivi: picchi di login serali durante chiusure contabili, manutenzioni programmate e team distribuiti su più fusi orari generano rumore. Ogni alert temporale va contestualizzato con il calendario aziendale reale, altrimenti il tasso di falso positivo rende l'allerta inutilizzabile.

Per l'analista forense questa tecnica è insidiosa: la raccolta del ritmo operativo non lascia artefatti sugli endpoint della vittima, perché si svolge su fonti esterne. L'indagine parte quindi dalle fonti esterne e dagli artefatti che emergono solo dopo il primo contatto malevolo, in fase di accesso iniziale.

La ricostruzione della preparazione avversaria si appoggia a dati storici pubblici. Il WHOIS storico e il passive DNS aiutano a datare la registrazione di domini lookalike o infrastrutture usate nei pretesti temporali; i Certificate Transparency log, consultabili tramite il servizio crt.sh (gratuito), rivelano quando sono stati emessi certificati per domini che imitano fornitori o portali di consegna. Correlare queste date con il calendario operativo dell'organizzazione mostra se l'attaccante aveva mappato una finestra specifica.

Sul lato endpoint, gli artefatti utili compaiono quando il pretesto costruito sul ritmo operativo produce un'azione. Su Windows la timeline si ricostruisce da più sorgenti: i log di posta e i file scaricati, le voci di ShellBags e ShimCache, e soprattutto i timestamp MFT del file system NTFS, analizzabili con il plaso/log2timeline (open source) per generare una super-timeline che allinea l'apertura di un allegato ingannevole alla finestra di consegna simulata. La cache dei browser e i download registrati confermano il momento del click.

Su Linux la sequenza si legge dai log di autenticazione in /var/log/auth.log, dalla shell history con timestamp e dagli orari di accesso ai file (atime/mtime) ricostruibili con strumenti della Sleuth Kit (open source). L'obiettivo è verificare se l'azione dell'utente si è collocata esattamente nella fascia che l'attaccante aveva individuato come debole.

Un elemento chiave della timeline è la coerenza temporale: se l'intrusione o il phishing efficace cadono in un momento di scopertura del SOC, o in prossimità di una consegna hardware/software realmente avvenuta, l'analista ha un forte indizio che il ritmo operativo fosse stato profilato in anticipo. Documentare tale allineamento è essenziale per l'attribuzione della fase di ricognizione.

Data l'assenza di gruppi, software e campagne mappati a questa tecnica, la ricostruzione forense resta necessariamente inferenziale: si dimostra la ricognizione attraverso i suoi effetti a valle, non attraverso tracce dirette lasciate sui sistemi della vittima.

I dati MITRE ATT&CK forniti per questa tecnica non associano alcun gruppo APT, software o campagna documentata: 0 gruppi, 0 software, 0 campagne. Non è quindi corretto attribuire l'uso della tecnica a specifici attori, e questa assenza è essa stessa un'informazione rilevante per il threat intelligence officer.

La spiegazione è metodologica. Identificare il ritmo operativo è un'attività di ricognizione passiva che si svolge interamente su fonti pubbliche, senza generare telemetria attribuibile. Per questo raramente compare nei report di intrusion analysis come tecnica isolata: viene assorbita nella narrazione delle fasi successive, quando la conoscenza acquisita si traduce in azioni osservabili. L'officer deve trattarla come un presupposto abilitante più che come un indicatore di compromissione a sé stante.

Dal punto di vista dei pattern, il valore intelligence sta nel collegare la profilazione temporale agli obiettivi che serve. Chi mappa le finestre di consegna hardware e software si sta tipicamente preparando a operazioni di Supply Chain Compromise o Trusted Relationship, dove il tempismo rispetto al ciclo di fornitura è determinante. Chi invece profila orari e giorni lavorativi punta a colpire nei momenti di minore copertura difensiva, allineando phishing e accesso iniziale alle fasce di scopertura.

Sul piano difensivo, la mitigazione M1056 (Pre-compromise) indica dove concentrare gli sforzi: ridurre la superficie informativa esposta. Un programma di threat intelligence maturo integra il monitoraggio di ciò che l'organizzazione rivela involontariamente sul proprio ritmo. Piattaforme come MISP (open source), Recorded Future (a pagamento) e Anomali (a pagamento) permettono di tracciare infrastrutture e attività avversarie e di correlarle con le proprie finestre di esposizione, mentre servizi come DomainTools (a pagamento) monitorano domini lookalike che spesso precedono l'uso del ritmo operativo profilato.

Il trend da comunicare al CISO è la crescente sofisticazione del tempismo negli attacchi: gli avversari non colpiscono a caso, ma sincronizzano le operazioni con eventi aziendali reali — chiusure di bilancio, migrazioni, consegne di apparati. Anche senza attori mappati, la contromisura strategica resta la stessa: censire e minimizzare i segnali di ritmo operativo che filtrano da comunicati, bandi, offerte di lavoro e social media, coordinando intelligence, SOC e chi governa la comunicazione esterna. La difesa non è tecnica, ma informativa e organizzativa.

MITRE ATT&CK: tecnica T1591.003 (Identify Business Tempo), tattica TA0043 (Reconnaissance), mitigazione M1056 (Pre-compromise), detection DET0849 e analytic AN1981. Tool citati con documentazione o repository pubblici: SpiderFoot, Recon-ng, theHarvester, plaso/log2timeline, Sleuth Kit, MISP (open source); Shodan, Censys, Maltego, crt.sh; Proofpoint, Microsoft Defender for Office 365, Mimecast, DomainTools, Recorded Future, Anomali. Parte dei comandi e delle procedure forensi deriva da conoscenza professionale di cybersecurity, oltre ai dati MITRE forniti.