Una piattaforma SOAR per il threat hunting multi-vettore automatizzato

Modern organizations are continuously exposed to cyberthreats, as the world is becoming more and more digital every day. Security Operations Centers (SOCs) work non-stop to prevent security incidents from happening in the first place, facing overwhelming alert volumes generated from various monitoring tools. This situation leads to the so-called "alert fatigue", which is defined as a state of mental and operational exhaustion caused by a staggering number of alerts. It can be fatal in certain fields such as intensive care units (ICUs) and particularly detrimental in SOC environments. Manual incident response can be slow and error-prone, as high-priority alerts can go unnoticed, causing delayed responses and more damage to the organization's assets. To address this challenge, this work introduces the development and implementation of a Security Orchestration, Automation, and Response (SOAR) platform using Shuffle (shuffler.io). The system integrates various tools such as Wazuh (SIEM) and Sublime Security, with Wazuh's capabilities extended through additional modules to monitor Docker containers, Office 365, and Azure environments. Indicator enrichment is performed using three complementary sources (MISP, OpenCTI, and VirusTotal) with cascading routing between them, enriching alerts, which are then published to IRIS DFIR for comprehensive incident management. Alerts are also delivered in real time to a dedicated Element Matrix room via the Matrix Hookshot extension, offering an instant notification in the same communication channel used for team coordination. Compared to other existing approaches (ATIO, AI4SOAR, Ismail et al.'s LLM-driven SOAR, and Thakker et al.'s Wazuh-Shuffle integration), this thesis proposes a distinctive approach. While prior works focus on formal data standardization, agentic artificial intelligence for the dynamic generation of adaptive playbooks or specialized attack scenarios, such as application-layer defenses for Windows systems, the work presented here is primarily oriented toward multi-vector defense, extending the scope to the email vector (Sublime) and cloud/containerized environments such as MS365 and Docker, and toward real-time alert delivery in the SOC team's communication channel. Although the platform incorporates LLM-based processing to extract and derive significant fields from heterogeneous alert sources, build payloads for the tools used in the platform, as well as to assess whether an alert requires further human investigation or has already been addressed by the source detection product, the use of AI is limited and auxiliary rather than representing the central architectural paradigm. A deterministic fallback mechanism triggers whenever the language model is unreachable, ensuring that no alert is dropped. The platform also exploits Graph API to collect various fundamental information from Microsoft environments, providing broader telemetry. This work demonstrates that the effective combination of vendor APIs and SOAR orchestration represents a significant step toward mitigating the alert fatigue problem and making SOC processes faster.

Le organizzazioni moderne sono continuamente esposte a cyberminacce, in un mondo che diventa ogni giorno sempre più digitale. I Security Operations Centers (SOC) lavorano senza sosta per prevenire incidenti di sicurezza, affrontando volumi sempre più imponenti di alert generati dai diversi strumenti di monitoraggio. Tale situazione porta al cosiddetto fenomeno dell'"alert fatigue", definito come uno stato di esaurimento mentale e operativo causato dall'enorme quantità di alert ricevuti. Può rivelarsi fatale in alcuni contesti come le unità di terapia intensiva (ICU) e particolarmente dannoso in ambienti SOC. La risposta manuale agli incidenti può essere lenta e soggetta a errori, poiché alert ad alta priorità possono passare inosservati, causando ritardi nelle risposte e maggiori danni agli asset dell'organizzazione. Per affrontare questa sfida, il presente lavoro introduce lo sviluppo e l'implementazione di una piattaforma di Security Orchestration, Automation, and Response (SOAR) basata su Shuffle (shuffler.io). Il sistema integra diversi strumenti come Wazuh (SIEM) e Sublime Security, estendendo le funzionalità di Wazuh tramite moduli aggiuntivi per il monitoraggio di container Docker, Office 365 e ambienti Azure. L'arricchimento degli indicatori viene effettuato utilizzando tre fonti complementari (MISP, OpenCTI e VirusTotal) con un instradamento a cascata tra di esse, arricchendo gli alert, che vengono successivamente pubblicati su IRIS DFIR per una gestione completa degli incidenti. Gli alert vengono inoltre consegnati in tempo reale a una stanza Matrix dedicata su Element tramite l'estensione Matrix Hookshot, offrendo una notifica immediata nello stesso canale di comunicazione utilizzato per il coordinamento del team. Rispetto ad altri approcci esistenti (ATIO, AI4SOAR, il SOAR basato su LLM di Ismail et al. e l'integrazione Wazuh-Shuffle di Thakker et al.), questa tesi propone un approccio distintivo. Mentre i lavori precedenti si concentrano sulla standardizzazione formale dei dati, sull'intelligenza artificiale agentica per la generazione dinamica di playbook adattivi o su scenari di attacco specifici, come le difese a livello applicativo per i sistemi Windows, il lavoro qui presentato è principalmente orientato alla difesa multi-vettore, estendendo l'ambito al vettore email (Sublime) e agli ambienti cloud/containerizzati come MS365 e Docker, nonché alla consegna in tempo reale degli alert nel canale di comunicazione del team SOC. Sebbene la piattaforma incorpori l'elaborazione tramite LLM per estrarre e derivare campi significativi da fonti di alert eterogenee, costruire payload per gli strumenti utilizzati nella piattaforma e valutare se un alert richieda ulteriori indagini umane o sia già stato gestito dal prodotto di rilevamento sorgente, l'uso dell'IA è limitato e ausiliario, piuttosto che rappresentare il paradigma architetturale centrale. Un meccanismo di fallback deterministico si attiva ogni volta che il modello linguistico non è raggiungibile, garantendo che nessun alert venga perso. La piattaforma sfrutta inoltre la Graph API per raccogliere informazioni fondamentali dagli ambienti Microsoft, fornendo una telemetria più ampia. Questo lavoro dimostra che la combinazione efficace delle API dei fornitori e dell'orchestrazione SOAR rappresenta un passo significativo verso la mitigazione del problema dell'alert fatigue e l'accelerazione dei processi dei SOC.