DriftLog: progettazione e implementazione del backend di una piattaforma multi-tenant per il rilevamento di brand abuse

This report documents the internship carried out by the graduating student Francesco Zanella at SimplyIT S.R.L. for a total of 320 hours, under the corporate supervision of Michele Salvalaggio (CTO) and the academic supervision of Prof. Federico Corò. The project led to the development of DriftLog, a platform designed to automatically detect brand abuse targeting an organization. These abuses range from the registration of deceptive domains to phishing campaigns and cases of typosquatting. The findings are presented in a multi-tenant web portal, capable of serving multiple clients while maintaining strict data separation. The work carried out focused on the platform's backend. Utilizing Python and the FastAPI framework, APIs were implemented to expose data to the portal, alongside a middleware responsible for identifying the tenant via a unique slug and enforcing client separation rules. A significant portion of the project involved the enrichment of the detections: by leveraging threat intelligence sources (OpenCTI) and querying a graph of relationships between domains and indicators (Neo4j), each suspicious domain is assigned a risk score, the reasoning behind its classification, and a detailed investigative dossier.

Questa relazione documenta l'attività di tirocinio svolta dal laureando Francesco Zanella presso SimplyIT S.R.L., per un totale di trecentoventi ore, con la supervisione aziendale di Michele Salvalaggio (CTO) e la tutela accademica del Prof. Federico Corò. Il progetto ha portato alla costruzione di DriftLog, una piattaforma pensata per rilevare in modo automatico gli abusi del marchio ai danni di un'organizzazione. Questi vanno dalla registrazione di domini ingannevoli alle campagne di phishing, fino ai casi di typosquatting, e i relativi risultati vengono presentati in un portale web multi-tenant, capace di servire più clienti mantenendo separati i rispettivi dati. Il lavoro personale ha riguardato il backend della piattaforma. Ricorrendo a Python e al framework FastAPI, sono state implementate le API che espongono i dati al portale e un middleware incaricato di identificare il tenant a partire da uno slug univoco e di applicare le regole di separazione tra i clienti. Una parte significativa ha interessato l'arricchimento delle rilevazioni: attingendo a fonti di threat intelligence (OpenCTI) e interrogando un grafo delle relazioni tra domini e indicatori (Neo4j), a ogni dominio sospetto vengono associati un punteggio di rischio, le ragioni della classificazione e un dossier di approfondimento.