Non ci è voluto molto perché la reputazione di Snowflake andasse in frantumi – e il fornitore di servizi di archiviazione cloud da 2 miliardi di dollari probabilmente non se lo merita del tutto.
Una violazione avvenuta alla fine di maggio, che l’azienda e Mandiant , una società specializzata in intelligence sulle minacce, hanno attribuito a un gruppo con motivazioni finanziarie denominato UNC5537 , potrebbe rivelarsi la più grave dell’anno. Finora sono state colpite almeno 165 aziende e l’elenco continua ad allungarsi. Tra le aziende di rilievo che hanno reso noto di essere state colpite figurano Advance Auto Parts, AT&T, Pure Storage, Santander Bank e Ticketmaster. Ne è seguita un’ondata di cause legali , e , nonché un’indagine da parte delle autorità .
Secondo Snowflake e gli esperti di sicurezza, non vi erano prove che indicassero che tale attività fosse stata causata da una vulnerabilità, da un’errata configurazione o da una violazione del prodotto o dell’infrastruttura di Snowflake. Si ritiene invece che gli hacker abbiano preso di mira i clienti di Snowflake utilizzando credenziali compromesse appartenenti a un ex dipendente o collaboratore di Snowflake (le versioni divergono). Tuttavia, il motivo principale per cui UNC5537 è riuscita a compromettere così tanti account è stato il fatto che tali clienti non avessero attivato l’autenticazione a più fattori (MFA) .
Sebbene il programma MFA ( ) non sia sempre all’altezza delle aspettative, Snowflake, Mandiant e altri esperti di sicurezza hanno affermato che, se i clienti coinvolti ne avessero fatto uso, probabilmente non sarebbero stati vittime di attacchi. Pertanto, una delle principali lezioni da trarre da questa violazione è quella di adottare l’autenticazione a più fattori (MFA) a tutti i costi. Ma non è l'unico.
Ecco cinque insegnamenti fondamentali che i dirigenti e i responsabili IT dovrebbero trarre da questo evento:
1. Responsabilità condivisa: la responsabilità non ricade interamente su Snowflake
Il fatto che stiate archiviando i vostri dati nel cloud non significa che dobbiate aspettarvi che Snowflake – o qualsiasi altro fornitore di servizi cloud di tipo “ ” – si occupi di tutti gli aspetti relativi alla sicurezza. Certamente, devono proteggere i sistemi che ospitano i vostri dati e mantenerli crittografati. Ma se non fate la vostra parte per controllare chi può accedervi, beh, allora la responsabilità è vostra.
Steve Zalewski, ex CISO di Levi Strauss, la spiega in questo modo: «Quando si acquista una casa, sulla porta d’ingresso c’è una serratura». Vi consegniamo la chiave della serratura. Ma sta a voi decidere quante copie fare e se, oltre a ciò, volete installare anche un catenaccio.” In altre parole, Snowflake vi ha fornito uno spazio in cui archiviare i vostri dati e ne ha garantito la sicurezza, ma spetta a voi gestire le modalità di accesso. Se non si attiva l'autenticazione a più fattori (MFA) né si applicano controlli di accesso sicuri, si lascia la porta aperta.
«: Quando si acquista una casa, sulla porta d’ingresso c’è una serratura.» Vi consegniamo la chiave della serratura. Ma spetta a voi decidere quante copie fare e se aggiungere anche un catenaccio.”Steve Zalewski, ex responsabile della sicurezza informatica (CISO) di Levi Strauss
Snowflake avrebbe potuto fare di meglio, tuttavia: per continuare con l’analogia immobiliare, gli agenti immobiliari e gli istituti di credito sono tenuti per legge a fornire agli acquirenti di immobili opuscoli e informative che li avvertano di eventuali aspetti delle loro abitazioni o dei quartieri in cui si trovano che potrebbero arrecare loro danno. Analogamente, a seguito delle pressioni in ambito di pubbliche relazioni, Snowflake ha prontamente dichiarato che avrebbe elaborato un piano volto a richiedere ai clienti di “implementare controlli di sicurezza avanzati, quali l’autenticazione a più fattori” o politiche di rete, in particolare per gli account privilegiati dei clienti Snowflake.
La lezione: Non aspettate che Snowflake vi costringa a fare la vostra parte. Iniziate immediatamente ad applicare l’autenticazione a più fattori (MFA) e informate l’intero team in merito alle ragioni aziendali e informatiche che giustificano tale misura.
2. IAM è il nuovo migliore alleato dei clienti Snowflake (e dovrebbe esserlo anche per voi)
La gestione delle identità e degli accessi (IAM) non è solo una parola alla moda: è la vostra prima linea di difesa. Uno dei fattori principali alla base della violazione subita da Snowflake è stata la scarsa sicurezza dell’IAM. In parole povere, le aziende non stavano definendo con chiarezza chi potesse accedere a cosa, e questo si è rivelato un boomerang.
“Implementare controlli di sicurezza avanzati, come l’autenticazione a più fattori.”I consigli di Snowflake ai clienti che, purtroppo, sono stati forniti troppo tardi
Johannes Ullrich, responsabile della ricerca presso il SANS Technology Institute, afferma: «Assicuratevi che siano in atto controlli adeguati a tutela dei dati... tra cui l’autenticazione a più fattori (MFA) o un sistema di autenticazione resistente al phishing». In altre parole, non affidatevi a una combinazione poco sicura composta da un nome utente e una password del tipo , afferma. L’MFA non è solo un elemento auspicabile: è indispensabile. Gli hacker stanno diventando sempre più abili, ma quel livello aggiuntivo di sicurezza continua a fungere da deterrente.
La lezione: Un master in belle arti per tutti. Senza eccezioni. Si assicuri che i controlli di accesso siano più rigorosi di quelli del Suo account Netflix al termine di un periodo di prova gratuito.
3. Il modello “zero trust” non è paranoia: è una questione di sopravvivenza
Probabilmente avete già sentito parlare dell’approccio “ ” (zero trust) e lo avete ormai implementato. Se non lo conoscete, questo approccio strategico alla sicurezza informatica sostanzialmente afferma: «Non fidatevi di nessuno né di nulla finché non sia stato dimostrato che si tratta effettivamente di chi dice di essere, anche dopo che è stato concesso l’accesso di primo livello alla rete».
Nessuna persona o macchina può recarsi in alcun luogo senza autorizzazione. Gli utenti hanno accesso alle risorse di rete solo se la loro qualifica o il loro ruolo lo prevedono. Non è dissimile dai sistemi di sicurezza fisica di una grande azienda di Internet. Nemmeno il “ CEO ” può accedere alla sala in cui sono conservate informazioni tecnologiche estremamente riservate; al dirigente di vertice è consentito l’accesso solo alle sale in cui è effettivamente necessario che si rechi.
Tali approcci potrebbero sembrare estremi e difficili da Enforce , ma considerando che le violazioni costano alle aziende globali in media 4,5 milioni di dollari per ogni incidente, secondo un recente studio condotto da IBM- Ponemon Institute , non ci si può permettere di ignorare il buon senso del modello “zero trust”.
Il modello “zero trust” non implica bloccare ogni accesso al punto da renderlo inutilizzabile, bensì comporta una verifica continua, volta ad accertare che gli utenti e i dispositivi siano effettivamente chi dichiarano di essere in ogni fase del processo.
La lezione: Si adegui alla situazione. Si applichino i principi dello “zero trust”, in modo che ogni richiesta di accesso venga accolta con scetticismo e sottoposta a una verifica.
4. Provare, provare e provare ancora
Nessuno lancia un nuovo prodotto senza prima testarlo; perché mai, allora, si dovrebbe implementare un sistema di sicurezza senza sottoporlo a test regolari? È qui che entrano in gioco i test di penetrazione (pen testing) e il monitoraggio della superficie di attacco.
“Anche per una grande azienda, può essere importante che un soggetto esterno esamini il proprio livello di sicurezza con una prospettiva diversa rispetto a quella del personale interno.”Johannes Ullrich, decano alla ricerca, SANS Technology Institute
Non si tratta di truffe volte a prosciugare i vostri bilanci. Si tratta di strumenti all’avanguardia presenti nell’arsenale di qualsiasi azienda che adotti un approccio “ ” alle operazioni di sicurezza (SecOps) . La maggior parte dei pen tester – hacker etici assunti per simulare attacchi informatici – opera in modo del tutto legittimo, e molti di loro hanno svolto questo tipo di attività per forze armate e agenzie di intelligence negli Stati Uniti, in Israele e in altre nazioni particolarmente attente alla sicurezza informatica. Possono inoltre verificare i Suoi controlli di identità e di accesso per assicurarsi che tengano a bada i malintenzionati. Anche se i risultati delle analisi non dovessero rivelarsi significativi, avere questa tranquillità è meglio che non sapere o non rendersi conto dell’esistenza di una grave vulnerabilità in attesa di essere sfruttata, il che potrebbe costarLe una notevole quantità di tempo e denaro, oltre che la Sua reputazione.
«Anche per una grande azienda, può essere importante che un soggetto esterno esamini il proprio livello di sicurezza da una prospettiva diversa rispetto a quella del personale interno», afferma Ullrich. Le aziende tendono a riporre un po’ troppa fiducia nei propri team interni. Ottenere un punto di vista nuovo sulla propria configurazione di sicurezza è come chiedere un secondo parere su una diagnosi medica. Questo si chiama essere pratici, non paranoici.
La lezione: I test di penetrazione frequenti costituiscono il vostro stress test di sicurezza. Rivolgetevi a dei professionisti per individuare le crepe prima che sia troppo tardi.
5. Siate pronti a risolvere il problema (perché la prossima violazione simile a quella di Snowflake si verificherà)
Anche con le migliori misure di sicurezza in atto, è praticamente scontato che si verifichino comunque delle violazioni. Probabilmente l’avrete già sentito dire, ma non lo si ripeterà mai abbastanza: non è “ ” se, , bensì “” quando. E quando arriverà quel giorno, il modo in cui reagirà potrà determinare il successo o il fallimento della sua reputazione.
Ullrich e Zalewski concordano sul fatto che disporre di un solido piano di risposta agli incidenti sia un requisito imprescindibile.
«Sappiate dove si trovano i vostri dati», consiglia Ullrich. Sembra semplice, afferma, ma in caso di violazione, sapere dove si trovano i propri dati critici – e chi vi ha accesso – può far risparmiare tempo prezioso. Zalewski aggiunge che le aziende devono adottare un approccio proattivo nella formazione dei propri team in materia di risposta agli incidenti: «La sicurezza è una responsabilità di tutti».
Nel caso di Snowflake, una risposta rapida ed efficace ha permesso all’azienda di evitare un disastro di pubbliche relazioni ben più grave , ma ciò non significa che le altre aziende debbano abbassare la guardia. La gestione degli incidenti mira a ridurre al minimo i danni e a garantire una comunicazione trasparente con i clienti.
La lezione: Predisponete subito il vostro piano di risposta agli incidenti, non quando le cose andranno male. Si ricordi che l’igiene informatica (MFA, (MFA, ), l’applicazione regolare delle patch e la formazione) è fondamentale per evitare incidenti gravi.
In sintesi: non aspettate che si verifichi una catastrofe
La violazione dei dati di Snowflake rappresenta un campanello d’allarme, ma costituisce anche un’opportunità. Nessun fornitore di servizi cloud – per quanto grande o sicuro possa essere – è in grado di proteggere completamente i Suoi dati al posto Suo. In realtà, non è del tutto di loro competenza. Si tratta di una responsabilità condivisa e le aziende devono intensificare i propri sforzi.
Pertanto, tenete ben a mente queste cinque lezioni: puntate con decisione sull’IAM, adottate l’approccio “zero trust”, testate regolarmente le vostre difese e assicuratevi con la massima attenzione che il vostro team sia pronto a intervenire immediatamente qualora si verifichino problemi. Perché nel mondo della sicurezza informatica non si tratta solo di giocare in difesa, ma di stare sempre un passo avanti.
