Poiché gli sviluppi relativi all’invasione russa dell’Ucraina cambiano di minuto in minuto, i responsabili governativi e i dirigenti aziendali di tutto il mondo si sono concentrati sull’organizzazione di una difesa vigorosa contro gli attacchi informatici sferrati da Stati nazionali.
Eventuali attacchi potrebbero costituire una rappresaglia alle sanzioni imposte alla Russia da parte degli Stati Uniti, del Regno Unito, dell’Unione Europea e di altri paesi. Il timore è che gli avversari possano agire su una scala tale da far sembrare un gioco da ragazzi le vulnerabilità della catena di approvvigionamento relative a Log4j, SolarWinds e all’ Microsoft Exchange Server.
L’Agenzia statunitense per la sicurezza informatica e delle infrastrutture (CISA) ha pubblicato delle linee guida rivolte alle aziende e alle organizzazioni — sia di grandi che di piccole dimensioni — e ha stilato un elenco degli strumenti e dei servizi gratuiti disponibili per rafforzare le difese nel caso in cui attacchi informatici russi minaccino le infrastrutture critiche e gli istituti finanziari. «Ogni organizzazione negli Stati Uniti è esposta al rischio di minacce informatiche che possono compromettere i servizi essenziali e potenzialmente avere ripercussioni sulla sicurezza pubblica», ha avvertito la CISA in una dichiarazione.
Ciononostante, i dirigenti farebbero bene a non farsi prendere dal panico. Quando si parla di sicurezza informatica, “Keep Calm and Carry On” è sempre un saggio motto da tenere ben presente. Il percorso della guerra cibernetica coinvolgerà probabilmente, in una prima fase, le agenzie governative e le ONG attive nelle questioni ucraine e di difesa, e successivamente le istituzioni finanziarie che applicano sanzioni contro gli interessi russi, afferma Chris Hallenbeck, CISO per le Americhe presso Tanium. Da lì, la guerra informatica potrebbe estendersi ad altre aziende e settori, a seconda della natura della risposta russa.
Per aiutare i dirigenti a prepararsi ad affrontare le difficoltà, Endpoint ha raccolto i migliori consigli forniti dai nostri esperti nel corso dell’ultimo anno, durante il quale abbiamo analizzato il panorama della sicurezza. In conclusione: il momento di agire era ieri. «Se state aspettando un evento come l’invasione dell’Ucraina per decidere di intervenire in materia di sicurezza informatica, siete già in una situazione difficile», afferma Hallenbeck.
Rispolverate i manuali sulla resilienza informatica
La CISA ha esortato tutte le imprese private a prendere visione delle guide operative “ ” recentemente pubblicate all’indirizzo, che hanno catalogato le pratiche in continua evoluzione del governo degli Stati Uniti in risposta all’ordine esecutivo del presidente Biden volto a migliorare la sicurezza informatica. Sebbene le linee guida siano rivolte alle agenzie civili federali del ramo esecutivo, la CISA “incoraggia vivamente” il settore privato ad avvalersi sia delle strategie che degli standard in esse contenuti.
«Avere un piano, di qualsiasi tipo esso sia, è meglio che non averne affatto», afferma Hallenbeck. «È ancora meglio disporre di un piano su misura per le vostre attività e il vostro approccio culturale.» Ma il semplice fatto di avere un piano che giace su uno scaffale a prendere polvere non giova a nessuno, aggiunge. Le aziende devono condurre esercitazioni teoriche mirate per garantire che il personale comprenda il piano e il proprio ruolo al suo interno, e successivamente testare diversi scenari per assicurarsi che funzioni effettivamente.
Attenzione alla mitigazione dei rischi legati alla catena di approvvigionamento
Anziché prendere di mira direttamente le organizzazioni, i criminali informatici e gli hacker sostenuti da Stati nazionali utilizzano attacchi alla catena di fornitura del software , come quelli ai danni di SolarWinds , per sottrarre dati e, in alcuni casi, paralizzare infrastrutture e servizi critici degli Stati Uniti.
Essi inseriscono codice dannoso nel software che le organizzazioni utilizzano per gestire le proprie attività, prendendo di mira in particolare le pipeline di sviluppo software vulnerabili e le configurazioni cloud non sicure, oppure sfruttando i processi di aggiornamento del software. Secondo l’Agenzia dell’Unione europea per la sicurezza informatica (ENISA), gli attacchi alla catena di approvvigionamento sono quadruplicati nel 2021 rispetto al 2020.
«I rischi legati alla catena di approvvigionamento, sia che si tratti di una vulnerabilità o di un attacco vero e proprio, stanno aumentando sia in frequenza che in gravità», afferma Hallenbeck. «E ora si verifica un evento come il conflitto in Ucraina, che accresce la probabilità che possa verificarsi un’altra ondata di attacchi informatici alla catena di approvvigionamento.» Per essere pronte, le organizzazioni devono effettuare una scansione dell’ambiente per sapere di quali risorse dispongono, dove si trovano e cosa è installato su tali risorse, afferma. Devono verificare se i dispositivi finali siano stati compromessi e porre immediatamente rimedio alle vulnerabilità.
Intensificare le attività di individuazione delle minacce
Nella maggior parte dei casi, la ricerca delle minacce consiste nell’individuare le “incognite sconosciute”: anomalie non ancora rilevate, attività insolite o codice dannoso che potrebbero aprire la strada a un attacco informatico. Analogamente al funzionamento del sistema immunitario dell’organismo, i “cacciatori di minacce” ricercano costantemente le minacce alla sicurezza informatica all’interno delle reti e degli endpoint di un’organizzazione, inclusi laptop, PC, tablet e macchine virtuali nel cloud. L'approccio individua, rimuove e risolve in modo proattivo le minacce prima che gli hacker possano infiltrarsi nella vostra rete.
«Partite sempre dal presupposto che un avversario sia penetrato nel vostro ambiente», afferma Hallenbeck. «E prestate sempre attenzione ai segnali di compromissione attraverso un’attività proattiva di individuazione delle minacce.» I team di “threat hunting” analizzano i comportamenti e i metodi che gli aggressori potrebbero utilizzare per ottenere l’accesso al vostro ambiente e muoversi al suo interno, per poi individuare eventuali anomalie che indichino una violazione. Una o due volte all’anno, anche per un’organizzazione di medie dimensioni è vantaggioso affidarsi a una società esterna per individuare nuovi talenti.
[Si prega di leggere: Che cos’è il “threat hunting” e perché è importante?]
Migliorare i processi di gestione delle patch
Poiché la superficie di attacco continua ad ampliarsi, la gestione delle patch è diventata notevolmente più complessa. «La pandemia ha accelerato il passaggio da una rete parametrizzata a un modello diverso di un ordine di grandezza significativo», afferma Phil Reitinger, presidente e CEO della Global Cyber Alliance, ex CISO di Sony e alto funzionario responsabile della sicurezza informatica nell’amministrazione Obama.
La situazione è peggiorata ulteriormente con l’emergere dell’attacco informatico “ Log4j ” ai danni di un software open source di largo utilizzo, che ha costretto le aziende e le amministrazioni pubbliche ad applicare freneticamente patch ai propri sistemi.
L'applicazione delle patch è spesso considerata una delle armi più semplici ed efficaci per combattere la criminalità informatica. Tuttavia, nella pratica la questione può rivelarsi complessa. Gli hacker sfruttano appieno i sistemi di gestione delle patch poco efficienti. Tuttavia, anziché ricorrere alle tecniche di hacking più sofisticate, spesso si concentrano su vulnerabilità che richiedono un investimento minimo in termini di costi e impegno e che esistono ormai da anni. Ecco perché la strategia di difesa preferibile consiste nell’automatizzare la maggior parte delle operazioni relative all’applicazione mensile delle patch, pur continuando a effettuare test adeguati prima dell’implementazione delle nuove patch.
[Si prega di leggere: "CISOs face 2022 in modalità crisi"]
Rafforzare le pratiche di igiene informatica
La “cyber igiene” è un insieme di pratiche abituali volte a garantire la gestione sicura dei dati critici e a proteggere le reti. È come l’igiene personale, in cui si sviluppa una routine regolare composta da piccole attività ben definite volte a prevenire o mitigare i problemi di salute. Le pratiche di “cyber igiene” comprendono l’inventario di tutti gli endpoint collegati a una rete, la gestione delle vulnerabilità e l’applicazione delle patch a software e applicazioni (cfr. sopra).
La “cyberigiene” contribuisce a impedire ai criminali di violare la rete di un’organizzazione — o, quantomeno, ne aumenta il “costo opportunità”, rendendo l’operazione talmente difficile che l’hacker rinuncia e va alla ricerca di un’altra vittima.
In definitiva, una buona igiene riduce la superficie di attacco. «Le organizzazioni dedicano molto tempo, impegno e denaro all’applicazione delle patch, e questo è un aspetto da lodare», afferma Hallenbeck dell’ Tanium. «Ma se state correggendo un problema relativo a qualcosa che nessuno utilizza, perché vi state dando tanto da fare?» «Ogni volta che si mantiene in funzione qualcosa che non viene utilizzato o è sottoutilizzato, si creano ulteriori aspetti da monitorare e mantenere.»
[Si prega di leggere: Che cos’è l’igiene informatica e perché è importante?]
A differenza di quanto recita il detto comune: l’attacco migliore è in realtà una buona difesa. Grazie a queste e ad altre strategie, i dirigenti potranno mantenere la calma mentre si preparano ad affrontare e reagiscono a qualsiasi crisi informatica possa presentarsi loro in futuro.
