Gli amministratori delegati di tutto il mondo si trovano improvvisamente sotto i riflettori a causa della crescente instabilità delle infrastrutture critiche del Paese: dagli attacchi informatici agli ospedali e agli stabilimenti di lavorazione della carne, fino ai sistemi di approvvigionamento idrico e ai gasdotti. Gli attacchi ransomware, che negli Stati Uniti colpiscono ormai un sito ogni otto minuti , stanno mettendo in ginocchio i dipartimenti di polizia, la NBA e i traghetti diretti a Martha’s Vineyard.
Alla luce della crisi informatica, la Commissione del Senato per la Sicurezza Interna e gli Affari Governativi ha recentemente convocato l’ CEO e della Colonial Pipeline, Joseph Blount, affinché fornisse spiegazioni in merito alla grave violazione della sicurezza che ha causato l’interruzione del funzionamento della più grande conduttura di carburante del Paese. Colonial ha ammesso che la violazione è stata causata da una singola password compromessa utilizzata su una rete privata virtuale (VPN) priva di autenticazione a più fattori .
«Nel corso delle nostre indagini su quanto accaduto alla Colonial Pipeline, non dobbiamo commettere l’errore di adottare un approccio compartimentato nell’affrontare le vulnerabilità in materia di sicurezza informatica nelle infrastrutture critiche», ha affermato il deputato Bennie G. Thompson (D-Miss.), presidente della Commissione per la Sicurezza Interna della Camera dei Rappresentanti, che a giugno ha avviato una propria indagine.
Per aiutare i dirigenti ad affrontare questi tempi difficili, la redazione di Endpoint ha fatto un respiro profondo e ha raccolto i migliori consigli dei nostri esperti raccolti nell’ultimo anno di analisi del panorama della sicurezza. In questo articolo riassumiamo i consigli più utili per il momento attuale.
Prendete sul serio le password e l’autenticazione a più fattori
È importante creare una password sicura utilizzando una frase unica e facile da ricordare, composta da un numero di caratteri compreso tra otto e 12 , e attenersi a essa, anziché costringere i dipendenti ad apportare piccole modifiche a una password meno sicura.
Successivamente, la strategia migliore consiste nell’utilizzare l’autenticazione a più fattori (MFA) tramite smartphone o un dispositivo di autenticazione di tipo “ App”. Elemento fondamentale di una cyberigiene efficace , l’autenticazione a più fattori (MFA) richiede all’utente di verificare la propria identità utilizzando più di un metodo, ad esempio una password e il riconoscimento vocale, oppure una password e un dispositivo in suo possesso, come un telefono, in grado di ricevere una notifica da un App quando l’utente tenta di accedere a una rete informatica.
«La realtà è che le password sono ancora in uso», afferma Kelvin Coleman, direttore esecutivo della National Cyber Security Alliance (NCSA). «Ciò che raccomando ai consumatori e alle aziende è di creare password sicure, attivare l’autenticazione a più fattori (MFA) e installare gli aggiornamenti di sicurezza e le patch.» «Non occorre essere un mago della tecnologia per farlo.»
[Si prega di leggere: Perché abbiamo ancora bisogno della Giornata mondiale della password]
Lasci perdere la VPN
Le reti private virtuali comportano una maggiore complessità, anziché ridurla . I dipendenti lamentano di impiegare troppo tempo per accedere alla rete aziendale e di dover sopportare una connessione Internet più lenta una volta connessi. I collaboratori dell’help desk devono rispondere alle chiamate di questi dipendenti insoddisfatti, assicurandosi che le VPN siano mantenute e configurate correttamente. E quando, durante la pandemia, le aziende hanno decuplicato la capacità delle reti VPN, l’afflusso massiccio di utenti simultanei ha compromesso ulteriormente le prestazioni. A ciò si aggiunga il fatto che le VPN possono rivelarsi estremamente insicure: una volta che i criminali informatici ottengono l’accesso diretto alla rete di un’azienda, possono accedere a tutto ciò che si trova su tale rete, comprese le informazioni aziendali sensibili.
Ad Anton Chuvakin, responsabile della strategia per le soluzioni di sicurezza presso Google Cloud, non piacciono le VPN. «Si rompono», afferma. «Si rompono spesso. «E proprio nei momenti più difficili.» Chuvakin raccomanda invece sistemi “zero-trust” basati sul cloud che considerano ogni dispositivo che tenti di effettuare l’accesso come una potenziale minaccia. Gli utenti devono dimostrare la propria identità in diversi modi ogni volta che accedono a uno qualsiasi dei sistemi, delle applicazioni e dei siti web di un’azienda.
[Si prega di leggere: È giunto il momento di abbandonare la VPN a favore del modello “zero trust”]
Bloccare il movimento laterale
Nel caso dell’attacco alla catena di approvvigionamento di SolarWinds, i criminali informatici hanno utilizzato malware per sottrarre e falsificare credenziali digitali che hanno consentito loro di passare da endpoint a endpoint , ottenendo così l’accesso a circa 18.000 entità che avevano scaricato il software di sicurezza infetto. Il costo per porre rimedio a questa grave violazione è stato stimato in
100 miliardi di dollari.
La chiave per contrastare tali attacchi consiste nel rendere il cosiddetto “movimento laterale” il più difficile possibile per un aggressore. Ciò significa adottare buone pratiche di igiene informatica ( endpoint ). Le pratiche efficaci partono da una solida gestione delle risorse, delle configurazioni e delle patch . Le aziende devono inoltre gestire con attenzione le identità, sapendo in ogni momento chi dispone delle credenziali per accedere alle applicazioni e ai sistemi presenti sulla propria rete e concedendo agli utenti il livello minimo di accesso alle risorse di cui hanno assolutamente bisogno per svolgere il proprio lavoro.
[Si prega di leggere: Come bloccare il movimento laterale negli attacchi informatici]
Contrastare la proliferazione degli strumenti
Il fenomeno del “tool sprawl” consiste nella proliferazione incontrollata di applicazioni, sia autorizzate che non autorizzate, all’interno di un’azienda. L'accumulo di strumenti su strumenti può aprire una backdoor potenzialmente devastante per gli hacker. Molti strumenti non autorizzati vengono installati in modo casuale all’insaputa del reparto IT. Rimangono nell’oblio, senza patch e vulnerabili, finché un hacker non le individua e le sfrutta per penetrare nella rete di un’azienda.
Bradley Schaufenbuel, responsabile della sicurezza informatica presso Paychex, un fornitore di servizi di gestione delle buste paga per le piccole imprese, afferma che la proliferazione degli strumenti è diventata una delle principali preoccupazioni per i team di sicurezza. Il suo team individua ogni giorno nuove vulnerabilità causate da software non autorizzato. «A meno che gli strumenti non siano approvati e registrati in un inventario, i team di sicurezza spesso non sono a conoscenza della loro esistenza», afferma Schaufenbuel. «E un team di sicurezza non può proteggere ciò di cui ignora l’esistenza.» Egli raccomanda di concedere agli utenti un periodo di tolleranza per la registrazione degli strumenti, in modo che questi possano essere costantemente potenziati e aggiornati; qualora ciò non dovesse funzionare, si dovrebbe procedere al blocco o alla rimozione sistematica degli strumenti non autorizzati dai sistemi aziendali.
Esercitarsi nella risposta agli incidenti
Le aziende devono passare da una strategia difensiva a una offensiva per prepararsi attivamente a un attacco e limitarne i danni. I team di sicurezza devono sapere esattamente come agire nel caso in cui si verifichi una violazione della sicurezza e devono esercitarsi regolarmente nella risposta da adottare. Dovrebbero prestare costantemente attenzione ai segnali che indicano che hacker o software dannosi abbiano compromesso i loro sistemi. Ciò richiede sistemi di rilevamento delle intrusioni e delle anomalie in grado di individuare rapidamente attività insolite, nonché l’automazione degli indicatori di compromissione (IoC) per ridurre il rischio di errore umano. Una piattaforma di rilevamento e risposta di tipo “ ” ( endpoint ) è in grado di raccogliere rapidamente tutte le informazioni necessarie ai team di sicurezza.
[Si prega di leggere: Come reagire a una violazione informatica]
A quel punto, i dirigenti devono stabilire le priorità della risposta. I più esperti avranno già individuato i propri processi aziendali fondamentali e la tecnologia che ne garantisce il funzionamento. Ciò aiuta i team a stabilire quali incidenti meritino un intervento di alto livello.
Purtroppo, al giorno d’oggi, gli incidenti sono all’ordine del giorno.
