L'automazione della sicurezza (si apre in una nuova scheda) è molto più facile a dirsi che a farsi.
Si consideri l’esperienza del Dipartimento per la Sicurezza Interna, con il suo programma “Continuous Diagnostics and Mitigation” (CDM). Sviluppato nel 2012, l’obiettivo del programma è quello di migliorare la sicurezza delle agenzie federali attraverso la valutazione continua e la correzione dei sistemi in relazione a minacce, vulnerabilità, fughe di dati e strumenti di sicurezza non conformi alle politiche.
A causa di alcuni passi falsi e delle complessità dell’agenzia, il programma ha avuto un avvio lento. Secondo un rapporto del Dipartimento per la Sicurezza Interna (DHS) pubblicato su “ ” dall’Ufficio dell’Ispettore Generale, il DHS sperava inizialmente di attuare la prima parte del programma entro il 2017, ma tale data è stata posticipata al 2022. A partire dal aprile 2023, tuttavia, le agenzie federali civili saranno tenute a effettuare valutazioni di sicurezza automatizzate su base settimanale e a redigere un resoconto accurato delle vulnerabilità di sicurezza individuate.
Si tratta dell’ennesima iniziativa “ ” intrapresa dal governo federale per potenziare l’automazione dei sistemi di sicurezza. Ma progressi così incerti non devono necessariamente essere la norma per le agenzie federali — né, del resto, per le aziende del settore privato. Traendo insegnamento dalle migliori pratiche chiave del settore, le organizzazioni possono automatizzare la sicurezza nel modo corretto.
[Leggi anche: Perché sicurezza e automazione vanno di pari passo] (si apre in una nuova scheda)
La sfida dell'automazione
Da anni l’automazione della sicurezza viene considerata il Santo Graal. Tra le iniziative intraprese figurano il tentativo di IBM di orientare il settore verso le capacità di autoriparazione dell’informatica “autonomica” e, successivamente, l’impegno del settore delle reti a favore delle funzionalità di riparazione automatizzata del “controllo dell’accesso alla rete”. Nessuno dei due ha guadagnato popolarità nella misura in cui i sostenitori avevano sperato.
«L’automazione sta contribuendo a ridurre o eliminare la maggior parte delle... attività operative ripetitive, consentendo ai team IT di dedicare più tempo alle iniziative strategiche in materia di sicurezza.»”
La situazione è notevolmente migliorata rispetto a quei primi tentativi. È possibile automatizzare un gran numero di processi di sicurezza, soprattutto grazie alla crescente diffusione di nuovi standard di automazione della sicurezza, delle interfacce di programmazione delle applicazioni (API) che collegano i programmi informatici e dei sistemi cloud di tipo “ ”. L'automazione sta contribuendo a ridurre o eliminare la maggior parte delle attività operative onerose e spesso ripetitive, consentendo ai team IT di dedicare più tempo alle iniziative strategiche in materia di sicurezza. Si tratta di un aspetto fondamentale, vista la persistente carenza di competenze nel settore della sicurezza informatica . Infatti, vista la minaccia costante rappresentata da Stati-nazione, gruppi di autori di ransomware e altri attori malintenzionati, le aziende necessitano di assistenza in materia di sicurezza informatica ovunque sia possibile reperirla.
Per affrontare queste sfide, come hanno confermato gli esperti intervistati da Focal Point , occorre adottare le seguenti misure.
Adottate il DevSecOps
Una delle strategie più semplici che le aziende possono adottare consiste nell’integrare i test di sicurezza nel ciclo di vita dello sviluppo del software, un processo noto come DevSecOps. I difetti del software finiscono altrimenti nei prodotti e nei servizi, dove potrebbero essere utilizzati per attaccare altri sistemi. Una volta entrate in fase di produzione, queste vulnerabilità risultano più costose da risolvere.
Il settore del DevSecOps presenta tuttavia ampi margini di miglioramento. Da un sondaggio “ ” condotto da Venafi, fornitore di soluzioni di sicurezza nel campo della crittografia e dei certificati digitali, è emerso che il 97% dei dirigenti senior del settore IT concorda sul fatto che i processi di sviluppo del software non siano sufficientemente sicuri. Inoltre, il sondaggio “ 2022 Global DevSecOps Survey” condotto da GitLab ha rilevato che meno della metà degli intervistati (42%) adotta il modello DevSecOps, sebbene si tratti di un aumento rispetto al 36% registrato nel 2021.
«La sicurezza delle applicazioni è un ambito che andrebbe sicuramente automatizzato, soprattutto alla luce di tutti gli strumenti disponibili per i controlli di sicurezza automatizzati nell’ambito delle pipeline di sviluppo e distribuzione continui», afferma Kenneth Swick, consulente senior per la sicurezza presso il fornitore di servizi di sicurezza NCC Group. «Questi settori sono caratterizzati da un’ampia diffusione delle tecnologie di automazione.»
Gestire l'infrastruttura come codice
Con la diffusione dell’approccio “infrastruttura come codice” (IaC), sia i sistemi informatici fisici che quelli virtuali possono essere implementati e gestiti automaticamente tramite file di definizione predefiniti e leggibili da macchina, anziché attraverso processi fisici o manuali. Ciò contribuisce a garantire che le impostazioni di sistema e di sicurezza rimangano uniformi.
Qualora si verifichino scostamenti, è possibile ripristinare automaticamente le impostazioni desiderate. E questo approccio presenta un ulteriore vantaggio: «Nella misura in cui le organizzazioni riescono ad automatizzare e a proteggere i carichi di lavoro tramite il sistema “ Enforce ” durante l’intero ciclo di vita, possono ridurre in modo sostanziale la propria superficie di attacco», afferma Swick.
NetOps rappresenta una tendenza correlata. Si tratta di un’espressione generica che indica l’automazione della sicurezza, della gestione e delle prestazioni della rete. Proprio come nell’IaC, le configurazioni di rete, i limiti di prestazione e la sicurezza sono codificati e applicati automaticamente ogni volta che ciò è possibile.
«Nel settore delle reti, stiamo appena iniziando a vedere l’automazione delle funzioni di rete», afferma Gary Marks, presidente di Opengear, un’azienda specializzata in tecnologie di rete. Le organizzazioni stanno iniziando ad adottare approcci quali il provisioning zero-touch, in cui un sistema collegato in rete viene implementato, configurato e gestito automaticamente.
Nel suo documento “ : Infrastructure as Code Security Cheat Sheet” (), l’Open Web Application Security Project (OWASP) illustra in che modo gli ambienti IaC consentano una registrazione degli eventi di altissimo livello e un monitoraggio “immutabile” e continuo dell’infrastruttura. I componenti dell’infrastruttura vengono realizzati secondo una serie precisa di specifiche, senza deviazioni né modifiche. Qualora fosse necessaria una modifica alle specifiche, viene predisposta una nuova infrastruttura in base ai requisiti aggiornati e quella precedente viene messa fuori servizio.
Automatizzare la gestione delle identità
La gestione delle identità — volta a garantire che utenti, dispositivi e sistemi abbiano accesso solo alle risorse e ai dati a cui hanno diritto — consiste nel verificare che tali entità siano effettivamente chi o cosa dichiarano di essere e, successivamente, nel concedere loro l’accesso. Poiché l’autenticazione e l’autorizzazione sono processi altamente ripetitivi, la gestione delle identità rappresenta un ambito che offre numerose opportunità di automazione. Tuttavia, poiché le aziende si trovano ad affrontare ambienti e applicazioni on-premise e cloud sempre più complessi, oltre a una forte pressione normativa in materia di “ ”, l’assegnazione delle risorse agli utenti e la gestione dei loro livelli di accesso sono diventate attività sempre più impegnative.
«Nellamisura in cui le organizzazioni riescono ad automatizzare e a Enforce proteggere i carichi di lavoro lungo l’intero ciclo di vita, possono ridurre in modo sostanziale la propria superficie di attacco.”Kenneth Swick, consulente senior in materia di sicurezza, NCC Group
Molti processi relativi alla gestione delle identità sono confinati all’interno delle singole unità aziendali. Pertanto, la centralizzazione dei sistemi di gestione delle identità, la loro integrazione con i sistemi delle risorse umane e la definizione dei livelli di accesso e dei privilegi degli utenti in base a specifici ruoli professionali (nota come “controllo degli accessi basato sui ruoli”) possono rendere molto più semplice l’automazione delle operazioni di provisioning, della gestione continua e del deprovisioning.
«Una serie di flussi di lavoro automatizzati, progettati in modo adeguato e attenti alla sicurezza, può potenzialmente sostituire le pratiche di gestione degli account adottate dalla maggior parte delle organizzazioni e consentire all’azienda di gestire autonomamente la propria base di utenti, nel rispetto di un livello di rischio accettabile concordato preventivamente», afferma Jason Sieroty, architetto di soluzioni aziendali presso il fornitore di soluzioni tecnologiche e360. «Il processo che ne risulterà sarà efficiente e ripetibile, consentendo ai dipendenti di diventare produttivi più rapidamente e in modo più sicuro.»
Adottare una piattaforma SOAR
SOAR — acronimo di “Security Orchestration, Automation and Response” — è un insieme di strumenti e processi di sicurezza che consente ai team di sicurezza di automatizzare alcuni aspetti delle operazioni di sicurezza, della risposta agli incidenti e della gestione delle vulnerabilità.
“Molti centri operativi di sicurezza utilizzano il SOAR e creano procedure automatizzate o parzialmente automatizzate per rispondere agli incidenti.”Scott Crawford, responsabile della ricerca sulla sicurezza informatica presso 451 Research
Ad esempio, i feed di intelligence sulle minacce e gli avvisi di sicurezza possono attivare automaticamente determinati “playbook” di risposta agli incidenti di , a seconda di ciò che viene rilevato. SOAR utilizza inoltre l’intelligenza artificiale e l’apprendimento automatico , ove possibile, per supportare gli analisti della sicurezza, i cacciatori di minacce e i team operativi di sicurezza.
Alcune attività svolte all’interno del centro operativo di sicurezza (SOC) possono essere automatizzate. I team SOC si occupano della prevenzione, del monitoraggio, dell’individuazione e della gestione degli incidenti di sicurezza. Ad esempio, quando gli avvisi di sicurezza possono essere correlati ai dati relativi all’intelligence sulle minacce e alla gestione delle vulnerabilità, i sistemi possono essere in grado di determinare automaticamente che determinati avvisi presentano un rischio basso, oppure possono intensificare la risposta qualora le condizioni appaiano più minacciose. Tali attività di base vengono solitamente svolte dai cosiddetti analisti di sicurezza di “livello uno”.
[Leggi anche: Ecco come potenziare rapidamente un centro operativo di sicurezza]
«Gran parte delle attività degli analisti di primo livello può essere automatizzata», afferma Scott Crawford, responsabile della ricerca sulla sicurezza informatica presso 451 Research, società facente parte di S&P Global Market Intelligence. «Molti centri operativi di sicurezza utilizzano il SOAR e creano procedure automatizzate o parzialmente automatizzate per rispondere agli incidenti.»
Superate gli ostacoli uno per uno
Naturalmente, automatizzare la sicurezza non è facile, e non tutte le organizzazioni, né tantomeno la maggior parte di esse, sono sufficientemente mature per automatizzare ogni aspetto. Tra le sfide figurano la scarsa comprensione delle politiche di sicurezza interne o l’insufficiente standardizzazione degli strumenti.
«Molte organizzazioni adottano approcci molto disomogenei nei confronti del proprio programma di sicurezza, e il punto di partenza ideale per queste organizzazioni sarà innanzitutto quello di standardizzare il proprio programma di sicurezza», afferma Swick. «Individuate quindi le aree con un’elevata probabilità di successo e suddividete tali progetti in parti gestibili.»
Crawford aggiunge che, oltre alla scelta da parte dei team di sicurezza delle aree da automatizzare con un’elevata probabilità di successo, le organizzazioni devono comprendere i processi di cui dispongono prima di tentare l’automazione. Automatizzando processi non ottimali o inefficienti, «è molto probabile che non farete altro che peggiorare la vostra situazione», afferma. Tra gli esempi figurano l’assegnazione automatica di ruoli mal definiti agli utenti o l’implementazione automatica di carichi di lavoro nel cloud non configurati correttamente.
Anche i dirigenti dovrebbero avvalersi del sostegno offerto dal governo. Il giugno 2021, l’Istituto Nazionale di Standard e Tecnologia (NIST), in collaborazione con il settore privato, ha annunciato lo sviluppo dell’ , un linguaggio aperto per la valutazione dei controlli di sicurezza (OSCAL) — un framework multiformato che facilita l’automazione della sicurezza, le valutazioni continue e gli audit. NIST ritiene che OSCAL migliorerà l’efficienza, l’accuratezza e la coerenza delle valutazioni di sicurezza e consentirà una revisione e un monitoraggio continui delle capacità.
Tali iniziative potrebbero, a lungo termine, aiutare tutte le organizzazioni ad automatizzare più facilmente alcune parti delle proprie attività di sicurezza. E sebbene la sicurezza non possa essere completamente automatizzata, un numero crescente di strumenti e approcci può contribuire ad ampliare l’ambito di ciò che è possibile automatizzare.
Quando le organizzazioni analizzano attentamente la situazione e automatizzano ciò che è possibile, liberano il proprio personale dalle attività ripetitive e rendono le proprie operazioni di sicurezza molto più efficienti. Poiché gli attacchi aumentano sia in numero che in sofisticazione e la disponibilità di personale qualificato nel settore della sicurezza rimane limitata, i professionisti della sicurezza hanno bisogno di tutta l’efficienza possibile.
