Gli autori delle minacce dispongono di numerosi strumenti per compromettere le proprie vittime. Ma anche i responsabili della sicurezza delle reti possono fare molto per garantire che tali attacchi non abbiano successo. Che si tratti di mitigare una violazione causata da un ransomware o di prevenire tentativi di spionaggio informatico, la chiave sta nell’applicare correttamente le nozioni fondamentali di igiene informatica .
In che modo le organizzazioni subiscono violazioni della sicurezza
Può sembrare un compito impegnativo per i team IT e di sicurezza. Dopotutto, gli autori delle minacce possono contare sull’elemento sorpresa, su un’ampia superficie di attacco su cui concentrarsi e su numerose risorse del dark web a loro disposizione. Tuttavia, una gestione efficace dei rischi informatici non deve necessariamente risultare un compito arduo. In primo luogo, si considerino le tre fasi principali della maggior parte degli attacchi informatici.
L'accesso iniziale avviene solitamente tramite l'utilizzo di credenziali valide ottenute tramite phishing o lo sfruttamento di vulnerabilità note. Sebbene molti responsabili della sicurezza possano preoccuparsi degli attacchi zero-day, la verità è che sono proprio le vulnerabilità già rese note a rappresentare, probabilmente, il rischio maggiore. Alcune sono più facili da correggere rispetto ad altre, come illustrano le Log4j vulnerabilità (si apre in una nuova scheda).
Segue poi il movimento laterale , spesso reso possibile da una gestione inadeguata dei privilegi. Troppo spesso si verificano casi in cui un dipendente ha ricoperto ruoli in diversi settori dell’organizzazione, ma i suoi privilegi non sono stati aggiornati in base al ruolo attuale. È proprio ciò di cui ha bisogno un malintenzionato: la possibilità di utilizzare le stesse credenziali per muoversi liberamente all’interno dell’organizzazione.
L’esfiltrazione dei dati rappresenta molto spesso l’obiettivo finale degli attacchi, eventualmente insieme al rilascio di un payload di ransomware. Potrebbe trattarsi di dati dei clienti, segreti commerciali o proprietà intellettuale. Un’azienda potrebbe non rendersi nemmeno conto di tutti i dati sensibili in suo possesso finché non sarà troppo tardi. Se quella ricetta segreta o quel design esclusivo finissero nelle mani della criminalità informatica, potrebbe rappresentare l’inizio della fine per alcune aziende.
Cosa si intende per “igiene informatica”
Una volta compreso il modo in cui operano gli autori delle minacce, potremo adottare misure per contrastarli. Analizziamo la questione suddividendola in tre aree principali:
Visibilità e controllo
Come si suol dire: non si può proteggere ciò che non si vede. La visibilità richiede innanzitutto una gestione delle risorse, il che significa non solo sapere quali endpoint esistono all’interno di un’organizzazione, ma anche quali applicazioni sono in esecuzione su tali endpoint. La visibilità dovrebbe estendersi fino alle singole dipendenze open source che potrebbero essere nascoste all’interno dei file compressi. Il corso Log4j ci ha insegnato che non possiamo tralasciare alcun dettaglio. Questo tipo di analisi aiuterà le organizzazioni a stabilire le priorità relative alle proprie risorse dal punto di vista del rischio, contribuendo così a ottimizzare il bilancio. E alla visibilità deve accompagnarsi il controllo: ovvero la capacità di intervenire su tali endpoint per risolvere qualsiasi problema sia stato individuato.
Per garantire visibilità e controllo, le organizzazioni dovranno inserire nel proprio database di gestione della configurazione (CMDB) il maggior numero possibile di dati accurati e aggiornati, su base continuativa. Inoltre, dovrebbero prendere in considerazione i controlli relativi all’identità e all’accesso, al fine di garantire che solo le persone autorizzate abbiano accesso alle applicazioni appropriate. Inoltre, dovrebbero attuare programmi completi di valutazione e gestione delle vulnerabilità.
Tutela continua
Il prossimo punto riguarda la misurazione e il monitoraggio di questi programmi. La chiave è non impostare e poi non pensarci più. Le organizzazioni devono mantenersi sempre pronte e preparate ad affrontare eventuali incidenti, attraverso simulazioni di scenario, esercitazioni teoriche e attività di "red teaming" e "blue teaming". La gestione automatizzata delle patch contribuirà inoltre a garantire quella gestione continua dei rischi di cui le organizzazioni hanno bisogno. E cercate sempre di rispondere a domande fondamentali quali:
- Quali sono le nostre misure di sicurezza? Li stiamo testando e sono efficaci?
- Da dove provengono i nostri dati? Dove viene conservato e come lo proteggiamo?
- Il nostro personale è adeguatamente formato in materia di sensibilizzazione alla sicurezza e tutti i membri dell’organizzazione comprendono l’importanza fondamentale della gestione del rischio informatico?
Rilevamento e contromisure
Una volta che le organizzazioni avranno compreso quali risorse possiedono, saranno in grado di assumere rapidamente il controllo su larga scala per risolvere eventuali problemi e garantire che solo gli utenti autorizzati abbiano accesso alle applicazioni e agli endpoint, avranno mitigato il 80% degli attacchi. Ora si tratta di individuare e reagire al restante 20%, che potrebbe essere sfuggito alle difese.
Secondo una stima dell’ , oggi occorrono circa 277 giorni (si apre in una nuova scheda) per individuare e contenere una violazione dei dati. È decisamente troppo lungo. Tuttavia, una maggiore visibilità e un controllo più efficace dell’ endpoint e consentono un rilevamento e una risposta più rapidi, a condizione che le organizzazioni siano in grado di automatizzare i processi adeguati. Il primo passo consiste nell’elaborare un piano di risposta agli incidenti e nel testarlo regolarmente, al fine di garantire che ogni singolo individuo comprenda il proprio ruolo e che i team competenti comunichino tra loro senza intoppi.
Laddove vengano individuate delle carenze, è opportuno migliorare i processi. Ciò dovrebbe inoltre comportare un’analisi critica del numero di strumenti di sicurezza utilizzati dall’organizzazione e il consolidamento su un numero minore di fornitori, riducendo al minimo le soluzioni puntuali a favore di approcci basati su piattaforme. Ciò contribuirà a garantire che i vari team lavorino tutti sulla base di un'unica fonte di riferimento.
È bene ricordare che la sicurezza totale è irraggiungibile. Si tratta di essere sufficientemente efficaci da scoraggiare la maggior parte degli attacchi, che sono di natura opportunistica, e di disporre delle procedure necessarie per reagire rapidamente e contenere eventuali attacchi più sofisticati.
Per saperne di più sulla struttura di un attacco informatico e su come prepararsi ad affrontarlo, vi invitiamo a seguire il nostro ultimo webinar con Zac Warren, Chief Security Advisor per l’area EMEA presso l’ Tanium. Guardi subito. (si apre in una nuova scheda)
