La superficie di attacco — ovvero l’insieme di tutti i vettori di attacco rivolti alle risorse IT di un’organizzazione — continua ad ampliarsi man mano che gli endpoint si evolvono al ritmo dell’innovazione. Ogni volta che adottano un nuovo servizio cloud o aggiungono ulteriori endpoint per sostenere la crescita aziendale e la trasformazione digitale, i CIO ampliano la superficie di attacco. Ora devono affrontare la sfida di proteggere tale superficie di attacco anche man mano che crescono.
In un precedente post sul blog, ho parlato delle sfide relative all’ , che i CIO devono affrontare nel sostenere contemporaneamente l’innovazione e la sicurezza informatica . A questo punto vorrei approfondire le strategie di difesa che i CIO possono adottare per proteggere la superficie di attacco dei loro moderni ambienti IT basati sul cloud.
Kill chain 101
In particolare, vorrei fare riferimento a un importante modello di attacco denominato “kill chain”. L’esercito statunitense ha originariamente sviluppato questo modello decenni fa per analizzare le lacune nelle capacità utilizzando serie di dati operativi. Una “kill chain” è un insieme di attività o funzioni operative sequenziali necessarie per impiegare con successo un’arma contro un obiettivo specifico. Le catene operative si concentrano sui risultati, combinando capacità distinte per ottenere effetti sinergici. Una “kill chain” utilizzata dalla Marina degli Stati Uniti per valutare le capacità di guerra aerea comprende le seguenti attività o funzioni operative: individuazione, localizzazione, identificazione, tracciamento, ingaggio e valutazione. L'obiettivo è quello di neutralizzare una minaccia all'interno di uno spazio aereo ben definito.
Nel 2009, in un documento tecnico redatto dalla Lockheed Martin Corporation, diversi esperti di sicurezza informatica hanno applicato il modello della “kill chain” al problema della difesa contro quella che all’epoca era una nuova forma di attacco: la minaccia persistente avanzata (APT). Da quando è stato redatto quel documento sono cambiate molte cose, ma il concetto di “kill chain” rimane comunque utile. Ecco perché.
Prima della comparsa degli APT, molti professionisti del settore IT ritenevano che la difesa informatica potesse essere ridotta a una semplice lista di controllo di tattiche. Se desiderava bloccare i virus, installava un software antivirus. Se desiderava impedire agli intrusi di penetrare nella rete attraverso porte non monitorate, ha implementato un firewall e un sistema di rilevamento delle intrusioni (IDS). E così via. Ciascuna di queste soluzioni operava in modo indipendente, in compartimenti stagni, per proteggere un’area della rete informatica.
Queste semplici misure di sicurezza non sono sbagliate. Di per sé sono semplicemente incompleti. L’ascesa delle APT ha reso evidente questo fatto.
In un attacco APT, gli intrusi sono disposti a prendersi tutto il tempo necessario. Esploreranno a fondo una rete, individueranno una falla e introdurranno del malware. Successivamente, stabiliranno una connessione di comando e controllo che consentirà agli autori degli attacchi, dall’altra parte del mondo, di assumere il controllo diretto del malware che è stato installato. A quel punto potranno esplorare la rete a loro piacimento. Potrebbero impiegare giorni, settimane o persino mesi per individuare le risorse di valore da sottrarre o compromettere, a seconda del loro obiettivo.
Contrastare questo tipo di attacco con una semplice lista di controllo delle misure di sicurezza è, nella migliore delle ipotesi, difficile e risulta poco scalabile, poiché le minacce consumano rapidamente le limitate risorse IT. È necessario considerare il quadro d’insieme per comprendere in che modo le varie componenti dell’attacco interagiscano tra loro in modo sottile. Solo allora potrete Detect l'attacco e adottare le misure necessarie per fermarlo.
Le catene di attacco e la superficie di attacco informatico moderna
La necessità di una visione più ampia della sicurezza assume un’importanza ancora maggiore se si considerano le minacce che le organizzazioni devono affrontare oggi.
In confronto, nel 2009, i CIO e i CISO si occupavano della sicurezza di un ambiente IT relativamente limitato e omogeneo. Quasi tutti i dipendenti lavoravano in sede. Quasi tutti i loro computer fissi e portatili erano stati forniti dal reparto IT, anziché essere stati acquistati dai dipendenti per uso personale.
L'adozione del cloud era ancora agli albori. I centri dati ospitavano la maggior parte delle applicazioni sotto l’occhio vigile degli amministratori locali. I firewall di rete potrebbero effettivamente coprire la maggior parte delle risorse IT che necessitano di protezione. Il regno di un CIO era davvero simile a un castello: tutto ciò che aveva valore era raccolto in un unico luogo centrale, circondato da mura sicure e sorvegliato da sentinelle all’erta per individuare eventuali pericoli.
Se guardiamo alla situazione odierna, la superficie di attacco risulta molto più ampia, variegata e vulnerabile. L’infrastruttura IT tipica si estende su più fornitori di servizi cloud, nonché su innumerevoli uffici domestici in cui sono presenti laptop, tablet e smartphone.
Tra gli altri endpoint figurano i dispositivi IoT e i dispositivi di tecnologia operativa (OT). In passato le organizzazioni disponevano già di dispositivi OT, quali i controllori, negli stabilimenti di produzione; ora, però, tali dispositivi sono connessi a Internet per trarre vantaggio dalla digitalizzazione di praticamente ogni aspetto.
Un’altra differenza: l’allarmante vulnerabilità “ Log4j ” emersa lo scorso anno ricorda ai CIO che i rischi possono derivare dai componenti software utilizzati nelle applicazioni commerciali acquistate. E quegli stessi rischi legati al software presenti nelle applicazioni e nei servizi digitali che l’azienda sta sviluppando autonomamente.
In sintesi, l’ambiente informatico odierno è complesso, variegato e in continua evoluzione. Se le semplici misure di sicurezza basate su caselle di selezione risultavano in qualche modo inadeguate nel 2009, ora lo sono del tutto.
Ecco perché ritengo che tornare all’analisi della catena di uccisione sia così utile. Ricorda ai CIO che le minacce odierne sono sofisticate e complesse e sottolinea l’importanza di proteggersi in ogni fase del ciclo di vita di un attacco informatico.
Comprendere la “kill chain” nella sicurezza informatica
Che cos’è, dunque, una “kill chain”? Si tratta di una sequenza, o “catena”, di eventi che, nel loro insieme, rendono più efficace un attacco sferrato da un criminale informatico o da uno Stato-nazione. Come descritto nel documento della Lockheed Martin, la catena di attacco informatico comprende le seguenti sette fasi:
- Ricognizione
L’autore dell’attacco sorveglia ed esplora l’obiettivo, alla ricerca di vulnerabilità e raccogliendo informazioni quali hardware, software, identità, indirizzi e-mail o altri dati relativi alla rete informatica che potrebbero fornire indicazioni su approcci o metodologie per sondare, violare o sfruttare una vulnerabilità nota o sconosciuta. - Sfruttamento
L'autore dell'attacco crea un pacchetto contenente malware o codice RCE in modo tale da poterlo distribuire per avviare l'attacco. Ad esempio, l’autore dell’attacco potrebbe inserire un trojan di accesso remoto in un file di Office di Microsoft o in un file PDF di Adobe. - Consegna
L’autore dell’attacco introduce l’artefatto compromesso nella rete del bersaglio. Potrebbero inviare il file come allegato a un’e-mail nell’ambito di una campagna di phishing di tipo “ ”. Oppure un dipendente ignaro potrebbe scaricare il file da un sito web o copiarlo inavvertitamente da un'unità USB danneggiata. - Vulnerabilità
Un'azione dell'utente o un altro evento innesca l'esecuzione del malware. Il malware sfrutta le vulnerabilità presenti nel sistema operativo o in un'applicazione. In un modo o nell’altro, riesce a insinuarsi attraverso le falle nelle difese di un “ endpoint”. - Installazione
Il malware attivo si installa sul sito endpoint dell’utente o su un’applicazione endpoint. A questo punto gli aggressori hanno acquisito accesso alla rete interna. In effetti, i ladri sono in casa. - Comando e controllo (C2)
Nella maggior parte degli attacchi APT, il malware presente su un sito endpoint compromesso stabilisce una connessione con un sistema remoto che funge da centro di controllo dell’attacco. Questa connessione di comando e controllo (C2) consente ai criminali informatici, che potrebbero trovarsi a migliaia di miglia di distanza, di controllare l’attività del malware sulla rete della vittima. - Azioni sugli obiettivi
A questo punto gli aggressori possono procedere con qualsiasi attacco abbiano in mente. Potrebbero sottrarre dati dal sistema dell’utente oppure muoversi lateralmente all’interno della rete, installando ransomware o esplorando altri sistemi alla ricerca di risorse di valore da sfruttare. Una volta stabilita la connessione sulla porta C2 , gli aggressori possono sostanzialmente fare ciò che desiderano: rubare o crittografare dati, eseguire script di tipo “ PowerShell ” e così via.
Questa sequenza potrebbe sembrare complicata, se non addirittura laboriosa, ma i passaggi da 3 a 7 possono essere completati in pochi minuti. Tuttavia, molti attacchi APT non sono affatto rapidi. Gli autori dell’attacco potrebbero decidere di mantenere un profilo basso e di rimanere in agguato sulla rete, esplorando i sistemi, installando altro malware o sottraendo dati a piccole dosi per mesi o addirittura anni.
Nel mio prossimo post spiegherò come è possibile Detect e mitigare le azioni della “kill chain” degli aggressori, utilizzando strumenti di sicurezza all’avanguardia.
Nel frattempo, può visitare il nostro sito web all’indirizzo , o , oppure prenotare una demo all’indirizzo per saperne di più sulle soluzioni Tanium volte a proteggere la superficie di attacco della Sua organizzazione.
