I responsabili informatici (CIO) di oggi si trovano ad affrontare una sfida ardua: conciliare il lavoro innovativo legato alla trasformazione digitale con l’esigenza di proteggere la propria organizzazione da attacchi informatici sofisticati e potenzialmente dannosi. L'attuale panorama delle minacce alla sicurezza informatica sta esercitando una forte pressione sui CIO affinché gestiscano i rischi contrastando le minacce informatiche attraverso una combinazione di competenze del personale e un portafoglio di strumenti di sicurezza informatica.
In qualità di responsabili della supervisione di tutte le tecnologie informatiche all’interno di un’organizzazione, i CIO devono fornire la guida e le risorse informatiche necessarie affinché l’organizzazione possa sostenere la propria missione e raggiungere i propri obiettivi finanziari.
Sempre più spesso, tale attività riguarda la trasformazione digitale. Questa espressione può assumere significati diversi a seconda delle persone, ma in sostanza si tratta di applicare la tecnologia digitale in modi innovativi per lanciare nuovi prodotti e servizi o per migliorare in modo significativo quelli esistenti.
Quasi sempre, la trasformazione digitale comporta un’infrastruttura IT più ampia, più distribuita e più diversificata. Per fornire prodotti e servizi migliori, più rapidi e di alto valore è inevitabilmente necessario ricorrere a un maggior numero di servizi cloud, a un maggiore utilizzo dei dati, all’intelligenza artificiale (AI) e all’apprendimento automatico (ML) , messi in pratica da nuove applicazioni che distribuiscono l’impronta digitale dell’organizzazione tra una forza lavoro più distribuita attraverso dispositivi mobili e nuove architetture applicative, che probabilmente prevedono l’uso di interfacce di programmazione delle applicazioni (API) e microservizi anziché le applicazioni monolitiche sviluppate uno o due decenni fa.
Comprendere la differenza tra “superfici di attacco” e “vettori di attacco” nel settore IT
Dal punto di vista della sicurezza informatica, questa infrastruttura IT più estesa amplia la superficie di attacco di un’azienda. Secondo la definizione fornita dall’Open Web Application Security Project (OWASP), la superficie di attacco di un’applicazione web ( ) (si apre in una nuova scheda) comprende «tutti i diversi punti attraverso i quali un malintenzionato potrebbe penetrare in un sistema e da cui potrebbe sottrarre dati».
Proteggere superfici di attacco complesse è difficile e spesso richiede strumenti informatici dotati di funzionalità complementari. Una corretta igiene informatica, una gestione efficace delle configurazioni che garantisca il rispetto delle politiche di sicurezza informatica e un monitoraggio continuo dello stato di salute degli strumenti informatici costituiscono la valutazione della preparazione informatica di un’organizzazione.
Quindici anni fa, quando la maggior parte dei sistemi informatici era ospitata in sede e protetta da un firewall di rete, la superficie di attacco era relativamente ridotta. Oggi, in un contesto in cui le organizzazioni si avvalgono di centinaia di servizi cloud e i dipendenti lavorano da remoto, la superficie di attacco è notevolmente più ampia. Ogni dispositivo dei dipendenti collegato a una rete domestica rappresenta un potenziale vettore di attacco che potrebbe comportare la compromissione delle risorse IT fondamentali per l’attività aziendale.
I CIO hanno il compito di garantire la sicurezza di questa infrastruttura distribuita. E devono tenere conto non solo delle minacce esterne in grado di superare i firewall, ma anche delle vulnerabilità del softwar e nelle applicazioni che danno origine a minacce non lineari come SolarWinds e WannaCry.
La vulnerabilità Log4J e l'area di attacco odierna
Questa è la lezione che si può trarre dalla vulnerabilità “ Log4j ” recentemente scoperta. Le applicazioni odierne comprendono centinaia o migliaia di componenti software e servizi. Una vulnerabilità in uno qualsiasi di tali componenti e servizi può compromettere la sicurezza dell’intera applicazione e dell’organizzazione che la gestisce. Disporre di strumenti di gestione del software di terze parti in grado di adattarsi alle minacce emergenti consente di risparmiare tempo, ridurre i rischi e aumentare la preparazione informatica di un’organizzazione.
Ad esempio, molte versioni ampiamente diffuse di un’utilità di registrazione open source presentano un bug che consente agli aggressori di inviare una stringa all’interfaccia NAMING e Directory ( Java ) del logger, permettendo così a un utente non autorizzato di eseguire codice all’interno dell’applicazione con privilegi elevati. Questo exploit della vulnerabilità critica può essere utilizzato per diffondere ransomware, sottrarre dati, bloccare i sistemi e altro ancora.
La vulnerabilità Log4J , alla quale è stato assegnato un punteggio di 10 su 10 in termini di criticità “ ” da NIST, è spesso un componente fondamentale presente nel software web e applicativo, compreso circa il 4% dei repository di componenti Java più diffusi. L'artefatto software Log4j è presente in diverse applicazioni, tra cui le principali applicazioni commerciali, nonché in numerose applicazioni sviluppate internamente. Pertanto, la vulnerabilità n. Log4j fa ora parte della superficie di attacco dell’organizzazione. La vulnerabilità Log4j ha già consentito agli autori degli attacchi di installare software per il mining di criptovalute sulle reti aziendali, di sferrare nuove forme di attacchi ransomware e di infiltrarsi nel sito del Ministero della Difesa belga.
Il punto Log4j ricorda la sfida principale che i CIO devono affrontare: selezionare, implementare e gestire architetture IT vaste e complesse, individuando e mitigando al contempo tutte le minacce presenti nella superficie di attacco di tali architetture, indipendentemente dalla complessità o dall’inesperienza che tali minacce possano comportare, gestendo al contempo la preparazione informatica, riducendo i rischi e contenendo i costi entro un budget prestabilito.
Qualunque sia l’attuale configurazione della superficie di attacco, è destinata a continuare a cambiare. Nel 2015, il 30% dei dati aziendali era archiviato nel cloud. Nel 2020, tale percentuale era pari al 50%. I dati indicano che la migrazione di applicazioni, servizi e dati verso il cloud proseguirà. Tali migrazioni verso il cloud, così come altre iniziative di trasformazione digitale, contribuiranno ad ampliare la superficie di attacco, rendendola sempre più complessa.
Tuttavia, se il ritmo del cambiamento supera quello dei controlli di sicurezza, le organizzazioni ne subiranno le conseguenze. Saranno vittime di attacchi ransomware, esfiltrazione di dati, attacchi di tipo Business Email Compromise (BEC) e altro ancora. Le operazioni potrebbero subire interruzioni. Un’azienda potrebbe ritrovarsi a dover pagare decine di milioni di dollari di riscatto e, successivamente, altre decine di milioni alla Commissione federale per il commercio degli Stati Uniti (FTC) qualora l’attacco comportasse la divulgazione di dati riservati dei consumatori.
Ecco il difficile equilibrio che i CIO devono trovare: promuovere il cambiamento adattandosi al contempo a una superficie di attacco in continua evoluzione, al fine di proteggere l’infrastruttura IT dell’azienda.
Non è facile.
Ridurre la superficie di attacco informatico nell’era della trasformazione digitale
I CIO necessitano di una combinazione di strumenti, processi e risorse umane per far fronte a tali minacce. Tali strumenti e processi presentano alcuni requisiti comuni.
Visibilità in tempo reale
Qualsiasi strategia volta a proteggere la superficie di attacco dovrebbe tenere conto della natura in continua evoluzione di tale superficie. Non è possibile proteggere ciò che non si vede; pertanto, i CIO non possono più fare affidamento su report mensili o addirittura settimanali per individuare le vulnerabilità e mitigare le minacce. La gestione della superficie di attacco richiede l’accesso a dati in tempo reale e la capacità di passare da un’ Detect e all’altra per reagire alla velocità delle minacce. Le vulnerabilità possono manifestarsi nel momento in cui un dispositivo endpoint compromesso si connette alla rete oppure quando un componente software obsoleto viene reinstallato da un backup. La preparazione informatica dovrebbe tenere conto del software attualmente in uso e di quello approvato.
Per quanto possibile, gli strumenti di monitoraggio degli endpoint e delle reti dovrebbero fornire informazioni in tempo reale e supportare le indagini in tempo reale. Scoprire che un sistema è stato compromesso due settimane fa offre agli aggressori un vantaggio troppo consistente. A quel punto, il ransomware potrebbe essersi diffuso nei vari data center e sedi, oppure potrebbero essere stati individuati e sottratti dati critici.
Facile da imparare e da usare
I CIO dovrebbero scegliere strumenti in grado di fornire funzionalità informatiche fondamentali, pur richiedendo una curva di apprendimento minima. Se i nuovi team devono implementare nuove applicazioni o servizi, fornite loro strumenti che non siano eccessivamente complessi. Lasciate che si concentrino sul lavoro che stanno svolgendo, anziché sul modo in cui gestire strumenti complessi o poco maneggevoli. Il talento e la tecnologia sono fattori chiave che consentono a un’organizzazione di accelerare le misure di risposta alle minacce emergenti. Tale agilità è fondamentale, poiché il panorama delle minacce informatiche sta diventando sempre più volatile, incerto, complesso o ambiguo. Come già menzionato in precedenza, un’azione precisa e letale, se intrapresa troppo tardi, produce lo stesso risultato della mancata azione. La rapidità è un elemento indispensabile per un impiego efficace delle capacità informatiche.
Un’altra considerazione: i CIO dovrebbero scegliere strumenti che facilitino la collaborazione tra i team di sicurezza e quelli operativi nel rispondere alle nuove minacce. La vulnerabilità Log4j non sarà l’ultima grave vulnerabilità a emergere nel codice sorgente. I team addetti alla sicurezza e alle operazioni necessitano di strumenti che consentano loro di riorientarsi rapidamente per affrontare la minaccia alla sicurezza più urgente.
Copertura completa
Scegliete strumenti che garantiscano la copertura più ampia possibile degli endpoint e delle altre risorse IT. Purtroppo, la maggior parte dei sistemi di valutazione delle vulnerabilità e di gestione dell’ endpointe trascura una percentuale significativa di endpoint — fino al 20% in molti casi. Quando il reparto IT non è in grado di individuare gli endpoint, non può monitorarli né rilevare eventuali segnali di compromissione, né includerli nei programmi automatizzati di applicazione delle patch. Ciò contribuisce a una scarsa igiene informatica, a variazioni nella configurazione dell’ endpoint e e a strumenti non affidabili che non funzionano nel momento e nel luogo in cui se ne ha bisogno. La visibilità degli endpoint diventa il presupposto fondamentale per un approccio efficace alla gestione di una superficie di attacco complessa.
La superficie di attacco comprende tutti gli endpoint e i sistemi collegati alla rete dell’organizzazione. I CIO dovrebbero assicurarsi di poter avere una visione completa della superficie di attacco, non solo di alcune sue parti.
Centralizzazione e automazione
Ove possibile, i CIO dovrebbero scegliere strumenti interoperabili, in modo che i dati siano visibili, accessibili e comprensibili e che le attività possano essere automatizzate nelle diverse aree funzionali della sicurezza informatica, quali il rilevamento delle minacce e la gestione delle patch.
Adottare un approccio “interforze” e avvalersi di diversi strumenti che funzionano bene insieme rende più semplice lo sviluppo di processi ottimizzati per le attività di sicurezza. Anche l'automazione diventa più semplice. La possibilità di passare da una funzione all’altra all’interno di un’unica piattaforma può rivelarsi fondamentale per gli analisti del Security Operations Center (SOC), poiché in tal modo non perderanno tempo a passare da un set di strumenti all’altro per indagare sugli incidenti e mitigare le minacce.
Team e talenti
Gli strumenti non sono l’unico elemento di una strategia efficace di mitigazione delle minacce. I CIO necessitano di una forza lavoro capace di ragionare, dotata delle conoscenze, delle competenze e delle capacità (KSA) necessarie per portare a termine i compiti entro tempi ristretti, in modo da accelerare la transizione dalla fase “ Detect ” a quella di “reagire per riprendersi”. Questo approccio sfrutta le funzionalità degli strumenti per ottimizzare i processi organizzativi, sincronizzando tali funzionalità e i processi al fine di proteggere al meglio la superficie di attacco dell’organizzazione, in continua evoluzione.
Ad esempio, le organizzazioni possono avvalersi dei Red Team di e dei test di penetrazione su ogni componente della propria infrastruttura IT in continua evoluzione, al fine di individuare nuove vulnerabilità prima che ciò avvenga da parte degli aggressori. I risultati di tali esercitazioni possono quindi rafforzare le superfici di attacco, contribuendo al contempo ai processi di apprendimento organizzativo. Queste “serie e ripetizioni” rappresentano opportunità di apprendimento inestimabili che accrescono la preparazione in termini di conoscenze, abilità e competenze (KSA) della forza lavoro nel settore della sicurezza informatica.
I team addetti alla sicurezza e allo sviluppo delle applicazioni possono coinvolgere esperti in materia di sicurezza nelle fasi di progettazione e pianificazione dei progetti di trasformazione digitale, in modo che la sicurezza sia integrata fin dall’inizio nei nuovi prodotti e servizi, anziché essere aggiunta in un secondo momento come elemento secondario.
Zero Trust
I CIO dovrebbero adottare una strategia Zero Trust basata sul modello “ ” ( ) per ridurre la superficie di attacco e impedire agli autori degli attacchi di muoversi facilmente all’interno della rete. In un modello Zero Trust, nessun utente, processo o dispositivo viene considerato affidabile senza che venga sottoposto a una qualche forma di verifica. In altre parole, l’accesso a un servizio o a una risorsa di rete non viene concesso senza aver verificato la conformità del dispositivo, i ruoli dell’utente e il corretto esito dell’autenticazione. In effetti, l’accesso viene negato a tutti e a tutto, ad eccezione degli utenti, dei dispositivi e dei processi autorizzati in base alla missione dell’organizzazione.
Chiudendo le porte, gli indirizzi IP e i protocolli non necessari, le organizzazioni IT riducono l’estensione delle proprie superfici di attacco, rendendo al contempo più difficile per gli autori degli attacchi penetrare nella rete e muoversi lateralmente al suo interno, alla ricerca di dati sensibili o per diffondere ransomware.
Applicando di default i principi di sicurezza Zero Trust alle iniziative di trasformazione digitale, i CIO possono ridurre le superfici di attacco e garantire che i loro nuovi servizi e infrastrutture IT siano resilienti e pronti a supportare le operazioni aziendali digitali.
Conclusione
La trasformazione digitale non è mai completa. Per sopravvivere e prosperare, le organizzazioni devono continuare a innovare, lanciando nuovi prodotti e servizi e ottimizzando quelli esistenti. Di conseguenza, la superficie di attacco di ogni organizzazione continuerà a mutare e, probabilmente, ad ampliarsi.
I CIO necessitano di strumenti, processi e personale qualificato per stare al passo con questi cambiamenti e con le minacce in continua evoluzione poste dagli autori degli attacchi, affinché l’infrastruttura IT dell’organizzazione rimanga sempre sicura.
In un altro articolo del blog, tratterò i vantaggi derivanti dall’adozione, da parte dei CIO, di un modello di analisi della kill chain per la gestione delle minacce alla superficie di attacco.
Nel frattempo, può visitare il sito per prenotare una demo (si apre in una nuova scheda) per saperne di più sulle soluzioni Tanium volte a proteggere la superficie di attacco della Sua organizzazione.
