L’Agenzia per la sicurezza informatica e delle infrastrutture (CISA) ha emanato una direttiva di emergenza 17 dicembre 2021, , con cui impone alle agenzie federali di applicare immediatamente le patch alle proprie reti per correggere le vulnerabilità relative a Log4j . Il messaggio: se non è possibile applicare una patch, rimuovete il software interessato dalla vostra rete. E lo faccia il più rapidamente possibile, sia dal punto di vista umano che tecnologico.
"Immediatamente" equivale a un battito di ciglia per qualsiasi progetto informatico, figuriamoci per uno che coinvolge l’enorme apparato burocratico del governo degli Stati Uniti e i suoi innumerevoli fornitori esterni. Ma non era la prima volta che la CISA chiedeva alle agenzie di applicare le patch il prima possibile. Un mese prima, aveva emanato una direttiva operativa vincolante (BOD, ) denominata “ ”, che riguardava circa 290 vulnerabilità critiche note sfruttate dagli autori delle minacce a partire dal 2017. (Per alcune vulnerabilità, la CISA ha concesso alle agenzie 60 giorni e persino sei mesi per applicare le patch, mentre per altre vulnerabilità ha concesso solo due settimane.)
[Legga anche: Una lettera agli amministratori delegati sulla vulnerabilità Log4j ]
L’urgenza e le scadenze serrate fissate dalla CISA sono comprensibili. Le sue precedenti direttive hanno messo in luce le sfide che molte agenzie federali devono affrontare nel garantire la visibilità all’interno delle proprie reti, in particolare per quanto riguarda le migliaia di endpoint utilizzati dai lavoratori remoti e quelli contenuti nelle applicazioni cloud, nonché nel fornire aggiornamenti software rapidi e in tempo reale .
Nel 2015, i ricercatori della CISA hanno rilevato che quasi una su tre delle vulnerabilità di sicurezza riscontrate presso le agenzie federali richiedeva in media 200 giorni o più per essere risolta. Tre anni dopo, l’agenzia ha cercato di accelerare il processo di correzione, emanando un BOD per risolvere tutte le vulnerabilità note entro 15 giorni.
Sebbene solo il 4% delle vulnerabilità di sicurezza oggetto di tale direttiva fosse stato sfruttato in ambiente reale, gli hacker hanno preso di mira il 42% di esse nel giorno 0 (il primo giorno in cui è stato reso noto che era necessaria una patch di sicurezza), il 50% entro due giorni da tale annuncio e il 75% entro 28 giorni.
Cyber-risk 101
CISA’s patching directives are “risk management 101,” says Suzanne Spaulding, senior adviser for homeland security and director of the Defending Democratic Institutions project at the Center for Strategic and International Studies. «Si devono considerare la gravità delle conseguenze e la probabilità che si verifichino. Si tratta di vulnerabilità che, se sfruttate, potrebbero avere conseguenze gravi e che, al contempo, sono quelle più soggette a essere sfruttate.”
Il catalogo “ ” della CISA, attualmente in fase di aggiornamento , che elenca le vulnerabilità di sicurezza riportate nel proprio BOD, comprende software e configurazioni software forniti da una serie di importanti fornitori di software, tra cui Adobe, Apple, Cisco, Google, Microsoft, Oracle e SolarWinds, tutti implementati sulle reti federali.
Il catalogo dei rischi della CISA riflette la consapevolezza che l’attuale schiera di autori di minacce abbia strategicamente “concatenato” diverse vulnerabilità nei propri attacchi recenti.
Si tratta di una tattica che il collettivo di hacker russo Nobelium ha utilizzato per sfruttare una serie di quattro vulnerabilità classificate come “ ” presenti nel server Microsoft Exchange nel corso di diversi attacchi avvenuti all’inizio di quest’anno, approfittando di vulnerabilità a bassa gravità per ottenere un punto d’appoggio all’interno di una rete, per poi sfruttare progressivamente altre debolezze al fine di ampliare i propri privilegi di accesso a dati e protocolli più sensibili.
I dossi stradali sono numerosi
È fondamentale correggere le vulnerabilità ad alto rischio, e farlo rapidamente. Ma non è sempre facile. «L’installazione di una determinata patch potrebbe compromettere l’intera rete di un’agenzia», afferma Spaulding. La sfida è ancora più ardua: le agenzie federali e gli appaltatori civili operano in un panorama informatico eterogeneo che comprende piattaforme legacy, firmware e software. Poiché la pandemia ha imposto il passaggio al lavoro da remoto, si è assistito a un’esplosione delle soluzioni di accesso VPN basate su cloud e dei dispositivi endpoint “ ”.
«. È un’impresa titanica.» Non potete certo aspettarvi che le agenzie lascino tutto il resto da parte per preparare immediatamente queste correzioni.”Bud Broomhead, responsabile del reparto “ CEO ” presso Viakoo
Affinché un’agenzia possa soddisfare in modo concreto i requisiti stabiliti dal BOD della CISA, dovrà sottoporsi a un processo di inventario di tutte le proprie risorse di rete e «identificare i sistemi che necessitano di patch, nonché valutare l’impatto che l’applicazione di tali patch avrà sul proprio software attuale», afferma Jamil Jaffer, direttore esecutivo del National Security Institute.
Ciò comporta l’esecuzione di un’analisi approfondita e di un processo di inventario di tutti i software, i firmware e gli endpoint dell’agenzia e dei fornitori, inclusi i server on-premise e nel cloud, i computer desktop, i dispositivi mobili e i sensori IoT. Successivamente, le agenzie devono correggere, rimuovere o sostituire eventuali risorse vulnerabili, nonché garantire che tutti gli aggiornamenti software e le configurazioni di sicurezza siano correttamente installati e funzionanti.
[Leggi anche: Ex capo della Difesa — «Siamo i nostri peggiori nemici»]
«Si tratta di un’impresa di enorme portata», afferma Bud Broomhead, responsabile dell’ CEO e presso Viakoo, azienda che, tra gli altri servizi, contribuisce a garantire la sicurezza dei dispositivi IoT. «Non potete certo aspettarvi che le agenzie lascino tutto il resto da parte per preparare immediatamente queste correzioni.»
Data la portata del compito, Broomhead sostiene che affrontarlo manualmente sia impraticabile quanto irrealistico. «Semplicemente non ci sono abbastanza risorse da dedicare a questo», osserva. «La realtà è che l’automazione è indispensabile, ma solo una piccolissima parte delle agenzie ne dispone.»
Anche l'automazione degli aggiornamenti software potrebbe non essere sufficiente. Un esempio calzante: nell’attacco a SolarWinds, gli hacker russi hanno utilizzato un aggiornamento software di routine come cavallo di Troia di tipo “ ”, inserendo codice dannoso nel software Orion, che è stato poi scaricato da 18.000 utenti nell’arco di quattro mesi nella primavera del 2020.
I punti deboli del Consiglio di Amministrazione della CISA
L’applicazione di patch può rappresentare una soluzione a breve termine alle vulnerabilità, ma sarà necessaria una revisione più approfondita per rafforzare realmente la sicurezza informatica del governo nel lungo periodo.
«Ogni agenzia sta intraprendendo un percorso verso la sicurezza», afferma Broomhead. «L’obiettivo finale è il modello “zero trust”».
Considerando che, secondo quanto riportato su , il 61% delle violazioni dei dati è causato dalla fuga di credenziali, l’autenticazione a più fattori (MFA) rappresenta un passo fondamentale verso il raggiungimento del modello “zero trust”. (L’attacco alla Colonial Pipeline è stato ricondotto a una singola password trapelata.) Tuttavia, la CISA ha tardato a promuovere l’autenticazione a più fattori (MFA). Ha semplicemente aggiunto l’autenticazione monouso all’elenco delle “pratiche scorrette” dell’ , disponibile all’indirizzo agosto 2021.
Sebbene il decreto presidenziale emanato a giugno dall’amministrazione Biden imponesse a tutte le agenzie e ai fornitori di implementare l’autenticazione a più fattori (MFA) entro 180 giorni, lo stesso Biden ha ammesso in una conferenza stampa che il potere esecutivo non può «imporre» protocolli di sicurezza agli appaltatori civili federali.
Un’altra grave vulnerabilità di sicurezza che il Consiglio di Amministrazione lascia irrisolta: le VPN vulnerabili, che non offrono alcun modo per monitorare e verificare in tempo reale ( ) le attività di accesso remoto ( ). Qualora si verificasse un attacco, le VPN non conservano un registro storico dell’attività di rete che consenta di risalire all’origine della violazione. Nel mese di ottobre, la CISA ha effettivamente pubblicato le linee guida “ ” ( ) volte a rafforzare la sicurezza dell’accesso remoto. Tuttavia, in assenza di un solido quadro di riferimento per il monitoraggio e la garanzia della conformità, queste non sono altro che semplici idee.
«Ritengo che un meccanismo di conformità e di applicazione sia davvero molto importante. Ritengo che dovremmo prendere in considerazione l’applicazione di sanzioni pecuniarie.”Jen Easterly, direttrice del CISA
Sebbene il Consiglio di Amministrazione della CISA miri a colmare le falle nella sicurezza, l’applicazione delle misure sembra difficile, se non impossibile. Il termine di due settimane è scaduto il 17 novembre, ma l’agenzia non ha ancora fornito indicazioni sul numero di enti e fornitori che si sono conformati alla direttiva, né tantomeno sul grado di conformità raggiunto.
«In fin dei conti, la CISA ha una capacità limitata di Enforce queste cose», afferma Jaffer. «In definitiva, il presidente e il Congresso dovranno svolgere un ruolo nella supervisione di tali direttive. “È proprio questo che aumenterà la pressione sui responsabili delle agenzie affinché portino a termine il maggior numero possibile di attività nel minor tempo possibile.”
La direttrice della CISA, Jen Easterly , membro dell’ , lo ha ammesso quando ha testimoniato in occasione di un’audizione della Commissione per la sicurezza interna e gli affari governativi del Senato, tenutasi il settembre 2021 . «Ritengo che un meccanismo di conformità e di applicazione delle norme sia molto importante», ha dichiarato alla commissione. «Ritengo che dovremmo prendere in considerazione l’applicazione di sanzioni pecuniarie.»
«Le sanzioni rappresenterebbero, ovviamente, lo scenario peggiore per un’agenzia, poiché inciderebbero sui fondi disponibili sia per le finalità operative che per la sicurezza informatica», afferma Jaffer. «Ciò che si auspica è che le agenzie si anticipino a tale eventualità e attuino le direttive della CISA, idealmente prima che il Congresso prenda in considerazione la possibilità di conferire tale autorità».
Lo scenario più favorevole? In un ambiente informatico in cui gli autori di attacchi cercano incessantemente, giorno dopo giorno, vulnerabilità da sfruttare, le agenzie federali e i loro partner esterni devono andare oltre le soluzioni provvisorie a breve termine e adottare una strategia a lungo termine basata sul modello “zero trust” — e devono agire rapidamente.
