Che cos’è la preparazione informatica? Si tratta di una disciplina nel campo delle tecnologie dell’informazione (IT) che prevede un approccio Left of Bang alla gestione endpoint , al rilevamento in tempo reale delle minacce e alla loro rapida risoluzione. Nelle operazioni di combattimento, l’approccio “ , left of bang” ( ) prevede la pianificazione delle operazioni in modo da ottenere un vantaggio prima dell’attacco, del primo colpo e dell’esplosione. Ciò potrebbe comportare la conduzione di un convoglio al momento opportuno, la scelta del percorso più adeguato, l’individuazione di soggetti malintenzionati o la reazione a eventi in modi imprevedibili tali da confondere l’aggressore. Il modello “Left of Bang” prevede l’individuazione delle minacce, seguita da una rapida valutazione dei rischi e dell’impatto, al fine di contrastare tali minacce. Collegando queste idee alla gestione dell’ endpoint , al rilevamento delle minacce in tempo reale e alla rapida risoluzione delle minacce, la visibilità diventa il denominatore comune. La visibilità è fondamentale per la caccia ed è una capacità fondamentale che consente di garantire la sicurezza informatica, il rilevamento delle minacce e la valutazione delle azioni di contrasto alle minacce.
In un precedente post del blog “ ” (), ho proposto questa equazione come modo conciso per spiegare la preparazione informatica.
Igiene informatica + Rilevamento delle minacce + Misure di contrasto = Preparazione informatica
Ecco una breve spiegazione di ciascuno di questi elementi:
- La “cyber igiene” si concentra sugli endpoint e sulle reti, garantendo che tutte le misure di difesa siano state adottate in modo adeguato.
- Il rilevamento delle minacce consiste, come suggerisce il nome, nell’individuazione tempestiva di minacce che vanno dagli attacchi ransomware, che bloccano i dispositivi, agli attacchi di tipo Business Email Compromise (BEC), che inducono i dipendenti a trasferire fondi a criminali. Individuare le minacce in modo rapido e accurato offre ai team di sicurezza la possibilità di impedirne la diffusione all’interno dell’organizzazione e di evitare che causino ulteriori danni.
- Le azioni di contrasto alle minacce consistono nell’adottare misure volte a bloccare gli attacchi e, in alcuni casi, persino a compromettere le capacità degli autori degli attacchi.
Se un’organizzazione attua correttamente tali pratiche, migliorerà in modo significativo la propria preparazione informatica, ovvero la propria capacità di prevenire e resistere agli attacchi informatici.
Igiene informatica: garantire lo stato ottimale del nostro ambiente IT
Esaminiamo più da vicino il primo di questi elementi: l’igiene informatica. Il termine “igiene”, di natura essenzialmente medica, si riferisce alla pratica volta a preservare la salute e a prevenire le malattie attraverso la pulizia. Nel campo della sicurezza informatica, la “cyberigiene” previene gli attacchi eliminando vulnerabilità, difetti del software, falle di sicurezza o configurazioni errate. Tali misure sono paragonabili al lavarsi le mani per eliminare i germi e prevenire la diffusione delle malattie. Mark Rober lo ha dimostrato nel suo video su YouTube intitolato “: esperimento su come si diffondono i germi”, in cui ha illustrato con quanta facilità si diffondano i germi.
L’igiene informatica presenta molti punti in comune con l’igiene medica, in quanto mira a eliminare le vulnerabilità o le minacce – ovvero i modi in cui un malintenzionato può penetrare nella nostra rete. Dobbiamo sapere cosa sta accadendo su ogni " endpoint " (ovvero ogni laptop, computer fisso, server, dispositivo IoT, applicazione cloud, ecc.), indipendentemente da dove si trovi e dalla rete a cui è connesso. In effetti, abbiamo bisogno di una raccolta continua di dati relativi alla “cyberigiene” per ogni sistema endpoint che intendiamo proteggere. E abbiamo bisogno di misure (si pensi alle politiche di sicurezza informatica o alle migliori pratiche di rafforzamento dell’ endpoint) che consentano di respingere gli attacchi e di ripristinare la piena capacità operativa degli endpoint. In termini tecnici, è necessario che il nostro ambiente tecnologico sia pienamente operativo e privo di difetti. Un approccio “ ” (a sinistra del punto di impatto) garantisce che le nostre operazioni IT e il nostro ambiente di sicurezza si mantengano costantemente in uno stato ottimale.
Analizziamo più approfonditamente i quattro requisiti di igiene informatica.
Requisito n. 1: Visibilità completa
Il nostro primo requisito è una visibilità completa, ovvero la possibilità di monitorare ogni dispositivo endpoint che gestisca i dati dell’organizzazione o che si colleghi alle sue reti.
La visibilità olistica sembra essere un obiettivo ovvio che può essere raggiunto con uno strumento di monitoraggio di base. In realtà, la visibilità su endpoint rappresenta una sfida per la maggior parte delle organizzazioni IT, anche per quelle che hanno investito ingenti risorse nella sicurezza informatica. Le organizzazioni dispongono spesso di numerosi strumenti che consentono di individuare i propri endpoint, ma i risultati ottenuti da questi diversi strumenti sono costantemente incoerenti. Tale incongruenza è dovuta sia a una copertura inadeguata dell’ endpoint e sia a una scarsa BZO dell’ambiente. Gli strumenti sono stati implementati ma non sono ancora pienamente operativi, oppure lo strumento non è stato affatto implementato. Da approfondite verifiche condotte sulle reti aziendali emerge che la maggior parte delle organizzazioni trascura il 10-20% degli endpoint.
Perché questa mancanza di visibilità? Molti prodotti di gestione endpoint sono limitati all’utilizzo con determinati sistemi operativi e determinati tipi di dispositivi, oppure il loro algoritmo di rilevamento funziona solo con dispositivi sui quali sia già installato il software di gestione endpoint . In altre parole, questi prodotti possono confermare ciò che già sapete, ma non sono in grado di individuare ciò che potreste aver trascurato: i germi invisibili presenti nel video di Mark Rober su YouTube. Di conseguenza, esiste un divario tra l’insieme di tutti gli endpoint che rappresentano una minaccia per la sicurezza informatica e l’insieme più ristretto di endpoint che il team di sicurezza ritiene di gestire.
Purtroppo, un avversario come una banda di autori di ransomware deve violare un solo endpoint per ottenere un punto d’appoggio all’interno di un’organizzazione. I team di sicurezza non possono permettersi di trascurare nemmeno un singolo endpoint, figuriamoci il 10% o il 20% del proprio patrimonio endpoint .
Si assicuri di disporre di uno strumento che consenta di individuare e gestire tutti gli endpoint presenti nel Suo ambiente, compresi quelli situati negli uffici domestici, negli spazi di lavoro remoti e negli ambienti cloud. In tal modo avrete soddisfatto il primo requisito fondamentale per la cyberigiene, come indicato su .
Requisito n. 2: Visibilità in tempo reale
Una volta ottenuta una visibilità completa, è necessario garantire una visibilità continua e in tempo reale sullo stato di tutti i propri endpoint, sia locali che remoti. Un elemento fondamentale dell’approccio “ ” (sinistra del bang) è il vantaggio decisionale; tale vantaggio è alimentato dai dati endpoint .
Si assicuri di essere in grado di rispondere a queste domande:
- Di che tipo di endpoint si tratta?
- Quali programmi sono stati installati sul dispositivo?
- Quali strumenti di sicurezza sono installati, configurati e funzionanti sull’ endpoint?
- Quali processi sono in esecuzione sull’ endpoint?
- Se l’ endpoint e fosse stato coinvolto in un’attività rischiosa, con quali altri endpoint avrebbe comunicato?
I team di sicurezza devono essere in grado di rispondere rapidamente a queste domande, arricchendo e contestualizzando gli eventi o i rischi grazie ai dati dell’ endpoint . Mentre le funzioni aziendali determinano se un’ endpoint e fa parte del Key-Cyber Terrain (KCT), la visibilità in tempo reale consente ai dati di contestualizzare il rischio e l’impatto nel caso in cui un avversario si impadronisca di un’ endpointe del KCT. Se è in corso un attacco, consultare un rapporto sulla conformità, sulle modifiche o sulla configurazione relativo al mese scorso fornirà informazioni minime rispetto alla visibilità in tempo reale. Per reagire in modo rapido ed efficace, è necessario sapere quali programmi sono attualmente installati e attivi, in modo da poter comprendere le vulnerabilità e le minacce a cui sono esposti. È inoltre necessario poter vedere in qualsiasi momento cosa sta accadendo su qualsiasi endpoint . Dovete essere dei veri cacciatori, con una mentalità del tipo “ , left of bang” ( ). È necessario Detect quei processi, quelle attività e quei comportamenti che non rientrano nell’ambito di applicazione dell’ endpoint.
La visibilità in tempo reale costituisce un fattore chiave per la pianificazione, il processo decisionale e il rilevamento delle minacce. Pertanto, si tratta di un elemento essenziale della “igiene informatica”.
Requisito n. 3: Visibilità approfondita del software – Analisi della distinta dei componenti software (SBOM)
La vulnerabilità del software “ Log4Shell (o Log4j)” (CVE-2021-44228), segnalata per la prima volta su 9 dicembre 2021, ha cambiato per sempre il modo di operare nel campo della sicurezza informatica aziendale. Si trattava di un componente software open source ampiamente utilizzato e integrato in migliaia di applicazioni commerciali — comprese quelle dei nomi più affidabili del settore del software — che si è rivelato vulnerabile agli attacchi. In alcuni scenari, la vulnerabilità potrebbe consentire ai criminali informatici di assumere il pieno controllo sull’esecuzione dei processi, permettendo loro di eseguire qualsiasi programma o comando della shell a cui le applicazioni abbiano accesso.
Nella maggior parte delle grandi organizzazioni, il componente Log4Shell era integrato non solo nelle applicazioni commerciali, ma anche in quelle sviluppate internamente, ampliando notevolmente l’ambito della ricerca. Era disponibile una patch, a condizione che si riuscisse a individuare tutti i punti in cui era stato installato il Log4j . Tuttavia, tale processo di individuazione si è rivelato un lavoro difficile e dispendioso in termini di tempo, in parte perché l’ambito era estremamente vasto e comprendeva numerose applicazioni, ma anche perché i Log4Shell artefatti erano racchiusi in archivi di archivi all’interno di applicazioni JAVA.
Nel frattempo, gli aggressori erano all’opera. Nel giro di 72 ore dall’annuncio della vulnerabilità, i criminali informatici hanno sferrato oltre 800.000 attacchi sfruttando tale vulnerabilità.
Log4Shell ha innalzato gli standard in materia di buone pratiche di sicurezza informatica. Prima della versione Log4Shell, i team di sicurezza potevano attuare una corretta gestione delle patch tenendo traccia delle applicazioni e dei livelli di patch; dopo la versione Log4Shell, i team di sicurezza si sono resi conto di aver bisogno di una lente d’ingrandimento o di una luce a infrarossi (IR) per individuare i germi invisibili all’occhio umano: avevano bisogno di visibilità su tutti i componenti di ogni applicazione e servizio in esecuzione sulle loro reti. In termini di “cacciatori di minacce”, desideriamo avere visibilità in ogni momento della giornata; abbiamo bisogno di visori notturni per poter esaminare a fondo i sistemi software e valutare minacce, vulnerabilità, stato di integrità e prontezza operativa.
In altre parole, i team di sicurezza necessitano ora di una visibilità in tempo reale sulle distinte dei materiali software (SBOM) relative all’. Un SBOM è l'elenco di tutti i componenti che costituiscono un'applicazione o un servizio in un dato momento. Solo grazie a un’analisi così approfondita i team di sicurezza potranno essere pronti a reagire quando verrà resa nota la prossima vulnerabilità di un componente software. E, dato l’ampio ricorso a librerie open source di largo uso, la complessità del software e la probabilità che vi siano difetti di progettazione, è inevitabile un altro annuncio simile al Log4j .
È opportuno sottolineare che una funzionalità sviluppata nel 2007 non è stata progettata per risolvere il problema dello SBOM Log4j . Le funzionalità moderne sono estensibili, adattabili e agili. Le moderne capacità informatiche assomigliano più a un linguaggio di programmazione che a una funzione monolitica all’interno di un programma. È proprio qui che opportunità e impegno si incontrano nella storia del successo nel mondo del cyber. La capacità di creare contenuti personalizzati è un fattore determinante per individuare le minacce del futuro. Il tempo e lo spazio rappresentano i fattori limitanti in questa sfida; potrebbe non essere necessario disporre di tutti i dati, ma solo di quelli giusti per prendere la decisione corretta e intraprendere l’azione giusta in modo tempestivo.
Ecco perché la comprensione dell’SBOM rappresenta ormai un requisito essenziale per la sicurezza informatica.
Requisito n. 4: Variazioni di configurazione (operazioni di applicazione delle patch e gestione del software)
Abbiamo parlato di come individuare tutti gli endpoint e comprenderne le vulnerabilità e i rischi. Ora occorre trovare un modo per rafforzarne la sicurezza, assicurandosi che ogni endpoint disponga della configurazione corretta tramite l’installazione di patch, l’adozione di una gestione attiva del software e la corretta configurazione di ogni endpoint. Rendere gli endpoint resistenti agli attacchi richiede una certa prevedibilità, in cui l’organizzazione riduca al minimo le variazioni di configurazione. In sostanza, ogni endpoint presenta la configurazione prevista.
Per continuare con la nostra metafora sull’igiene, una scarsa igiene comporta fattori di rischio; al contrario, una buona igiene migliora la salute e la resilienza eliminando i germi che possono causare malattie. Ora applicheremo un approccio " " (a sinistra del punto d'interruzione) per migliorare lo stato di prontezza del nostro ambiente, mantenendolo libero da vulnerabilità, configurazioni errate e software obsoleto.
Ogni organizzazione dispone di strumenti che utilizza per installare le patch e distribuire il software; tali strumenti sono spesso soluzioni puntuali che richiedono tempo e impegno. Il risultato è che, nonostante il tempo e l’impegno profuso, si ottengono risultati mediocri. Performance Gli indicatori sono importanti, ma l’impatto maggiore sulla preparazione informatica risiede nella variabilità della configurazione di tutti gli endpoint. La rapidità con cui vengono applicate le patch e implementato il software è importante, ma la gestione di configurazioni multiple aumenta la complessità e porta ad un approccio reattivo, determinato da requisiti di conformità, dati obsoleti e report storici. Ciò potrebbe essere dovuto a un numero eccessivo di strumenti, con conseguenti processi di gestione della configurazione complessi e disorganizzati, oppure il problema potrebbe risiedere nella scelta dello strumento sbagliato, nel debito di conoscenze tecniche all’interno dell’organizzazione e in un approccio alla gestione della configurazione improntato al motto “lavorare di più, non in modo più intelligente”.
Quando si ricorre a cinque o dieci strumenti diversi per eseguire la scansione dei dispositivi, valutare le vulnerabilità, installare le patch, verificare che queste siano effettivamente state installate (con molti strumenti, infatti, i rapporti di successo possono essere notevolmente esagerati) e generare report per gli audit e la conformità, il flusso di lavoro stesso diventa un nuovo tipo di rischio. Alcune fasi potrebbero essere tralasciate o subire ritardi. I formati dei dati e dei report potrebbero variare. Alcuni dettagli fondamentali potrebbero sfuggire. I processi potrebbero protrarsi pericolosamente a lungo.
Al contrario, una gestione efficace delle patch è in grado di:
- Agendo sulla base delle informazioni relative allo stato delle patch e alla SBOM raccolte da altri strumenti di gestione e flussi di lavoro di endpoint
- Installare le patch in modo rapido ed efficace senza compromettere le prestazioni dei dispositivi finali o della rete
- Generazione di report sullo stato in tempo reale degli endpoint
- Aiutare i team di sicurezza a individuare e risolvere rapidamente i problemi quando vengono resi noti nuovi attacchi zero-day
- Integrazione con altri aspetti della gestione dell’ endpoint e per garantire passaggi di consegne senza soluzione di continuità tra le operazioni dell’ endpoint e
Centralizzando gli strumenti in un’unica piattaforma, i team tecnologici possono eliminare i ritardi nell’applicazione delle patch, garantendo al contempo l’autenticità del software introdotto nel proprio ambiente; ciò si traduce in un’unica fonte di dati autorevole, accurata, disponibile e gestita attivamente. In realtà, le moderne organizzazioni IT digitali sono composte da numerosi team e ciascun team necessita di una visione d’insieme che estenda l’attività di ricerca secondo un approccio “ ” (a sinistra del punto di impatto) . Le organizzazioni soddisfano il quarto requisito in materia di igiene informatica portando tutti i team al punto di incontro tra lavoro e opportunità, dove la collaborazione può dare impulso ad attività volte a ridurre al minimo le variazioni di configurazione e a garantire che la rete si trovi sempre in uno stato noto.
Igiene informatica: una componente essenziale della preparazione informatica
Il rispetto dei quattro requisiti di “cyber igiene” consentirà alle organizzazioni di conoscere e comprendere lo stato del proprio ambiente. Il risultato sarà un livello più elevato di preparazione informatica, che ridurrà le superfici di attacco, rafforzerà gli endpoint e consentirà all’insieme degli “ endpoint ” di risultare privi di vulnerabilità. Quando i team all’interno dell’organizzazione condividono una visione comune basata sulle minacce, una soluzione efficace per la gestione dell’ endpoint consente alle organizzazioni di modellare il proprio ambiente attraverso il lavoro di squadra, le buone pratiche di sicurezza informatica e la comprensione delle variazioni di configurazione del proprio endpoint . Questo livello di consapevolezza crea un vantaggio decisionale che favorisce l’agilità, l’adattabilità e la consapevolezza delle minacce.
Scoprite di più sulla piattaforma Tanium e sul suo ruolo nella gestione endpoint , comprese le operazioni di applicazione delle patch e la conformità.
