«La nostra rete è sicura? “Siamo al massimo livello di sicurezza possibile contro le minacce informatiche?”
Oggi qualsiasi responsabile tecnologico può aspettarsi che gli vengano poste queste domande, sia da un dirigente aziendale, sia da un membro del consiglio di amministrazione, sia da un comandante.
Per rispondere a queste domande con certezza, occorrono molti dati: dati relativi agli endpoint, ai livelli di patch, all’attività di rete, alle varianti di ransomware e così via. È inoltre necessario sapere dove si trovano tali dati e come raccoglierli e analizzarli. Solo raccogliendo e analizzando questi dati potrete effettuare una valutazione significativa ed esaustiva della sicurezza della vostra rete.
Per la maggior parte delle organizzazioni, questo tipo di analisi richiede indagini approfondite, della durata di diverse settimane o addirittura di diversi mesi, rivolte a specialisti informatici e di sicurezza. Anche in tal caso, l’analisi che ne risulterà sarà probabilmente rilevante solo nel momento in cui i dati vengono raccolti, analizzati e riportati. Nuove vulnerabilità e altri rischi potrebbero emergere il giorno dopo — o addirittura pochi minuti dopo.
Un approccio più efficace consiste nell’adottare strumenti e processi in grado di raccogliere dati relativi alla sicurezza in modo continuo e in tempo reale. Grazie ai dati in tempo reale sullo stato delle reti e degli endpoint, potrete fornire risposte definitive alle domande relative alla sicurezza complessiva. In tal modo, potrete descrivere lo stato di preparazione informatica della vostra organizzazione un lunedì mattina e poi descriverlo nuovamente con precisione il venerdì pomeriggio, anche se la vostra azienda ha lanciato un nuovo servizio il mercoledì o ha concluso un’acquisizione il giovedì.
E poiché avete creato un sistema automatizzato in grado di fornirvi le risposte di cui avete bisogno in qualsiasi momento, vi troverete in una posizione di vantaggio operativo nel difendervi dagli attacchi. In altre parole, sarete un passo più vicini al raggiungimento della preparazione informatica di fronte alle minacce informatiche.
Domande che consentono di valutare il livello di preparazione informatica
La preparazione informatica comporta, in definitiva, la risposta a tre diverse domande, ciascuna delle quali riguarda un aspetto diverso della sicurezza informatica. Tali domande sono:
- Qual è lo stato della mia rete? (Igiene informatica)
- Quali minacce posso individuare? (Rilevamento delle minacce)
- Con quale rapidità è possibile attuare le misure di contrasto alle minacce (Misure di contrasto alle minacce)
Nel loro insieme, queste domande costituiscono la preparazione informatica. Se lo desiderate, potete considerare il problema dal punto di vista matematico:
Igiene informatica + Rilevamento delle minacce + Misure di contrasto alle minacce = Preparazione informatica
In questa serie di articoli del blog, approfondirò ciascuno di questi argomenti in dettaglio. Prima di tutto, però, vorrei iniziare parlando della mentalità difensiva che sta alla base di questo approccio alla sicurezza informatica. Si tratta di una filosofia elaborata dai Marines durante la guerra in Iraq. Si chiama “Left of Bang”. Ecco come funziona.
Prevenire gli attacchi anziché reagire ad essi
Verso la metà del 2006, il Corpo dei Marines degli Stati Uniti si rese conto di aver bisogno di una nuova strategia per proteggere le proprie truppe in Iraq. L'insurrezione irachena era in pieno svolgimento. Gli insorti stavano seppellendo ordigni esplosivi improvvisati (IED) lungo le strade e questi ordigni nascosti stavano causando perdite devastanti. Solo nel mese di settembre, gli ordigni esplosivi improvvisati hanno ferito 776 americani. E questi dispositivi, molti dei quali erano abbastanza potenti da distruggere un veicolo da combattimento Bradley da 27 tonnellate, sembravano essere ovunque. Nel mese di luglio sono stati fatti esplodere 666 ordigni improvvisati. I marines hanno rinvenuto quasi un altro migliaio di ordigni pronti a esplodere.
(Per una descrizione dettagliata di questi attacchi e della risposta dei Marines, si veda Left of Bang: How the Marine Corps’ Combat Hunter Program Can Save Your Life di Patrick Van Horne e Jason A. Riley.)
In quella fase della guerra, i marines erano altamente addestrati a reagire in modo efficace in caso di problemi. Tuttavia, la risposta alle esplosioni di ordigni improvvisati non stava riducendo la frequenza degli attacchi. Né le misure reattive stavano contribuendo in modo significativo a ridurre la forza complessiva dell’insurrezione. I Marines avevano bisogno di una nuova strategia.
Il generale dei Marines James Mattis, comandante della Prima Forza Spedizionaria dei Marines, voleva che i Marines prendessero l’iniziativa e passassero all’offensiva. Desiderava un nuovo tipo di addestramento per i Marines — un addestramento che li aiutasse ad adottare una “mentalità da cacciatore”, in grado di valutare rapidamente le situazioni, individuare potenziali minacce e intraprendere la linea d’azione più efficace. È così che è nato il programma “Combat Hunter” dei Marines.
L’idea principale alla base di questo programma era quella di spostare le azioni dei Marines “a sinistra dello scontro”. Si immagini la cronologia di un attacco con un ordigno esplosivo improvvisato. A metà della sequenza temporale, l’ordigno improvvisato esplode. Ecco il colpo di scena. A destra del botto si vedono tutte le conseguenze dell’esplosione: un veicolo danneggiato, civili in fuga e soccorritori che accorrono sul posto.
Al punto 2006, a sinistra del momento dell’esplosione — ovvero il momento sulla linea temporale precedente all’esplosione — si vedevano principalmente gli insorti impegnati a pianificare l’attacco, a costruire l’ordigno improvvisato e a seppellirlo lungo la strada. I marines avevano scarsa conoscenza di tali attività. Di conseguenza, solo una minima parte delle loro azioni mirate ha avuto luogo prima del “bang”.
Il programma di addestramento “Combat Hunter” ha cambiato questa situazione. I marines hanno imparato a osservare i modelli di comportamento sociale nei luoghi pubblici. Hanno imparato a individuare le anomalie, come ad esempio le persone che si comportavano in modo non in linea con l’ambiente o il contesto in cui vivevano. Hanno imparato a notare quando gli abitanti del posto si allontanavano inaspettatamente da un luogo, forse perché sapevano che stava per verificarsi un attacco. E i marines hanno imparato quando passare all’offensiva, catturando gli insorti prima che potessero colpire per primi.
In qualità di consulenti militari in Iraq tra il 2005-2006, applicavamo i principi fondamentali del “Left of bang” per ridurre i rischi per i nostri convogli e migliorare la qualità dei nostri risultati – ovvero arrivare a destinazione in tempo e in sicurezza. Elementi fondamentali di questo approccio sono stati l’osservabilità, l’agilità e la prevedibilità. Per la maggior parte degli americani, Long Island, il Michigan e Tampa sono semplicemente dei luoghi, ma per i marines e i soldati questi nomi indicano percorsi ad alto rischio in cui l’adozione di un approccio “left of bang” ha migliorato la prontezza operativa dei convogli. Riconoscere il momento cruciale, collaborare al di là dei compartimenti stagni e integrare la tecnologia nella pianificazione delle nostre missioni sono stati fattori fondamentali per la nostra sopravvivenza e per la prontezza operativa del nostro convoglio.
In sintesi, l’addestramento ha insegnato ai marines a:
- Identificare le minacce sulla base del comportamento
- Valutate sia i segnali sottili che quelli evidenti di minacce sulla base del comportamento umano, delle intenzioni e del contesto
- Rifletta in modo critico al volo, concentrandosi su ciò che è più importante
- Prenda decisioni rapide e ponderate sulla base delle informazioni disponibili
L'addestramento "Combat Hunter" ha fatto la differenza. Improvvisamente, i marines sono stati in grado di valutare le situazioni con maggiore efficacia. Sono riusciti a Detect le minacce in anticipo, comprese quelle derivanti da attacchi con ordigni esplosivi improvvisati (IED), e ad adottare misure per evitare perdite. Il numero delle vittime causate dagli ordigni esplosivi improvvisati è diminuito. Gli insorti sono stati catturati. I partecipanti al corso hanno elogiato il programma, auspicando di averne potuto apprendere i contenuti prima.
Il programma ha dimostrato i vantaggi di un approccio proattivo, ovvero di agire prima che si verifichi un evento critico.
Cosa possono imparare i team di sicurezza informatica in materia di sicurezza dall’addestramento “bang”
Oggi, molti team di sicurezza informatica si trovano a dover agire sulla difensiva. Stanno facendo del loro meglio per difendersi da un’ampia gamma di attacchi, tra cui ransomware, phishing e compromissione delle e-mail aziendali.
Tuttavia, la loro visibilità è limitata. La maggior parte di essi opera sulla base di inventari “ endpoint ” incompleti o obsoleti. Non sanno con certezza quali componenti software siano installati e dove, il che li rende vulnerabili agli attacchi alla catena di approvvigionamento. Troppo spesso, i team di sicurezza informatica si ritrovano a lavorare sodo solo per il gusto di farlo o, in sostanza, a reagire alle minacce, alle richieste di dati e agli incidenti informatici, vivendo in un mondo in cui prevale l’urgenza del momento.
Si consideri in che modo un approccio “left-of-bang” possa affinare le domande che ho menzionato in precedenza, secondo cui conducono alla resilienza informatica:
- Qual è lo stato della mia rete? (Igiene informatica)
Approfondimenti su "Left of Bang":- Ho davvero una chiara comprensione dello stato della mia rete? Posso visualizzare la mia rete?
- Sto prestando attenzione a tutto ciò a cui dovrei prestare attenzione per individuare le min Detect he il più rapidamente possibile?
- Sono in grado di individuare anomalie significative, anche se sono sottili?
- Quali minacce posso individuare? (Rilevamento delle minacce)
Approfondimenti su "Left of Bang":- È possibile individuare Detect le sottili anomalie che indicano minacce che potrei aver trascurato?
- Sono in grado di individuare le minacce ovunque, su ogni dispositivo endpoint in ogni sede che si connette alle mie reti o che gestisce i dati della mia organizzazione?
- Con quale rapidità è possibile attuare misure di contrasto alle minacce? (Misure di contrasto alle minacce)
Approfondimenti su "Left of Bang":- Posso reagire più rapidamente, prendendo decisioni rapide e ponderate per prevenire gli attacchi o contenerli più rapidamente?
- Posso comprendere più rapidamente la portata e la natura degli attacchi?
- Posso tenerli sotto controllo e adottare misure per impedire che attacchi simili si ripetano?
I team di sicurezza possono rafforzare notevolmente la propria resilienza informatica adottando una strategia “left-of-bang” in materia di sicurezza informatica e mettendo in pratica queste indicazioni.
Un’analisi approfondita della preparazione informatica
Nei miei prossimi post sul blog, esamineremo più da vicino le migliori pratiche di in materia di cyberigiene, rilevamento delle minacce e misure di contrasto alle minacce.
Nel frattempo, scoprite come la piattaforma Tanium Converged Endpoint Management (XEM) (si apre in una nuova scheda) aiuti i team di sicurezza a migliorare la propria visibilità, il controllo e le capacità di risoluzione dei problemi, al fine di rafforzare la preparazione informatica.
