Potrebbe esserci un momento più “entusiasmante” per ricoprire un ruolo dirigenziale nel settore della sicurezza informatica? Alcuni potrebbero scegliere altri aggettivi: stressante, incerto, disorientante, sconcertante — solo per citarne alcuni. Negli ultimi due anni circa si è assistito a una serie senza precedenti di eventi che hanno innalzato i livelli di minaccia e accresciuto la consapevolezza dei rischi informatici ai vertici delle organizzazioni.
Tra le tendenze che hanno contribuito a portare la sicurezza informatica sotto i riflettori figurano il drastico aumento del lavoro da remoto e ibrido a seguito della pandemia; una transizione continua e rapida verso il cloud; un maggiore ricorso ai dispositivi mobili sul posto di lavoro; una crescita esponenziale delle piattaforme e delle transazioni di e-commerce; minacce sempre più sofisticate, tra cui il ransomware; un aumento del numero di normative in materia di protezione dei dati; un aggravamento del divario di competenze in materia di sicurezza; e una superficie di attacco in costante espansione.
Il numero e le tipologie di minacce continuano ad aumentare, che si tratti di malware, attacchi di phishing, attacchi zero-day, attacchi DDoS (Distributed Denial-of-Service), violazioni dei dati e altro ancora. Le vulnerabilità del software sono diventate motivo di grande preoccupazione, come dimostra in modo lampante la recente falla individuata in Log4j, l’utilità di registrazione basata su Java. Gli esperti hanno definito tale vulnerabilità, che comportava l’esecuzione di codice arbitrario all’interno del framework, una delle più gravi e critiche degli ultimi anni.
In questa serie di articoli del blog, riassumo gli incidenti di sicurezza informatica più significativi e presento una strategia che aiuterà le organizzazioni a sviluppare un solido programma di sicurezza informatica, concepito per difendersi dalle minacce più recenti.
Gli attacchi informatici fanno notizia
Ecco una breve panoramica di alcuni degli attacchi più significativi degli ultimi mesi:
- maggio 2021, il sistema di oleodotti statunitense Colonial Pipeline, che ha origine in Texas e trasporta benzina e carburante per aerei principalmente verso il sud-est degli Stati Uniti, ha subito un attacco ransomware che ha compromesso i sistemi utilizzati per la gestione dell’oleodotto. Colonial Pipeline ha sospeso tutte le operazioni dell’oleodotto per contenere l’attacco e a causa dei timori che gli autori potessero sferrare ulteriori attacchi contro l’oleodotto. A poche ore dall’attacco, Colonial ha versato il riscatto richiesto dagli autori dell’attacco. Si ritiene che l'incidente sia stato il più grave attacco informatico mai perpetrato contro un'infrastruttura petrolifera nella storia degli Stati Uniti.
- In giugno 2021, una vulnerabilità dello spooler di stampa di è stata corretta nell’ambito del regolare ciclo di aggiornamenti del “ Patch Tuesday” di Microsoft. Qualche settimana dopo, in occasione del weekend dedicato all’ 4 luglio , è stato reso pubblico un exploit di prova. È interessante notare che si è trattato di una divulgazione involontaria di una vulnerabilità zero-day, poiché il bug sfruttato era diverso da quello riportato originariamente nel database Common Vulnerabilities and Exposures (CVE). Non solo, ma questa vulnerabilità ha interessato anche tutte le versioni di Windows, sia server che workstation. Durante le festività, le organizzazioni si sono affrettate ad applicare misure di mitigazione che si sono ben presto rivelate insufficienti. Ciò ha messo in evidenza il fatto che le organizzazioni necessitano di soluzioni scalabili e veloci per individuare la presenza di una vulnerabilità.
- Quello che è accaduto a Kaseya, un’azienda che fornisce software per la gestione di reti e sistemi, nell’estate del 2021 è proprio il genere di evento che tiene svegli la notte tutti i fornitori. Nel caso di Kaseya, un attacco alla catena di fornitura di tipo “ ” ( ) ha compromesso l’affidabilità del suo strumento di gestione endpoint , consentendo l’installazione di un ransomware. Sebbene siano stati compromessi circa 50 diversi fornitori di servizi gestiti, l’impatto complessivo ha interessato più di 1.500 singole aziende che avevano esternalizzato i propri servizi a tali fornitori. L'attacco, sferrato da REvil, ha causato un'interruzione generalizzata del funzionamento dei sistemi. Ciò ha inoltre portato all’arresto di due persone accusate di aver utilizzato il ransomware REvil per attaccare aziende ed enti governativi statunitensi.
- I ricercatori di sicurezza dell' dicembre 2021 hanno individuato una vulnerabilità di sicurezza zero-day che comporta l'esecuzione di codice arbitrario ( ) in Log4j, un framework di registrazione basato su Javache fa parte dei servizi di registrazione di Apache . Gli esperti di sicurezza hanno affermato che tale vulnerabilità è stata una delle più gravi e critiche individuate negli ultimi anni. Questo bug ha interessato una libreria utilizzata in migliaia di applicazioni, sia aziendali che libere e open source.
Questi sono solo alcuni dei momenti salienti — o, per meglio dire, dei momenti più critici — in materia di sicurezza informatica. Gli autori degli attacchi si sono resi conto delle enormi opportunità di guadagno che si presentano quando prendono di mira grandi organizzazioni o catene di approvvigionamento. Come in qualsiasi attività commerciale, l’economia di scala rappresenta sempre la soluzione più redditizia. Ciò vale anche per la criminalità informatica. Mentre il fenomeno del “Big Game Hunting” è in aumento, le imprese di minori dimensioni sono spesso colpite da attacchi a catena o da violazioni della catena di approvvigionamento.
Quando si riflette sulle minacce più preoccupanti nel panorama attuale, spesso si pensa alla vulnerabilità più recente. Tuttavia, molto spesso gli autori degli attacchi si nascondono in bella vista, infiltrandosi nell’ambiente di un’organizzazione utilizzando le credenziali di un ex collaboratore esterno, le password degli account di servizio che non vengono aggiornate da anni, oppure ricorrendo a tecniche di ingegneria sociale per indurre gli utenti legittimi a facilitare il loro accesso.
Le organizzazioni necessitano di un piano d’azione per contrastare tutte le minacce. Tale piano dovrebbe coprire almeno cinque aree chiave: gestione dell’inventario e delle risorse, eliminazione dei compartimenti stagni, valutazione dei rischi, analisi delle lacune e gestione delle patch .
Gestione delle scorte e dei beni
Per individuare e bloccare le minacce alla sicurezza, quali il malware sugli endpoint, i team di sicurezza devono essere in grado di individuare tali minacce. Tuttavia, molte organizzazioni segnalano che la mancanza di visibilità rappresenta una sfida per le loro operazioni di sicurezza.
Attività quali lo “shadow IT”, in cui i dipendenti acquistano dispositivi, software o servizi all’insaputa o senza l’approvazione del reparto IT centrale, non fanno che aggravare il problema. E ciò accadrà. Le persone utilizzeranno dispositivi sconosciuti e li collegheranno alla rete aziendale. Sebbene l’intento non sia malevolo, le conseguenze possono essere catastrofiche.
Inoltre, a rendere ancora più complessa la gestione delle risorse si aggiungono i modelli di lavoro da remoto e ibrido. Molti dipendenti utilizzano i propri dispositivi per accedere ai dati necessari allo svolgimento delle loro mansioni.
I team di sicurezza non sono in grado di identificare, applicare patch o configurare in modo sicuro dispositivi sospetti endpoint quando non sono nemmeno a conoscenza della loro presenza all’interno dell’ambiente. Tutte le attività di ricerca delle minacce del mondo non possono compensare le risorse che mancano del tutto.
Per gestire in modo efficace le risorse IT, le organizzazioni non possono fare affidamento su strumenti obsoleti che impiegano settimane per fornire risultati. Hanno bisogno di risultati in tempo reale e su larga scala su tutta la rete. Asset Le soluzioni di gestione , dotate di funzionalità integrate di gestione del endpoint e della sicurezza, sono in grado di fornire ai team di sicurezza dati in tempo reale e utilizzabili su tutti gli endpoint.
Gli endpoint rappresentano il punto di accesso più comune agli ambienti IT; ciò significa che è fondamentale gestire in modo efficace la sicurezza degli endpoint . Ciò richiede concentrazione e vigilanza.
Abbattere i silos informatici
Un’altra pratica importante consiste nell’eliminare eventuali compartimenti stagni che potrebbero esistere tra i team addetti alla sicurezza e quelli aziendali. Purtroppo, il rapporto tra i team addetti alla sicurezza e gli utenti aziendali può risultare piuttosto conflittuale. I professionisti della sicurezza mirano a garantire la protezione dei sistemi e dei dati, mentre gli utenti desiderano evitare qualsiasi strumento o procedura — compresi quelli finalizzati alla sicurezza — che possa ostacolare il loro lavoro.
È importante che i responsabili della sicurezza informatica tengano presente che, sebbene siano esperti in materia di sicurezza e tecnologia, gli utenti aziendali sono esperti nel modo in cui utilizzano tale tecnologia per raggiungere gli obiettivi aziendali. È fondamentale collaborare con loro anziché ostacolarli, e la sicurezza dovrebbe essere considerata un servizio fondamentale fornito a tutti i settori dell’azienda. I team di sicurezza dovrebbero avere il compito di supportare e favorire esperienze migliori attraverso una progettazione sicura.
L'attività di mappatura delle risorse, dell'inventario dei software e dei dati inattivi e in transito non può essere svolta esclusivamente nell'ambito delle operazioni IT. Si tratta di un’opportunità unica per stringere alleanze all’interno dell’azienda, individuare le lacune, migliorare l’efficienza lavorativa e persino risparmiare denaro.
È importante che il reparto di sicurezza instauri rapporti con i rappresentanti di tutta l’organizzazione, al fine di ottenere il loro sostegno e di creare un clima di fiducia e un canale di feedback mentre il team di sicurezza implementa e modernizza l’architettura.
I CISO dovrebbero valutare la possibilità di istituire un comitato consultivo del CISO al fine di raccogliere approfondimenti e feedback dagli utenti aziendali.
Dovrebbero instaurare rapporti con le persone in grado di far luce sull’IT sommerso e tenere informati i responsabili della sicurezza durante la fase di valutazione delle soluzioni. Queste preziose relazioni favoriscono l’adozione di nuove iniziative in materia di sicurezza, segnalano in modo proattivo eventuali problemi al personale addetto alla sicurezza e rafforzano la fiducia.
La collaborazione con gli utenti aziendali offre inoltre ai reparti IT e di sicurezza l’opportunità di individuare situazioni quali, ad esempio, quella in cui tre diversi gruppi aziendali utilizzano ciascuno strumenti software basati sul cloud distinti per raggiungere, di fatto, lo stesso obiettivo. Ciò offre una straordinaria opportunità per individuare duplicazioni di lavoro, soluzioni obsolete o possibilità di consolidare strumenti e flussi di lavoro tra i vari team, consentendo un notevole risparmio economico.
Nel mio prossimo articolo tratterò le restanti tre aree del piano d’azione per la sicurezza informatica “ ”.
Scoprite come Tanium possa aiutare a rafforzare le difese di sicurezza della vostra organizzazione richiedendo una demo.
