Non sarebbe bello se potesse raggruppare tutti i suoi rischi legati alla sicurezza informatica e ideare una sorta di “scatola nera” piena di espedienti per neutralizzarli? Renderebbe la vita molto più facile.
Per molte organizzazioni, le piattaforme di rilevamento e risposta agli attacchi di tipo “ endpoint ” (EDR) sembrano fare proprio questo. Essi garantiscono una semplice difesa in prima linea raccogliendo, archiviando e analizzando i dati provenienti dai dispositivi dei dipendenti e da altri endpoint, al fine di individuare eventuali segnali di una violazione informatica. Tuttavia, ciò non significa necessariamente che rendano la vostra rete più sicura.
I ricercatori dell’Università del Pireo, in Grecia, hanno recentemente dimostrato che. Nel corso di un esperimento, hanno sferrato attacchi simulati contro 11 prodotti EDR di largo consumo, regolarmente utilizzati da enti governativi e imprese private.
Avvalendosi di tecniche di spear-phishing e di strumenti per la diffusione di malware, nonché di strumenti per lo spostamento laterale all’interno della rete di un’organizzazione, i ricercatori hanno cercato di rispondere a quattro domande fondamentali: È possibile EDR Detect l’attacco? Quali sono i suoi punti deboli? Quali tipi di dati utilizza per generare gli avvisi? È possibile ridurre il rumore complessivo nella telemetria, ovvero nella raccolta dei dati, per individuare le minacce in modo più efficace?
Il risultato era troppo spesso un fallimento su tutti i fronti. Dei 20 attacchi sferrati dal team, la metà ha avuto esito positivo e non ha generato alcun allarme.
«È piuttosto allarmante che nessuno degli EDR sia riuscito a Detect tutti gli attacchi», conclude lo studio. «Più precisamente, 10 attacchi hanno avuto esito pienamente positivo… e non è stato emesso alcun avviso; tre attacchi hanno avuto esito positivo, ma è stato emesso un avviso di bassa rilevanza; un attacco non ha avuto esito positivo, ma non è stato emesso alcun avviso; e sei attacchi sono stati rilevati e segnalati correttamente dagli EDR.»
Tra i team addetti alla sicurezza informatica, i prodotti di tipo “ EDR ” hanno acquisito popolarità, grazie alla loro facilità d’uso e alla convinzione che gli endpoint possano fornire i dati più completi sui potenziali intrusi. Tuttavia, con l’evolversi delle minacce alla sicurezza, si è evoluta anche la superficie di attacco. Non sono solo i computer portatili e i telefoni cellulari a essere presi di mira. Si tratta di server on-premise, cloud “ ” e applicazioni e piattaforme legacy. A complicare ulteriormente la situazione, gli EDR sono in grado di Detect solo determinati tipi di azioni sospette, ovvero attività dannose “note”, all’interno di una rete.
Di conseguenza, gli enti pubblici e le imprese di ogni dimensione non possono più fare affidamento esclusivamente sull’ EDR e per proteggersi da tali minacce. Hanno bisogno di qualcosa in più.
Quando gli EDR non sono sufficienti
Il segreto sta nel sapersi adattare ai nuovi strumenti, quando necessario, e nell’adottare una nuova mentalità.
«EDR non è un dispositivo che si prende dallo scaffale e si collega alla presa di corrente», afferma Matt Marsden, vicepresidente della gestione tecnica dei clienti per il settore pubblico presso Tanium. “EDR ” è una combinazione di strumenti, team e processi. “Si tratta di un approccio sfaccettato, che consiste nel comprendere le informazioni sulle minacce e agire più rapidamente dei malintenzionati.”
“Non si tratta solo di protezione endpoint . Si tratta di dati anomali e di anomalie, nonché di individuare gli scostamenti dalla norma.”Matt Marsden, vicepresidente responsabile della gestione tecnica dei clienti per il settore pubblico, Tanium
Dave Gruber, analista senior di sicurezza informatica presso ESG, afferma che le organizzazioni si trovano sempre più spesso sotto pressione per sviluppare strategie di sicurezza informatica che consentano loro di considerare una gamma più ampia di reti e dispositivi informatici. «La prevenzione non basterà a impedire tutto», afferma.
Si prevede che un approccio noto come “rilevamento e risposta estesi” (XDR) colmi alcune lacune. XDR è un suite di strumenti integrata che copre le architetture IT ibride, consentendo alle organizzazioni di unificare i punti di controllo, i dati provenienti dalla telemetria di sicurezza e le analisi operative in un unico sistema.
Pensate al processo, non solo al prodotto
Sebbene l’adozione dell’approccio XDR rappresenti un passo nella giusta direzione, è fondamentale considerarlo come una strategia o un processo dinamico, suscettibile di aggiornamenti, piuttosto che come un prodotto rigido. Inoltre, dovrebbe avvalersi di strumenti che non solo monitorino le violazioni, ma che setaccino attivamente le reti per individuare i nascondigli degli intrusi.
«Non si tratta solo di una protezi endpoint e», afferma Marsden. “Si tratta inoltre di un’attività di ricerca attiva o proattiva, volta a individuare incongruenze e ad adottare misure correttive scalabili. “Si tratta di dati anomali e di anomalie, nonché di individuare gli scostamenti dalla norma.”
[Read also: Endpoint detection and response 101—what EDR is and where it falls short]
La ricerca delle minacce è uno strumento fondamentale per la sicurezza informatica. Aiuta i team operativi IT a orientare la propria strategia, passando da un approccio reattivo di contenimento dei danni a uno proattivo di prevenzione dei danni. Ciò richiede creatività e ingegnosità e, in loro assenza, i rischi per la vostra rete non sono sempre facilmente individuabili. Quando una fonte esterna EDR La avvisa di una violazione dei dati, oppure quando riceve una richiesta di riscatto , il danno al Suo sistema potrebbe essere già stato causato e i costi per porvi rimedio potrebbero essere ingenti.
Poiché sempre più organizzazioni stanno passando da un approccio incentrato esclusivamente sulla prevenzione delle intrusioni informatiche a uno che prevede anche l’individuazione delle violazioni della rete e la mitigazione dell’impatto degli attacchi, è fondamentale che elaborino strategie flessibili, in grado di individuare potenziali minacce, attuare misure correttive e monitorare le violazioni.
I ricercatori greci hanno concluso il loro rapporto con alcuni saggi consigli. Per prevenire gli attacchi informatici, affermano, le organizzazioni dovrebbero adottare una “visione d’insieme olistica”, implementare un’ampia gamma di strumenti di sicurezza e “non affidarsi esclusivamente a un’unica soluzione”.
