Si è intensificato il susseguirsi di direttive volte a rendere più rigorose le pratiche poco rigorose del governo statunitense in materia di sicurezza informatica. Questo mese, l’amministrazione Biden ha ordinato a tutte le agenzie federali di correggere quasi 300 vulnerabilità informatiche che gli hacker potrebbero sfruttare per infiltrarsi nelle reti informatiche governative e causare danni.
Ma è stata una precedente direttiva a suscitare allarme tra gli esperti di sicurezza. Il 8 ottobre, l’Ufficio per la gestione e il bilancio degli Stati Uniti (OMB) ha comunicato alle agenzie che disponevano di tre mesi per adottare diverse proposte fondamentali. Tra queste: adottare misure volte a integrare nelle reti delle agenzie strumenti di rilevamento e risposta alle minacce di tipo “ endpoint ” (EDR).
Tali strumenti, tuttavia, sono stati recentemente oggetto di un’ e analisi. Ciò è dovuto al fatto che molte organizzazioni, sia nel settore pubblico che in quello privato, fanno un uso eccessivo di tali strumenti e non ne comprendono i limiti. J.R. Cunningham, responsabile della sicurezza presso Nuspire, un fornitore di servizi gestiti, avverte che, se si installano in modo errato i prodotti dell’ EDR e o se si ritiene che la loro portata sia maggiore di quanto non sia in realtà, l’impatto sulle operazioni di rete può essere disastroso quanto un attacco informatico.
Cunningham cita spesso il caso di un ospedale che ha tentato di implementare un prodotto di EDR .
«Volevano il massimo livello di protezione possibile e hanno fatto saltare in aria l’intera rete», afferma. «State armeggiando con manopole e comandi che possono compromettere la disponibilità tanto quanto un attacco.»
In effetti, i ricercatori hanno recentemente sollevato seri dubbi sull’efficacia dell’ EDR . Uno studio condotto da “ ” presso l’Università del Pireo, in Grecia, ha utilizzato attacchi hacker simulati contro 11 prodotti EDR di largo consumo, regolarmente utilizzati da enti governativi e imprese private. I ricercatori, che hanno pubblicato i propri risultati sulla rivista * luglio 2021*, hanno riscontrato che il 50% degli attacchi informatici simulati è sfuggito ai sistemi EDR senza generare alcun allarme.
Nonostante tali preoccupazioni, l’amministrazione Biden è determinata a sfruttare la diffusa popolarità degli EDR tra le aziende private per estenderne l’uso al settore pubblico, al fine di dimostrare che le agenzie governative stanno compiendo progressi nel rafforzamento della propria difesa informatica. Ecco perché l’approccio “ EDR ” (fai da te) può rivelarsi pericoloso se adottato da solo.
Perché “ EDR”?
Gli sviluppatori hanno progettato strumenti EDR per Detect e reagire alle attività sospette sugli endpoint, quali laptop e PC. Tuttavia, questi strumenti automatizzati si limitano spesso a individuare solo i tipi di attacco già noti. Le organizzazioni installano tali prodotti nella convinzione di ottenere una gamma di servizi molto più ampia, come il rilevamento delle minacce o la capacità di monitorare in modo proattivo l’intera rete aziendale.
«. Volevano il massimo livello di protezione possibile e hanno mandato in tilt l’intera rete.»J.R. Cunningham, Direttore della sicurezza (CSO), Nuspire
Può risultare difficile valutare le potenzialità e l’efficacia di un prodotto EDR . Questo perché le funzioni di “ EDR ” sono soggette a diverse interpretazioni. I prodotti presentano spesso differenze in termini di efficacia e finalità. Se si chiede a un fornitore di fornire una definizione di ciò che dovrebbe essere il suo “ EDR ”, spesso questi descriverà il proprio prodotto come rappresentativo dell’intero mercato. Le società di consulenza e i consulenti confondono ulteriormente le acque applicando la propria terminologia e i propri criteri di valutazione alle funzionalità dei prodotti, presentando le loro conclusioni come fatti.
Matt Brown, responsabile della sicurezza presso Involta, azienda fornitrice di servizi cloud e società di consulenza, afferma che le aziende spesso dichiarano di adottare un approccio di tipo “ EDR ”, quando in realtà si limitano ad applicare protocolli di sicurezza basati su firme, che riconoscono modelli quali il malware nel traffico di rete. «Andava bene 20 anni fa», afferma. «Non è ciò di cui le persone hanno bisogno oggi.»
Per far fronte agli attacchi odierni alla catena di approvvigionamento, al ransomware e alle sofisticate campagne di phishing, le organizzazioni necessitano di strumenti di sicurezza moderni in grado di contrastare la criminalità informatica su più fronti e di individuare in modo proattivo le potenziali minacce. E non è questo ciò che offrono i prodotti di base di “ EDR ”, affermano gli esperti.
[Read also: Endpoint detection and response 101—what EDR is and where it falls short]
“C’è molta esagerazione” riguardo alle funzionalità e ai vantaggi dell’ EDR (RSP), afferma Ben Goodman, CEO di 4A Security & Compliance. Per ovviare a tale problema, un nuovo approccio denominato “detection and response estesa per l’ ” (XDR) può potenzialmente colmare le lacune lasciate dai prodotti di “ EDR ”. Ma ciò complica anche il compito della sicurezza informatica. Di conseguenza, molte aziende non sanno come gestire i prodotti e ne stanno iniziando a sentire il peso. «Finiscono per disattivare gli avvisi», afferma Brown, «il che vanifica lo scopo».
EDR è un processo, non uno strumento
Molti esperti sostengono che l’ EDR e debba essere applicata come un processo flessibile, piuttosto che come un prodotto preconfezionato. Le organizzazioni devono innanzitutto tenere conto dei punti deboli dei prodotti “ EDR ”. Spesso sono progettati per rilevare solo determinati tipi di attività sugli endpoint. Esistono quindi dei punti ciechi della rete in cui gli aggressori possono nascondersi. EDR Inoltre, tali prodotti spesso limitano le attività che registrano, al fine di ridurre il consumo di larghezza di banda e di spazio di archiviazione.
“Ho un cliente che ho iniziato a chiamare Neo, come nel film *Matrix*, perché è riuscito a schivare davvero tanti proiettili.”Ben Goodman, CEO , 4A Security & Compliance
D’altra parte, EDR i processi — e non i prodotti — sono di gran lunga più efficaci nel garantire la sicurezza di un’organizzazione. Essi monitorano gli endpoint e analizzano l’intera rete alla ricerca di attività sospette. Le organizzazioni possono integrare tali processi per individuare minacce non ancora identificate. Inoltre, le strategie di rimedio — ribadiamo, non i prodotti — possono essere adattate alla rete di un’azienda. I team di sicurezza possono quindi terminare i processi non autorizzati, eliminare le chiavi di registro e disinstallare i servizi su più sistemi contemporaneamente.
Il processo EDR è in grado di Detect molto più di quanto possano fare gli strumenti EDR o i tradizionali software antivirus. «Si tratta di analizzare i modelli comportamentali», afferma Goodman. «Ma ciò che ha davvero valore è la parte relativa alla risposta. «È in grado di scollegare i sistemi dalla rete» e a una velocità che un intervento manuale non potrà mai eguagliare, afferma.
Non solo i danni causati da un attacco da parte di uno Stato-nazione o da un codice ransomware sono limitati, ma un’organizzazione non è costretta a disattivare l’intero sistema per poi riattivarlo pezzo per pezzo, operazione che può causare interruzioni dell’attività per giorni. «Ho un cliente che ho iniziato a chiamare Neo, come il personaggio di * * *The Matrix* , perché è riuscito a schivare così tanti proiettili», afferma Goodman. «L’intera questione del lavoro da casa e del ha reso il processo EDR ancora più importante.»
Esercitarsi con l’ EDR
Per essere efficaci, i processi di “ EDR ” devono essere progettati da professionisti esperti in materia di sicurezza. Dovrebbero includere architetture in grado di proteggere da tutte le vulnerabilità. Tali funzionalità non vengono solitamente offerte dai prodotti “ EDR ”.
EDR Inoltre, i processi non sono il tipo di piattaforma che si può semplicemente attivare e poi lasciar da parte. Né l’ EDR e dovrebbe costituire un elemento della difesa informatica di un’organizzazione che venga gestito in modo isolato rispetto agli altri software di sicurezza. EDR Tali processi dovrebbero invece essere supportati da buone pratiche di sicurezza informatica , da strategie di cyberigiene quali l’inventario delle risorse , la gestione delle risorse , la configurazione della rete e la gestione delle patch . EDR non è uno strumento che si può configurare una volta per tutte e poi non pensarci più.
[Leggi anche: Ex capo della Difesa — «Siamo i nostri peggiori nemici»]
«La tecnologia “EDR ” rappresenta solo una parte dell’insieme di ciò che costituisce l’ EDR », afferma Andrew Plato, pioniere nel settore della sicurezza da 25 anni e attualmente CEO presso la società di servizi professionali Zenaciti. «Se acquistate un programma “ EDR ”, è fantastico. «Ma se non si utilizza in modo EDR , tanto vale non averlo acquistato.»
Ed Amoroso, ex responsabile della sicurezza informatica presso AT&T e membro dell’ CEO e della società di analisi TAG Cyber, afferma che i processi di “ EDR ” richiedono aggiornamenti regolari per garantire l’efficacia delle loro capacità di rilevamento delle minacce.
Per quanto riguarda “ EDR”, aggiunge, «l’idea che endpoint debba essere gestito non viene meno».
