Hardening degli endpoint e preparazione in un panorama delle minacce in evoluzione

Il panorama delle minacce informatiche odierno è un contesto instabile. Per molti, il fattore che ha contribuito in modo più significativo alla situazione attuale è il conflitto tra Russia e Ucraina e le attività informatiche che lo hanno accompagnato. I nostri partner di , all’indirizzo Deep Instinct, hanno fornito una copertura approfondita degli eventi e del modo in cui questi stanno influenzando il panorama delle minacce.
È impossibile parlare del panorama delle minacce informatiche senza affrontare le situazioni geopolitiche — il che è prevedibile, a condizione che lo si faccia con la consapevolezza dell’incertezza che accompagna gli eventi attuali. Non è chiaro per quanto tempo tali circostanze si protrarranno, né quali possano essere le ripercussioni a lungo termine di una situazione geopolitica complessa.

Come sta cambiando il panorama delle minacce

L'obiettivo di Tanium è quello di rimanere al passo con le principali tendenze, ricavandone informazioni utili da mettere in pratica per poter fornire un valido supporto. Di seguito è riportata una panoramica delle principali tendenze nel panorama delle minacce informatiche:

• Possibile aumento degli attacchi ransomware in un contesto di instabilità economica: Poiché gli Stati Uniti hanno scelto di imporre pesanti sanzioni contro gli interessi russi come risposta principale all’incursione della Russia, l’instabilità economica che ne deriva potrebbe determinare un aumento degli attacchi ransomware rivolti contro gli interessi statunitensi. La Russia è stata descritta dall’FBI come un «ambiente operativo favorevole ai criminali informatici» e l’FBI ha avvertito che gli Stati Uniti potrebbero subire «un possibile aumento delle attività di minaccia informatica» da parte di hacker che operano con il sostegno della Russia.
• Comparsa di un nuovo malware distruttivo denominato “”: come riportato in , un recente articolo pubblicato su Deep Instinct, le attività informatiche russe “volte a seminare il caos e a interrompere le comunicazioni all’interno delle istituzioni governative e militari ucraine” nelle settimane precedenti l’invasione hanno incluso l’impiego di un nuovo malware in grado di cancellare i dati dai dischi, denominato HermeticWiper (insieme a diffusi attacchi DDoS e defacement di siti web). Nelle settimane successive, dal conflitto sono emerse almeno due nuove varianti di malware distruttivo, accompagnate da vettori di infezione inediti e da malware di supporto progettato per garantire il corretto invio di payload distruttivi.
• Phishing e altre truffe che sfruttano il conflitto: Come avviene per qualsiasi evento mondiale di grande risonanza (compresi gli attacchi informatici), gli autori delle minacce non tardano a sfruttare le informazioni disponibili e l’incertezza dell’opinione pubblica per creare esche di phishing convincenti e campagne di ingegneria sociale. Le motivazioni alla base di tali campagne spaziano dallo spionaggio al furto di credenziali, fino alle truffe finanziarie.
• Potenziali “ricadute” delle attività informatiche che interessano obiettivi statunitensi: L’Agenzia per la sicurezza informatica e delle infrastrutture (CISA), insieme ad altre agenzie informatiche multinazionali, ha ripetutamente espresso preoccupazione per il fatto che le attività informatiche osservate nel contesto della situazione tra Russia e Ucraina potrebbero estendersi al di fuori della zona di conflitto e avere ripercussioni su organizzazioni situate negli Stati Uniti, nell’Unione Europea o nei territori occidentali.
• Il coinvolgimento degli hacktivisti complica la situazione: Gli atti di hacktivismo nel contesto dei conflitti geopolitici rischiano di essere erroneamente attribuiti da entrambe le parti, di essere interpretati come attività ostili sponsorizzate dallo Stato e di provocare involontariamente un’escalation delle tensioni. L’hacktivismo (per quanto animato da buone intenzioni) può intensificare le azioni militari sul campo di battaglia e aggravare i rischi nel cyberspazio — una realtà che potrebbe causare la perdita di vite umane, distruggere infrastrutture critiche o provocare azioni di ritorsione rivolte contro gli Stati Uniti e le nazioni con cui questi ultimi intrattengono alleanze. Un esempio recente che illustra chiaramente questo paradigma è la divulgazione dei dati di Conti (compreso il codice sorgente) dopo che questi erano stati sottratti al gruppo di ransomware da un hacktivista ucraino, in risposta all’impegno pubblico assunto da Conti a sostenere la Russia nel conflitto. Il codice di un ransomware è già stato divulgato in passato, come nel caso del ransomware Babuk , e ciò ha portato al riutilizzo e alla modifica del ransomware da parte di nuovi autori di minacce. Anche in questo caso si tratta di un rischio concreto.

Sebbene gran parte di quanto descritto sopra riguardi gli effetti informatici di un particolare conflitto geopolitico, gli esperti prevedono diverse minacce che dovrebbero influire a breve sul panorama delle minacce informatiche – molte delle quali hanno già iniziato a manifestarsi. Si invitano le organizzazioni a prestare attenzione ai seguenti aspetti:

• Le continue campagne di influenza e i tentativi da parte di attori sostenuti dallo Stato di mettere fuori uso e di compromettere le linee di comunicazione da cui il pubblico dipende per un’informazione affidabile
• i delle infrastrutture critiche nel mirino degli attacchi
• Continua la serie di avvisi relativi a imminenti attacchi di influenza straniera rivolti contro organizzazioni statunitensi e infrastrutture critiche, diffusi dalla CISA
• I picchi nei prezzi dei carburanti e dell’energia, l’instabilità economica e le compagnie di assicurazione contro i rischi informatici che offrono coperture più limitate e applicano tariffe più elevate
• Si registra un aumento degli attacchi alle librerie e ai pacchetti open source di e ad altre tecnologie che compongono le catene di approvvigionamento
• Ransomware:
  
  • Si registra un aumento generale dell’attività di relativa al ransomware, con particolare risalto su un ritorno alla strategia di prendere di mira consumatori, PMI e organizzazioni di medie dimensioni
  • Maggiore attenzione da parte dei criminali informatici (con il ransomware e il BEC in prima linea) nei confronti delle tecnologie SaaS e cloud
  • La pubblicazione del codice sorgente di Conti potrebbe portare alla creazione di nuove varianti sfruttate da nuovi autori, come è avvenuto quando è trapelato il codice del ransomware Babuk
  • La comparsa di nuovi gruppi di hacker , vagamente affiliati tra loro, come osservato nel contesto del conflitto tra Russia e Ucraina
• Il probabile “effetto a cascata” del malware utilizzato nei conflitti, che finisce nelle mani dei criminali informatici, i quali sono liberi di modificarlo e riutilizzarlo a loro piacimento – e viceversa
• Aumento degli attacchi informatici di tipo “ ” e “multi-prong” , quali attacchi ransomware combinati con campagne di influenza, attacchi DDoS, malware distruttivo, operazioni sotto falsa bandiera, ecc.

In questo contesto in rapida evoluzione, ciò che fate oggi è fondamentale per la vostra preparazione e la vostra capacità di risposta nel caso in cui foste oggetto di un attacco. Indipendentemente dal settore in cui operano, tutte le organizzazioni dovrebbero dotare il proprio ambiente di strumenti adeguati, tenendo conto della riduzione dei rischi e della superficie di attacco.

Perché è fondamentale rafforzare e preparare il sistema “ endpoint ”

Il momento migliore per mettere a punto i Suoi strumenti di gestione delle risorse , e i Suoi flussi di lavoro relativi all’applicazione delle patch era ieri. Il secondo momento migliore è oggi. Sebbene molti avversari si stiano attualmente concentrando su sistemi di interesse presenti in paesi coinvolti in conflitti militari attivi, i ricercatori e gli specialisti in materia di intelligence sulle minacce hanno segnalato un probabile aumento dei fenomeni di criminalità informatica, poiché gli effetti delle sanzioni legate a tali conflitti stanno causando incertezza economica in varie parti del mondo. È fondamentale che oggi dedichiate del tempo a colmare eventuali lacune nella gestione delle patch e per i sistemi operativi e , nonché negli strumenti di terze parti, e a ottimizzare le politiche per ridurre la superficie di attacco.

Dovete attribuire la massima priorità alla riduzione delle lacune nella copertura e nella visibilità, alla risoluzione dei problemi relativi alle patch e all’aggiornamento del software di terze parti. L'attuale panorama delle minacce non consente alcuna tolleranza nei confronti degli endpoint che risultano non conformi per 30, , 60 o 90 giorni. Le consigliamo di cogliere questa occasione per aggiornare tutti i sistemi con le patch del sistema operativo e del software di terze parti, compresi i server e le postazioni di lavoro.

Nel prossimo futuro, dovreste dare priorità alle seguenti azioni:

• Richieda l'autorizzazione a una modifica d'emergenza per applicare con urgenza le patch mancanti e non più aggiornate
• Deploy una soluzione per la gestione delle patch o la risoluzione dei problemi legati alle patch
• Gestione delle patch del sistema operativo
• Aggiornamento del software di terze parti
• Rimuovere il software non autorizzato, inutilizzato o non supportato
• Si applichi una politica volta a ridurre la superficie di attacco
• Assicurarsi che i piani di risposta agli incidenti siano supportati dagli strumenti presenti nell'ambiente
• Esaminate le raccomandazioni della CISA, nell’ambito dell’iniziativa “Shields Up”, per ridurre il rischio di subire un attacco informatico; la CISA invita inoltre le organizzazioni a segnalare al proprio ufficio eventuali segnali di attacco
• Si prega di consultare il catalogo delle vulnerabilità note e sfruttate della CISA ( ) all’indirizzo, che contiene 95 nuove vulnerabilità, aggiunte a seguito dell’analisi delle vulnerabilità che sono state sfruttate da attori russi responsabili di minacce informatiche

In che modo “ Tanium ” può esservi d’aiuto

Tanium può aiutare le organizzazioni ad attuare queste raccomandazioni urgenti attraverso le seguenti misure:

Tanium Patch

Tanium Patch offre la soluzione per distribuire le patch, coordinare le finestre di manutenzione e fornire report accurati e in tempo reale sullo stato delle vostre attività di applicazione delle patch. I clienti nuovi ed esistenti possono rendere operativo Tanium Patch e iniziare a ricevere dati utili sullo stato delle loro patch nel giro di poche ore, anziché in giorni o settimane.

Tanium Deploy

L'accesso iniziale e il movimento laterale da parte di un aggressore avvengono spesso attraverso la compromissione di software vulnerabile e non aggiornato. Le organizzazioni non dovrebbero limitare gli aggiornamenti delle applicazioni di terze parti ai soli sistemi esposti a Internet. Una volta penetrati nel Suo ambiente, gli autori delle minacce potrebbero compromettere i sistemi interni sfruttando queste applicazioni di terze parti vulnerabili. Inoltre, lo “shadow IT” (ovvero il software implementato all’insaputa o senza il supporto del reparto IT) può introdurre vulnerabilità impreviste nell’ambiente. È possibile utilizzare Tanium Deploy per disinstallare automaticamente i software non approvati, mantenendo il proprio ambiente libero da applicazioni non consentite.

Tanium Enforce

Nel corso di un attacco, gli autori delle minacce cercheranno costantemente di ampliare l’ambito di azione, i permessi e l’accesso all’interno dell’intero ambiente. Oltre ad applicare gli aggiornamenti di sicurezza per il software e i sistemi operativi, è possibile rafforzare in modo proattivo gli endpoint per ridurre le possibilità a disposizione di un malintenzionato all’interno della propria rete.

Tanium Enforce è la soluzione ideale per gestire le impostazioni delle politiche di " Windows ", comprese quelle in grado di ridurre la superficie di attacco. La verifica di script, file eseguibili e programmi di installazione di tipo “ Windows ” tramite l’audit “ AppLocker ”, oppure la gestione della politica di esecuzione “ PowerShell ” sono solo alcuni esempi delle oltre 5.000 impostazioni di sicurezza e configurazione dei dispositivi disponibili in Tanium Enforce. Come indicato da Deep Instinct, la maggior parte degli utenti della vostra organizzazione non ha necessità di eseguire script. Altre misure di rafforzamento potrebbero includere:

• Creare una politica per limitare l'esecuzione degli script
  
  • Per ulteriori dettagli su PowerShell e sulle politiche di esecuzione, si prega di consultare la documentazione di Microsoft.
• Riduzione del traffico tra postazioni di lavoro (RDP, Remoting di PowerShell , SMB)
• Disattivare le condivisioni amministrative
• Disattivare i protocolli non sicuri (SMBv1)
• Impedire agli account di servizio e agli account locali di effettuare l'accesso da remoto
• Si prega di applicare le regole relative alla protezione anti-malware e alla riduzione della superficie di attacco sui sistemi Windows

Prossimi passi

Per ulteriori informazioni su come prepararsi alla guerra cibernetica, consultate l’ultimo articolo di Endpoint all’indirizzo .

Se avete bisogno di assistenza pratica, ci pensiamo noi. I clienti già registrati possono rivolgersi ai propri referenti commerciali. Se al momento non è ancora un nostro cliente, ci contatti qui per iniziare:.