Gli attacchi informatici sferrati da nazioni e Stati-nazione contro aziende private — e gli uni contro gli altri — non sono certo una novità. Tuttavia, la loro audacia, frequenza e sofisticatezza sono aumentate costantemente.
In questo blog esamineremo in che modo un connettore Tanium di recente sviluppo per OpenCTI fornisca alle organizzazioni il tipo di informazioni sulle minacce di cui hanno bisogno per identificare e risolvere più rapidamente le minacce informatiche.
«Al momento, la sicurezza informatica è garantita dalle singole aziende», spiega Jerome Warot, vicepresidente responsabile della gestione tecnica dei clienti presso l’ Tanium. «I fornitori stanno proponendo soluzioni, ma la globalizzazione delle minacce impone ai paesi di iniziare a collaborare. «E il modo migliore per farlo è attraverso comunità che superano i confini e creano piattaforme aperte e flessibili per la sicurezza informatica e l’intelligence sulle minacce».
Warot traccia un parallelo con il modo in cui il mondo ha stretto alleanze per combattere la pandemia di COVID-19.
«La pandemia è un problema globale», prosegue Warot. «E i laboratori di tutto il mondo stanno iniziando a collaborare per affrontare tale sfida attraverso lo sviluppo di vaccini e test e la condivisione dei risultati della ricerca. "Nel campo della sicurezza informatica, OpenCTI offre alle persone l’opportunità di condividere le proprie conoscenze per contrastare le minacce."
Che cos’è OpenCTI?
OpenCTI (si apre in una nuova scheda) (Open Cyber Threat Intelligence) è una piattaforma open source che consente alle organizzazioni di gestire le informazioni relative alle minacce informatiche. È stato creato per strutturare, archiviare, organizzare e visualizzare informazioni tecniche e non tecniche relative alle minacce informatiche.
Il suo sviluppo ha avuto origine presso l’Agenzia nazionale francese per la sicurezza informatica (ANSSI) (si apre in una nuova scheda) e il CERT-EU (Computer Emergency Response Team dell’Unione europea) (si apre in una nuova scheda). Da allora, la piattaforma è stata rilasciata come open source e resa disponibile all’intera comunità di intelligence sulle minacce informatiche ( Community).
Tanium e OpenCTI
Prima di entrare a far parte di Tanium in qualità di direttore della strategia e delle operazioni di sicurezza, Samuel Hassine era a capo del dipartimento di intelligence sulle minacce informatiche presso l’ANSSI. Egli sa bene quanto possa essere potente la piattaforma Tanium una volta collegata a OpenCTI.
“Tanium è come un’auto potente per le sue capacità in termini di rilevamento e risposta agli attacchi informatici, nonché per le funzionalità forensi del suo modulo Threat Response (si apre in una nuova scheda) ”, afferma Hassine. «Un’auto ha bisogno di carburante. Tanium "fornisce già firme comportamentali pronte all'uso, mentre l'integrazione con OpenCTI introduce ulteriori tipi di indicatori per ampliare la copertura complessiva."
Il connettore acquisisce i dati di intelligence sulle minacce da OpenCTI e li trasmette a Tanium a fini di ricerca e rilevamento delle minacce. OpenCTI dispone inoltre di connettori per la raccolta di dati di intelligence sulle minacce provenienti da fonti aperte o chiuse, quali FireEye, FS-ISAC, AlienVault, Kaspersky, VirusTotal o MISP (Malware Information Sharing Platform).
«OpenCTI dispone di interfacce con numerosi fornitori di soluzioni per la sicurezza informatica», spiega Hassine. «Ciò consente alle organizzazioni di raccogliere informazioni da varie fonti e di disporne in un unico luogo. In tal modo risulta molto più semplice utilizzare firme o indicatori nelle attività di rilevamento o di ricerca delle minacce. «E i connettori sono tutti accessibili e liberamente utilizzabili.»
Qualità dei dati, contesto e velocità
Il connettore OpenCTI consente alle organizzazioni di selezionare i dati relativi alle minacce più rilevanti per il proprio settore e per il proprio livello di sicurezza. Possono configurare le fonti di dati con diversi livelli di affidabilità. Inoltre, quando indagano su un allarme o su un indicatore di minaccia, gli analisti possono consultare OpenCTI per visualizzare la firma di una minaccia ed esaminarne il contesto, quali ad esempio l’attribuzione agli autori della minaccia e le tattiche adottate dagli obiettivi in risposta.
Una delle sfide più grandi per le organizzazioni, oltre alla disponibilità di dati attendibili, consiste nel ridurre il tempo necessario per stabilire se un evento sia indicativo di un’attività dolosa. Per un analista, disporre dei dati e del contesto forniti da OpenCTI può ridurre in modo significativo il tempo necessario per la qualificazione.
Le informazioni sulle minacce informatiche fornite da OpenCTI possono essere utilizzate in diversi modi. Ad esempio, potrebbe essere utilizzato per effettuare ricerche in un data lake alla ricerca di potenziali minacce. Inoltre, come già accennato, è in grado di fornire dati a strumenti di analisi forense, rilevamento e correzione quali l’ , Threat Response , (si apre in una nuova scheda),e il modulo disponibile su Tanium.
I dati di OpenCTI contengono inoltre linee guida per il rilevamento e la risoluzione di diverse categorie di minacce. Naturalmente, tali dati possono fornire informazioni utili per le relazioni destinate ai dirigenti e al consiglio di amministrazione in merito allo stato di sicurezza di un’azienda e alle sue potenziali vulnerabilità.
È tuttavia importante ricordare che OpenCTI non può agire autonomamente.
La piattaforma OpenCTI è in continua evoluzione
Man mano che la piattaforma OpenCTI matura, il suo hub di dati si sta espandendo. Inoltre, OpenCTI provvede alla manutenzione costante dei propri connettori per le fonti di dati e segue una cadenza di rilascio mensile per la piattaforma. L’architettura aperta di Tanium ne rende l’integrazione con OpenCTI una scelta naturale.
«Tanium è un luogo unico perché è piuttosto aperto», afferma Hassine. «Altri sistemi di rilevamento delle minacce di tipo “ endpoint ” sono difficili da integrare poiché dispongono di propri flussi di informazioni sulle minacce. «Tuttavia, con Tanium è possibile collegarsi ad altre fonti di dati per potenziare le proprie capacità di rilevamento.»
Tale flessibilità implica inoltre che le organizzazioni possano scegliere i feed di dati di OpenCTI più adatti alle proprie esigenze aziendali. Non sono tenuti a prendere tutto ciò che è disponibile. Possono acquisire informazioni di intelligence relative a un mercato, a un settore verticale o a una minaccia specifica o a un vettore di minaccia.
Trends nell’individuazione delle minacce e nel rilevamento delle vulnerabilità
«Quando ho iniziato a lavorare su OpenCTI, era per soddisfare le esigenze interne dell’Agenzia nazionale francese per la sicurezza informatica», ricorda Hassine. «Ci mancava uno strumento del genere. E non siamo riusciti a trovarlo in commercio. «Abbiamo quindi avviato lo sviluppo e non avrei mai immaginato che avrebbe avuto un impatto così grande né che così tante persone avrebbero voluto utilizzarlo».
Hassine ritiene che ciò sia indicativo di come stia cambiando il settore della ricerca delle minacce e dell’individuazione delle vulnerabilità. Si sta orientando sempre più verso un approccio basato sui dati, anche tra le organizzazioni che presentano un livello relativamente basso di maturità in materia di sicurezza informatica.
«Quello che sto osservando sul campo è che le persone hanno iniziato a comprendere che cos’è la sicurezza informatica e quali misure devono adottare», afferma Hassine. «Le organizzazioni desiderano potenziare le proprie capacità in materia di sicurezza informatica, ma dispongono di risorse limitate. «Pertanto, devono stabilire delle priorità.»
Poiché la creazione di una capacità di rilevamento completa può richiedere anni, i dati possono supportare lo sforzo volto a stabilire le priorità e a ridurre la superficie di attacco di un’organizzazione. I dati forniscono una linea guida per la definizione delle priorità, consentendo alle organizzazioni di affrontare le minacce più rilevanti.
«È come una gigantesca operazione di phishing dolosa», riflette Hassine. «Non si cerca di infilzare ogni pesce. Si dia la caccia a quelli più pericolosi. La maggior parte dei team incaricati dello sviluppo delle capacità di rilevamento ne è consapevole e sta utilizzando le informazioni sulle minacce per stabilire le priorità in materia di sviluppo e integrazione. «Nessun sistema può tenere conto di tutte le tattiche e le procedure; è necessario fare delle scelte.»
Nel quadro di tali iniziative, l’utilizzo del framework MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) – inteso come matrice completa delle tattiche e delle tecniche impiegate dai cacciatori di minacce, dai membri dei red team e dai difensori per classificare meglio gli attacchi – potrebbe rivelarsi di grande utilità.
«Supponiamo che Lei stimi che la Sua copertura sia pari a quasi il 60 per cento del quadro di riferimento», afferma Hassine. «Vi renderete presto conto che potrebbero volerci anni per colmare le lacune rimanenti. "L'utilizzo di dati pertinenti relativi alla Cyber Threat Intelligence può sicuramente aiutare a stabilire le priorità per le prossime mosse."
Il connettore Tanium-OpenCTI è ora pronto per l'uso in produzione e disponibile per tutti i clienti di Tanium .
«Il connettore sfrutta i più recenti progressi tecnici della piattaforma OpenCTI, che fornisce un flusso in tempo reale di dati relativi alle minacce informatiche. Tanium Platform «viene quindi aggiornato in tempo reale con le firme e gli indicatori più recenti», afferma Hassine. «Non è difficile da installare. La configurazione è semplice. La difficoltà sta nel capire esattamente di quale tipo di conoscenze si abbia bisogno. Non è possibile inserire tutto nel file “ Tanium”. «Dovete scegliere, e ciò richiede una certa competenza in materia di sicurezza informatica.»
Per ulteriori informazioni sull’annuncio del connettore OpenCTI , si prega di consultare il comunicato stampa (si apre in una nuova scheda).
Per ottenere informazioni più dettagliate e la documentazione relativa alla configurazione del connettore, si prega di visitare il sito web.
