Vai al contenuto principale
Cliente in primo piano

Come i clienti Tanium hanno mitigato i rischi dei recenti attacchi ransomware

Tanium È stato impiegato in alcune delle reti più grandi al mondo per mitigare i rischi legati a diverse vulnerabilità emerse di recente, tra cui WannaCry, Intel AMT e il keylogger del driver audio HP. Per ogni vulnerabilità, abbiamo offerto ai clienti la libertà di scegliere la strategia di mitigazione più adeguata alla loro attività. L'applicazione di una patch era un'opzione, ma non l'unica disponibile. Di seguito vi presentiamo una panoramica dettagliata dei nostri risultati più significativi e cinque misure che la vostra organizzazione può adottare fin da subito per evitare di essere vittima del prossimo attacco.

Immagine composita con una tastiera luminosa in primo piano ed esplosioni su cui è sovrapposto un codice binario

(Immagine: Peter Linforth / Pixabay)

Applicazione delle patch.

Il livello di apprensione che si prova quando si sente quella parola è direttamente proporzionale al numero di endpoint che si gestiscono. L’applicazione delle patch occupa uno dei primi posti nella classifica dei compiti ingrati nel settore IT, poiché comporta un elevato rischio di insuccesso e scarse possibilità di ricevere riconoscimenti per aver svolto correttamente tale attività. Nessuno nella Sua azienda si accorge se Lei si è tenuto aggiornato con le patch o meno, finché un tentativo in tal senso non provoca il malfunzionamento di un’applicazione fondamentale per l’attività aziendale. E chi vorrebbe che il proprio nome fosse associato a una cosa del genere?

In sintesi, è così che ci siamo ritrovati con WannaCry. L'aspetto preoccupante di WannaCry è la cronologia degli eventi che hanno portato all'attacco del ransomware. Verso la fine del 2016, è emerso un gruppo di hacker noto come Shadow Brokers, il quale ha annunciato un’asta per la vendita di strumenti di hacking della NSA trapelati. Non appena è venuta a conoscenza della falla, Microsoft ha iniziato a lavorare a un aggiornamento di sicurezza. Microsoft ha persino adottato una misura senza precedenti, quella di annullare Patch martedì (si apre in una nuova scheda) a febbraio, per la prima volta in assoluto. Purtroppo, durante il mese di pausa hanno cominciato a comparire in rete alcuni campioni di WannaCry. Microsoft ha rilasciato gli aggiornamenti di " SMB " relativi a WannaCry all'indirizzo marzo 2017. WannaCry ha fatto la sua comparsa (senza preavviso) su 12 maggio, colpendo infine circa 230.000 endpoint in 150 paesi.

WannaCry non sarà certamente l’ultimo caso in cui assisteremo alla diffusione degli strumenti e degli exploit dell’NSA. Infatti, stanno emergendo segnalazioni relative a , un nuovo worm SMB denominato EternalRocks (si apre in una nuova scheda) e un nuovo miner di criptovaluta noto come Adylkuzz (si apre in una nuova scheda). Inoltre, possono riuscire a mettere in ginocchio la vostra azienda per un semplice motivo: non avete mantenuto aggiornati i vostri sistemi e i vostri software.

Secondo il “ 2015 Verizon Data Breach Investigations Report”, il 99,9% degli attacchi sfruttati deriva da vulnerabilità che erano state individuate da oltre un anno, alcune delle quali risalenti addirittura al 1999. (Verizon non ha calcolato questo dato nel rapporto 2016 , ma ha osservato che il numero non era cambiato rispetto all’anno precedente.)

Riduzione del rischio: in che modo “ Tanium ” può essere d’aiuto

Tanium È stato impiegato in alcune delle reti più grandi al mondo per mitigare i rischi legati a diverse vulnerabilità emerse di recente, tra cui , , WannaCry, , , Intel, AMT,  e il keylogger del driver audio HP. Per ogni vulnerabilità, abbiamo offerto ai clienti la libertà di scegliere la strategia di mitigazione più adeguata alla loro attività. L'applicazione di una patch era un'opzione, ma non l'unica disponibile. Tra i risultati degni di nota figurano:

  • Rilevamento in tempo reale di SMBv1-enabled macchine presso diversi clienti con ambienti endpoint che contano diverse centinaia di migliaia di unità.
  • La disattivazione della funzione SMBv1 tramite modifiche al Registro di sistema è stata completata in meno di quattro minuti.
  • Rilevamento in tempo reale dei sistemi che necessitano delle patch contenute nel bollettino MS17-010 (si apre in una nuova scheda), anche se non sono collegati a un dominio.
  • Distribuzione di terabyte di patch aggregate nel giro di poche ore, senza alcun impatto sulle reti (comprese le macchine non collegate o non appartenenti a un dominio).
  • L'operazione di riavvio è stata inviata a tutte le macchine che richiedono il riavvio (a seguito di una modifica del registro o dell'applicazione di una patch).
  • Sono state predisposte procedure predefinite per individuare eventuali nuovi computer che entrano in linea e che richiedono la disattivazione della funzione SMBv1 , l’applicazione di una patch o il riavvio.
  • Report in tempo reale sui sistemi corretti e su quelli vulnerabili, con l’andamento nel tempo (tramite Trends).
  • Intel Il livello di vulnerabilità AMT risulta superiore al 50% nella nostra base clienti.
  • Intel Tanium ha provveduto alla mitigazione dell’AMT (disattivazione del servizio che consente lo sfruttamento della vulnerabilità) in meno di due minuti a livello aziendale.
  • Sono stati individuati migliaia di endpoint infettati dal keylogger HP presso diversi clienti e il problema è stato risolto nel giro di pochi minuti.

Abbiamo avuto due grandi clienti che inizialmente hanno cercato di utilizzare SCCM per applicare le patch rilasciate da Microsoft in risposta a WannaCry, ma hanno dovuto interrompere l’operazione a causa di gravi problemi di congestione della rete causati da SCCM. Tali clienti sono passati a Tanium per l’implementazione delle patch di e sono riusciti a completare l’intera operazione aziendale in meno tempo di quanto ne fosse stato necessario per creare i pacchetti di SCCM .

Diversi clienti hanno individuato risorse vulnerabili che non erano affatto collegate al dominio e che, di conseguenza, non avrebbero mai ricevuto le patch necessarie senza l’ Tanium.

Quasi tutti i clienti erano certi di disporre della versione SMBv1 in tutta l’azienda. Tuttavia, non avevamo clienti con valore pari a zero per il parametro SMBv1, e la media tra i clienti era del 7%, con picchi superiori al 50% degli endpoint su cui era abilitato il parametro SMBv1 .

In molti casi, i processi obsoleti hanno ostacolato il miglioramento delle capacità. Nel corso della nostra risposta all’attacco WannaCry abbiamo riscontrato numerosi casi in cui il processo ha richiesto otto ore dal momento in cui è stata concessa l’approvazione per mitigare WannaCry fino a quando l’ Tanium e ha emanato le misure correttive volte a mitigare la minaccia. Dal momento in cui si è premuto il grilletto al completamento dell’operazione sono trascorsi meno di due minuti.

Cinque misure che le vostre organizzazioni possono adottare fin da subito

Alla luce di quanto abbiamo appreso da questi recenti esempi, ecco cinque misure che la vostra organizzazione può adottare fin da subito, in modo da essere meglio preparata ad evitare di rimanere vittima del prossimo attacco:

  1. Valutate gli ostacoli presenti nella vostra organizzazione. I Suoi team addetti alla sicurezza e alle operazioni IT lavorano in sinergia? In caso contrario, quali sono i punti di attrito e come è possibile risolverli?
  2. Conoscete l’ambiente in cui vi trovate. Se il Suo CIO dovesse passare a trovarla e chiederle di indicargli quanti dispositivi privi di patch sono presenti sulla Sua rete, sarebbe in grado di fornirgli una risposta precisa? La Sua risposta si baserà sulla situazione attuale o sulle informazioni che ha raccolto una settimana fa?
  3. Si consideri con quale frequenza i processi obsoleti limitino le potenzialità della tecnologia che utilizza.
  4. Semplifichi la propria infrastruttura. Una delle questioni più spesso citate in relazione all’incidente di WannaCry è stata la difficoltà di aggiornare i sistemi operativi in un ambiente in cui sono presenti numerose applicazioni legacy. Se sta utilizzando un’applicazione fondamentale per la sua attività che la costringe a mantenere in vita un sistema operativo obsoleto, è giunto il momento di riconsiderare i suoi rapporti con i fornitori.
  5. Secondo diverse stime, fino al 83% degli attacchi ransomware ha origine quando un dipendente clicca su un link dannoso, apre un allegato infetto o visita un sito web compromesso. Investire nella formazione continua dei dipendenti per proteggersi dagli attacchi di phishing di tipo “ ” dovrebbe costituire la vostra prima linea di difesa.

Le vostre pratiche di sicurezza sono quanto più rigorose possibile? La Sua organizzazione è pronta a resistere al prossimo attacco? Scoprite di più su come possiamo aiutarvi. Prenoti oggi stesso la Sua valutazione dello stato di sicurezza.

Per saperne di più:

Le interessa vedere “ Tanium ” in azione? Fissate un appuntamento con per una dimostrazione individuale oppure partecipate al nostro webinar settimanale. Si rivolga ai nostri esperti di “ Tanium” in occasione dei nostri prossimi eventi “ ”.

Informazioni sull’autore: Nel suo ruolo di Chief Customer Officer, Charles Ross guida il team incaricato di tradurre in realtà la visione di Tanium per i nostri clienti: una gestione scalabile dell’ endpoint , volta a garantire il funzionamento e la sicurezza delle loro attività in modo affidabile e rapido. Prima di entrare a far parte di Tanium, Charles ha lavorato presso McAfee, dove ha ricoperto diversi ruoli dirigenziali nei settori dell’ingegneria pre-vendita, dell’architettura delle soluzioni e della sicurezza informatica. Prima di entrare in McAfee, Charles ha lavorato come consulente per l’Enterprise Risk presso Deloitte & Touché. Charles ha conseguito una laurea in Scienze presso l’Università della Florida.