Quando gli hacker assumono il controllo di un endpoint, la gioia non dura a lungo. Proprio come in una partita a scacchi, gli hacker si posizionano in vista della loro prossima mossa: compromettono altri endpoint che possono utilizzare per penetrare più in profondità nei sistemi di un’azienda e accedere alle persone e ai dati che, in ultima analisi, stanno cercando.
Dopo che il fornitore internazionale di servizi di spedizione e logistica Maersk ha subito la compromissione di un singolo sito endpoint su 2017, gli autori dell’attacco sono riusciti, alla fine, a compromettere tutti i siti endpoint dell’azienda. I criminali informatici hanno quindi sferrato un attacco ransomware per rendere inaccessibili la maggior parte dei dispositivi finali di Maersk. L’incidente è costato a Maersk circa 300 milioni di dollari, ha causato due settimane di interruzione delle attività e l’ha costretta a reinstallare 4.000 server.
Ciò sembra di secondaria importanza se paragonato al recente attacco informatico ai danni di SolarWinds, denominato “ ”, che continua a causare gravi danni alle imprese e alle istituzioni governative statunitensi. Il cosiddetto attacco alla “catena di approvvigionamento” del software si è basato sul fatto che decine di migliaia di organizzazioni aggiornassero lo stesso software di terze parti utilizzato per la gestione dei sistemi informatici.
Gli hacker, che si ritiene appartengano ai servizi segreti russi, hanno preso di mira SolarWinds e hanno utilizzato malware per sottrarre e falsificare credenziali digitali che hanno consentito loro e ad altri criminali informatici di passare da endpoint a endpoint e di ottenere l’accesso a circa 18.000 entità che hanno scaricato il software infetto.
«Con le credenziali giuste, gli autori degli attacchi possono accedere a qualsiasi sistema desiderino.»”Ben Rothke, responsabile senior della sicurezza informatica presso Tapad, fornitore di servizi pubblicitari e di distribuzione di contenuti
Tra le vittime figurano i principali attori del settore tecnologico, del settore sanitario e, , del governo federale. Il costo stimato sia per le imprese americane che per il governo: 100 miliardi di dollari. Data l’enorme posta in gioco, individuare e bloccare questo tipo di “movimento laterale” all’interno di una rete compromessa rimane fondamentale per la difesa di qualsiasi azienda.
«Gli autori degli attacchi cercheranno sempre di procurarsi le credenziali, poiché, con quelle giuste, possono accedere ovunque desiderino», afferma Ben Rothke, responsabile senior della sicurezza informatica presso Tapad, fornitore di servizi pubblicitari e di distribuzione di contenuti.
A tal fine, gli hacker solitamente sottraggono le credenziali di accesso degli utenti tramite la registrazione dei tasti digitati o altri strumenti specializzati. «Immaginate di poter creare un biglietto aereo che vi porti ovunque desideriate andare», afferma Rothke. «È proprio ciò che fanno gli autori degli attacchi con le credenziali: ottengono l’accesso alle reti, alle applicazioni o, forse, alla console cloud utilizzata da un amministratore.»
Le credenziali non sono l’unica cosa che gli autori degli attacchi cercano. Utilizzano strumenti per connettersi ad altri server sulla stessa rete e agli endpoint. Anche qualsiasi dispositivo “ endpoint ” che utilizzi software obsoleto rappresenta un bersaglio privilegiato. Fortunatamente, esistono diverse misure che potete adottare per prevenire lo spostamento laterale oppure per individuarlo e bloccarlo nel momento in cui si verifica.
Aumentare il costo del successo
La chiave per proteggere il proprio ambiente IT consiste nel rendere il più difficile possibile per un aggressore muoversi lateralmente, afferma Chris Blow, direttore della sicurezza offensiva presso Liberty Mutual, una società inclusa nella classifica Fortune 100 . Il suo team esegue regolarmente simulazioni sugli endpoint per verificare se sia possibile un movimento laterale. «Il nostro obiettivo principale è sempre quello di garantire la protezione dei nostri endpoint», afferma Blow.
La migliore difesa consiste nel modificare la redditività di un attacco, afferma Fernando Montenegro, analista principale del team di sicurezza aziendale presso 451 Research, parte di S&P Global Market Intelligence. «L’obiettivo è aumentare il costo del successo per l’autore dell’attacco», afferma. «L’obiettivo è progettare sistemi di difesa che rendano la vita molto difficile a un aggressore.»
A tal fine, gli esperti di sicurezza suggeriscono quanto segue:
Adottino buone pratiche di igiene informatica ( endpoint ). Le pratiche efficaci partono dagli elementi fondamentali, tra cui una solida gestione delle risorse, delle configurazioni e delle patch . «Una buona igiene da sola non basterà a fermare avversari determinati, ma renderà il loro compito molto più difficile», afferma Montenegro.
Gestire le identità. È fondamentale sapere chi dispone delle credenziali necessarie per accedere a determinate applicazioni e risorse di rete. Il principio del “privilegio minimo” riduce la superficie di attacco, consentendo agli utenti di accedere solo alle risorse di cui hanno assolutamente bisogno per svolgere il proprio lavoro. È inoltre fondamentale limitare il numero di account amministratore. «La vostra identità è il nuovo firewall e dovete gestire le identità in modo efficace, in particolare gli account con privilegi», afferma Blow.
«Lavostra identità è il nuovo firewall.”Chris Blow, responsabile della sicurezza offensiva presso Liberty Mutual
Si raccomanda di implementare un sistema di autenticazione forte. L'autenticazione garantisce che solo le persone autorizzate possano accedere alle applicazioni appropriate. «Sebbene non sia una soluzione infallibile, l’obbligo di autenticazione a più fattori può rivelarsi efficace nel rallentare il movimento laterale», afferma Rothke. Qualora un hacker dovesse entrare in possesso di credenziali tramite un attacco di phishing di tipo “ ”, una sessione utente o un dump di memoria (ovvero quando la memoria viene salvata in seguito al crash di un’applicazione), tecniche di autenticazione avanzate possono rendere più difficile per i criminali informatici utilizzare tali credenziali per spostarsi lateralmente verso altre risorse presenti sulla rete.
Segmentare il traffico di rete. Per rafforzare ulteriormente la sicurezza, si raccomanda di suddividere le reti in zone distinte. Ad esempio, tutte le apparecchiature da ufficio e i dispositivi correlati possono essere collegati a un’unica rete, mentre determinate categorie di utenti possono essere suddivise in segmenti di rete distinti. "L'applicazione di misure di sicurezza adeguate a ciascuna zona può limitare in modo significativo la capacità di un aggressore di muoversi lateralmente", afferma Rothke.
Sviluppare un'architettura "zero-trust". Grazie a rigorosi controlli sull’identità, tecniche di autenticazione e segmentazione della rete, un’organizzazione è già ben avviata verso la realizzazione di un’architettura zero-trust. «Una buona architettura zero-trust contribuirà in modo significativo a impedire agli aggressori di muoversi all’interno del sistema», afferma Blow. «Il problema è che la maggior parte delle aziende non ha implementato il modello “zero trust” con la rigorosità necessaria.»
[Leggi anche: Anton Chuvakin di Google'sulla necessità di ripensare la sicurezza delle reti]
Individuare le anomalie. Gli autori degli attacchi faranno tutto il possibile per evitare di essere scoperti. Grazie a credenziali false, possono apparire come utenti legittimi. I responsabili della sicurezza possono imparare a individuare attività insolite all’interno delle reti e delle applicazioni, ma si tratta di un obiettivo molto più difficile da raggiungere di quanto possa sembrare. «È davvero difficile perché gli autori degli attacchi faranno tutto il possibile per mimetizzarsi con successo», afferma Rothke.
Adottate endpoint per il rilevamento e la risposta. Quando le aziende rilevano qualsiasi indizio di compromissione degli endpoint, è necessario raccogliere tutti i dati pertinenti e inviarli ai team di sicurezza affinché procedano all’analisi e all’intervento. Contrastare gli attacchi mentre sono in corso può limitare le violazioni dei dati e i danni al sistema, nonché bloccare sul nascere i movimenti laterali. «Negli ultimi due anni, il rilevamento e la risposta agli attacchi di tipo “ endpoint ” sono diventati molto più efficaci rispetto al passato», afferma Blow. «Le organizzazioni che dispongono di sistemi efficaci renderanno il compito degli aggressori molto arduo, e in definitiva è proprio questo lo scopo di questi livelli di difesa.»
Grazie all’adozione di queste misure, un’organizzazione può garantire che l’azienda rimanga un ambiente ostile per gli hacker alla ricerca di punti deboli da sfruttare per infiltrarsi nei sistemi aziendali.
