A caccia con i moderni cacciatori informatici

Domande e risposte con David Damato e Kris McConkey

Tanium Il responsabile della sicurezza David Damato e Kris McConkey, partner di PwC UK specializzato in sicurezza informatica, hanno trascorso la loro carriera in prima linea nella lotta contro i criminali informatici all’interno delle reti delle più grandi aziende e istituzioni del mondo. Grazie alla collaborazione tra , Tanium e PwC , volta a rivoluzionare il modo in cui i team di sicurezza e delle operazioni IT Detect individuano e rispondono alle intrusioni, abbiamo incontrato Dave e Kris per discutere di lavoro… e di come la loro nuova partnership cambierà le regole del gioco.

Perché “ Tanium”? Quali vantaggi traggono i clienti di PwC dalle competenze di “ Tanium”?

Kris McConkey: Veniamo regolarmente chiamati presso le sedi dei clienti per gestire casi di violazioni della sicurezza e, ogni volta che richiediamo dati specifici, ci viene spesso risposto che il cliente non dispone né della visibilità né di alcun metodo per accedere effettivamente ai propri endpoint e ricavarne elementi specifici. Laddove ciò avvenga, spesso occorrono ore o giorni per raccogliere le tracce digitali che ci aiutano a individuare con precisione dove si nascondono gli intrusi all’interno di un ambiente. Ci trovavamo a dover affrontare, tra gli altri incidenti, casi di spionaggio che coinvolgevano più continenti e, in generale, ci rendevamo conto che dovevamo abbandonare l’idea di ricorrere a squadre che si recassero sul posto per risolvere ogni singolo problema. Avevamo bisogno di uno strumento che ci aiutasse a gestire l’analisi degli incidenti su larga scala, poiché collaboriamo con alcune delle organizzazioni più grandi al mondo. Desideravamo una soluzione che consentisse un’analisi molto più approfondita da remoto e un’analisi in tempo reale degli ambienti aziendali.

Abbiamo quindi iniziato a cercare soluzioni nel settore del rilevamento delle minacce di tipo “ endpoint ”. Ne abbiamo esaminati diversi e abbiamo riscontrato che Tanium è davvero l’unico sufficientemente flessibile da consentirci di realizzare tutto ciò che desideravamo in un ambiente: poter estrarre tutti i dati di telemetria da un ambiente per analizzarli in altre soluzioni da noi sviluppate e osservare ciò che accade effettivamente sugli endpoint; nonché inviare tutte le informazioni sulle minacce e le firme che generiamo all’infrastruttura IT e far sì che siano gli stessi endpoint a eseguire parte di tale analisi e ricerca per nostro conto.

Abbiamo subito apprezzato la flessibilità della piattaforma Tanium . In genere ci consideriamo “utenti esperti” e siamo in grado di progettare numerose soluzioni personalizzate. Molte delle altre soluzioni erano troppo chiuse per i nostri gusti.

David Damato: Avendo svolto attività di consulenza e fornito servizi in questo ambito nel corso dell’ultimo decennio, sono consapevole che ogni incarico di consulenza è unico. Di conseguenza, i consulenti devono disporre di strumenti che garantiscano un’enorme flessibilità, al fine di affrontare le sfide specifiche di ciascun cliente. Tanium offre tale flessibilità: supporta un’ampia gamma di standard, lo sviluppo di contenuti personalizzati e l’integrazione con altri strumenti tramite un’API ben documentata. Kris e il suo team presso PwC stanno già sfruttando questa flessibilità e questa architettura per fornire soluzioni su misura ai propri clienti.

Comprendo le sfide che devono affrontare PwC e i suoi clienti. Le organizzazioni chiedono assistenza per indagare su incidenti complessi e cercano modi per ottenere una maggiore visibilità sui rischi presenti nei propri ambienti. La piattaforma “ Tanium ” consente agli esperti di PwC di accedere rapidamente agli artefatti dell’ endpoint , che in precedenza non erano disponibili. Questa nuova visibilità e la rapidità con cui è possibile ottenere dati fondamentali garantiscono a Kris e al suo team un vantaggio competitivo rispetto ad altre società di consulenza che si affidano alla tecnologia di " endpoint " di generazione precedente.

Come ha osservato l’evoluzione del panorama delle minacce nel corso della Sua carriera? Cosa La tiene sveglio la notte?

Dave: Onestamente, il panorama delle minacce non è cambiato in modo significativo — ed è proprio questo il problema. Sebbene le tattiche degli autori degli attacchi rimangano relativamente simili a quelle osservate cinque o dieci anni fa, oggi si registrano più violazioni rispetto a tre o quattro anni fa.

Ciò che desta maggiore preoccupazione è la rapidità con cui agiscono oggi gli autori degli attacchi. La maggior parte degli autori di attacchi sa come ottenere rapidamente un punto d’appoggio in un ambiente e muoversi lateralmente in un lasso di tempo molto breve. Ciò che ora richiede ore, un tempo richiedeva giorni o settimane. Di conseguenza, le organizzazioni devono essere in grado di Detect e risolvere gli attacchi con estrema rapidità — uno dei motivi per cui la rapidità e la capacità di Tanium di intervenire su un endpoint riscuotono grande apprezzamento tra i nostri clienti.

Kris: Se si considera la cronologia delle intrusioni APT, si tratta in realtà di un problema che affligge sia gli Stati Uniti che il Regno Unito ormai da oltre 10 anni; nel corso di questo periodo, la portata del fenomeno è aumentata in modo significativo, interessando anche molti altri paesi. L’aspetto che si è rivelato particolarmente interessante, e forse sorprendente, è stato vedere un numero sempre maggiore di giocatori entrare in gioco. Nel libro * novembre 2014* abbiamo monitorato gruppi distribuiti in 12 paesi. Solo negli ultimi 9 mesi, tale elenco si è arricchito di altri 8 paesi.

È interessante osservare come questa attività si stia effettivamente intensificando grazie all’ingresso sul mercato di nuovi operatori. Ci sono molti veterani del settore che continuano ad avere successo con i vecchi trucchi, proprio come dice Dave, ma alcune delle tecniche davvero avanzate incutono un certo timore quando se ne comprende appieno la portata.

Cosa La sorprende di più quando lavora in prima linea nel campo delle violazioni dei dati?

Kris: Ebbene, uno degli aspetti più entusiasmanti del nostro lavoro è il brivido della caccia. Quando un cliente sa di avere un intruso nella propria rete ma non sa dove si trovi — magari dopo aver ricevuto una segnalazione da un’agenzia governativa — quelle prime ore o quei primi giorni di ricerca, all’interno di una rete sconosciuta, alla ricerca di prove che indichino dove si nascondono i malintenzionati e per determinare di quale attore di minaccia si tratti, sono caratterizzati da un ritmo serrato e da un’intensa attività.

Ciò che sorprende è il modo in cui alcuni di questi ragazzi reagiscono ogni volta che li si incontra. Abbiamo osservato un cambiamento radicale nel comportamento di alcuni autori di minacce nel momento in cui si sono resi conto che li avevamo individuati. Anche Dave avrà notato la stessa cosa in diverse occasioni: casi in cui cercano di capire come diavolo facciamo a individuarli, in modo da poter adottare qualche tipo di misura evasiva. È un po’ come un promemoria del fatto che ciò che stiamo facendo è l’equivalente digitale del combattimento corpo a corpo. Si tratta letteralmente di una sfida tra esseri umani.

Dave: Continuo a rimanere sorpreso dalla facilità con cui gli hacker riescono a penetrare nelle reti senza essere individuati. La maggior parte delle organizzazioni si affida a soluzioni quali antivirus o sensori di rete per Detect gli attacchi. Credo che tutti noi ci rendiamo conto che gli antivirus non siano molto efficaci. Tuttavia, ritengo anche che le organizzazioni non si rendano conto del fatto che i sensori di rete non sono in grado di determinare cosa sia effettivamente accaduto su un endpoint e non siano progettati per analizzare il traffico crittografato, che può rappresentare una percentuale compresa tra il 20% e il 50% del vostro traffico Internet.

Le organizzazioni devono concentrarsi sull’ endpointe. È la fonte di tutte le informazioni di cui avete bisogno. Se riuscite a ottenere tali informazioni rapidamente e su larga scala, potrete rispondere praticamente a qualsiasi domanda. Quanti host sono presenti nella mia rete? Sono stati aggiornati? Qual è lo stato dei loro controlli di sicurezza? Si riscontrano attività sospette su un endpoint? In tal caso, cosa è successo e quali misure dobbiamo adottare? Ecco perché vediamo che molte organizzazioni stanno comprendendo il valore dell’ Tanium.

Orion (cofondatore e direttore tecnico di Tanium ) ha recentemente affermato: «L’idea di un perimetro attorno alla propria rete si è completamente dissolta». È d'accordo?

Kris: Sono pienamente d’accordo. Questo è uno dei cambiamenti più significativi avvenuti, anche negli ultimi 5 anni, per quanto riguarda le organizzazioni. Se si osserva il modo in cui difendono i propri beni, 5 anni fa esisteva un perimetro ben definito. Tutto era ben custodito all’interno delle quattro mura di un’organizzazione ed era proprio questo che dovevano proteggere per tenere fuori i malintenzionati e consentire l’accesso a chi ne aveva diritto. Tuttavia, con il lavoro da remoto, la forza lavoro mobile, la politica “bring your own device” (BYOD) e così via, risulta effettivamente difficile per le organizzazioni avere piena visibilità sulla posizione delle risorse.

Dave: Certamente, cinque o dieci anni fa ogni risorsa era di proprietà dell’azienda e fissa, il che rendeva facile definire reti e perimetri. Oggi disponiamo di telefoni cellulari, tablet, servizi cloud e dispositivi di archiviazione economici e portatili. I dispositivi e i dati non sono più limitati ai confini di una rete ben definita, circondata da barriere. Ecco perché si osserva che le organizzazioni hanno difficoltà a rispondere a semplici domande relative al numero, al tipo o alla sicurezza dei dispositivi presenti sulle loro reti. Semplicemente non lo sanno, perché tutto sta cambiando così rapidamente. Si tratta certamente di un ambito in cui continuiamo ad aiutare i nostri clienti a trovare soluzioni grazie alla nostra architettura esclusiva.

Cosa deve fare l’organizzazione IT per garantire una maggiore resilienza in materia di sicurezza informatica?

Dave: Essere resilienti in materia di sicurezza informatica significa avere la capacità di reagire a un incidente e di adattarsi rapidamente. In risposta alla maggior parte degli incidenti, il reparto IT avrà il compito di attuare una misura correttiva — una serie di azioni volte a rimuovere rapidamente un aggressore o le vulnerabilità di sicurezza da un ambiente. Ciò potrebbe comportare l’applicazione di una patch per una vulnerabilità, la protezione degli account amministrativi locali, la modifica dei firewall basati su host o la rimozione di malware. Grazie alla piattaforma “ Tanium ”, è possibile accelerare tali interventi, consentendo una risposta più resiliente agli eventi di sicurezza avversi.

In modo proattivo, il reparto IT dovrebbe concentrarsi su ciò che viene spesso definito “igiene della sicurezza”. Ciò comprende l’installazione delle patch più recenti, l’individuazione di modifiche non autorizzate alle configurazioni di sicurezza e il monitoraggio delle risorse. Molte violazioni sono il risultato di configurazioni errate, risorse non gestite o sistemi privi di patch: il reparto IT può svolgere un ruolo fondamentale nella prevenzione degli incidenti se dispone della giusta visibilità su questi aspetti, che sono fondamentali per migliorare la resilienza della sicurezza. Notiamo certamente che molte delle strutture IT dei nostri clienti utilizzano Tanium per affrontare tali aspetti, in collaborazione con il proprio team di sicurezza.

Kris: In generale, nel settore IT — soprattutto quando si tratta di sicurezza — è necessario essere in grado di svolgere alcune attività in modo eccellente. Ci sono molte cose che si possono gestire in modo piuttosto improvvisato, ma ce ne sono alcune che sono assolutamente fondamentali. Si tratta innanzitutto della capacità di monitorare in tempo reale ciò che accade all’interno della propria organizzazione, della capacità di comprendere, in una prospettiva storica, ciò che è accaduto in passato all’interno della propria organizzazione, ovvero l’ Tanium Trace, e della capacità di adottare misure correttive e di effettuare l’ Enforce in tempo reale. Pertanto, se si identifica l’autore specifico della minaccia — ad esempio, se si scopre che sta sfruttando una vulnerabilità in un determinato programma — è possibile determinare quasi in tempo reale quali programmi siano vulnerabili a tale minaccia e quindi applicare effettivamente la patch.

Probabilmente, la maggior parte delle organizzazioni, in ciascuna di queste tre o quattro aree diverse, impiega giorni o settimane per ciascuna di esse. Disporre di un programma come Tanium , in grado di aiutarLa a ridurre tutti questi tempi a pochi minuti, è ciò che la maggior parte dei reparti IT desidererebbe ardentemente.

Come reagiscono i clienti quando li informate di un’intrusione?

Kris: Alcuni di loro affrontano la questione come un problema tecnico e ritengono che, una volta eliminato il malware e ripristinati alcuni account utente, la questione sia chiusa. Stiamo assistendo a un numero sempre maggiore di organizzazioni che affrontano effettivamente la questione come il problema aziendale che è: quali dati abbiamo perso, in che modo ciò influisce sui nostri piani aziendali futuri, a chi dobbiamo comunicarlo e quali sono i nostri obblighi legali, normativi ed etici nel informare le persone di ciò che abbiamo perso, qualora avessimo perso qualcosa.

Ritengo che i clienti più esperti, in particolare quando li assistiamo nell’affrontare una nuova intrusione, stiano comprendendo che esiste una certa differenza tra il modo in cui noi consideriamo che un aggressore abbia avuto successo e il modo in cui l’aggressore stesso ritiene di averlo ottenuto. Pertanto, nel momento in cui un malintenzionato riesce a penetrare in una rete, in realtà non ha ancora ottenuto ciò che cercava. Probabilmente era stato loro affidato il compito di raccogliere alcuni dati specifici. Abbiamo quindi un periodo di opportunità che va dal momento in cui entrano in rete a quello in cui ottengono ciò per cui sono venuti, durante il quale le organizzazioni hanno la possibilità di individuarli ed espellerli dalla rete. È proprio in quel lasso di tempo che la visibilità offerta da Tanium si rivela incredibilmente utile. Una volta entrati, questi individui cercano di muoversi all’interno della rete nel modo più discreto possibile. Quando si elimina quella capacità di agire di nascosto, si riescono a individuare i loro movimenti con molta maggiore precisione. Ciò comporta una notevole riduzione del “tempo di permanenza” delle intrusioni.

Dave: Ogni cliente reagisce in modo diverso a un incidente. Si spera che la reazione sia pianificata: l’organizzazione disponga di un piano di IR e e sia in grado di riunire rapidamente tutte le parti interessate. Le organizzazioni ben preparate dispongono inoltre di un accesso immediato alle informazioni relative agli endpoint, alle reti, ai registri e ad altri dati che potrebbero risultare necessari nel corso dell’indagine. Le organizzazioni che non sono preparate spesso non hanno una comprensione approfondita del proprio contesto, dei dati di log o dei principali stakeholder. Di conseguenza, le organizzazioni impreparate si trovano spesso a dover affrontare incidenti di lunga durata. Tanium , infatti, aiuta i clienti a prepararsi agli incidenti grazie a una visibilità senza pari su tutti gli endpoint, garantendo che le organizzazioni non si trovino a dover cercare risposte solo dopo che un incidente è stato segnalato.

In che modo Tanium si distingue dalla concorrenza nell’assicurarsi la fiducia di un’azienda?

Dave: Molti fornitori di soluzioni di sicurezza si concentrano sulla risoluzione di una singola sfida — che si tratti, ad esempio, di individuare malware o di applicare patch ai sistemi. La sfida in materia di sicurezza consiste nel fatto che non esiste un'unica soluzione. Esistono numerose attività che devono essere svolte da un numero limitato di persone competenti e gestite attraverso processi consolidati.

A differenza di queste soluzioni puntuali, Tanium è una piattaforma. It provides 15 second visibility across all endpoints, even in the largest organizations. Tale rapidità e flessibilità consentono alle organizzazioni di affrontare numerose sfide in materia di sicurezza, non solo una. La piattaforma può essere utilizzata per effettuare ricerche in vari formati di file IOC , monitorare comportamenti anomali, applicare patch agli endpoint, monitorare le configurazioni, individuare risorse non gestite oppure indagare su un incidente e intervenire di conseguenza.

La rapidità e la semplicità della piattaforma consentono inoltre ai team di piccole dimensioni di operare in modo più efficiente, grazie a un accesso più rapido alle informazioni necessarie, all’automazione delle attività chiave e alla riduzione del tempo dedicato alla gestione di un’architettura complessa, tipica del modello “hub and spoke”. L’API disponibile e la possibilità di sviluppare nuovi contenuti consentono inoltre alle organizzazioni di integrare la piattaforma con i processi esistenti e con altre soluzioni specifiche.

Stiamo già osservando come PwC stia utilizzando la piattaforma per distinguersi dalla concorrenza. Kris e il suo team utilizzano i nostri strumenti IR e il modulo Trace per raccogliere prove e monitorare l’attività degli autori degli attacchi, con una rapidità mai raggiunta prima. La ricerca di un file o il rilevamento di tutti i processi in esecuzione richiede ora pochi secondi, anziché giorni. Allo stesso modo, PwC dispone inoltre di una visibilità immediata sulle vulnerabilità, sulle configurazioni errate e sulle autorizzazioni degli utenti, il che le consente di porre rapidamente rimedio a un attacco.

Se dovesse dare un consiglio all’ CEO e di una grande multinazionale in materia di sicurezza informatica, quale sarebbe?

Kris: Comprendere su quali dati si basa fondamentalmente la propria organizzazione, come tali dati circolano all’interno dell’organizzazione, quali sistemi sono coinvolti e dove si trovano. A quel punto, potrete iniziare a delineare un quadro completo di ciò a cui gli autori delle minacce potrebbero voler accedere in tali sistemi o dati e delle modalità con cui potrebbero probabilmente ottenerne l’accesso, in modo da poter adattare adeguatamente le vostre difese e i vostri investimenti in materia di sicurezza.

Dave: Quasi tutti gli amministratori delegati con cui parlo sono preoccupati per la sicurezza, ma non sempre dispongono delle competenze specifiche necessarie per porre ai propri collaboratori le domande giuste riguardo allo stato della sicurezza all’interno della loro organizzazione. Consiglio sempre agli amministratori delegati e ai membri del consiglio di amministrazione di porre le seguenti domande fondamentali al fine di valutare lo stato della sicurezza all’interno della propria organizzazione:

1. Quali sono i dati più importanti conservati dall’organizzazione e dove sono archiviati?
2. Indichi almeno tre diversi scenari in cui un malintenzionato potrebbe sottrarre i dati importanti descritti in precedenza.
3. Quali misure di sicurezza avete adottato per impedire agli autori degli attacchi di sottrarre dati importanti negli scenari precedenti?
4. Quando è stato effettuato l'ultimo test di penetrazione interno? Quali sono stati i risultati dell’ultimo test di penetrazione interno effettuato sulla rete e in che modo sono stati affrontati?
5. Quando è stata l’ultima volta in cui è stata condotta un’esercitazione teorica di risposta agli incidenti? Quali sono stati i risultati emersi e in che modo sono stati affrontati?

Potrebbe fornirci ulteriori informazioni sugli “Acceleratori ‘Tanium ’ di PwC”?

Kris: In linea di massima, il programma “ Tanium Accelerators” è stato concepito ed è strettamente allineato al modo in cui noi [PwC] utilizziamo Tanium nei nostri incarichi con i clienti.

Il primo acceleratore è, in sostanza, un feed di informazioni sulle minacce. Siamo in grado di raccogliere tutte le ricerche che conduciamo e tutte le nuove informazioni che ricaviamo dagli interventi di risposta agli incidenti, e di utilizzarle in modo tale che “ Tanium ” possa automaticamente sfruttarle e implementarle.

Il secondo è l'accesso effettivo ai contenuti redatti da PwC per il sito Tanium. Il nostro impiego principale riguarda il rilevamento delle minacce e le indagini. Abbiamo sviluppato numerosi pacchetti personalizzati per Tanium che ci consentono di recuperare praticamente ogni elemento forense a cui potrebbero voler accedere nel corso di un’indagine. Inoltre, gli utenti hanno la possibilità di redigere contenuti personalizzati anche in risposta alle richieste dei clienti.

Il terzo consente di avvalersi dei servizi di squadre di intervento a distanza in caso di emergenza. Qualora le organizzazioni non dispongano di team esperti nella ricerca delle minacce o nella risposta agli incidenti e desiderino esternalizzare tale funzione, possiamo integrarci efficacemente con Tanium ed effettuare una scansione del loro ambiente per individuare elementi che la loro attuale tecnologia di sicurezza non riesce a rilevare.

In quarto luogo, servizi di consulenza di natura leggermente più tradizionale: progettazione dei processi, gestione dei flussi di lavoro, integrazione con diversi team e sistemi, che si tratti di un sistema di gestione delle informazioni ( CMDB ), di un sistema di gestione delle vulnerabilità o di una soluzione di integrazione.

Infine, un ambito in cui PwC vanta effettivamente una competenza piuttosto unica sul mercato è rappresentato dallo studio legale di proprietà di PwC. Alcuni dei massimi esperti mondiali in materia di riservatezza e protezione dei dati hanno utilizzato questo servizio: siamo in grado di fornire consulenza legale ai clienti e di effettuare in modo efficace valutazioni d’impatto sulla privacy dei dati, per aiutarli a trarre il massimo vantaggio dalla loro licenza “ Tanium ”. Possono utilizzare Tanium senza incorrere in alcuna violazione delle normative in materia di privacy e protezione vigenti nei loro paesi.

Le interessa vedere “ Tanium ” in azione? Fissate un appuntamento con per una dimostrazione individuale oppure partecipate al nostro webinar settimanale. Si rivolga ai nostri esperti di “ Tanium” in occasione dei nostri prossimi eventi “ ”.