Il mondo della sicurezza è in subbuglio, e la causa di questa situazione non è solo la letale variante Omicron. Le aziende stanno correndo ai ripari per risolvere quella che è stata definita la peggiore cyberaggressione della storia, la vulnerabilità zero-day nota come “ ” Log4j. Secondo quanto segnalato da funzionari governativi, potrebbero essere a rischio centinaia di milioni di computer , e alcuni hacker sofisticati, sostenuti da enti statali, si stanno affrettando a sfruttare queste vulnerabilità appena scoperte.
La corsa all’applicazione delle patch ai sistemi e alla difesa da un’ondata di attacchi non poteva verificarsi in un momento peggiore. L’enorme passaggio al lavoro da remoto durante la pandemia di COVID-19 ha accresciuto la complessità della gestione del software e della gestione delle patch. E in tempo record.
«È stato più difficile applicare le patch a causa del fatto che le persone sono rimaste a casa», afferma Nicole Ford, responsabile della sicurezza informatica (CISO) presso Carrier, il colosso del settore della climatizzazione con sede a Palm Beach Gardens, in Florida. «Si sta assistendo a una proliferazione dei dispositivi che le persone utilizzano ora che lavorano da remoto. «Abbiamo bisogno di una maggiore visibilità su questi dispositivi.»
Nell’ambito del lavoro da remoto, i dipendenti collaborano a volte a grandi distanze e accedono alle reti, ai dati e ai servizi aziendali utilizzando una vasta gamma di dispositivi, molti dei quali non sono sicuri. Di conseguenza, il 57% dei professionisti del settore IT e della sicurezza ha affermato che il lavoro da remoto rende più complessa l’applicazione delle patch, come emerge da un sondaggio condotto a ottobre da Ivanti nell’ambito dell’ . In generale, il 71% ritiene che l’applicazione delle patch sia eccessivamente complessa e richieda troppo tempo.
Pertanto, mentre il governo chiede alle organizzazioni di passare alla modalità di applicazione delle patch alla velocità della luce, la realtà è che — a causa del COVID e del fatto che molti di noi lavorano da casa — numerose aziende ed enti governativi stanno riscontrando che tale processo risulta più difficile che mai. L’emergenza Log4j evidenzia la necessità fondamentale per le organizzazioni non solo di applicare le patch, ma anche di disporre di una strategia di applicazione delle patch ben calibrata, che integri sia procedure mensili di protezione sia la gestione delle attività di emergenza.
I problemi legati alle patch
L'esigenza di una visione rinnovata del patching è relativamente recente.
«L’applicazione delle patch è diventata notevolmente più complessa a causa del forte aumento della superficie di attacco», afferma Phil Reitinger, presidente e CEO della Global Cyber Alliance, ex CISO di Sony e alto funzionario responsabile della sicurezza informatica nell’amministrazione Obama. Egli afferma che il vecchio paradigma prevedeva che tutti si recassero in ufficio, accendessero il proprio computer fisso e rimanessero sempre all’interno del perimetro aziendale. «È sparito completamente», afferma. «La pandemia ha accelerato il passaggio da una rete parametrizzata in misura di un ordine di grandezza significativo.»
«L’applicazione dellepatch è diventata notevolmente più complessa a causa del forte aumento della superficie di attacco.»”Phil Reitinger, presidente e CEO, Global Cyber Alliance
Serguei Sviatyi, amministratore cloud presso la IPS-Integrated Project Services, una società di consulenza tecnologica con sede in Pennsylvania, è d’accordo.
«Il lavoro da casa e il lavoro a distanza hanno determinato un cambiamento concreto e significativo nel modo in cui le medie e grandi imprese devono concepire e attuare l’applicazione delle patch», afferma. “Quasi tutti i nostri endpoint e le nostre postazioni di lavoro si trovano ora in un ambiente ‘ ’, al di fuori delle protezioni offerte dalle reti aziendali . «Ciò rende più difficile individuare e verificare se i computer siano stati aggiornati.»
L'applicazione delle patch è spesso considerata una delle armi più semplici ed efficaci per contrastare i criminali informatici. Nella pratica, tuttavia, la questione può rivelarsi complessa. Gli hacker sfruttano appieno i sistemi di gestione delle patch poco efficienti. Nel frattempo, l’automazione completa dei sistemi di applicazione delle patch può sembrare una buona idea in termini di velocità, ma può presentare alcuni svantaggi.
A volte le patch rilasciate dalle aziende produttrici di software presentano esse stesse dei problemi, e può risultare difficile mitigarne efficacemente gli effetti collaterali negativi ricorrendo a processi completamente automatizzati. La soluzione intermedia preferibile consiste nell’automatizzare la maggior parte degli aspetti relativi all’applicazione mensile delle patch, pur continuando a effettuare test adeguati prima della loro implementazione.
Come risolvere la crisi delle patch
Per affrontare queste sfide, secondo Sviatyi le aziende possono adottare tre diversi approcci alla gestione delle patch. Ciascuna di esse presenta alcuni aspetti positivi e negativi.
Il primo approccio: «Realizzate la vostra infrastruttura e gestite l’applicazione delle patch», afferma Sviatyi. Il vantaggio è che non si dipende da soggetti esterni e si ha il pieno controllo sull’applicazione delle patch. «Il rovescio della medaglia è che, per portare a termine con successo questo progetto, sono necessari ingenti investimenti in infrastrutture e personale tecnico qualificato», afferma. «La situazione è resa ancora più complessa dalla necessità di applicare le patch con cadenza mensile o addirittura settimanale.»
Un secondo approccio: affidare l’attività di applicazione delle patch a fornitori esterni. Tale strategia risulta utile qualora l’organizzazione non disponga delle risorse interne necessarie per configurare e gestire adeguatamente l’infrastruttura.
Ma ciò significa anche che l’organizzazione deve concedere privilegi di accesso significativi a una terza parte. Ciò può comportare violazioni della sicurezza. «Come dimostrano gli incidenti che hanno coinvolto SolarWinds e Kaseya , tale dipendenza e fiducia potrebbero essere sfruttate da soggetti malintenzionati con effetti devastanti», afferma Sviatyi.
Il terzo approccio, nonché il più efficace: la gestione automatizzata delle patch . L'applicazione di una patch a un software è un processo relativamente semplice. Tuttavia, quando il vostro ambiente comprende centinaia o migliaia di dispositivi dotati di software e sistemi fisici, virtuali e basati sul cloud, è necessario ricorrere a una soluzione più efficace.
[Legga anche: Una lettera agli amministratori delegati sulla vulnerabilità Log4j ]
La gestione automatizzata delle patch consente alle aziende di eseguire una scansione dei propri ambienti di rete alla ricerca di dispositivi e applicazioni privi di patch, scaricando automaticamente le patch rilasciate dai fornitori delle applicazioni e distribuendo altre patch in base a una serie di criteri di distribuzione. Queste funzionalità consentono alle organizzazioni di applicare rapidamente le patch a interi ambienti, ridurre i tempi di applicazione delle patch e minimizzare l’esposizione al rischio.
Sebbene tali operazioni possano essere eseguite manualmente, non è consigliabile farlo. Non solo i processi manuali mettono a dura prova un team IT già sotto pressione , ma spesso causano errori e rappresentano uno spreco di tempo. Infatti, il 60% delle aziende riferisce che il personale addetto alla sicurezza informatica dedica più tempo alla gestione delle procedure manuali che alla risoluzione delle vulnerabilità, il che comporta un accumulo insormontabile di casi in sospeso.
Patch La gestione è fondamentale per garantire che le vulnerabilità non rimangano irrisolte. Sebbene la creazione di un ambiente più sicuro sia il motivo principale per cui molte organizzazioni adottano una soluzione di gestione delle patch, essa offre anche altri vantaggi. Tra questi figurano:
- Maggiore produttività. L'applicazione delle patch garantisce che il Suo software funzioni in modo corretto ed efficiente.
- Conformità normativa. L'implementazione della gestione delle patch è comunemente richiesta da numerosi quadri normativi o standard di sicurezza. Se un’organizzazione non applica le patch, potrebbe essere soggetta a multe da parte delle autorità di regolamentazione.
- Innovazione accelerata. L'applicazione delle patch offre alle organizzazioni un modo per distribuire aggiornamenti volti a migliorare le caratteristiche e le funzionalità del proprio software. In un contesto economico competitivo, qualsiasi vantaggio derivante dall’innovazione rappresenta un valore aggiunto.
Ci vuole una squadra
J. Michael Daniel, che è stato responsabile della sicurezza informatica del presidente Obama ed è ora CEO della Cyber Threat Alliance, sostiene che le organizzazioni dovrebbero avviare un piano di formazione per sensibilizzare tutti sull’importanza della gestione delle patch. «I soci e i dipendenti dovrebbero essere incoraggiati ad aggiornare i propri dispositivi», afferma. «I dispositivi devono essere aggiornati se si intende collegarli al sistema.»
«Molte grandi aziende finiscono inevitabilmente per scrivere “codice di collegamento” per trasferire i dati da diversi fornitori di software.”Serguei Sviatyi, amministratore cloud, IPS- Servizi di progetto integrati
Allo stesso tempo, i tecnici delle organizzazioni devono valutare il momento ottimale per l’applicazione delle patch. «Non è possibile ricevere un aggiornamento nel bel mezzo della giornata, durante importanti riunioni con i clienti», afferma Daniel. «Non è possibile interferire con le operazioni aziendali.»
Per le organizzazioni di dimensioni più ridotte, il passaggio a un ciclo continuo di aggiornamenti e patch garantirà, secondo Sviatyi, una maggiore protezione complessiva dei sistemi. «Tali aziende, in genere, non dispongono del personale e delle risorse da dedicare all’implementazione degli aggiornamenti.»
Nuove strategie di applicazione delle patch possono inoltre ridurre il carico di lavoro degli operatori che assistono le piccole imprese . Ciò consente loro di limitarsi a verificare lo stato delle patch, anziché procedere all’applicazione delle stesse e delle correzioni. Per le grandi organizzazioni, la situazione potrebbe essere diversa.
«Molte grandi aziende finiscono inevitabilmente per scrivere “codice di collegamento” per trasferire i dati da diversi fornitori di software», afferma Sviatyi. Tale codice può avvalersi di un'API e di attività pianificate per evitare la duplicazione dei dati o persino per eseguire funzioni critiche. Ciò significa che le grandi aziende potrebbero esitare ad effettuare l'aggiornamento.
Se le organizzazioni utilizzano software in cui ogni mese viene individuata una vulnerabilità, ma la correzione viene fornita solo in una nuova versione, potrebbero dover riscrivere il proprio codice digitale per garantire la protezione più aggiornata.
«Le aziende finiscono per rimanere vincolate a software non sicuri a causa della mancanza di risorse disponibili per modificare i processi e le tecniche interne», afferma Sviatyi. «Il lavoro da casa ha reso ancora più difficile la protezione [del software].»
