Organizations cannot afford to remain wholly dependent on a lifeline of one-size-fits-all data feeds in order to detect attacks. Tanium’s Chief Security Architect Ryan Kazanciyan offers guidance on how to find the best threat data to address your organization’s unique needs.
Chiedete a qualsiasi CISO di indicare le sue priorità principali e sentirete sempre menzionare un elemento in cima alla lista: sfruttare al meglio i dati relativi alle minacce. Infatti, l’intelligence sulle minacce si è trasformata in un settore multimiliardario dell’industria della sicurezza informatica e in un punto centrale di numerose iniziative politiche e legislative in materia di sicurezza informatica, quali la legge “ ” (Cybersecurity Information Sharing Act of 2015).
Tuttavia, spesso viene trascurato un aspetto fondamentale: con risorse limitate e una moltitudine di indicatori di minaccia, dove possono le organizzazioni reperire le informazioni più attendibili sulle proprie reti? La scorsa settimana ho tenuto un intervento su questo argomento, intitolato “ ”, in occasione del Cyber Disrupt Summit organizzato dal Center for Strategic and International Studies a Washington, DC.
La condivisione dei dati sulle minacce presenta sia vantaggi che limiti: è importante che le organizzazioni e i responsabili politici ne comprendano la natura, sappiano come tenerne conto e stabiliscano quali strategie aggiuntive privilegiare.
I limiti dei dati relativi alle minacce
I dati relativi alle minacce condivisi tra le organizzazioni presentano tre limiti fondamentali e interconnessi:
- Per gli autori degli attacchi è facile modificare le proprie “tracce” digitali. Gli indicatori di minaccia solitamente condivisi tra le organizzazioni — indirizzi di rete, hash dei file, nomi di dominio DNS e URL — sono instabili e possono essere modificati rapidamente. Le informazioni più preziose, quali le modalità di attacco e le tecniche operative, sono spesso custodite in “ambienti chiusi” dai fornitori di soluzioni di sicurezza, in formati che spesso non sono intercambiabili tra organizzazioni o tecnologie diverse.
- È difficile verificare la qualità dei dati relativi alle minacce. I programmi di condivisione delle informazioni sulle minacce si concentrano sulla trasmissione degli indicatori agli utenti interessati il più rapidamente possibile, piuttosto che sulla loro verifica. Tuttavia, poche organizzazioni dispongono delle capacità o delle risorse necessarie per effettuare valutazioni qualitative continue dei dati relativi alle minacce che acquisiscono, né del modo in cui i propri strumenti di monitoraggio della rete e dell’ endpoint e li elaborano e li analizzano. Ciò comporta tassi più elevati di falsi negativi e falsi positivi, un contesto insufficiente per prendere decisioni informate su larga scala e il rischio di attribuire erroneamente le minacce. Ciò rappresenta una sfida particolarmente ardua, poiché gli autori degli attacchi ricorrono sempre più spesso a risorse legittime di rete e di endpoint per mascherare le proprie attività.
- , siete sempre in ritardo. Potrà apprendere nuove tecniche e metodi di rilevamento, ma ciò avviene sempre dopo che gli autori degli attacchi hanno già messo in atto le loro tattiche sul campo.
Integrare i dati sulle minacce esterne attraverso un’analisi interna
Alla base delle iniziative di sicurezza di qualsiasi organizzazione deve esserci la comprensione della propria rete e la capacità di distinguere prontamente le anomalie “normali” da quelle realmente dannose. In pratica, il rumore di fondo presente nella maggior parte delle reti di grandi dimensioni ed eterogenee può rendere questa operazione estremamente complessa. Il primo passo per tenere sotto controllo il problema consiste nell’applicare tecnologie e processi in grado di identificare costantemente tutte le risorse che state proteggendo. Il passo successivo consiste nell’enumerare e raggruppare automaticamente tali risorse sulla base delle decine di attributi critici che ne definiscono la superficie di attacco.
Molte organizzazioni continuano ad avere difficoltà con la prima parte di questo processo. Ad esempio, in ambito federale, diverse agenzie che stanno attuando la Fase 1 del programma “Continuous Diagnostics and Mitigation” (CDM) hanno riscontrato di aver sottostimato il numero dei propri dispositivi in una percentuale compresa tra il 200% e il 300%. Sia nel settore pubblico che in quello privato, è frequente riscontrare il ricorso a inventari dei sistemi obsoleti e a database di gestione delle modifiche contenenti dati non aggiornati. Tali sistemi e banche dati obsoleti non forniscono un contesto di sistema sufficiente per valutare e monitorare adeguatamente il rischio.
Tra le caratteristiche che influenzano la vulnerabilità di un sistema vi figurano: le applicazioni e i servizi in esso installati; gli utenti che effettuano l’autenticazione verso di esso e da esso; le sue interfacce di rete; i dati in esso memorizzati; nonché la configurazione e le impostazioni di sicurezza fondamentali. La classificazione automatica di gruppi di sistemi in base ad attributi in continua evoluzione costituisce la base per un inventario dinamico che possa effettivamente fungere da fondamento per le attività di rilevamento e risposta.
Un approccio combinato al rilevamento delle minacce
Il rilevamento delle minacce moderne richiede un approccio equilibrato. Nonostante tutti i propri limiti, i dati sulle minacce provenienti da fonti esterne — se applicati con un ambito di applicazione e una visibilità sufficienti in tutto l’ambiente — sono in grado di identificare e contestualizzare automaticamente un sottoinsieme di attività dannose. Strumenti specializzati di monitoraggio della sicurezza informatica ( endpoint ) e della rete possono fornire ulteriori meccanismi di rilevamento per individuare una gamma più ampia di modelli di attacco. Tali strumenti fungono da complemento alle pratiche volte a ricavare informazioni dal proprio ambiente e a rilevare automaticamente i cambiamenti che introducono anomalie o incidono sul profilo di rischio delle proprie risorse.
Non possiamo più proseguire lungo il percorso che abbiamo seguito negli ultimi 20 anni, dipendendo interamente da una fonte di dati standardizzata fornita dai fornitori di soluzioni di sicurezza per contrastare gli attacchi di tipo “ Detect ”. Fortunatamente, sia i responsabili politici che le imprese stanno iniziando a rendersene conto e stanno adottando procedure e tecnologie che consentono alle organizzazioni di comprendere appieno e difendere le proprie risorse.
Se desiderate approfondire questo argomento, potete consultare il testo completo del mio intervento tenuto in occasione del Cyber Disrupt Summit organizzato dal Center for Strategic and International Studies a Washington , disponibile qui (dal minuto 6:28 al minuto6:48 ).
Informazioni sull’autore: Nel suo ruolo di Chief Security Architect presso Tanium , Ryan Kazanciyan vanta oltre 14 anni di esperienza nei settori della risposta agli incidenti, dell’analisi forense e dei test di penetrazione. Ryan supervisiona la progettazione e la roadmap delle soluzioni " Threat Response " di Tanium e dirige il team "Endpoint Detection and Response" (EDR) di Tanium . Prima di entrare a far parte di Tanium, Ryan ha coordinato le attività di indagine e risoluzione dei problemi presso Mandiant , collaborando con decine di organizzazioni incluse nella classifica Fortune 500 che erano state oggetto di attacchi mirati. Ryan ha formato centinaia di esperti nella gestione degli incidenti in qualità di istruttore per Black Hat e per la squadra informatica dell’FBI. È uno degli autori del volume “Incident Response and Computer Forensics, 3ª edizione” (McGraw-Hill, 2014). Ryan lavora inoltre come consulente tecnico per la serie televisiva “Mr. Robot”, dove collabora con gli sceneggiatori e il team di produzione per ideare gli attacchi informatici rappresentati nella serie.
