Tanium’s Technical Account Managers are working closely with our customers to address the Meltdown and Spectre microprocessor vulnerabilities. Here’s a look at some of the ways we’ve started to help with visibility, patching, performance monitoring and detection and response.
(Immagine: Geralt / Pixabay)
Due gravi vulnerabilità nell’hardware dei processori moderni – denominate Meltdown e Spectre – hanno spinto i professionisti della sicurezza informatica e dell’IT ad adoperarsi per rafforzare la sicurezza dei dispositivi. I microprocessori interessati sono presenti praticamente in ogni computer del mondo, dai computer desktop ai server e persino nelle infrastrutture ospitate nel cloud. Poiché Meltdown e Spectre comprendono una serie complessa di vulnerabilità hardware, non è possibile risolverle facilmente con un’unica soluzione. Per risolverli è necessario un intervento in più fasi che coinvolga i team IT e di sicurezza, al fine di portare a termine le seguenti azioni:
- Identificare e catalogare le apparecchiature e le altre risorse;
- Verifica della compatibilità;
- Deploy aggiornamenti per l’hardware, i sistemi operativi e le applicazioni interessati; e
- Monitorare le prestazioni del sistema.
I Technical Account Manager (TAM) di Tanium stanno collaborando con i nostri clienti per implementare la piattaforma Tanium al fine di affrontare tali sfide. Di seguito vi presentiamo alcune delle iniziative che abbiamo avviato per migliorare la visibilità, la gestione delle patch, il monitoraggio delle prestazioni e il rilevamento e la risposta alle minacce.
Visibilità
Le organizzazioni dovranno redigere un elenco completo di tutti i sistemi il cui hardware è interessato da tali vulnerabilità. Spectre riguarda i processori Intel, AMD e ARM, mentre Meltdown riguarda esclusivamente i processori Intel . I contenuti principali di Tanium consentono di raccogliere informazioni complete sull’hardware, tra cui il produttore della CPU e i dettagli del processore, tramite semplici richieste quali “Ottieni i dettagli della CPU”. Ciò può aiutare a identificare i sistemi che utilizzano l’hardware “ Intel ”, specificatamente vulnerabili a Meltdown.
Tanium Asset si basa su questi contenuti aggregando e consolidando decine di attributi di endpoint — tra cui hardware, sistema operativo, software, patch e dati degli utenti — in report di inventario accurati e completi.
La necessità di questi dati va ben oltre le semplici informazioni relative alla CPU; molte applicazioni di terze parti, come i browser web, sono interessate dalla vulnerabilità Spectre e richiederanno aggiornamenti futuri. Data la portata del problema, le organizzazioni dovranno garantire con sicurezza la visibilità e il controllo sulle versioni del software vulnerabile installato nei propri ambienti per mesi.
Applicazione delle patch
Per far fronte alla vulnerabilità Meltdown, le organizzazioni dovranno gestire una combinazione di patch per il sistema operativo e per l’hardware fornite dai produttori OEM. Il sito web dedicato a Meltdown e Spectre contiene un elenco di link alle ultime comunicazioni e agli aggiornamenti dei fornitori. Tuttavia, come per qualsiasi operazione di applicazione di patch, può risultare complesso distribuire rapidamente i file su larga scala, verificarne l’installazione e adottare misure correttive qualora si verifichino risultati imprevisti.
L'architettura “ Tanium ” è stata progettata per consentire a un singolo server “ Tanium ” di distribuire e installare in modo efficiente le patch e i file di supporto, anche su centinaia di migliaia di sistemi. Tanium Patch Si basa su ciò, offrendo potenti funzionalità per Windows la gestione delle patch e la distribuzione, tra cui la pianificazione, le liste nere e i flussi di lavoro personalizzati. I contenuti aggiuntivi di “ Tanium ” consentono di distribuire patch e altri pacchetti personalizzabili sulle piattaforme Linux, OS X, Solaris e AIX . Nel corso dell’ultimo anno, i Technical Account Manager di Tanium hanno collaborato con i clienti in occasione di incidenti precedenti (come WannaCry) per aiutarli a migliorare la rapidità e l’efficacia dei loro programmi di applicazione delle patch.
A complicare ulteriormente la situazione, Microsoft ha segnalato che alcuni software antivirus potrebbero presentare problemi di compatibilità con le patch di Windows , causando schermate blu e altri errori. Al fine di ridurre il rischio che un aggiornamento automatico renda i sistemi inutilizzabili, Microsoft ha richiesto che il software antivirus imposti un valore specifico del Registro di sistema (ad esempio, durante un aggiornamento di compatibilità o un hotfix) per attestare la propria compatibilità con la patch.
Tanium I clienti potranno verificarlo in pochi secondi, utilizzando un sensore come “Registry Key Value Exists”, per capire quali sistemi dispongono o meno di tale valore. Grazie a una combinazione di domande e sensori che forniscono informazioni sulle applicazioni installate, un’organizzazione può monitorare lo stato degli aggiornamenti antivirus e verificare che siano state apportate le modifiche necessarie al Registro di sistema.
Performance Monitoraggio
Le misure di mitigazione implementate da queste patch possono influire negativamente sulle prestazioni del processore in presenza di determinati carichi di lavoro. Il grado esatto di sovraccarico sembra variare in modo significativo a seconda dei tipi di software e hardware in uso. Tale incertezza comporterà delle sfide per le organizzazioni che gestiscono sistemi in cui le prestazioni sono fondamentali, dispongono di macchine virtuali su hardware sovrautilizzato o devono definire con precisione il budget per gli ambienti ospitati nel cloud.
Tanium offre la possibilità di ottenere metriche dettagliate sulle prestazioni, tra cui il consumo di CPU per processo e l’utilizzo delle applicazioni, su sistemi Windows, Linux, OS X e Unix. Analizzando l’andamento di questi dati, le organizzazioni possono facilmente visualizzare e monitorare le prestazioni (e qualsiasi altro set di dati o parametro di endpoint ) nel corso del tempo. Procedere in tal senso prima di applicare le patch può aiutare a stabilire un quadro di riferimento sull’attuale utilizzo delle risorse in ciascun gruppo di sistemi interessati. Dopo l’applicazione delle patch, ciò può aiutare a verificare l’entità delle modifiche apportate al comportamento del processore e a identificare rapidamente i sistemi che presentano un andamento prestazionale negativo o che richiedono modifiche.
Rilevamento e risposta
Secondo i ricercatori, le tecniche che sfruttano le vulnerabilità Spectre e Meltdown possono risultare difficili da distinguere dal normale comportamento delle applicazioni. Le organizzazioni non dovrebbero aspettarsi che i propri strumenti di EDR o anti-malware siano in grado di Detect questa categoria di attacchi. Tuttavia, per sfruttare tali vulnerabilità, un malintenzionato deve innanzitutto acquisire la capacità di eseguire codice dannoso su un sito endpoint preso di mira. Grazie a questa condizione preliminare, i team hanno la possibilità di mitigare gli attacchi prima che questi rilascino payload post-compromissione sfruttando Spectre o Meltdown. Le organizzazioni dovrebbero continuare a concentrarsi sull’eliminazione delle tattiche basate sul “minimo comune denominatore” che consentono agli aggressori di ottenere l’accesso iniziale, stabilire una presenza iniziale e muoversi all’interno dell’ambiente preso di mira.
Tanium Threat Response offre una soluzione completa per il rilevamento e l’analisi delle attività dannose, comprese le fasi delle tecniche utilizzate dagli autori degli attacchi classificate secondo il framework MITRE ATT&CK. Il team Endpoint Detection and Response (EDR) di Tanium fornisce ai clienti un feed di segnali aggiornato regolarmente per la generazione di avvisi in tempo reale e flussi di lavoro di Enterprise Hunting, al fine di facilitare l’identificazione delle anomalie. Threat Response offre inoltre un ampio supporto per i feed di terze parti IOC e per i fornitori di servizi di reputazione.
La straordinaria ricerca alla base della scoperta di Meltdown e Spectre, unitamente alla vastissima portata dei dispositivi interessati, giustifica ampiamente il loro status di vulnerabilità “storiche”. Ciononostante, i principi fondamentali delle operazioni di sicurezza necessari per reagire e mitigare i rischi, dall’identificazione delle risorse interessate all’attuazione di misure correttive e al monitoraggio dei risultati, rimangono ben noti. In precedenza abbiamo descritto diversi metodi e componenti della piattaforma Tanium che stanno già aiutando i nostri clienti a reagire a questa improvvisa divulgazione. Man mano che questa vicenda si evolve, continueremo il nostro lavoro e forniremo aggiornamenti di conseguenza.
Partecipi alla discussione nella community “ Tanium ” per ulteriori informazioni su come possiamo contribuire alla lotta contro Meltdown e Spectre.
Le interessa vedere “ Tanium ” in azione? Fissate un appuntamento con per una dimostrazione individuale oppure partecipate al nostro webinar settimanale. Si rivolga ai nostri esperti di “ Tanium” in occasione dei nostri prossimi eventi “ ”.
