Le violazioni sono inevitabili se la vostra organizzazione dispone di dispositivi " endpoint " connessi alla rete Internet accessibile al pubblico. I responsabili della sicurezza informatica (CISO) ricorrono sempre più spesso a soluzioni e strategie volte a ridurre il tempo medio di rilevamento delle minacce ( ), il tempo medio di individuazione delle minacce (mean-time-to-Detect, MTTD) e il tempo medio di riparazione ( , MTTR). I team addetti alla risposta agli incidenti e alle indagini forensi riconoscono oggi la necessità di collaborare in modo più efficace per garantire che gli endpoint in loco e remoti siano configurati, controllati e protetti.
Un nuovo studio dell’analista Alissa Knight, intitolato “Isolated Castles: Incident Response in the New Work-From-Home Economy”, raccomanda vivamente ai CISO di concentrarsi sulla ricerca delle soluzioni di gestione più integrate endpoint e di una piattaforma di sicurezza in cui la gestione delle risorse e delle patch, la ricerca di artefatti, l’isolamento delle risorse e la raccolta di dati forensi possano essere implementate con rapidità e su larga scala.
Impact della pandemia
L’anno scorso, quando il mondo è stato costretto a rimanere a casa a causa della pandemia, gli autori degli attacchi hanno rapidamente individuato nuove falle nella sicurezza da sfruttare. Molti dipendenti che lavoravano da remoto si sono trovati immediatamente privi sia delle licenze che della larghezza di banda necessarie per supportare le VPN e, di conseguenza, non hanno avuto altra scelta che affidarsi ai server RDP (Remote Desktop Protocol). Tra le altre questioni relative alla sicurezza del lavoro da casa (WFH) figurano:
- Password predefinite dell'amministratore su router domestici e punti di accesso Wi-Fi
- Mancanza di un sistema di rilevamento delle intrusioni nella rete (IDS)
- Mancanza di un sistema di filtraggio web per individuare eventuali download indesiderati
- Mancanza di agenti per il rilevamento e la risposta (EDR ) relativi a endpoint
- L'uso diffuso di computer portatili personali non sicuri
La risposta agli incidenti in un contesto di lavoro da casa
Per le squadre di analisi forense, disporre di dati di alta qualità e in tempo reale è fondamentale. A seguito di un incidente, come si procede al trasferimento dei dati da un disco rigido 1TB situato nell’ufficio domestico di un utente remoto a un’unità di archiviazione basata sul cloud? Il caricamento dell'immagine da remoto tramite una connessione DSL o via cavo richiederebbe troppo tempo.
Una possibilità è quella di spegnere il portatile e inviarlo a un perito forense. Tuttavia, ciò può causare ulteriori problemi, tra cui:
- Perdita di dati forensi potenzialmente rilevanti presenti nella memoria volatile dopo lo spegnimento
- Mancanza di informazioni che consentano di stabilire se anche la rete domestica sia stata compromessa
- Il lavoratore da casa sarebbe costretto a fare affidamento su un dispositivo personale potenzialmente non sicuro oppure ad attendere una sostituzione che incide sulla produttività
Secondo Knight Ink, gli incidenti che coinvolgono i carichi di lavoro nel cloud e le unità di archiviazione possono comportare ulteriori complicazioni. A causa delle politiche adottate da alcuni fornitori di servizi cloud (CSP) di dimensioni più ridotte e dei loro ambienti multitenant, ai team forensi potrebbe non essere nemmeno consentito l’accesso ai log, agli avvisi e ad altri dati fondamentali. A seconda del tipo di server cloud in uso, un fornitore di servizi cloud (CSP) potrebbe inoltre impedire al team forense di acquisire le unità che devono essere analizzate.
Due consigli per una migliore gestione degli incidenti
Per migliorare la risposta agli incidenti nell’attuale contesto caratterizzato dal lavoro da casa e dall’approccio “cloud-first”, Knight Ink sostiene che i CISO dovrebbero adottare due misure fondamentali:
- Si assicuri di comprendere quale sia la quantità di dati che il Suo fornitore di servizi cloud (CSP) Le consente di acquisire in caso di un grave incidente di sicurezza. Inoltre, si assicuri di comprendere tutti i dettagli della procedura da seguire a tal fine. (Tali pratiche dovrebbero essere prese in considerazione anche al momento di valutare e selezionare un fornitore di servizi cloud.)
- Nella scelta di una piattaforma di gestione e sicurezza endpoint , si raccomanda di optare per una soluzione che offra le seguenti funzionalità:
- Asset di gestione: Non è possibile proteggere ciò che non si vede. Asset Tali funzionalità possono inoltre essere integrate con la gestione delle patch per ridurre ulteriormente i rischi legati all’ endpoint .
- Ricerca di artefatti: È necessario poter effettuare ricerche nelle risorse — sia in sede, presso le abitazioni dei dipendenti o nel cloud — alla ricerca di artefatti dannosi. Ciò è fondamentale per individuare fino a che punto si sia esteso il movimento laterale di un attacco.
- per la raccolta dei dati forensi: tale dovrebbe comprendere i log provenienti da Syslog sui sistemi basati su *nix, il registro eventi di Windows e i dispositivi di rete quali router e switch.
- Assete dell’isolamento: una volta che una risorsa IT è stata compromessa, è necessario isolarla o microsegmentarla per impedire ulteriori movimenti laterali. In sintesi, se disponete di risorse aziendali connesse a Internet, sarete vittime di una violazione. In questa era in cui si lavora da qualsiasi luogo, ogni organizzazione deve disporre di un piano di risposta agli incidenti ben definito e di una serie di procedure operative per essere pronta ad affrontare qualsiasi evenienza. In definitiva, ciò che conta è proteggere l’ endpoint , ed è giunto il momento di prepararsi meglio agli imprevisti, poiché questi possono verificarsi in qualsiasi momento.
Tanium offre Asset Discovery and Inventory (si apre in una nuova scheda), Patch Management (si apre in una nuova scheda) e moduli di risposta agli incidenti (si apre in una nuova scheda) che soddisfano tutti questi requisiti. La piattaforma unica di Tanium Le consente sia di rispondere rapidamente agli incidenti sia di eseguire analisi forensi complete con rapidità e su larga scala, indipendentemente dall’ubicazione delle Sue risorse.
