Solo poche settimane dopo la pubblicazione della prima pagina web del mondo, nell'autunno del 1991, 50 esperti di crittografia si sono riuniti in una piccola sala riunioni di un hotel della California per la prima conferenza RSA (RSAC). Oltre tre decenni dopo, il web ha trasformato la società e RSAC è il punto d’incontro centrale per coloro che lottano per proteggere il mondo digitalizzato in continua espansione.
L’RSAC, molto più grande di oggi, è il punto di partenza per alcuni dei più importanti annunci sulla sicurezza informatica da parte di governi e leader della sicurezza aziendale. È anche un forum di discussione chiave per gli esperti che si sforzano di stare un passo avanti agli aggressori.
La conferenza 45.000-person , che si terrà il 6-9 maggio, è così grande che ha una propria gravità, attirando numerosi eventi satellite vicino alla sua sede al Moscone Center di San Francisco. Uno di questi eventi vedrà la partecipazione di Melissa Bischoping, direttore della ricerca sulla sicurezza degli endpoint presso Tanium, che discuterà dei problemi che le aziende devono affrontare nella gestione di una marea crescente di vulnerabilità della sicurezza informatica e di come possono affrontare la sfida.
Le vulnerabilità sono alle stelle. Secondo il National Vulnerability Database del governo federale, circa 29.000 vulnerabilità ed esposizioni comuni (CVE) sono state documentate in tutto il mondo in 2023, rispetto a solo 15 in 1991. Ciò crea un ambiente informatico complesso e confuso che i leader aziendali devono affrontare.
Il trucco per una gestione efficace delle vulnerabilità, afferma Bischoping, è vedere sia le sfide che le opportunità inaspettate che questo panorama presenta. I nuovi progressi tecnologici e l'automazione su larga scala ti aiutano a "tagliare il rumore", dando priorità alle vulnerabilità che rappresentano la minaccia più grande per la tua azienda e facilitando le strategie che puoi implementare immediatamente per ridurre tale rischio. (Il suo discorso, “Actionable Insight for Vulnerability and Risk Management with Tanium Guardian”, si terrà presso la Stinson Room del Four Seasons SF il 6 maggio presso 12 PT e 8 maggio 16:15 PT.)
Focal Point ha incontrato Bischoping per conoscere la sua opinione sul boom dei CVE, sugli errori comuni commessi dalle aziende e sulle best practice da adottare.
(La seguente intervista è stata modificata per chiarezza e lunghezza.)
Le vulnerabilità sono aumentate negli ultimi due decenni. Perché?
La prima causa è l’aumento dell’adozione della tecnologia. Vent’anni fa, non tutti avevano un cellulare in tasca, un computer portatile in borsa e un server con cui connettersi in ufficio. Oggi la tecnologia è ovunque.
“Abbiamo raggiunto il punto in cui le persone non possono più capire ogni singola riga di codice e se è sicuro o meno.”
La seconda ragione è che sempre più persone sono alla ricerca di bug di sicurezza. Bug bounty e programmi di ricompensa hanno motivato i bravi ragazzi a trovare i bug prima che i cattivi lo facciano.
Infine, il software è sempre più complesso, con ulteriori livelli di dipendenze. Siamo arrivati al punto in cui le persone non possono più capire ogni singola riga di codice e se è sicuro o meno.
Quali problemi ha creato questo per le aziende che devono tenere traccia di tutto?
Tutti cercano di fare di più con meno. Non hanno spazio per più personale e non possono aumentare il loro budget. Nel frattempo, gli strumenti di allerta e i feed di intelligence sulle minacce inondano gli analisti della sicurezza informatica con più dati sulle vulnerabilità. Ricevono report che elencano migliaia di vulnerabilità nel loro ambiente, ognuna con un punteggio di gravità.
In che modo i piccoli team danno priorità a cosa agire quando le vulnerabilità si accumulano? All'inizio della mia carriera, ho pensato che avresti potuto risolvere i peggiori bug uno dopo l'altro. Non funziona così. Non è possibile scalare i team umani per far fronte alla crescente marea di dati sulle vulnerabilità.
Quali sono gli approcci comuni alla vulnerabilità che vedi adottare dalle aziende, e in che modo non sono all’altezza?
L'errore più comune è concentrarsi ciecamente sul numero Common Vulnerability Scoring System (CVSS) che indica la gravità del bug. I titoli si concentrano sui punteggi più alti perché quelli sembrano i più spaventosi. In realtà, un CVSS di 10 sul portatile di un utente seduto nel suo ufficio a casa è probabilmente meno preoccupante per me di un punteggio di 7 sul mio server di posta pubblica, ma il punteggio da solo non lo farà emergere. Ci sono punteggi CVSS più bassi che consentono violazioni ogni giorno.
"Tutti cercano di fare di più con meno... Nel frattempo, gli strumenti di allerta e i feed di intelligence sulle minacce inondano gli analisti della sicurezza informatica con più dati sulle vulnerabilità.
Un altro errore è ritardare l’applicazione di patch di vulnerabilità nell’infrastruttura di rete. Tradizionalmente non si mettono agenti endpoint su router e firewall, quindi c'è meno visibilità. La rete è anche mission-critical e questa bassa tolleranza per i tempi di inattività rende gli aggiornamenti più rischiosi. Il software dei dispositivi di rete è spesso obsoleto e soggetto a vulnerabilità davvero pericolose che vengono sfruttate da attori statali e operatori di ransomware.
[Leggi anche: La guida essenziale per rallentare il patching - le ragioni, i rischi, i rimedi]
Quali dovrebbero essere le migliori pratiche per la gestione delle vulnerabilità?
Il primo passo consiste nel tenere traccia delle vulnerabilità rilevanti per la tua infrastruttura. Ciò significa dare priorità alla visibilità utilizzando un inventario completo delle risorse hardware e software, oltre a raccogliere una buona telemetria.
“Se non gestisci la vulnerabilità, devi accettare il rischio”.
Una volta che si conoscono gli asset vulnerabili, è necessaria una strategia per la gestione delle vulnerabilità che vada oltre i semplici punteggi di criticità per esaminare fattori come la probabilità di exploit.
Ci sono strumenti per aiutare in questo. Sono un grande fan del sistema di punteggio di Exploit Prediction, che stima la probabilità che una vulnerabilità venga sfruttata in natura. Il Known Exploited Vulnerabilities Catalog della CISA, che elenca le vulnerabilità attivamente sfruttate, è un altro strumento utile, anche se spesso c'è un ritardo tra il primo exploit e la pubblicazione di una vulnerabilità in quell'elenco.
È inoltre necessario affrontare l'impatto reale di una vulnerabilità. Chiedi se stai prendendo di mira le vulnerabilità che potrebbero potenzialmente causare il maggior danno al tuo ambiente dando agli aggressori l'accesso ai tuoi gioielli della corona.
[Leggi anche: Classe RaaS – una guida difensiva agli attacchi ransomware-as-a-service]
Parlate con i proprietari delle unità aziendali per determinare fattori quali il costo di un exploit di un particolare sistema e il tempo necessario per riprendersi. È così che si avvia il processo di gestione del rischio. Se non gestisci la vulnerabilità, devi accettare il rischio.
In che modo la tecnologia può aiutare?
Hai bisogno di strumenti che ti aiutino a setacciare le migliaia di vulnerabilità annunciate ogni settimana e capire dove mettere la tua energia. I tuoi strumenti dovrebbero pre-visualizzare le vulnerabilità per te e dirti automaticamente dove si trova l'impatto. Ciò significa ponderare algoritmicamente una combinazione di previsione degli exploit, punteggi CVSS e criticità per trovare le vulnerabilità con l’impatto più significativo sul tuo ambiente. Il tuo set di strumenti dovrebbe essere in grado di combinarlo con l’intelligence sulle minacce per dare a tali exploit un contesto più ampio.
[Leggi anche: Ecco il tuo playbook di automazione della sicurezza per 2023, 2024, 2025…]
La tecnologia dovrebbe anche consigliare come implementare le modifiche e pre-creare playbook per aiutare a rimuovere alcuni passaggi manuali. Questo dà al tuo team il tempo di discutere con il proprietario dell'azienda cosa sta per accadere.
La tecnologia non è tutta la storia. Aiuta anche quando aumenti gli strumenti con l'intelligenza umana attraverso partnership che ti offrono informazioni umane affidabili sulla gestione dei rischi e delle vulnerabilità. Questo può aiutarti a navigare in una marea di dati e informazioni davvero complessa che continuerà a crescere.
Scopri altre interviste esclusive con i partecipanti che hanno parlato durante e intorno a RSA Conference 2024: Applying Past Lessons for Intel-Driven Identity Threat Detection
