Quando qualcosa non funziona, è utile fare un passo indietro e guardare alla propria situazione con una prospettiva nuova. Questo è il concetto, semplice ma incisivo, che Andy Ellis, esperto di sicurezza informatica, esporrà alla RSA Conference 2022.
Ellis ha lavorato nel settore della sicurezza informatica presso organizzazioni tra le più disparate, tra cui l’Aeronautica Militare degli Stati Uniti; ha contribuito a trasformare Akamai Technologies in un colosso di Internet; attualmente è partner operativo presso YL Ventures, società che finanzia e sostiene iniziative nel campo della sicurezza informatica, ed è stato inserito nella CSO Hall of Fame.
In quanto tale, è un maestro nel cogliere il quadro d’insieme. Metterà a frutto tale esperienza nel corso di una tavola rotonda all’RSA 2022, intitolata “: The Four Dimensions of Building a Security Program”, per esortare i CISO e gli altri responsabili della sicurezza a spostare l’attenzione dalle nuove tecnologie di tendenza e a concentrarsi invece con attenzione sugli aspetti fondamentali di una buona cyber hygiene.
Ellis ha fornito a Endpoint un’anteprima degli argomenti che tratterà durante la sua tavola rotonda (mercoledì, dalle ore 8 giugno, presso 8:30 alle ore 09:20 PT, presso il Moscone Center di San Francisco).
Passiamo quindi subito al titolo di quella tavola. Perché quattro dimensioni?
Quali quattro?
Certamente. Ma facciamo un passo indietro. Troppo spesso, il nostro approccio alla sicurezza si basa sulle liste di controllo. L’ ISO [Organizzazione internazionale per la normazione] fornisce ai professionisti della sicurezza un elenco di 900 azioni che dovremmo intraprendere. Alla fine ci limitiamo a scegliere alcune voci dall’elenco e ci concentriamo sul portarle a termine.
«. Queste sono le uniche due metriche che contano: ciò che si possiede e quanto sia difficile scoprirlo.»
Questo intervento ci invita a prendere un po’ di distanza da tutto ciò e a riflettere su alcuni aspetti. La prima domanda è: sa almeno quali elementi del Suo ambiente informatico devono essere protetti? Tutti rispondono sempre: «Certo, proteggiamo innanzitutto i nostri beni più importanti». Tuttavia, la realtà è che il vostro asset più rischioso raramente è anche quello più importante. L'attività più rischiosa è quella che si trova accanto alla vostra attività più importante e che ha accesso ad essa.
Ma nessuno presta attenzione a tale risorsa. Nessuno sa nemmeno che esista. Ecco perché è fondamentale riflettere innanzitutto sulla visibilità , sulla e sulla copertura , e ciò non riguarda solo il numero e la tipologia delle risorse di cui disponete, ma anche il processo attraverso il quale potete conoscere il vostro inventario delle risorse . E dovrete imparare ad accettare ciò che non sapete riguardo al vostro patrimonio. Sa quanti asset cloud di possiede? Vada a cercare quel numero. Prestino attenzione a quanto sia difficile ottenere quel numero. Questi sono gli unici due parametri che contano per voi: ciò che possedete e quanto sia difficile stabilirlo.
Tuttavia, potete effettuare un altro conteggio dell’inventario dei beni in 15 minuti e otterrete un risultato diverso.
Ma va bene così; il numero effettivo non ha importanza. Ciò che conta è quanto sia difficile raggiungere tale cifra. Infatti, se il numero delle istanze cloud cambia ogni 15 minuti, ma Lei impiega sei settimane per individuarlo, allora è evidente che non conosce i Suoi sistemi né ciò che essi contengono. Dopotutto, se ciò fosse vero, non potreste nemmeno ottenere regolarmente una stima approssimativa del valore dei vostri beni.
Successivamente, una volta individuato un metodo per ottenere il numero delle vostre risorse, dovreste essere in grado di stabilire le priorità dei sistemi in base al rischio. Sa quali sono i suoi sistemi più preziosi? Chi ha accesso ai Suoi beni più preziosi? Torneremo su questo aspetto tra un attimo. Descrivo questo concetto in termini di dimensioni. Abbiamo discusso della prima dimensione, ovvero l’ampiezza della copertura in materia di sicurezza.
Questo ha perfettamente senso: innanzitutto, individuate ciò che dovete gestire e proteggere, quindi quantificate la vostra superficie di attacco. Qual è la prossima dimensione?
La seconda dimensione è la completezza dei Suoi controlli. Considero la seconda dimensione come l’altezza e ciò che la maggior parte delle persone era solita chiamare profondità.
«: La Linea Maginot non funziona quando l’avversario agisce rapidamente.» Inoltre, nel mondo cibernetico, gli avversari agiscono con una rapidità infinita.”
Ritengo che il modo in cui la maggior parte delle persone utilizza il termine “difesa a più livelli” sia pessimo. In realtà ho introdotto l’intervento parlando della Linea Maginot , le difese che i francesi costruirono lungo il confine con la Germania nel 1930s, come classico esempio di difesa in profondità. Ma la Linea Maginot non funziona quando l’avversario agisce rapidamente. Inoltre, nel mondo cibernetico, gli avversari agiscono con una rapidità infinita.
La seconda dimensione valuta il grado di allineamento dei Suoi controlli. Prendiamo ad esempio l'autenticazione multifattor e [MFA]. Spesso le persone affermano di disporre di due fattori e ritengono che due fattori siano il doppio di quanto sia buono. Ebbene, se questi due passaggi comportano l’inserimento di una password su , e successivamente il sistema invia un SMS, e Lei digita il numero contenuto nel messaggio in un campo, vi sono molti modi in cui tale procedura può essere compromessa. In primo luogo, l’autore dell’attacco ottiene la password, quindi ricorre a tecniche di ingegneria sociale per creare una situazione che gli consenta di intercettare il messaggio di testo. È già successo molte volte.
Siamo sempre esposti a minacce quali gli attacchi “man-in-the-middle” e l’ingegneria sociale. Quindi, quella forma di MFA è forse migliore del 25%?
Potrebbe essere migliore del 25%, ma l’avversario ha tutto il tempo del mondo. Considerando che, forse, se dispongo di un’autenticazione a più fattori (MFA) basata sul protocollo FIDO [Fast Identity Online] e di un certificato X.509 che la attiva, risulta molto più difficile per un malintenzionato isolare e attaccare tali controlli. Quindi questi si sommano, e forse in effetti sono migliori del 100%.
[Legga anche: 5 grafici che illustrano la crisi di visibilità del settore IT]
Tenendo presente ciò, inizi a esaminare attentamente tutte le aree di controllo del Suo sistema. Sa cosa c'è nel sistema? Dal punto di vista della gestione delle vulnerabilità, sa se il sistema è adeguatamente mantenuto? Sa quanto sia ben configurato il sistema? Proteggete le vostre identità all’interno del sistema? Limitate il numero di persone che hanno accesso al sistema? In gran parte si tratta semplicemente di nozioni di base. Ma se non si è consapevoli di aver applicato tale approccio globale, si presenta un problema.
Parlo anche brevemente della sfida rappresentata dalla misurazione. Prendiamo ad esempio , un servizio di gestione delle vulnerabilità. In definitiva, è auspicabile misurare un elemento come lo SLA [accordo sul livello di servizio] di , che valuta l’efficacia del vostro processo, piuttosto che qualsiasi parametro che si limiti a indicare il vostro carico di lavoro nell’ambito di tale processo. Ritengo che il nostro approccio alle metriche relative alla gestione delle vulnerabilità sia del tutto errato.
Consiglia di abbandonare metriche quali il “mean time”, ovvero il tempo medio necessario per risolvere le vulnerabilità critiche, e altri indicatori chiave di prestazione [KPI] comunemente utilizzati?
Ebbene, mi piace utilizzare una SLA. Nel frattempo, si tratta di una mossa tattica. E il "nel frattempo" significa sostanzialmente: quale sarebbe la mia mediana se la raggiungessi nel 50% dei casi? Questo potrebbe quindi rivelarsi utile, ma ciò che dovete fare è scegliere uno SLA e misurare in quale percentuale dei casi riuscite a rimanere al di sotto dei valori previsti.
Se utilizza il tempo medio e ha un elemento che non ha mai patch, il tempo medio continua ad aumentare. Oppure potrebbe non incidere affatto sul tempo medio, a seconda di come lo si calcoli. Si tratta dell'unità di misura standard più utilizzata. Ed è una situazione terribile perché genera strane esternalità. Se disponete di vulnerabilità risolte e non risolte, le valutate in modo diverso? Ora disponete di due diversi indicatori per essi e, a un certo punto, potrete aggirare il sistema rifiutandovi di spostarli da una colonna all’altra.
È davvero affascinante. Allora, qual è la terza dimensione nella creazione di un programma di sicurezza?
La terza dimensione riguarda la profondità, ovvero la comprensione del percorso di attacco dell’avversario. E potete farlo raccontando storie su come le vostre difese riescano a fermarli.
Per avere successo, è necessario fare un paio di cose. Il primo consiste nel creare descrizioni dettagliate dei percorsi di attacco. Una descrizione tattica potrebbe essere la seguente: uno dei Suoi sistemi connessi a Internet presenta un software vulnerabile e chiavi non sicure che consentono l’accesso a un sistema più sensibile. Ecco, questo è un vettore di attacco; forse sarebbe opportuno applicare la patch più rapidamente o risolvere il problema della chiave non sicura.
Si consideri la narrazione relativa al ransomware “ ”. Tutti vanno nel panico quando si parla di ransomware. Nessuno parla di : una spiegazione molto chiara di cosa sia il ransomware. Il ransomware è un malware che compromette un computer e, successivamente, si diffonde lateralmente, il più delle volte utilizzando credenziali amministrative o vulnerabilità remote diffuse e ben note nei sistemi operativi più comuni.
[Leggi anche: Come bloccare il movimento laterale negli attacchi informatici]
Ecco tutto; questa è la storia del ransomware. Avete appena illustrato l’intero quadro della profondità, quindi potete ora parlare delle difese che interrompono tale catena. Ciò Le consente di riesaminare l’efficacia delle Sue difese e di chiedersi se disponga di un modo per impedire il movimento laterale degli amministratori. Avete implementato un sistema di amministrazione di Active Directory a tre livelli? In caso contrario, forse sarebbe opportuno eliminare semplicemente [Microsoft’s] Active Directory. Questo perché non è così brillante come crede di essere.
Ho consultato alcuni sondaggi in cui circa il 80% degli intervistati vittime di un attacco ransomware afferma che gli autori dell’attacco abbiano preso di mira Active Directory, che consente al reparto IT di gestire utenti, applicazioni, dati e simili. Dalle stesse indagini è emerso che circa il 90% delle organizzazioni non era in grado di gestire efficacemente Active Directory.
Esatto. Il dieci per cento delle aziende che implementano Active Directory dispone delle competenze necessarie per gestirlo in modo sicuro. E sto semplicemente tirando fuori quella cifra dal nulla. Credo che in realtà sia inferiore a quella cifra.
”Utilizzi entrambi: i servizi MFA e quelli anti-phishing. Avete appena reso la vita molto più difficile agli autori delle minacce persistenti più sofisticate.”
Al giorno d’oggi, a causa del modo in cui Active Directory gestisce l’amministrazione del dominio per impostazione predefinita, si finisce per avere credenziali amministrative sui dispositivi periferici solo per un breve periodo. Ciononostante, il malware è in grado di leggerli. È proprio ciò che fa [lo strumento per hacker] Mimikatz . Esamina e identifica le credenziali amministrative. Quando ne individua uno, bene, ora ha il controllo dell’intera rete.
Se desiderate eliminare il ransomware, risolvete il problema relativo agli amministratori e implementate l’autenticazione a più fattori (MFA) su tutti i vostri sistemi di amministrazione. È un po’ come quando si tratta di risolvere un problema di phishing : non è che si debbano acquistare più servizi anti-phishing. È necessario che Lei adotti un sistema di autenticazione a più fattori (MFA) efficace.
E, a proposito, si raccomanda di adottare entrambe le misure: i sistemi MFA e i servizi anti-phishing. Ha appena reso la vita molto più difficile agli autori delle minacce persistenti più sofisticate. E in un certo senso avete persino semplificato la vita dei vostri utenti. Questa è la vostra terza dimensione.
E poi, la quarta dimensione è il tempo. I controlli di sicurezza sono simili alle aziende. Se un’azienda non cresce, sta morendo. Se una misura di sicurezza non si evolve, sta perdendo efficacia. Qual è la Sua visione di come sta migliorando? Se sta valutando il livello di conformità allo SLA per la gestione delle vulnerabilità, tale livello sta aumentando o diminuendo nel tempo? È necessario il coinvolgimento dei dirigenti per garantire che ciò venga mantenuto, oppure no? State migliorando il vostro "
" o state fallendo?
A suo avviso, quali sono gli errori più gravi che le aziende commettono nella definizione di un programma di sicurezza? E perché la conferenza che terrà è importante proprio in questo momento?
Veniamo tutti alla RSA, e cosa acquistiamo? Acquistiamo tutto ciò che è in offerta presso RSA. Di solito è proprio quello che succede.
Ma dobbiamo fare un passo indietro e chiederci: di cosa abbiamo bisogno per garantire la sicurezza delle nostre imprese? Qual è la mossa giusta da compiere ora? E poi lo sviluppi partendo dai principi fondamentali. Non sto suggerendo che le persone rimangano paralizzate e non facciano nulla finché non abbiano un piano perfetto.
Si consideri l’identificazione delle risorse. Il modo più semplice per gestire l'identificazione delle risorse è utilizzare un foglio di calcolo. Basta aprirne uno e inserire i Suoi server nel cloud pubblico, indicando in un apposito campo il numero di server di cui dispone. Supponiamo che al momento non lo sappia. Va bene, perfetto. Cos’altro ha? Disponete di computer fissi aziendali? Lo metta lì dentro. Servizi aziendali? Cominci semplicemente a elencarli tutti e, man mano che riceve le risposte, le inserisca nell’elenco. Si preoccupi di come organizzare il tutto in modo sistematico.
Ritengo che una delle principali sfide sia il fatto che, come professione, siamo ancora in fase di maturazione; tuttavia, il primo passo in questa direzione è rappresentato da una mentalità di tipo “cargo cult”. E non lo intendo in senso del tutto negativo. Abbiamo molti professionisti della sicurezza di grande talento. Ma noi, come settore, dobbiamo distaccarci dalle mode del momento e concentrarci su ciò che consentirà di ridurre i rischi.
