In dicembre 2020, l’Agenzia statunitense per la sicurezza informatica e delle infrastrutture (CISA) ha emesso un avviso rivolto alle agenzie statunitensi, tra cui i Dipartimenti della Sicurezza Interna, di Stato e di Giustizia, in cui si segnalava che alcuni hacker avevano violato i loro sistemi informatici. Sebbene non sia chiaro quale quantità di dati governativi sia stata sottratta dagli hacker, la violazione ha consentito agli autori dell’attacco di sottrarre informazioni, eseguire file e disattivare i sistemi informatici.
Ciò che ha reso l’attacco particolarmente grave non è stata tanto la sua origine — gli esperti di sicurezza informatica indicano i membri di un gruppo di hacker russi — quanto piuttosto il mezzo da loro utilizzato per accedere ai sistemi informatici. Gli hacker sono riusciti a prendere il controllo di un noto strumento di monitoraggio e gestione IT, denominato Orion, prodotto dal fornitore di software di sicurezza SolarWinds. Hanno scoperto un modo per inserire codice dannoso in un aggiornamento di Orion, che è stato poi distribuito ai clienti di SolarWinds.
L'utilizzo di un “agente di fiducia” come Orion rappresenta una nuova e significativa minaccia per le agenzie federali. Non solo dovranno rivedere le proprie procedure di sicurezza informatica per far fronte a minacce inedite, ma dovranno anche rafforzare l’adozione delle misure di sicurezza di base per difendersi più efficacemente dalle numerose minacce convenzionali.
Molte organizzazioni non stanno perdendo tempo nell’apportare cambiamenti: secondo un sondaggio di DomainTools pubblicato a marzo, il 20% delle organizzazioni, comprese le agenzie governative, dichiara di aver già aumentato i propri budget destinati alla sicurezza informatica a seguito della violazione di SolarWinds e di destinare i fondi aggiuntivi a strumenti di analisi forense, iniziative di sicurezza informatica basate sul modello “zero trust” e al potenziamento del personale addetto al rilevamento delle minacce.
Colmare la lacuna nella copertura
Il primo passo per rafforzare la difesa informatica, all’indomani dell’incidente SolarWinds, consiste nel comprendere meglio i potenziali rischi rappresentati dagli agenti di fiducia ai quali è stato concesso l’accesso di tipo “ ” ai sistemi IT di un’organizzazione. La minaccia è talmente recente che le agenzie non dispongono di stime attendibili sul numero di tali strumenti o sistemi di cui dispone in media ciascuna agenzia. Le agenzie devono valutare i fornitori di cui si avvalgono per verificare se il valore che offrono giustifica il rischio e, qualora non fosse così, eliminare o raggruppare quelli che non lo fanno, afferma Garret Grajek, responsabile della divisione " CEO " di YouAttest, un fornitore di soluzioni per la conformità in materia di sicurezza.
«SolarWinds ci ha dimostrato che l’installazione di questi agenti avviene a nostro rischio e pericolo», afferma.
Altrettanto importante, secondo gli esperti di sicurezza, è che le agenzie si assicurino di prestare attenzione ai principi fondamentali della sicurezza.
Forse la misura più elementare consiste nell’ e l’applicazione di patch alle vulnerabilità non appena vengono individuate. SolarWinds ha già rilasciato una serie di patch software, pubblicato un avviso di sicurezza su e fornito agli utenti un nuovo certificato di firma digitale del codice, che utilizza la crittografia per garantire l’affidabilità del software. È quasi superfluo dire che le patch dovrebbero essere installate e aggiornate. Tuttavia, le organizzazioni dovrebbero anche assicurarsi di disporre di un programma completo di gestione delle patch per tutti i dispositivi connessi a Internet.
[Leggi anche: È giunto il momento di rivedere le vostre pratiche di gestione del software?]
Diventi un vigile urbano più competente
Una volta applicate le patch ai propri sistemi, gli enti governativi — in particolare quelli colpiti dalla violazione Orion — dovrebbero eseguire strumenti di rilevamento del malware per individuare eventuali codici dannosi. Oltre a eseguire la scansione dei propri sistemi, le agenzie dovrebbero anche effettuare ricerche su Internet per individuare i propri nomi host, afferma Bryson Bort, responsabile dell’ CEO ing presso Scythe, un fornitore di sistemi di emulazione degli attacchi. Ciò consentirebbe di individuare gli indirizzi IP falsi che si spacciano per il sito web dell’agenzia stessa.
Un ulteriore passo consisterebbe nel verificare il traffico di rete in uscita dai sistemi alla ricerca di connessioni che non rientrino nel profilo di traffico standard. Poiché il malware utilizzato nell’attacco a SolarWinds richiede un accesso esterno a Internet affinché gli hacker possano sottrarre dati, una connessione caratterizzata da tempi di risposta elevati potrebbe indicare che si stanno inviando file in Russia, afferma Bort.
Alcune agenzie devono svolgere compiti ancora più elementari. Secondo la CISA, alcune reti sono state compromesse perché gli hacker sono riusciti a indovinare le relative password; ciò suggerisce la necessità di adottare politiche che impongano l’uso di password più complesse o l’autenticazione a più fattori. Poiché gli hacker ricorrono spesso a tecniche di “ingegneria sociale” per indurre i dipendenti a rivelare le proprie password o a condividere informazioni sensibili, è indispensabile investire anche nella formazione sulla sensibilizzazione alla sicurezza informatica.
Coprire tutti gli endpoint
Un altro passo importante consiste nel rivalutare tutti gli endpoint in cui i sistemi informatici sono vulnerabili agli attacchi. Ciò comprende una verifica di tutti coloro che dispongono di accesso amministrativo ai sistemi di rete, nonché una valutazione delle misure di sicurezza relative a qualsiasi sensore o altro dispositivo IoT collegato alle loro reti, quali i sensori ambientali e quelli installati negli edifici. È opportuno verificare anche la sicurezza fisica dei locali in cui sono presenti sistemi critici.
«Le agenzie federali devono rivalutare tutti gli endpoint in cui i sistemi informatici sono vulnerabili agli attacchi.»
A lungo termine, le agenzie devono ripensare il modo in cui raccolgono, archiviano e classificano le crescenti quantità di dati che gestiscono. Ciò significa segmentare i dati in modo da poter applicare controlli di sicurezza più rigorosi all’accesso ai dati più sensibili.
L’Istituto Nazionale di Standard e Tecnologia (NIST) mette a disposizione un utile quadro di riferimento per la sicurezza informatica denominato “ ” ( ) per aiutare le organizzazioni a identificare le proprie risorse di dati più importanti, afferma Adam Nichols, responsabile del settore sicurezza software presso il fornitore di soluzioni di sicurezza informatica Grimm. (Un decreto esecutivo A 2017 impone ora alle agenzie federali di elaborare un piano per l’attuazione del quadro di riferimento.)
Proteggere le risorse critiche
Le agenzie possono inoltre avvalersi di strumenti di modellizzazione delle minacce per identificare le risorse critiche e i potenziali rischi e «per garantire che gli sforzi vengano concentrati innanzitutto sugli aspetti più importanti», afferma Nichols.
Proteggere tali risorse non si limita semplicemente all’aggiunta di un ulteriore livello di controllo degli accessi, come password, tessere magnetiche o lettori di impronte digitali, afferma Ani Chaudhuri, responsabile del reparto “ CEO” di Dasera, un fornitore di soluzioni per la sicurezza dei dati nel cloud. Il problema, afferma, è che i dipendenti o i collaboratori esterni che hanno accesso a dati sensibili possono (involontariamente o intenzionalmente) fare un uso improprio di tali informazioni. Per contrastare tale minaccia, le agenzie devono essere in grado di monitorare in tempo reale le modalità di utilizzo di tali informazioni.
«Molte organizzazioni ritengono di poter classificare i dati in categorie in base al loro livello di sensibilità e quindi collocare i dati più sensibili in una posizione fisica o logica dotata di protezioni aggiuntive», afferma. «L’unico modo in cui le organizzazioni possono proteggere realmente i dati sensibili è andare oltre il controllo degli accessi.»
In definitiva, il cambiamento più significativo richiesto alle agenzie governative potrebbe consistere proprio nel modificare la propria mentalità. La migliore difesa contro il prossimo attacco è la consapevolezza che esso avverrà; pertanto, i sistemi informatici delle agenzie devono essere progettati, testati e gestiti partendo da tale presupposto. «Partite sempre dal presupposto che l’organizzazione o l’agenzia subirà una violazione», afferma Bort di Scythe. «Il perimetro è fuori uso.»
