Quando la falla di sicurezza Log4j (si apre in una nuova scheda) ha alzato la sua brutta testa - permettendo ai criminali informatici di penetrare le reti di computer vulnerabili con una sola linea di codice - sembrava essere una minaccia di sicurezza informatica una volta in blu-moon, una vulnerabilità nucleare zero-day che doveva essere patchata immediatamente.
Ma poi, prima che si potesse dire déjà vu, è arrivato il Spring4Shell (si apre in una nuova scheda) zero-day, che ha conquistato più titoli, messo nel panico i dirigenti senior e mandato i team di sicurezza in overdrive 24/7 .
I tempi sono certamente cambiati. In passato, gli hacker criminali sfruttavano in modo affidabile tali zero-day (difetti di codice che un creatore o un fornitore di software non sa esistere fino a quando non vengono trovati o sfruttati) ogni pochi anni circa.
Ora, poiché le aziende e i governi si affidano sempre più a software di terze parti per eseguire reti e app organizzative, questi zero-day stanno diventando più frequenti e gravi.
Restate a caccia!
Ma i professionisti della sicurezza IT, e i dirigenti e i consigli di amministrazione a cui rispondono, si chiedono: gli zero-day stanno davvero aumentando e peggiorando? O i ricercatori di sicurezza e i cacciatori di bug che scovano questi difetti stanno solo migliorando nel loro lavoro?
“Ogni giorno zero non è uno scenario critico per tutti”.Melissa Bischoping, direttrice della ricerca sulla sicurezza degli endpoint , Tanium
Melissa Bischoping, direttrice della ricerca sulla sicurezza degli endpoint presso Tanium, ritiene che sia la seconda. “Si stanno verificando più zero-day, in parte perché così tante persone li stanno cercando”, afferma Bischoping, che gestisce anche laboratori di caccia alle minacce. “Ogni giorno zero non è uno scenario critico. La minaccia incombente dei "grandi" ti tiene sveglio la notte, ma quelli sono solo una frazione degli zero-day che vediamo. Consiglio alle persone di valutare e reagire di conseguenza in base alla gravità, non solo al fatto che si tratta di un giorno zero.
Detto questo, avverte che è fondamentale per i professionisti della sicurezza rimanere a caccia. Dato il modo in cui gli hacker criminali possono utilizzare una singola vulnerabilità per creare un caos diffuso (vedi l'hack SolarWinds e il suo impatto su aziende e governi), rimanere al di sopra degli zero-day è fondamentale per la sicurezza della rete.
Gli exploit zero-day stanno diventando sempre più gravi
Steve Wilson, Chief Product Officer di Contrast Security, che fornisce una piattaforma unificata per aiutare gli sviluppatori a codificare in modo più sicuro, vede un aumento del numero e della gravità degli exploit zero-day a livello di applicazione, dove Contrast concentra il suo lavoro. Una ragione chiave, dice, è che gran parte del codice software che le imprese usano oggi è stato scritto molti anni o addirittura decenni fa. Apache Log4j, una libreria Java, ha una storia di 20 anni ed è in gran parte mantenuta da volontari (si apre in una nuova scheda), nota Wilson.
"Molte delle ipotesi fondamentali in queste librerie sono state fatte in un momento in cui gli sviluppatori sapevano meno su come costruire codice sicuro", dice Wilson. “Gli hacker stanno ora guardando chiaramente a questi ecosistemi più vecchi e altamente distribuiti, dove le crepe nell’armatura possono avere ripercussioni enormi”.
Una superficie di attacco in crescita
Tony Lauro, Director of Security Technology and Strategy di Akamai Technologies, concorda sul fatto che le minacce zero-day persisteranno nel prossimo futuro, in gran parte perché molte aziende stanno digitalizzando, passando al cloud (si apre in una nuova scheda) e lasciando lavorare i dipendenti da remoto (si apre in una nuova scheda) da una varietà di dispositivi endpoint .
“Sfortunatamente, vedremo che questo problema peggiorerà prima che migliori, perché ci saranno più superfici di attacco disponibili per gli aggressori”, afferma Lauro. E certamente, con tutte le nuove generazioni che stanno arrivando online, ci saranno sicuramente più gruppi di vittime.
Inoltre, gli exploit zero-day potrebbero aumentare perché stanno diventando fonte di denaro per il mondo criminale informatico. Il direttore della sicurezza informatica della NSA, Rob Joyce, ha dichiarato a un panel alla conferenza RSA di quest’anno che le bande di ransomware stanno usando i loro profitti per acquistare exploit zero-day e che la sua agenzia è preoccupata per quanto velocemente i criminali possono sfruttare le vulnerabilità del software appena divulgate.
Il cielo non cade, finché non è
Sebbene alcuni exploit zero-day possano sembrare più minacciosi di quanto non siano in realtà, i reparti di sicurezza IT devono prenderli tutti sul serio e fare del loro meglio per difendersi da essi.
“Stanno ricevendo 150.000 diversi avvertimenti su varie vulnerabilità, e questo può essere quasi intorpidito”.Frank Dickson, vicepresidente del gruppo, IDC
Alcuni team di sicurezza si oppongono a questo approccio. Hanno passato anni ad ascoltare venditori, ricercatori e sviluppatori di software che segnalavano nuovi zero-day che finivano per diventare hamburger. Inoltre, la maggior parte dei team di sicurezza è oberata di lavoro, a corto di personale e sottofinanziata. In quanto tali, tendono a ignorare gli allarmi non urgenti.
“Si tratta di ‘alert fatigue (si apre in una nuova scheda)’”, afferma Frank Dickson, Group Vice President di IDC. “Stanno ricevendo 150.000 diversi avvertimenti su varie vulnerabilità, e questo può essere quasi paralizzante”.
Dickson afferma che le aziende devono prima affrontare tali frustrazioni. Devono inoltre affrontare la minaccia rappresentata dagli zero-day apportando alcune modifiche evidenti e meno evidenti alla loro igiene informatica (si apre in una nuova scheda), come:
- Fornire patch efficaci, la prima volta. Questa è sui fornitori di software. In effetti, molti zero-day di Google sono spesso vulnerabilità precedentemente patchate (si apre in una nuova scheda), ha scritto Maddie Stone, un ricercatore di sicurezza di Project Zero (si apre in una nuova scheda). E la prevenzione? Stone ha osservato che almeno la metà degli zero-day studiati “avrebbero potuto essere evitati con patch e test di regressione più completi”. È un po’ come una squadra antincendio che estingue un incendio, ma manca la brace che potrebbe alla fine prendere il vento e trasformarsi in una tempesta di fuoco completamente nuova. "Essere in grado di applicare correttamente e in modo completo patch non è solo premere un interruttore: richiede investimenti, priorità e pianificazione. Richiede anche lo sviluppo di un processo di patching che bilancia sia la protezione rapida degli utenti che la garanzia che sia completa.
- Non è possibile proteggere o correggere ciò che non si può vedere, e i sondaggi hanno dimostrato che molti CIO non hanno visibilità (si apre in una nuova scheda) in tutte le loro risorse on-premise e basate sul cloud. La prima cosa che un dirigente di alto livello chiederà a un CISO o a un CIO quando scoppia uno zero-day è: “Quanto devo preoccuparmi di questo?” “E’ la fine del mondo per noi o no?” dice Bischoping di Tanium. È qui che possono essere cruciali solide piattaforme di osservabilità dei dati e di gestione degli endpoint (si apre in una nuova scheda). Possono aiutare i CIO e i loro team a colmare le lacune tra i silos di dati, vedere cosa sta succedendo con gli endpoint e determinare più rapidamente i livelli di esposizione zero-day.
Per inciso, esistono molti strumenti di gestione delle risorse di classe enterprise che possono aiutare in questo, ma altrettanto importante è affrontare la cultura della depriorizzazione della sicurezza informatica e dell’igiene per motivi di velocità.
- Ferma il gioco della colpa della codifica. Le vulnerabilità accadono. Lo faranno sempre. Ma accadono più spesso quando product manager o marketer spingono gli sviluppatori a scrivere codice così velocemente che non c’è tempo per la revisione o la correzione della sicurezza. Le tempistiche dei prodotti sono costruite intorno alla consegna di un prodotto sul mercato. La sicurezza informatica è spesso una casella di controllo verso la fine di tale processo.
Dovremo tutti continuare a combattere gli zero-day. L’unica giornata facile è stata ieri”.Tony Lauro, Director of Security Technology and Strategy, Akamai Technologies
Dickson dice che deve cambiare. Le organizzazioni devono incentivare gli sviluppatori di software a raggiungere gli obiettivi di sicurezza. “Oggi gli sviluppatori vengono ricompensati per la loro capacità di consegnare i prodotti entro una scadenza e aumentare le entrate, ma non li compensiamo necessariamente per la codifica sicura”, afferma. “Dovremmo. Guidare un paradigma di sicurezza dall’alto verso il basso nelle organizzazioni è estremamente importante”.
Bischoping aggiunge che è anche fondamentale evitare di colpire gli sviluppatori con un bastone quando compaiono vulnerabilità occasionali e diventano zero-day. "Dobbiamo fermare questa cultura di assegnare la colpa quando c'è una violazione", afferma. "Sì, si vuole essere in grado di tornare indietro e determinare se il codice è stato scritto male e cercare di vedere se i processi sono stati seguiti. Ma adottare un approccio punitivo è controproducente e non risolve davvero nulla. È necessario concentrarsi invece sulla comprensione delle lacune che hanno introdotto la vulnerabilità e su come migliorare continuamente con ogni analisi della causa principale”.
- Considerare la gestione della superficie di attacco. I CIO aumentano la superficie di attacco (si apre in una nuova scheda) ogni volta che adottano un nuovo servizio cloud o forniscono più endpoint per supportare la crescita aziendale e la trasformazione digitale. Dickson di IDC afferma che uno degli approcci più recenti da considerare per affrontare gli zero-day è la gestione della superficie di attacco (ASM). Ciò è definito come il rilevamento continuo, l’inventario, la classificazione e il monitoraggio dell’infrastruttura IT di un’organizzazione. Cerca di immaginare questi compiti di sicurezza dal punto di vista di un aggressore. Questi strumenti eseguono costantemente e automaticamente il ping delle reti, proprio come potrebbe fare un hacker, alla ricerca di potenziali vettori di attacco.
- Crea un playbook zero-day vivente. Molte organizzazioni oggi dispongono di playbook su ciò che faranno se colpiti da un attacco ransomware (si apre in una nuova scheda ). Sono spesso uno sforzo collaborativo da parte di personale aziendale, finanziario, legale, delle risorse umane e tecnico. Hanno bisogno di un piano di risposta agli incidenti specifico (si apre in una nuova scheda) anche per gli zero-day.
Ciò è dovuto principalmente alla natura imprevista degli zero-day, che spesso possono passare da vulnerabilità a exploit e attacchi in pochi giorni. Inoltre, poiché i fornitori in genere vengono a conoscenza delle vulnerabilità molto tempo dopo la loro creazione, non sempre hanno a disposizione una patch efficace. Molte volte, il meglio che possono fare è offrire suggerimenti temporanei di modifica della configurazione, in attesa di
un aggiornamento.
Bischoping consiglia di creare e aggiornare costantemente un playbook per coprire argomenti come:
- In che modo i vari avvisi zero-day saranno prioritari per l’azione
- Chi sarà avvisato e quando, sia all’interno che all’esterno dell’organizzazione
- Quali misure tecniche saranno adottate per saperne di più e risolvere ogni livello di minaccia
- Quali sistemi IT saranno affrontati per primi in base alla loro criticità per l’azienda
- Quali misure di audit saranno adottate per mostrare ai dirigenti aziendali, agli investitori e alle autorità di regolamentazione che sono state prese misure adeguate per gestire il problema
"Se ci metti tutto il lavoro ora, quando i cinque campanelli d'allarme si spegneranno, avrai la sicurezza di sapere che la maggior parte di ciò che dovrai fare è proprio lì nel tuo playbook", afferma Bischoping.
Gli attacchi zero-day non sono una conclusione scontata. Potrebbero non influenzare la maggior parte delle organizzazioni, ma non stanno andando via.
“La battaglia non è finita. Dovremo tutti continuare a combattere contro gli zero-day”, afferma Lauro di Akamai. “L’unico giorno facile è stato ieri, essenzialmente”.
