Sorpresa! Si tratta di un’altra vulnerabilità zero-day

When the Log4j security flaw (opens in a new tab) reared its ugly head — allowing cybercriminals to penetrate vulnerable computer networks with a single line of code — it seemed to be a once-in-a-blue-moon cybersecurity threat, a nuclear zero-day vulnerability that needed to be patched immediately.

But then, before you could say déjà vu, the Spring4Shell (opens in a new tab) zero-day came along, capturing more headlines, panicking senior executives, and sending security teams into 24/7 overdrive.

I tempi sono certamente cambiati. In passato, gli hacker criminali sfruttavano con regolarità tali vulnerabilità zero-day (vulnerabilità nel codice di cui lo sviluppatore o il fornitore del software ignora l’esistenza fino a quando non vengono individuate o sfruttate) ogni pochi anni circa.

Oggi, poiché le aziende e le amministrazioni pubbliche fanno sempre più affidamento su software di terze parti per la gestione delle reti e delle applicazioni aziendali, queste vulnerabilità zero-day stanno diventando sempre più frequenti e gravi.

Rimanete in lizza!

Ma i professionisti della sicurezza informatica — nonché i dirigenti e i consigli di amministrazione ai quali fanno riferimento — si chiedono: gli attacchi zero-day stanno davvero aumentando e diventando più gravi? Oppure i ricercatori nel campo della sicurezza e i cacciatori di bug che scovano queste vulnerabilità stanno semplicemente diventando più bravi nel loro lavoro?

“Non tutti gli zero-day richiedono un intervento immediato da parte di tutto il personale.”

Melissa Bischoping, responsabile della ricerca sulla sicurezza presso l’ endpoint , Tanium

Melissa Bischoping, direttrice della ricerca sulla sicurezza " endpoint " presso Tanium, ritiene che sia la seconda ipotesi. «Si stanno verificando sempre più vulnerabilità zero-day, in parte perché ormai sono in molti a cercarle», afferma Bischoping, che tiene anche seminari dedicati alla ricerca delle minacce. «Non tutte le vulnerabilità zero-day comportano una situazione critica che richiede l’intervento di tutto il personale.» La minaccia incombente dei “grandi attacchi” vi tiene svegli la notte, ma quelli rappresentano solo una minima parte degli attacchi zero-day che osserviamo. «Consiglio alle persone di valutare la situazione e di reagire di conseguenza in base alla gravità, non solo al fatto che si tratti di una vulnerabilità zero-day.»

Detto questo, avverte che è fondamentale che i professionisti della sicurezza continuino a stare all’erta. Considerando il modo in cui gli hacker criminali possono sfruttare una singola vulnerabilità per provocare danni su vasta scala (si veda l’attacco “ ” ai danni di SolarWinds e il suo impatto su aziende e governi), tenere sotto controllo le vulnerabilità zero-day è fondamentale per la sicurezza della rete.

Gli exploit “zero-day” stanno diventando sempre più gravi

Steve Wilson, responsabile dei prodotti presso Contrast Security — azienda che fornisce una piattaforma unificata per aiutare gli sviluppatori a programmare in modo più sicuro — rileva un aumento del numero e della gravità degli exploit zero-day a livello di applicazione, ambito in cui Contrast concentra la propria attività. Una delle ragioni principali, afferma, è che gran parte del codice software utilizzato oggi dalle aziende è stato in realtà scritto molti anni fa, se non addirittura decenni fa. Apache Log4j, una biblioteca dell’ Java, vanta una storia ventennale ed è gestita in gran parte da volontari (si apre in una nuova scheda), osserva Wilson.

«Molti dei presupposti fondamentali alla base di queste librerie sono stati formulati in un’epoca in cui gli sviluppatori avevano una conoscenza più limitata delle modalità di sviluppo di codice sicuro», afferma Wilson. «È ormai evidente che gli hacker stiano prendendo di mira questi ecosistemi più datati e ampiamente diffusi, in cui eventuali falle nella sicurezza possono avere ripercussioni di vasta portata.»

Una superficie di attacco in continua espansione

Tony Lauro, direttore della divisione Tecnologia e Strategia per la sicurezza presso Akamai Technologies, concorda sul fatto che le minacce zero-day persisteranno nel prossimo futuro, in gran parte perché numerose aziende stanno procedendo alla digitalizzazione, passando al cloud (si apre in una nuova scheda), e consentendo ai dipendenti di lavorare da remoto (si apre in una nuova scheda) da una varietà di endpoint dispositivi.

«Purtroppo, assisteremo a un aggravarsi di questo problema prima che la situazione migliori, poiché gli autori degli attacchi avranno a disposizione un numero maggiore di superfici di attacco su cui concentrarsi», afferma Lauro. «E certamente, con tutte le nuove generazioni che si affacciano al mondo online, è inevitabile che aumenti anche il numero delle potenziali vittime.»

[Legga anche: Ciò che non sapete sulla rivoluzione del lavoro da remoto potrebbe costarvi caro] (si apre in una nuova scheda)

Inoltre, gli exploit zero-day potrebbero aumentare, poiché stanno diventando una fonte di guadagno per la criminalità informatica. Il direttore della sicurezza informatica della NSA, Rob Joyce, ha dichiarato nel corso di una tavola rotonda alla RSA Conference di quest’anno che le bande di autori di ransomware stanno utilizzando i propri profitti per acquistare exploit zero-day, e che la sua agenzia è preoccupata per la rapidità con cui i criminali riescono a sfruttare le vulnerabilità del software appena rese note.

Il cielo non sta cadendo — finché non cadrà davvero

Sebbene alcuni exploit zero-day possano sembrare più pericolosi di quanto non siano in realtà, i reparti di sicurezza informatica devono considerarli tutti con la dovuta serietà e fare tutto il possibile per difendersi da essi.

«. Stanno ricevendo 150.000 avvisi diversi relativi a varie vulnerabilità, e ciò può risultare quasi opprimente.»

Frank Dickson, vicepresidente del gruppo IDC

Alcuni team di sicurezza potrebbero mostrarsi riluttanti nei confronti di questo approccio. Da anni sentono fornitori, ricercatori e sviluppatori di software segnalare nuove vulnerabilità zero-day che alla fine si rivelano un vero e proprio buco nell’acqua. Inoltre, la maggior parte dei team addetti alla sicurezza è sovraccarica di lavoro, a corto di personale e con risorse finanziarie insufficienti. Di conseguenza, tendono a ignorare gli allarmi non urgenti.

“Si tratta di ‘: la stanchezza da allerta (si apre in una nuova scheda)’”, afferma Frank Dickson, vicepresidente di gruppo presso IDC. «Ricevono ben 150.000 avvisi diversi relativi a varie vulnerabilità, e ciò può risultare quasi paralizzante.»

Dickson sostiene che le aziende debbano innanzitutto affrontare tali frustrazioni. Devono inoltre affrontare la minaccia rappresentata dalle vulnerabilità zero-day apportando alcune modifiche, alcune evidenti e altre meno, alle proprie pratiche di sicurezza informatica cyber hygiene (si apre in una nuova scheda), quali:

• Fornire patch efficaci sin dal primo tentativo. In questo caso la responsabilità ricade sui fornitori di software. Infatti, molte vulnerabilità zero-day Google sono spesso vulnerabilità già corrette (si apre in una nuova scheda) , come ha scritto Maddie Stone, ricercatrice di sicurezza di Project Zero (si apre in una nuova scheda). E per quanto riguarda la prevenzione? La Stone ha osservato che almeno la metà delle vulnerabilità zero-day da lei analizzate «avrebbe potuto essere prevenuta con un’applicazione più completa delle patch e con test di regressione più approfonditi». È un po’ come se una squadra di vigili del fuoco spegnesse un incendio, ma tralasciasse alcune braci che, alla fine, potrebbero essere alimentate dal vento e trasformarsi in una vera e propria tempesta di fuoco. "Essere in grado di applicare le patch in modo corretto ed esaustivo non significa semplicemente premere un interruttore: richiede investimenti, definizione delle priorità e pianificazione. Ciò richiede inoltre lo sviluppo di una procedura di applicazione delle patch che garantisca un equilibrio tra la protezione tempestiva degli utenti e la completezza delle misure adottate.”
• Sappiate cosa possedete. Non è possibile proteggere o correggere ciò che non si vede, e alcune indagini hanno dimostrato che molti CIO non dispongono di una visibilità (si apre in una nuova scheda) su tutte le loro risorse on-premise e basate sul cloud. La prima cosa che un dirigente di alto livello, visibilmente turbato, chiederà a un CISO o a un CIO quando si verifica una vulnerabilità zero-day è: «Quanto devo preoccuparmi di questa situazione?» e «È questa la fine del mondo per noi o no?» afferma Bischoping di * Tanium*. È proprio in questo contesto che una solida osservabilità dei dati e le piattaforme di gestione endpoint (si apre in una nuova scheda) possono rivelarsi fondamentali. Possono aiutare i CIO e i loro team a colmare le lacune tra i silos di dati, a monitorare lo stato degli endpoint e a determinare più rapidamente i livelli di esposizione agli attacchi zero-day.

[Leggi anche: Perché la visibilità e l’eliminazione dei silos sono fondamentali per qualsiasi piano d’azione in materia di sicurezza informatica] (si apre in una nuova scheda)

Per inciso, esistono numerosi strumenti di gestione delle risorse di classe enterprise degni di nota che possono essere d’aiuto in tal senso; tuttavia, è altrettanto importante affrontare la questione della cultura che porta a dare minore priorità alla sicurezza informatica e alle buone pratiche di igiene informatica a scapito della velocità.

• Basta con il gioco dello scaricabarile in materia di programmazione. Le vulnerabilità possono verificarsi. Lo faranno sempre. Tuttavia, tali problemi si verificano più spesso quando i product manager o gli esperti di marketing spingono gli sviluppatori a scrivere codice a un ritmo così serrato da non lasciare tempo per la verifica della sicurezza o per l’adozione di misure correttive. Le tempistiche relative ai prodotti sono definite in funzione dell’immissione del prodotto sul mercato. La sicurezza informatica è spesso solo una voce da spuntare verso la fine di tale processo.

"Dovremo tutti continuare a combattere gli attacchi zero-day. «L’unico giorno facile è stato ieri.»

Tony Lauro, direttore della divisione Tecnologia e strategia per la sicurezza presso Akamai Technologies

Dickson sostiene che questa situazione debba cambiare. Le organizzazioni devono incentivare gli sviluppatori di software affinché raggiungano obiettivi rigorosi in materia di sicurezza. «Oggi gli sviluppatori vengono retribuiti per la loro capacità di consegnare i prodotti entro le scadenze e di generare ricavi, ma non li retribuiamo necessariamente per la sicurezza del codice», afferma. “Dovremmo. «È estremamente importante promuovere un paradigma di sicurezza con un approccio dall’alto verso il basso all’interno delle organizzazioni.»

Bischoping aggiunge che è inoltre fondamentale evitare di punire gli sviluppatori quando si verificano occasionalmente delle vulnerabilità che si trasformano in zero-day. «Dobbiamo porre fine a questa cultura che consiste nell’attribuire la colpa quando si verifica una violazione», afferma. «Sì, è importante poter tornare indietro e stabilire se il codice sia stato scritto in modo inadeguato, nonché verificare se siano state seguite le procedure.» Tuttavia, adottare un approccio punitivo è controproducente e in realtà non risolve nulla. Dovete invece concentrarvi sulla comprensione delle lacune che hanno determinato la vulnerabilità e su come migliorare costantemente grazie a ciascuna analisi delle cause profonde.”

• Si consideri la gestione della superficie di attacco. I CIO ampliano la superficie di attacco (si apre in una nuova scheda) ogni volta che adottano un nuovo servizio cloud o aggiungono ulteriori endpoint per sostenere la crescita aziendale e la trasformazione digitale. Dickson, di IDC, afferma che uno degli approcci più recenti da prendere in considerazione per affrontare le vulnerabilità zero-day è la gestione della superficie di attacco (ASM). Tale concetto è definito come il processo continuo di individuazione, inventario, classificazione e monitoraggio dell’infrastruttura informatica di un’organizzazione. Il suo obiettivo è quello di considerare tali compiti di sicurezza dal punto di vista di un aggressore. Questi strumenti eseguono costantemente e automaticamente operazioni di ping sulle reti, proprio come farebbe un hacker, alla ricerca di potenziali vettori di attacco.
• Creare un manuale operativo aggiornato in tempo reale per gli attacchi zero-day. Oggi molte organizzazioni dispongono di procedure operative per gestire un eventuale attacco da parte del ransomware (si apre in una nuova scheda) . Spesso sono il risultato di uno sforzo collaborativo da parte del personale dei settori commerciale, finanziario, legale, delle risorse umane e tecnico. Hanno bisogno anche di un piano specifico di risposta agli incidenti (si apre in una nuova scheda) per gli attacchi zero-day.

[Legga anche: Non sapete come dovrebbero essere strutturati i vostri piani di risposta agli incidenti? Copiare il link della CISA] (si apre in una nuova scheda)

Ciò è dovuto principalmente alla natura imprevedibile delle vulnerabilità zero-day, che spesso possono trasformarsi da semplici vulnerabilità in exploit e attacchi nel giro di pochi giorni. Inoltre, poiché i fornitori vengono a conoscenza delle vulnerabilità in genere molto tempo dopo la loro comparsa, non sempre dispongono di una patch efficace pronta all’uso. Spesso, il massimo che possono fare è offrire suggerimenti per modifiche temporanee alle impostazioni, in attesa di un aggiornamento da parte di
.

Bischoping raccomanda di redigere e aggiornare costantemente un manuale operativo che tratti argomenti quali:

• In che modo verranno classificati i vari avvisi relativi a vulnerabilità zero-day ai fini dell’adozione di misure correttive
• Chi riceverà le notifiche relative a “ ” ( ) e quando, sia all’interno che all’esterno dell’organizzazione?
• Quali misure tecniche verranno adottate per approfondire la questione e risolvere ogni livello di minaccia?
• Quali sistemi IT di saranno trattati per primi in base alla loro criticità per l’azienda
• Quali misure di revisione contabile verranno adottate per dimostrare ai dirigenti aziendali, agli investitori e alle autorità di vigilanza che sono state intraprese le misure adeguate per affrontare il problema?

«Se vi impegnate al massimo fin da ora, quando suoneranno le sirene di allarme di quinta categoria, avrete la certezza che la maggior parte di ciò che dovrete fare è già riportata nel vostro manuale operativo», afferma Bischoping.

Gli attacchi zero-day non sono una certezza. Potrebbero non avere ripercussioni sulla maggior parte delle organizzazioni, ma non sono destinati a scomparire.

«La battaglia non è ancora finita. «Dovremo tutti continuare a combattere le vulnerabilità zero-day», afferma Lauro di Akamai. «In sostanza, l’unico giorno facile è stato ieri.»