Considerata la recente ondata di attività informatiche dannose, la tavola rotonda della RSA Conference di quest’anno dedicata alle “Cinque nuove tecniche di attacco più pericolose” ( ) potrebbe facilmente diventare oggetto di una discussione che durerebbe un’intera giornata.
Katie Nickels, che fa parte del gruppo di esperti e contribuirà a fornire un'analisi autorevole sull'argomento, ha molto da dire su ciò che le organizzazioni possono fare per prepararsi alle sfide future. Il curriculum di Nickels è lungo e di grande rilievo. È un'istruttrice certificata presso il SANS Institute. È la direttrice dell’intelligence presso Red Canary, azienda fornitrice di soluzioni per le operazioni di sicurezza. Ha lavorato nella pubblica amministrazione (presso il Dipartimento della Difesa degli Stati Uniti) e nel settore privato presso aziende quali Mitre, Raytheon e ManTech.
Pertanto, Nickels ritiene che il punto di riferimento per la protezione informatica negli Stati Uniti risieda nella solidità della collaborazione tra settore pubblico e privato. È inoltre in prima linea nel perseguimento di tale obiettivo e lo ha sottolineato nel suo corso SANS dedicato all’intelligence sulle minacce informatiche “ ” ( ) e nel suo webcast mensile “” (SANS Threat Analysis Rundown, STAR) ().
[Leggi anche: Vi presentiamo l’uomo che potrebbe contribuire a prevenire un disastro informatico]
La signora Nickels ha trovato il tempo di parlare con me prima della sua tavola rotonda alla conferenza, per condividere la sua prospettiva unica su questioni cruciali quali l’intelligence sulle minacce informatiche, la difesa delle reti e la risposta agli incidenti.
Con così tante minacce tra cui scegliere, quali tecniche hanno attirato la vostra attenzione quest’anno?
Ciò che mi ha colpito delle tecniche più pericolose di quest’anno è stata la loro grande varietà. Riflettendo su tutte le minacce che abbiamo dovuto affrontare, che vanno dallo sfruttamento di Microsoft Exchange fino al caso SolarWinds, il mio pensiero tornava continuamente al ransomware.
«È necessario che le persone siano consapevoli delle minacce di estorsione e modifichino il proprio modo di ragionare.»
Non è una novità, e il gruppo di esperti dovrebbe concentrarsi sulle minacce nuove e future. Ma la novità è l’aggiunta dell’estorsione al panorama del ransomware. Abbiamo assistito a un cambiamento significativo, per cui anche i gruppi di criminali informatici più piccoli non si limitano a crittografare i dati, ma procedono anche alla loro esfiltrazione e ricattano le vittime minacciando di renderli pubblici qualora non ricevano il pagamento richiesto.
Cosa significa ciò per i difensori?
Non tutti hanno riflettuto sul tema dell’estorsione. È tuttavia fondamentale esserne consapevoli, in modo da adeguare le proprie misure di prevenzione, individuazione e risposta agli incidenti legati al ransomware. È necessario che le persone cambino il proprio modo di ragionare.
Per contrastare questi attacchi è fondamentale comprendere cosa occorre proteggere. Perché le organizzazioni continuano ad avere difficoltà in tal senso?
Disporre di visibilità e di un inventario delle risorse costituisce sempre il fondamento di un valido programma di sicurezza. La situazione sta diventando sempre più complessa, poiché le organizzazioni si affidano sempre più a soluzioni di terze parti per la gestione delle proprie reti. Ad esempio, come abbiamo visto nel caso della violazione di SolarWinds, molte organizzazioni si affidano a SolarWinds Orion per il monitoraggio delle prestazioni di rete.
«Molte organizzazioni dispongono di visibilità... ma una sfida quasi più ardua consiste nell’individuare gli aspetti negativi all’interno di tale visibilità.»
Molte organizzazioni dispongono di visibilità e raccolgono i log relativi a gran parte della propria rete. Ma una sfida forse ancora più ardua consiste nell’individuare gli aspetti negativi di tale visibilità. Molte organizzazioni utilizzano un prodotto di tipo “ endpoint ” e ricevono tutti questi avvisi relativi alle minacce. Ma non sanno cosa sia giusto e cosa sia sbagliato. Molti strumenti di sicurezza presentano un numero eccessivo di falsi positivi. Una volta ottenuta la visibilità, occorre un grande impegno per individuare ciò che non va.
In che misura il cloud complica la visibilità?
Ciò risulta particolarmente complesso poiché alcuni prodotti cloud prevedono il pagamento di tariffe diverse a seconda dei livelli di registrazione. La registrazione dei log è fondamentale per la sicurezza: consente infatti di individuare eventi e attività sulle reti e sui sistemi che potrebbero rivelarsi sospetti o pericolosi.
Ho riscontrato che alcune organizzazioni stanno trasferendo le proprie risorse sul cloud, ma non riescono a integrare nei propri contratti i livelli di registrazione adeguati. Pertanto, le organizzazioni implementano un’infrastruttura cloud senza però comprendere appieno la propria visibilità o la propria attività di registrazione dei log, e finiscono così per essere vincolate a un contratto che le obbliga a pagare di più per servizi aggiuntivi di registrazione dei log.
Un’altra sfida consiste nell’assicurarsi di avere una visione d’insieme delle risorse cloud e nel comprendere come agire qualora si verifichi un evento su tali risorse. Esistono diversi livelli di servizi cloud, dall’infrastruttura come servizio (IaaS) al software come servizio (SaaS), e ciascuno di essi richiede un diverso livello di monitoraggio da parte dei clienti rispetto a quello dei fornitori di servizi cloud. A chi spetta la responsabilità di rispondere? Tale responsabilità condivisa rappresenta un’ulteriore sfida in termini di risposta agli incidenti.
Le organizzazioni stanno ricorrendo all’automazione per affrontare tale sfida?
L'automazione sta diventando un pilastro fondamentale di qualsiasi programma di operazioni di sicurezza. Ritengo che sia un aspetto positivo perché, per anni, gli analisti delle operazioni di sicurezza hanno subito un esaurimento dovuto al ripetersi incessante delle stesse operazioni: «Faccio clic su questa voce nel mio SIEM [strumento di gestione delle informazioni e degli eventi di sicurezza], faccio clic su questa fonte di log, esporto qui».
I programmi di sicurezza intelligenti automatizzeranno, ove possibile, l’ . Abbiamo assistito alla diffusione degli strumenti di orchestrazione della sicurezza e automazione delle risposte (SOAR), ma la sfida che questi strumenti comportano è che occorre innanzitutto una persona che indichi loro cosa automatizzare. Molte persone tendono a perderlo di vista.
Mi viene spesso chiesto anche se sia possibile automatizzare l’intelligenza. L’intelligence sulle minacce è una disciplina che coinvolge il fattore umano, in cui sono gli analisti a prendere le decisioni. Naturalmente, possiamo avvalerci di strumenti per automatizzare la raccolta e l’acquisizione dei dati. L'automazione è un aspetto che qualsiasi programma di operazioni di sicurezza dovrebbe prendere in considerazione, ma l'automazione dovrebbe avvenire in modo intelligente.
«Qualsiasi programma di sicurezza dovrebbe puntare sull’automazione, ma le organizzazioni dovrebbero procedere in modo intelligente.»
Potreste disporre degli strumenti migliori al mondo, ma occorrono comunque delle persone per metterli a punto e utilizzarli. Ogni ambiente è diverso. Il fatto che un prodotto standard di un determinato fornitore funzioni nel suo ambiente non significa che funzionerà anche nel vostro. È necessaria una messa a punto approfondita.
In che modo è possibile estendere i canali informali di condivisione delle informazioni a una scala molto più ampia?
Questa è la sfida. Ciò che sta funzionando in questo momento è di natura informale. Si tratta di persone del settore pubblico e privato che si conoscono e possono dire: «Vi ho incontrato virtualmente o di persona» oppure: «Abbiamo instaurato un rapporto di fiducia condividendo qualcosa di semplice». «Bene, costruiamo questo rapporto.» Pertanto, quando uno di voi individua una minaccia o rileva tempestivamente una violazione, è più probabile che entrambi ne informiate l’altro attraverso canali informali.
Le agenzie governative possono trarre insegnamento da tale scambio informale. È possibile condividere le informazioni provenienti da entrambe le parti, senza che il settore privato debba rivelare i nomi dei clienti o altre informazioni sensibili.
Questo concetto di “chiedere anziché imporre” sarà fondamentale per la condivisione delle informazioni. Ho constatato molti sviluppi positivi nel campo della condivisione informale. È difficile sintetizzare questi insegnamenti. Spero però che vengano recepite nelle politiche.
