Con l’Ucraina ormai sotto assedio e gli attacchi informatici orchestrati dalla Russia che non rappresentano più solo uno scenario temuto o probabile, ma una minaccia concreta e in atto, la pressione sui responsabili della sicurezza informatica non è mai stata così forte.
La situazione in Ucraina è drammatica: secondo alcuni recenti articoli pubblicati su , i funzionari governativi del Paese avrebbero iniziato a rivolgersi ai volontari della comunità hacker clandestina nazionale per ottenere aiuto nella protezione delle infrastrutture e nello svolgimento di missioni di spionaggio contro le truppe russe. L’Ucraina si trova sulla difensiva, una posizione ben nota a molti professionisti della sicurezza informatica, nonché ai dirigenti aziendali e ai loro consigli di amministrazione, anche quando non si trovano coinvolti in una guerra su vasta scala.
L’Agenzia statunitense per la sicurezza informatica e delle infrastrutture (CISA) ha pubblicato delle linee guida rivolte ad aziende e organizzazioni volte a rafforzare le difese nel caso in cui attacchi informatici russi minaccino le infrastrutture critiche e gli istituti finanziari. Questo è utile, ma mette anche in evidenza una verità scomoda: quando si tratta di sicurezza informatica delle reti, ci troviamo a giocare in difesa.
È giunto il momento, affermano gli esperti di sicurezza informatica, di ribaltare questa situazione.
Il concetto, in teoria, è piuttosto semplice: smettete di agire in modo reattivo; adottate un approccio proattivo in materia di sicurezza, ogni volta che sia possibile. In pratica, è più difficile — ma è proprio qui che entra in gioco l’arte della ricerca delle minacce nell’ambito dell’ .
I “threat hunter” sono i professionisti della sicurezza informatica che analizzano a fondo sistemi e reti per individuare gli autori degli attacchi prima che si verifichino eventi dannosi. Considerateli come la squadra SEAL privata della vostra organizzazione
.
I cacciatori di minacce sanno bene che gli autori delle minacce — che si tratti di hacker appassionati di tecnologia, hacktivisti animati da ideali o figure legate a operazioni segrete sponsorizzate dallo Stato — si avvicinano alle aziende con tattiche, tecniche e procedure ben definite, prevedibili e identificabili. I “threat hunters” analizzano l’ambiente che sono chiamati a difendere e le possibili strategie dei propri avversari. E poi
si va a caccia!
Naturalmente, un’efficace attività di individuazione delle minacce è un lavoro di squadra e richiede la presenza delle persone giuste. Esistono cinque elementi fondamentali necessari per costituire la vostra squadra ideale dedicata alla ricerca delle minacce. Considerate quanto segue come una guida introduttiva su come dare la caccia ai cacciatori.
1. Diversità: non è solo una parola alla moda
È mai stata fornita una prova — in assoluto — del fatto che le grandi menti la pensino allo stesso modo? Il pensiero di gruppo è il nemico dei team efficaci nella ricerca delle minacce. «I team diversificati ottengono risultati migliori», afferma Melissa Bischoping, specialista di ricerca presso , che si occupa di sicurezza informatica presso Tanium. endpoint .
«I team diversificati ottengono risultati migliori.»Melissa Bischoping, specialista in ricerca sulla sicurezza presso l’ endpoint , Tanium
«Immagini di avere un team composto da troppe persone con lo stesso background.» Il risultato probabile: un gruppo di persone che consumano la stessa colazione, acquistano le stesse marche, scaricano gli stessi podcast, pubblicano su Twitter gli stessi sfoghi e si ritrovano circondate da altre persone che mangiano, fanno acquisti, scaricano e si sfogano esattamente allo stesso modo.
Nei gruppi omogenei, afferma, è facile che le persone «dimentichino che potrebbero esserci altri punti di vista da prendere in considerazione».
Gli esperti sottolineano che, quando le aziende assumono “threat hunter” con background professionali diversi e livelli di esperienza variabili in materia di , le capacità del team di risolvere i problemi migliorano. Tali esperienze possono essere delle più disparate: dall’intelligence militare alla scienza dei dati, dalla tecnologia tradizionale ai cosiddetti “red team”, “blue team” e “purple team” (tester di sicurezza specializzati, rispettivamente, nell’attacco ai vostri sistemi, nella loro difesa e nella combinazione delle competenze di entrambi).
Anche coloro che possiedono competenze tecniche limitate o nulle meritano di essere presi in considerazione. «Quando si hanno contesti così diversi, ci sono persone che pongono domande di cui gli altri non sapevano nemmeno che fosse possibile porre», spiega Bischoping.
[Leggi anche: Sostenere la prossima generazione di donne nel settore della sicurezza informatica]
Assumere esperti di diverse età e provenienze socioeconomiche è inoltre fondamentale per «attingere alle diverse idee ed esperienze in materia di minacce che ciascuno di essi potrebbe possedere», afferma L. Burke Files, coautore del Business Security Audit & Review Toolkit e presidente della Financial Examinations and Evaluations, Inc. «Cercate persone disposte a dare sfogo alla propria creatività e a spingersi un po’ oltre i limiti», afferma Files.
Conclusione: Un team eterogeneo di “threat hunter” è essenziale per migliorare la risoluzione dei problemi ed evitare il “pensiero di gruppo”.
2. Le competenze trasversali: sono più difficili di quanto si pensi
La ricerca delle minacce comporta setacciare le reti alla ricerca di attività note e sconosciute, il che richiede tempo, determinazione e una componente spesso sottovalutata ma indispensabile: la pazienza.
«È necessario qualcuno che possieda le competenze e la pazienza necessarie per voler risolvere davvero un problema.»Michael Farnum, Direttore Tecnico, Set Solutions
«Occorre una persona che possieda le competenze e la pazienza necessarie per voler risolvere davvero un problema», afferma Michael Farnum, direttore tecnico di Set Solutions. «Si tratta in genere di persone a cui piace partecipare ai CTF», osserva, riferendosi alle varie competizioni “Capture the Flag”, in cui le “bandiere” vengono utilizzate per premiare i giocatori che superano con successo le sfide incentrate sulla sicurezza. «È necessario trovare qualcuno a cui piaccia farlo nel tempo libero», afferma.
Tali sfide, così come l’attività di individuazione delle minacce in generale, comportano inevitabilmente la necessità di porre numerose domande. I “cacciatori di minacce” di eccellenza sono dotati di una curiosità innata, di eccellenti capacità di risoluzione dei problemi e di un talento naturale per l’esplorazione, osserva Duncan Miller, direttore della sicurezza “ endpoint ” presso Tanium. Si tratta di persone dotate di grande intuito e del coraggio di seguire il proprio istinto, ovunque esso possa condurle.
«Chi si occupa di individuare le minacce deve essere disposto ad accettare di fallire, a volte», afferma Miller. «Se stanno cercando attività realmente “sconosciute e ignote”, ci saranno molte occasioni in cui le intuizioni non troveranno conferma.» «E va bene così.»
[Leggi anche: I metodi di sicurezza a più livelli tengono a bada le minacce]
Altre competenze generali che i “threat hunter” dovrebbero possedere, osserva Eric McGee, ingegnere di rete senior presso TRG Datacenters, includono il ragionamento deduttivo, la rapidità di il riconoscimento dei modelli e la capacità di evitare i propri pregiudizi cognitivi.
«Detesto l’espressione “soft skill”», aggiunge Bischoping, riferendosi alle competenze non tecniche. «Si tratta di competenze fondamentali», afferma.
Conclusione: Una ricerca efficace delle minacce va oltre la semplice competenza tecnica. Richiede ulteriori competenze immateriali, quali la pazienza e la disponibilità ad assumersi dei rischi.
3. Consapevolezza ambientale — e non ci riferiamo al riciclaggio
Ogni settore presenta aspetti specifici che attraggono sia diversi gruppi di aggressori che di difensori. Ecco perché i requisiti e le strategie in materia di sicurezza informatica variano a seconda che si tratti di una banca, di una scuola, di un centro medico o di un fornitore di energia.
«Parliamo di sistemi industriali come lo SCADA [controllo di supervisione e acquisizione dati] e dei sistemi di controllo industriale, ad esempio nel settore petrolifero e del gas», afferma Bischoping. «Cacciare in quegli ambienti è molto diverso dal cacciare presso una banca o un ospedale. «È quindi importante avere una comprensione approfondita del tipo di ambiente in cui operano i cacciatori di minacce specifici».
Un ottimo modo per sviluppare tale consapevolezza ambientale consiste nel favorire la collaborazione tra i “cacciatori di minacce” a livello settoriale.
«Ciò è particolarmente importante nel vostro settore, dove la fiducia e le relazioni possono avere un peso maggiore rispetto alle informazioni in sé», afferma Ron Gula, presidente e cofondatore della società di investimenti nel settore della sicurezza informatica Gula Tech Adventures. «Ciò consentirà ai vostri “cacciatori” di imparare dagli altri e di mettere a frutto queste conoscenze all’interno della vostra organizzazione.»
In sintesi: Le tecnologie e i sistemi aziendali variano notevolmente da un settore all’altro, rendendo fondamentale per qualsiasi team di “threat hunting” comprendere a fondo il proprio settore a ogni livello.
4. Formazione continua: non è mai troppo presto per iniziare
La tecnologia è in continua evoluzione e gli avversari cambiano e migliorano costantemente. Pertanto, l’unico modo in cui un team di threat hunting possa essere altamente efficace è quello di dedicarsi allo studio. Studiate di nuovo. E studiate ancora un po’.
«. Non è mai stato così importante concentrarsi su [questo aspetto], poiché attualmente nel settore della sicurezza informatica si registra una situazione di emergenza in materia di assunzioni.»Scott Crawford, responsabile della ricerca sulla sicurezza informatica presso 451 Research
«Non è mai stato così importante concentrarsi su [questo aspetto], poiché attualmente nel settore della sicurezza informatica si sta verificando una vera e propria emergenza in materia di assunzioni », afferma Scott Crawford, responsabile della ricerca sulla sicurezza informatica presso 451 Research.
Di quale tipo di istruzione stiamo parlando, quindi? Naturalmente, l’acquisizione di competenze tecniche, quali la gestione delle reti, l’analisi forense dei dati, l’analisi dei dati, la sicurezza delle applicazioni, l’analisi del malware e il funzionamento interno dei sistemi “ endpoint ”, unitamente a una conoscenza approfondita dei sistemi che sono chiamati a difendere. «Esiste un lungo elenco di fattori che sappiamo contribuire a un’efficace ricerca delle minacce», afferma Crawford.
I responsabili della sicurezza possono sviluppare queste competenze nei propri specialisti interni dedicati alla ricerca delle minacce, osserva McGee di TRG Datacenters, garantendo loro l’accesso a workshop dedicati alla ricerca delle minacce, a corsi disponibili come il Certified Cyber Threat Hunter (CCTH) e agli esami di certificazione. Oltre agli esami CCTH (disponibili su e nel corso intensivo), tra le altre certificazioni figurano l’ , il CompTIA Security+ (adatto a chi muove i primi passi nel settore), il Cyber Threat Intelligence di GIAC ( ) (rilasciato da GIAC, uno dei principali enti di certificazione nel campo della sicurezza informatica) e il programma Certified Information Security Manager dell’ISACA .
In sintesi: Tutto nel settore della tecnologia aziendale è in continua evoluzione, il che significa che, per rimanere efficaci, anche i “threat hunter” devono evolversi.
5. Formazione basata su situazioni reali: più è realistica, meglio è
Uno dei motivi per cui le forze armate si addestrano con munizioni vere è quello di abituare le reclute all’uso delle armi, in circostanze che rispecchino il più fedelmente possibile gli scenari reali in cui dovranno presto trovarsi ad agire.
"L'emulazione realistica degli avversari è un ottimo modo per garantire lo sviluppo delle competenze necessarie ai cacciatori di minacce", afferma Gula. «Più la simulazione è realistica, più il vostro team sarà preparato e sicuro di sé.»
Per i cacciatori di minacce, tale preparazione potrebbe comportare la partecipazione a competizioni CTF a scopo di addestramento offensivo o a esercitazioni teoriche. Gula afferma che esercizi come questi sono fondamentali nell’allenamento di squadra.
Le piattaforme di emulazione degli avversari, che simulano malware di base e le strategie ricorrenti delle minacce persistenti avanzate (APT) – tipicamente quelle di Stati-nazione che agiscono in modo occulto – rendono inoltre la formazione molto più realistica, afferma. «Anche i cyber range sono ottimi, ma lavorare sulla propria rete con i propri strumenti è molto più efficace.»
[Legga anche: 5 modi per prepararsi alla guerra cibernetica]
Strumenti quali gli “Adversary Emulation Plans” di Mitre illustrano in che modo i cacciatori di minacce e i difensori possano avvalersi del framework Mitre ATT&CK ( , ovvero “Tattiche, tecniche e conoscenze comuni degli avversari”) , una nota base di conoscenze utilizzata per modellare il comportamento degli avversari.
Questo tipo di formazione è fondamentale affinché i “threat hunter” possano tenersi al passo
con le tecniche di attacco — le stesse tecniche utilizzate proprio da coloro che stanno cercando di
rintracciare.
In sintesi: Rendere la formazione sulla ricerca delle minacce il più realistica possibile, affinché i professionisti del settore dispongano delle competenze necessarie per identificare le minacce reali.
Secondo un rapporto di IBM Security, dopo aver violato una rete, gli hacker riescono a non essere individuati per 280 giorni, in media. I cacciatori di minacce possono incidere in modo significativo su questo aspetto. Naturalmente, tra una vittoria e l’altra ci saranno anche delle sconfitte, ma mettendo insieme il team giusto e concedendogli lo spazio necessario per individuare i potenziali avversari nel vostro ambiente, i membri del team riusciranno a individuare gli autori delle minacce prima che questi possano causare danni.
