Nella prima puntata della nostraserie intre parti, David Damato, CSO di Tanium , esplora perché una buona igiene della sicurezza è così essenziale e descrive in dettaglio la prima fase per mettere in ordine la tua organizzazione IT. ‘
Sei colpevole di scarsa igiene della sicurezza? Se è così, prendi il cuore. Non sei solo. I team IT e di sicurezza hanno a lungo trascurato i controlli di sicurezza di base, compresi quelli definiti nelNIST Cybersecurity Framework (si apre in una nuova scheda) o CSI Critical Security Controls (si apre in una nuova scheda) (si chiama SANS Top 20) oltre un decennio fa.
La mia esperienza nel rispondere a più di 100 violazioni aziendali mi ha insegnato che la stragrande maggioranza degli incidenti di sicurezza sono il risultato di errori nella pratica che definiamo in senso lato “ igiene della sicurezza” (si apre in una nuova scheda).
Prendiamo ad esempio la gestione delle risorse: l'atto di base di tracciare tutti i dispositivi e comprenderne lo stato attuale. Proprio come un’azienda tiene traccia delle risorse finanziarie, i team IT e di sicurezza devono tenere traccia delle loro risorse, inclusi dispositivi, server, sistemi operativi e applicazioni. Non puoi proteggere ciò che non conosci. Tuttavia, in quasi tutti i principali tentativi di risoluzione delle violazioni che ho condotto, i leader della tecnologia o della sicurezza all’interno dell’organizzazione vittima non sono stati in grado di fornire un inventario accurato dei dispositivi. In effetti, la maggior parte ha faticato a rientrare tra il 10% e il 20% di precisione del conteggio effettivo.
Un altro esempio è la gestione delle vulnerabilità. L’anno scorso diverse organizzazioni sono state colpite dalSamsam ransomware (si apre in una nuova scheda). Samsam ha fatto affidamento su un exploit JBoss di oltre un anno. Al momento del rilascio del ransomware, i ricercatori hanno stimato che su Internet esistessero più di 2,1 milioni di istanze vulnerabili di JBoss. La maggior parte delle organizzazioni ha migliaia di vulnerabilità in sospeso e non ha patch critiche, portando alla proliferazione di ransomware e altri attacchi non sofisticati. Il 2015 Verizon Data Breach Investigations Report (si apre in una nuova scheda) evidenzia il ritardo delle organizzazioni nel correggere le vulnerabilità. Il 99% delle vulnerabilità sfruttate è stato compromesso più di un anno dopo la pubblicazione del CVE (Common Vulnerabilities and Exposures).
Non sono l’unico a notare che la maggior parte delle violazioni sono causate da una scarsa igiene della sicurezza, piuttosto che da una particolare sofisticazione da parte degli aggressori. L’anno scorso, Rob Joyce, direttore della divisione Tailored Access Operations (TAO) della NSA – il gruppo responsabile del lancio di sofisticati attacchi informatici alla NSA – ha detto (si apre in una nuova scheda): “Abbiamo messo il tempo … per conoscere [quella rete] meglio delle persone che l’hanno progettata e delle persone che la proteggono. Sareste sorpresi delle cose che girano su una rete rispetto alle cose che pensate dovrebbero esserci.
Ian Levy, direttore del programma di sicurezza informatica del Regno Unito, all’inizio di quest’anno ha criticato i fornitori di sicurezza che cercano di presentare le minacce persistenti avanzate (APT) come una forma di attacchi sofisticati. Ha suggerito invece che le iniziali APT stiano per “adeguati stracci perniciosi (si apre in una nuova scheda)”. Levy vuole che la conversazione in corso sulla sicurezza informatica rifletta quella che considera la natura relativamente poco sofisticata di molti attacchi. Se la si definisce una minaccia persistente avanzata, si finisce con una narrazione che in fondo dice: “Siete troppo stupidi per capirlo e solo io posso aiutarvi – comprate il mio amuleto magico e starai bene”. È stregoneria medievale, è veramente stregoneria medievale”.
Comprendendo che la maggior parte degli attacchi non è sofisticata e che anche gli attori più sofisticati iniziano con tattiche di base prima di intensificare la loro arte, l’igiene della sicurezza dovrebbe essere il punto di partenza per i responsabili della sicurezza. Facile per me dirlo. Quindi, come leader della sicurezza, da dove inizi?
Raccomando di affrontare l’igiene della sicurezza in tre fasi:
- Valutare l’ambiente esistente e assicurarsi che le soluzioni esistenti funzionino correttamente e siano completamente utilizzate
- Allinea il tuo programma di sicurezza con un framework leader del settore e razionalizza le soluzioni per raggiungere lo stato futuro desiderato
- Misura i tuoi progressi rispetto allo stato futuro definito e adatta continuamente le capacità come richiesto
Di seguito sono riportate in dettaglio le linee guida per affrontare la fase uno delle iniziative di igiene della sicurezza. Nei prossimi post, esploreremo le fasi due e tre.
Igiene della sicurezza fase uno: valutazione
Il primo passo per migliorare l’igiene della sicurezza è comprendere lo stato attuale di importanti controlli di sicurezza all’interno della rete. Molte organizzazioni sono fiduciose di gestire efficacemente i database delle risorse e correggere le vulnerabilità: la mia esperienza mi ha insegnato che questa fiducia è spesso fuori luogo. L’obiettivo di questo primo passo è identificare queste lacune e garantire che gli investimenti esistenti siano pienamente utilizzati.
Inizia selezionando una serie di controlli di sicurezza prioritari. Concentrarsi sui controlli anziché su un intero framework (ci arriveremo nel prossimo post) renderà questo passaggio facile e aiuterà ad affrontare una serie di controlli generalmente considerati critici. Il 20 Controlli di sicurezza critici CIS è un ottimo esempio di un elenco di controlli con priorità. L'elenco contiene azioni per tutto, dall'inventario delle risorse alla formazione degli utenti. In effetti, è possibile selezionare un sottoinsieme dell'elenco per concentrarsi su quelle aree di maggiore preoccupazione. I controlli contenuti sono sottocomponenti dei framework più diffusi, come ilNIST Cybersecurity Framework (si apre in una nuova scheda), che dovrebbe consentirci di espandere questo sforzo in un secondo momento.
Successivamente, stabilisci con quale efficacia la tua organizzazione affronta i controlli di sicurezza delle informazioni prioritari. Durante questo sforzo, fare affidamento su test tecnici piuttosto che semplici interviste. Ad esempio, per determinare l'efficacia dell'inventario di dispositivi, identificare tutti i dispositivi sulla rete e confrontare l'elenco con il CMDB. Raccogliere informazioni sui livelli di patch per i sistemi operativi e le principali applicazioni di terze parti (ad es. Java, Flash). Confrontare le informazioni sulla patch con i risultati della valutazione della vulnerabilità esistente. Le lacune identificate dovrebbero rivelare rapidamente se tali controlli sono efficaci o inefficaci.
Per le debolezze identificate, assicurarsi che gli investimenti esistenti siano utilizzati al massimo del loro potenziale. Ad esempio, è possibile utilizzare le utilità Windows esistenti come Bit Locker, App Locker ed EMET per migliorare la sicurezza senza acquistare soluzioni specifiche per gestire Full Disk Encryption (FDE), whitelisting delle applicazioni e funzionalità anti-exploit. Forse la tua soluzione anti-malware è attuale o funzionale solo sul 80% dei tuoi dispositivi: risolvila. Il risultato finale di questa attività dovrebbe essere quello di affrontare eventuali “successi rapidi” e cogliere eventuali lacune rimanenti, che saranno affrontate durante un progetto di trasformazione della sicurezza molto più ampio.
In Tanium, abbiamo sviluppato una valutazione dell’igiene per fornire ai clienti report accurati e facili sulle lacune comuni nell’igiene della sicurezza. Il risultato è stato l’apertura degli occhi.
- Un grande cliente finanziario aveva circa 5.500 applicazioni documentate e approvate. Tanium ha contribuito a identificare più di 10.000 applicazioni installate.
- Un grande cliente al dettaglio credeva di avere sotto controllo la gestione delle patch. Tanium Sono state identificate circa 3.500 istanze di Java che non erano state aggiornate in oltre un anno.
- Un'istituzione finanziaria internazionale ha pensato che SCCM stesse segnalando accuratamente su tutti i dispositivi. Tanium ha rivelato che SCCM non era operativo su circa il 15% di tutti i dispositivi supportati, il che ha anche influito sull’accuratezza della segnalazione dei livelli di patch e sullo stato di altre soluzioni, come l’anti-malware.
Una volta che hai compreso questi controlli di base e hai sfruttato gli strumenti esistenti nel tuo ambiente, sei pronto per concentrarti su un progetto di trasformazione più ampio, utilizzando un framework come ISO 27001 o NIST Cyber Security Framework.
In qualità di Chief Security Officer, David Damato fornisce indicazioni strategiche sullo sviluppo dei moduli per Tanium Platform e gestisce il programma di sicurezza interno dell’azienda. David apporta una vasta esperienza in materia di sicurezza a Tanium, che spazia dalla risposta agli incidenti alla medicina legale, alle valutazioni delle vulnerabilità, allo sviluppo di programmi di sicurezza, alle operazioni di sicurezza e all’architettura di rete e sicurezza. Prima di Tanium, David ha recentemente ricoperto il ruolo di Managing Director presso Mandiant , una società FireEye, dove il suo team ha guidato gli sforzi di risposta agli incidenti e di bonifica post-violazione in oltre 100 aziende Fortune 500 . In Mandiant, David è stato anche determinante nello sviluppo di nuove capacità di risposta agli incidenti e nella creazione di uffici di consulenza sia a livello nazionale che internazionale. Prima di Mandiant, David ha guidato i team di consulenza sulla sicurezza di PwC nell’ambito della sua pratica federale di Washington e ha ricoperto ruoli IT presso Raytheon focalizzati sulla gestione delle reti interne e governative. David condivide spesso la sua esperienza e le sue intuizioni in occasione di eventi del settore e con i media.
