Nella prima puntata della nostra serie in tre parti “ ” (), Tanium , il CSO David Damato analizza i motivi per cui una buona “igiene della sicurezza” è così essenziale e illustra in dettaglio la prima fase necessaria per mettere ordine nella vostra organizzazione IT. ‘
È forse responsabile di una scarsa attenzione alla sicurezza? Se è così, non si scoraggi. Non siete soli. I team IT e di sicurezza hanno a lungo trascurato i controlli di sicurezza di base, compresi quelli definiti nel Cybersecurity Framework dell’ NIST (si apre in una nuova scheda) o e nei Controlli di sicurezza critici del CIS (si apre in una nuova scheda) (noti anche come SANS Top 20) già da oltre un decennio.
La mia esperienza nella gestione di oltre 100 violazioni della sicurezza aziendale mi ha insegnato che la stragrande maggioranza degli incidenti di sicurezza è il risultato di carenze nelle pratiche che definiamo in senso lato come “ ” “security hygiene” (si apre in una nuova scheda).
Si prenda ad esempio la gestione delle risorse: l’attività fondamentale che consiste nel monitorare tutti i vostri dispositivi e comprenderne lo stato attuale. Proprio come un’azienda tiene traccia delle proprie risorse finanziarie, i team IT e di sicurezza devono tenere traccia delle proprie risorse, tra cui dispositivi, server, sistemi operativi e applicazioni. Non si può proteggere ciò che non si conosce. Eppure, in quasi tutte le operazioni di risanamento a seguito di gravi violazioni che ho guidato, i responsabili della tecnologia o della sicurezza all’interno dell’organizzazione vittima non sono stati in grado di fornire un inventario accurato dei dispositivi. In effetti, la maggior parte ha faticato a raggiungere un livello di accuratezza compreso tra il 10% e il 20% rispetto al conteggio effettivo.
Un altro esempio è la gestione delle vulnerabilità. Lo scorso anno diverse organizzazioni sono state colpite dall’ , , dal ransomware Samsam, (si apre in una nuova scheda),e . Samsam si è avvalso di una vulnerabilità di JBoss risalente a più di un anno fa. Al momento del rilascio del ransomware, i ricercatori stimavano che su Internet esistessero oltre 2,1 milioni di istanze vulnerabili di JBoss. La maggior parte delle organizzazioni presenta migliaia di vulnerabilità non risolte e non dispone delle patch critiche, il che porta alla proliferazione di ransomware e di altri attacchi di basso livello. Il rapporto “ 2015 Verizon Data Breach Investigations Report ” (si apre in una nuova scheda) evidenzia quanto le organizzazioni siano in ritardo nell’applicazione delle patch alle vulnerabilità. Secondo il rapporto, il 99% delle vulnerabilità sfruttate era stato compromesso più di un anno dopo la pubblicazione del Common Vulnerabilities and Exposures (CVE).
Non sono l’unico ad aver notato che la maggior parte delle violazioni è causata da scarse pratiche di sicurezza, piuttosto che da una particolare sofisticatezza da parte degli autori degli attacchi. L’anno scorso, Rob Joyce, direttore della divisione Tailored Access Operations (TAO) della NSA – il gruppo responsabile del lancio di sofisticati attacchi informatici per conto della NSA – ha affermato (si apre in una nuova scheda): «Abbiamo dedicato tempo […] per conoscere [quella rete] meglio di chi l’ha progettata e di chi ne garantisce la sicurezza». “Rimarrebbe sorpreso nel constatare quali elementi siano effettivamente in esecuzione su una rete rispetto a quelli che si ritiene dovrebbero esserci.”
Ian Levy, direttore del Programma britannico per la sicurezza informatica, all’inizio di quest’anno ha contestato il tentativo dei fornitori di soluzioni di sicurezza di presentare le minacce persistenti avanzate (APT) come una forma di attacchi sofisticati. Ha suggerito invece che l’acronimo APT stia per “, ovvero ‘adeguati teppisti perniciosi’ (si apre in una nuova scheda).” Levy desidera che il dibattito in corso sulla sicurezza informatica rifletta quella che egli ritiene essere la natura relativamente poco sofisticata di molti attacchi. «Se la si definisce una minaccia persistente avanzata, si finisce per ottenere una narrazione che sostanzialmente recita: “Voi siete troppo stupidi per capirlo e solo io posso aiutarvi: acquistate il mio amuleto magico e sarete al sicuro”». «È stregoneria medievale, è vera e propria stregoneria medievale».
Tenendo presente che la maggior parte degli attacchi non è sofisticata e che anche gli autori più esperti iniziano con tattiche di base prima di intensificare le proprie tecniche operative, l’igiene della sicurezza dovrebbe costituire il punto di partenza per i responsabili della sicurezza. Per me è facile dirlo. Allora, in qualità di responsabile della sicurezza, da dove si comincia?
Raccomando di affrontare la "igiene della sicurezza" in tre fasi:
- Valutate il vostro ambiente attuale e assicuratevi che le soluzioni esistenti funzionino correttamente e siano sfruttate appieno
- Allineate il vostro programma di sicurezza a un framework leader del settore e ottimizzate le soluzioni per raggiungere lo stato futuro desiderato
- Valutate i vostri progressi rispetto allo stato futuro definito e adeguate costantemente le vostre capacità in base alle esigenze
Di seguito illustriamo in dettaglio le linee guida per affrontare la prima fase del vostro programma di igiene della sicurezza. Nei prossimi articoli approfondiremo le fasi due e tre.
Prima fase dell’igiene della sicurezza: Valutazione
Il primo passo per migliorare le buone pratiche di sicurezza consiste nel comprendere lo stato attuale dei principali controlli di sicurezza all’interno della vostra rete. Molte organizzazioni sono convinte di gestire in modo efficace i database delle risorse e di applicare le patch alle vulnerabilità; la mia esperienza mi ha insegnato che tale convinzione è spesso infondata. L'obiettivo di questa prima fase è individuare tali lacune e garantire che gli investimenti esistenti siano sfruttati appieno.
Iniziate selezionando una serie di misure di sicurezza ordinate per priorità. Concentrarsi sui controlli piuttosto che sull’intero quadro di riferimento (ne parleremo nel prossimo articolo) renderà questa fase più semplice e contribuirà ad affrontare una serie di controlli generalmente considerati fondamentali. I 20 controlli di sicurezza critici del CIS ( ) rappresentano un ottimo esempio di elenco di controlli ordinati per priorità. L'elenco comprende attività che spaziano dall'inventario delle risorse alla formazione degli utenti. Infatti, è possibile selezionare un sottoinsieme dell'elenco per concentrarsi sulle aree che destano maggiore preoccupazione. I controlli inclusi sono sottocomponenti di framework diffusi, quali l’ , , NIST, il Cybersecurity Framework, (si apre in una nuova scheda),e , il che dovrebbe consentirci di ampliare tale iniziativa in un secondo momento.
Successivamente, valuti in che misura la Sua organizzazione attui efficacemente i controlli di sicurezza informatica considerati prioritari. Nel corso di questa attività, si affidi a prove tecniche piuttosto che a semplici colloqui. Ad esempio, per valutare l’efficacia del Suo inventario dei dispositivi, identifichi tutti i dispositivi presenti sulla Sua rete e confronti l’elenco con il Suo CMDB. Raccogliete informazioni sui livelli di aggiornamento dei sistemi operativi e delle principali applicazioni di terze parti (ad esempio, Java, Flash). Confronti le informazioni relative alla patch con i risultati delle valutazioni di vulnerabilità già disponibili. Le lacune individuate dovrebbero consentire di stabilire rapidamente se tali controlli siano efficaci o meno.
Per quanto riguarda le carenze individuate, si assicuri che gli investimenti esistenti vengano sfruttati appieno. Ad esempio, si possono utilizzare le funzionalità esistenti di “ Windows ”, quali BitLocker, AppLocker e “ EMET ”, per migliorare la sicurezza senza dover acquistare soluzioni specifiche per la crittografia completa del disco (FDE), la creazione di whitelist delle applicazioni e le funzionalità anti-exploit. Forse la vostra soluzione anti-malware è aggiornata o funzionante solo sul 80% dei vostri dispositivi: provvedete a risolvere il problema. Il risultato finale di questa attività dovrebbe essere quello di individuare eventuali “risultati immediati” e individuare eventuali lacune residue, che saranno affrontate nell’ambito di un progetto di trasformazione della sicurezza di portata molto più ampia.
Noi di Tanium abbiamo sviluppato una Valutazione dell’igiene informatica per fornire ai clienti report accurati e di facile consultazione sulle lacune più comuni in materia di igiene della sicurezza. I risultati sono stati davvero illuminanti.
- Un importante cliente del settore finanziario disponeva di circa 5.500 richieste documentate e approvate. Tanium ha contribuito a identificare oltre 10.000 applicazioni installate.
- Un importante cliente del settore della vendita al dettaglio riteneva di avere sotto controllo la gestione delle patch. Tanium sono stati individuati circa 3.500 casi di Java che non venivano aggiornati da oltre un anno.
- Un’istituzione finanziaria internazionale riteneva che SCCM fornisse informazioni accurate su tutti i dispositivi. Tanium è emerso che la funzione “ SCCM” non era operativa su circa il 15% di tutti i dispositivi supportati, il che ha influito anche sull’accuratezza dei dati relativi ai livelli di patch e allo stato di altre soluzioni, quali i programmi anti-malware.
Una volta acquisita familiarità con questi controlli di base e dopo aver sfruttato gli strumenti disponibili nel proprio ambiente, si è pronti a concentrarsi su un progetto di trasformazione di più ampia portata, avvalendosi di un quadro di riferimento come “ ISO 27001 ” o “ NIST Cyber Security Framework”.
Informazioni sull’autore: In qualità di responsabile della sicurezza (Chief Security Officer), David Damato definisce la direzione strategica dei prodotti per lo sviluppo dei moduli della piattaforma di sicurezza per dispositivi mobili ( Tanium Platform ) e gestisce il programma di sicurezza interno dell’azienda. David apporta ad Tanium una vasta esperienza nel campo della sicurezza, che spazia dalla risposta agli incidenti e dall’analisi forense, alle valutazioni delle vulnerabilità, allo sviluppo di programmi di sicurezza, alle operazioni di sicurezza e all’architettura di rete e di sicurezza. Prima di entrare a far parte di Tanium, David ha ricoperto, da ultimo, il ruolo di amministratore delegato presso Mandiant , una società del gruppo FireEye, dove il suo team ha guidato le attività di risposta agli incidenti e di risanamento post-violazione presso oltre 100 aziende della classifica Fortune 500 . Presso Mandiant, David ha inoltre svolto un ruolo fondamentale nello sviluppo di nuove capacità relative ai servizi di risposta agli incidenti e nell’apertura di uffici di consulenza sia a livello nazionale che internazionale. Prima di entrare a far parte di Mandiant, David ha guidato i team di consulenza in materia di sicurezza presso PwC nell’ambito della divisione Washington Federal Practice e ha ricoperto incarichi nel settore IT presso Raytheon, occupandosi in particolare della gestione delle reti interne e governative. David condivide spesso le proprie competenze e riflessioni in occasione di eventi di settore e con i media.