Se gli strumenti informatici vengono implementati nella foresta digitale e nessuno li vede né li utilizza, esistono davvero?
La maggior parte dei responsabili della sicurezza informatica (CISO) sa bene che è meglio non rispondere a questa domanda dal tono zen. Indipendentemente dal fatto che sia stato rilevato o meno del software, la diffusione incontrollata di strumenti autorizzati e non autorizzati può aprire una vera e propria backdoor, potenzialmente devastante, per gli hacker.
Bradley Schaufenbuel ne è ben consapevole. Il CISO di Paychex, un fornitore di servizi di gestione delle buste paga per le piccole imprese, afferma che la “proliferazione degli strumenti” è diventata una delle principali preoccupazioni per i team di sicurezza. Il suo stesso team individua ogni giorno nuove vulnerabilità causate da software non autorizzato. Se tale software non viene aggiornato regolarmente, la superficie di attacco cresce in modo esponenziale.
«A meno che gli strumenti non siano approvati e registrati in un inventario, i team di sicurezza spesso non sono a conoscenza della loro esistenza», afferma Schaufenbuel. «E un team di sicurezza non può proteggere ciò di cui ignora l’esistenza.»
Un problema di vasta portata
Molti strumenti non autorizzati vengono installati in modo casuale all’interno di un’azienda all’insaputa del reparto IT e rimangono tali — dimenticati, privi di patch e vulnerabili — fino a quando un hacker non li individua e li utilizza per violare la rete aziendale.
Secondo un sondaggio condotto da 2020 Global Tanium , il 91% dei responsabili delle decisioni in ambito IT ha ammesso di disporre di una visibilità o di un controllo insufficienti sulle risorse IT. Infatti, quasi un terzo degli intervistati ha affermato che i progetti di “shadow IT” e la proliferazione di strumenti autorizzati e non autorizzati stavano causando enormi problemi.
L'attuale diffusione del lavoro a distanza non ha fatto altro che peggiorare la situazione. Secondo un sondaggio condotto dalla società di sicurezza informatica NetMotion, tre lavoratori da remoto su cinque sono attualmente “ ” (lavorano in modo non autorizzato) utilizzando strumenti non autorizzati al di fuori delle linee guida ufficiali del reparto IT. Questa profusione di software non verificato rappresenta un vero e proprio grattacapo per le aziende che cercano di tornare a una parvenza di “normalità” sul posto di lavoro dopo la pandemia. Il problema è ulteriormente aggravato dal fatto che, nel corso degli anni, gli ambienti IT globali sono cresciuti in termini di dimensioni e complessità e gli ambienti ibridi e multicloud sono ormai diventati la norma.
Gli strumenti di sicurezza possono generare insicurezza
La grande ironia di tutta questa complessità e di questi software dannosi è che proprio gli strumenti progettati per tutelare la sicurezza di un’organizzazione possono rappresentare la più grave minaccia alla sicurezza informatica, come ha evidenziato il recente attacco hacker ai danni di SolarWinds, denominato “ ” .
In un sondaggio, il 55% dei responsabili delle decisioni in ambito IT ha dichiarato di utilizzare 20 o più strumenti tra sicurezza e operazioni, mentre il 70% ha affermato che tali strumenti non sono pienamente integrati. Sebbene alcuni professionisti della sicurezza informatica possano ritenere che l’utilizzo di più strumenti di sicurezza consenta ai team di coprire in modo flessibile un ambito più ampio, uno IBM studio condotto da suggerisce che sia vero il contrario. Queste soluzioni puntuali, tra loro scarsamente integrate, comportano costi e complessità aggiuntivi che finiscono per ostacolare la capacità di un’organizzazione di effettuare l’ Detect e e di reagire alle violazioni.
Tuttavia, Josh Schofield, direttore senior della gestione dei prodotti presso Tanium, sostiene che i problemi legati alla proliferazione degli strumenti di sicurezza non abbiano necessariamente origine nei reparti IT. Egli sostiene che la maggior parte di tali strumenti consista in installazioni una tantum freeware effettuate dai dipendenti che provvedono autonomamente alla manutenzione dei propri computer. I problemi sorgono, afferma, quando entrano in vigore le licenze che impongono alle società di pagare per tali applicazioni e ne bloccano l’utilizzo. Pochi utenti si prendono la briga di rimuoverli effettivamente, creando così potenziali vulnerabilità in materia di sicurezza informatica, afferma Schofield.
«Se uno strumento è effettivamente utile, si insista affinché venga sottoposto a un processo di verifica per ottenere l’approvazione.»Bradley Schaufenbuel, CISO, Paychex
Chris Hughes, consulente in materia di sicurezza informatica e docente universitario in questo ambito, afferma che ogni strumento di sicurezza informatica deve essere affiancato da una persona che sappia come implementarlo, installarlo e gestirlo. Quando le organizzazioni IT dispongono di personale di supporto incaricato di monitorare la proliferazione degli strumenti, tendono a essere più resilienti agli attacchi. Tuttavia, al momento sono pochi i team di sicurezza in grado di farlo in modo efficace a causa di una grave carenza di personale qualificato nel settore della sicurezza informatica ( ). Investire in più strumenti di sicurezza informatica non ha quindi molto senso dal punto di vista della sicurezza, afferma Hughes.
«La maggior parte dei team di sicurezza che dispongono di decine di strumenti ammetterà di non sapere realmente quanto questi funzionino bene», afferma. «Stanno spendendo molto per questi strumenti, ma non sono in grado di dirvi se ne stanno traendo un valore aggiunto.» E si tratta di fondi che avrebbero potuto destinare ad altre risorse, come il potenziamento delle proprie squadre.”
Mark Settle, ex CIO di Okta e BMC Software, vede la questione da un’altra prospettiva. In linea di principio, le aziende investono in più strumenti perché questi presentano funzionalità complementari e i vantaggi che ne derivano quando vengono integrati sono superiori alla somma delle loro singole parti. «Questa è la teoria», afferma Settle, che ha recentemente pubblicato un libro sulla gestione IT “ ”. «In pratica, gli strumenti possono presentare funzionalità che si sovrappongono, risultare difficili da gestire e presentare vulnerabilità di sicurezza sottostanti.»
Come contenere la proliferazione degli strumenti
In teoria, le organizzazioni che intendono contrastare la proliferazione incontrollata degli strumenti potrebbero semplicemente implementare un’unica piattaforma autorizzata per gestire molteplici funzioni. Ciò consentirebbe di ottimizzare le operazioni e la sicurezza, eliminando quasi del tutto la necessità di ricorrere a soluzioni IT non autorizzate. Tuttavia, gli esperti raccomandano alcune misure di base per migliorare immediatamente l’igiene informatica e la sicurezza:
Elementi finali dell'inventario e software. Il team di Schaufenbuel presso Paychex ha intrapreso questa iniziativa nell’ambito di un più ampio progetto volto a razionalizzare la spesa per gli strumenti e a consolidare i propri fornitori. Alcune organizzazioni dispongono già di piattaforme di gestione dei flussi di lavoro o di gestione completa dell’ endpoint , implementate proprio per facilitare il raggiungimento di questo obiettivo. Coloro che non lo fanno dovrebbero prendere in considerazione tali soluzioni per ottenere una maggiore visibilità e un maggiore controllo sugli strumenti e sulle applicazioni digitali.
[Leggi anche: In che modo i CIO del settore pubblico possono adottare un approccio più rigoroso]
Schofield raccomanda inoltre di individuare eventuali anomalie nell’ambito di questo processo, non limitandosi a conoscere tutto ciò che è installato su una rete, ma anche ciò che sembra essere installato in misura più limitata — e il motivo.
«È fantastico sapere di avere uno strumento installato su 50.000 dispositivi, ma è ancora più interessante quando si riesce a ribaltare la prospettiva e individuare situazioni in cui si ha questo singolo elemento installato solo su cinque macchine», afferma Schofield. «È proprio questo il tipo di elemento che occorre tenere particolarmente d’occhio, poiché potrebbe rappresentare un importante vettore di attacco.»
Migliorare l'accessibilità. È incredibilmente difficile valutare con precisione cosa sia presente su una rete se i dispositivi non vi sono registrati. Schaufenbuel raccomanda di concedere agli utenti un periodo di tolleranza per la registrazione degli strumenti, in modo che questi possano essere costantemente potenziati e aggiornati; qualora ciò non dovesse funzionare, si raccomanda di bloccare o rimuovere in modo deciso gli strumenti non autorizzati dai sistemi aziendali. «Se uno strumento è effettivamente utile, insista affinché venga sottoposto a un processo di verifica per ottenere l’approvazione», suggerisce Schaufenbuel.
Egli avverte che non si tratta di un approccio valido per tutti i casi. Gli sviluppatori di software, in particolare, potrebbero aver bisogno di maggiore flessibilità per installare strumenti non autorizzati necessari allo svolgimento del proprio lavoro. «Uno degli errori più gravi che ho commesso è stato quello di imporre restrizioni eccessive alle postazioni di lavoro degli sviluppatori», afferma, «il che può ostacolare la produttività, frenare l’innovazione e alimentare il risentimento nei confronti del team di sicurezza». Per gli sviluppatori, afferma, è preferibile ricorrere a una soluzione di gestione “ endpoint ” che consenta loro di installare gli strumenti in modo più controllato.
Analizzate attentamente le spese relative agli strumenti. Una volta che un’organizzazione ha acquisito familiarità con gli strumenti, deve valutarne l’investimento. I tecnici possono diventare talmente ossessionati dall’acquisto degli strumenti più recenti e all’avanguardia da trascurare gli altri strumenti in cui hanno già investito. «Alcuni dei CISO che conosco chiedono ai propri team di individuare uno strumento già in uso di cui sarebbero disposti a fare a meno prima di approvare l’acquisto di un nuovo prodotto o servizio», afferma Settle. «Questo può rappresentare un modo estremamente efficace per limitare l’espansione urbana incontrollata.»
Patch. Patch. Patch. Una volta che il reparto IT avrà individuato ogni singolo albero nella propria foresta digitale, potrà provvedere ad aggiornarli e a proteggerli. Il reparto IT dovrebbe dare priorità alle patch software che risolvono le vulnerabilità che potrebbero avere un impatto maggiore sull’attività aziendale. È importante prestare particolare attenzione ai computer fissi, ai portatili e alle stampanti su cui è in esecuzione software inattivo o obsoleto. Da un recente rapporto di HP Bromium è emerso che una vecchia vulnerabilità di tipo “ ” (corruzione della memoria) non corretta, presente in Microsoft Office , ha causato quasi il 75% di tutti gli attacchi rilevati dalla funzione di sicurezza informatica HP Sure Click.
Andate oltre le password. Ogni CISO sa bene che le password, di per sé, costituiscono un metodo inefficace per controllare l’accesso alla rete. È importante, pertanto, mettere in atto meccanismi che aiutino gli utenti non solo a creare credenziali sicure, lunghe e uniche, ma anche a ricordarle. A tal fine possono essere d’aiuto strumenti di gestione delle identità e degli accessi, come OneLogin. Gli esperti di sicurezza sostengono che le organizzazioni dovrebbero inoltre implementare l’autenticazione a più fattori (MFA) per ridurre il rischio di attacchi di phishing e di forza bruta. Ciò è particolarmente importante in considerazione del numero crescente di endpoint RDP (Remote Desktop Protocol) oggetto di attacchi durante la pandemia di COVID.
