Wim Remes, fondatore di Wire Security, ha assistito in prima persona alla valanga quotidiana di avvisi di sicurezza che ha sommerso i team da lui guidati sotto decine di milioni di segnalazioni estremamente urgenti, ma in gran parte irrilevanti, ogni giorno.
Sebbene gli avvisi di sicurezza più banali tra quelli riportati su possano essere gestiti con strumenti di automazione, uno dei team di Remes ha dovuto affrontare un arretrato persistente di migliaia di eventi di sicurezza e non è riuscito a stare al passo.
«L’intero team stava cercando di smaltire l’arretrato a tempo pieno», afferma. Le aziende che non riescono a stare al passo, come egli stesso ha potuto constatare, difficilmente riusciranno a fermare con successo la raffica di attacchi informatici che prendono di mira i loro dati e i loro sistemi, almeno non per molto tempo.
Non si tratta di un problema che si risolverà in tempi brevi. L’elevato numero di segnalazioni si è ulteriormente aggravato durante la pandemia di COVID, poiché le aziende hanno trasferito gran parte del lavoro in modalità remota. Se non gestito in modo adeguato, il continuo suono dei campanelli d’allarme finisce semplicemente per logorare gli analisti.
[Legga anche: Come reagire a una violazione informatica]
«Il tributo in termini di vite umane pagato nell’ultimo anno è stato enorme», afferma Martin Fisher, direttore della sicurezza informatica e responsabile della sicurezza informatica presso il Northside Hospital, nell’area di Atlanta. «Siamo nervosi. Ogni segnalazione dà luogo a un'indagine di risposta agli incidenti di minore entità. Un impegno di tale entità è estenuante. Le persone stanno esaurendosi.”
Molti strumenti di sicurezza generano avvisi che non forniscono un contesto sufficiente per comprendere cosa stia accadendo. A volte la colpa è dello strumento. A volte il problema è la mancanza di formazione del personale. «Se si trattasse di un problema semplice, sarebbe stato risolto già da tempo», afferma Chris Blow, direttore della sicurezza offensiva presso Liberty Mutual.
Per ridurre il numero di avvisi a un livello gestibile sia dalle persone che dai sistemi, le aziende devono compiere il passaggio dalla “stanchezza da avvisi” alla “consapevolezza degli avvisi”. Possono farlo ottimizzando gli strumenti e i sensori di sicurezza, concentrandosi sugli avvisi rilevanti, riducendo il carico di lavoro degli analisti grazie all’automazione, potenziando la formazione del personale e rafforzando in modo proattivo il proprio livello di sicurezza “ ”.
Mettete a punto i vostri dispositivi di sicurezza
Si tratta di un passo ovvio, ma non per forza facile. Gli strumenti di sicurezza utilizzati per monitorare reti e sistemi sono piuttosto esigenti. Se li si imposta in modo troppo rigido, generano un numero eccessivo di avvisi; se invece li si imposta in modo troppo permissivo, i team di sicurezza rischiano di trascurare attacchi reali.
«Non basta impostarle e poi non pensarci più», afferma Blow di Liberty Mutual. Eppure è proprio così che molte aziende li trattano. Egli afferma che le aziende di maggior successo dispongono di procedure che coinvolgono tutte le figure necessarie alla gestione degli allarmi, compresi i responsabili delle applicazioni e dei sistemi interessati, nonché il personale che opera nel SOC. Si riuniscono settimanalmente o con maggiore frequenza per stare al passo con le minacce in rapida evoluzione.
«Stabilire le priorità degli avvisi e assicurarsi che tutti ne comprendano l’importanza contribuisce in modo significativo a risolvere il problema dell’affaticamento da avvisi.»Chris Blow, responsabile della sicurezza offensiva presso Liberty Mutual
Remes of Wire Security raccomanda di creare un ciclo di feedback stretto tra l’ambiente monitorato dagli strumenti di sicurezza e la configurazione degli strumenti che generano gli avvisi. «I vostri strumenti di monitoraggio della sicurezza devono essere configurati in base agli avvisi che desiderate ricevere», afferma. A tal fine, Remes raccomanda di utilizzare un quadro di riferimento basato sul rischio che consenta alle imprese di applicare una valutazione del rischio cibernetic e al processo decisionale relativo ai dispositivi, alle applicazioni, alle reti e agli utenti che intendono proteggere.
Assegnare priorità agli avvisi
Non tutti i rilevamenti di eventi sono uguali. Sebbene gli avvisi in sospeso debbano essere analizzati, non tutti richiedono un’indagine immediata. «Dare priorità agli avvisi e assicurarsi che tutti ne comprendano l’ordine di priorità contribuisce in modo significativo a risolvere il problema dell’affaticamento da avvisi», afferma Blow.
Per stabilire al meglio le priorità, Blow afferma che è essenziale prendere in considerazione fattori quali la fonte dell’allerta, il volume delle allerte, l’entità del potenziale impatto dell’evento, lo stato di avanzamento del possibile attacco e la somiglianza di un incidente rispetto a quelli precedenti. Fisher del Northside Hospital attribuisce inoltre grande importanza ad aspetti delicati quali la sicurezza e l’esperienza dei pazienti, nonché alle minacce rappresentate da malware e ransomware che mettono a rischio le operazioni aziendali.
Automatizzare la risposta adeguata agli avvisi
Alcuni avvisi possono essere gestiti automaticamente. Ad esempio, non è necessario inviare un avviso prioritario ai team umani nel caso di un utente a cui sia stato bloccato l’accesso al proprio account a seguito di un numero eccessivo di tentativi di accesso non riusciti e che necessiti quindi di reimpostare la password. Tuttavia, sebbene uno o due tentativi di accesso non andati a buon fine non debbano necessariamente costituire una priorità elevata, afferma Blow, «se l’avviso si attiva più volte nel corso della giornata, la questione potrebbe allora essere sottoposta a un livello superiore».
[Leggi anche: 5 modi in cui la Sua azienda può evitare di finire sui titoli dei giornali]
Tra gli altri ambiti che possono essere automatizzati figurano l’ gli attacchi di phishing e l’ ’analisi. «Quando qualcuno segnala un’e-mail di phishing, è possibile analizzare i dati e interagire con la propria infrastruttura di posta elettronica per rimuovere e-mail simili dalle caselle di posta degli altri utenti», afferma Remes.
Ma prestate attenzione a non automatizzare processi inadeguati, consiglia Remes. «Ciò che non si desidera che accada è che i propri processi automatizzati non vengano compresi», afferma. «Passare dalla comprensione di ciò che sta accadendo alla comprensione di ciò che un team deve fare, fino all’automazione di tali processi, non è un percorso rapido», afferma.
Formare il personale sull’uso degli strumenti di sicurezza più recenti
«Il numero di strumenti è cresciuto in modo esponenziale», afferma Blow.
Troppe aziende cercano di implementare prodotti sperando che ciò risolva i loro rischi di sicurezza. Gli strumenti finiscono per essere gestiti in modo inadeguato , ammesso che vengano utilizzati. Le organizzazioni potrebbero invece dover investire nei servizi professionali necessari per rendere operativi i propri strumenti in modo efficace e per garantire che il personale addetto alla sicurezza riceva una formazione adeguata.
«Troppe organizzazioni ignorano semplicemente i servizi e una formazione adeguata, e ciò si riflette nella loro attuazione», afferma Blow.
Anticipate le minacce
Man mano che l’arretrato di avvisi inizia a ridursi, è fondamentale che il team addetto alle operazioni di sicurezza esegua in modo proattivo una scansione della rete alla ricerca di eventuali segni di compromissione prima ancora che gli avvisi vengano attivati. Se un determinato gruppo criminale ha preso di mira il Suo settore (come nel caso dei recenti attacchi dell’ al settore sanitario), Le consigliamo di verificare se vi siano indicazioni che dimostrino che tali soggetti siano già penetrati nel Suo ambiente informatico.
[Leggi anche: La proliferazione degli strumenti minaccia la sicurezza nel periodo post-pandemia]
«Quando riusciamo a individuare la minaccia, non abbiamo nemmeno bisogno dell’avviso, perché possiamo semplicemente bloccare qualsiasi tecnica stiano utilizzando», afferma Blow.
Anticipare l’allerta sembra un obiettivo irraggiungibile e, senza una formazione adeguata, servizi e piattaforme adeguati, probabilmente lo è davvero. Ma è un obiettivo che vale la pena porsi.
In che modo il team di Remes, ormai sopraffatto dal lavoro, è riuscito alla fine a smaltire l’arretrato? Ha ottimizzato l'ambiente il più possibile e ha affrontato il lavoro arretrato in modo graduale, suddividendolo e risolvendo le singole parti nel corso del tempo. «Abbiamo cinque analisti», afferma. «Ogni analista dedica un giorno alla settimana a smaltire l’arretrato degli avvisi. «Ciò significa che ogni analista ha a disposizione quattro giorni alla settimana per dedicarsi ad altre attività.»
Ha funzionato. Il numero di segnalazioni in sospeso del team è ora sceso da 3.000 a 80 . Ma, come per tutti gli altri, mantenere basso il carico di lavoro arretrato è una battaglia continua.
