Il 27 agosto, il Wall Street Journal ha riportato che una massiccia violazione dei dati ai danni di T-Mobile, in cui un hacker ha sottratto circa 50 milioni di record relativi ai clienti, è stata perpetrata da un ventunenne che è riuscito a penetrare le difese dell’azienda attraverso un router non protetto. Secondo quanto riferito, l’hacker avrebbe setacciato i server dell’operatore per una settimana prima di fuggire con il bottino.
La notizia dell’attacco informatico — e il modo in cui è stato perpetrato — deve aver allarmato i responsabili aziendali, informatici e della sicurezza di ogni settore e di ogni ente governativo. Considerando le vaste reti digitali che sono alla base dell’economia, delle infrastrutture e della difesa militare degli Stati Uniti, e i milioni di dispositivi terminali collegati a tali reti, come è possibile gestire e proteggere ogni singolo dispositivo?
«Attacchi come questo sono in aumento e i malintenzionati lavorano instancabilmente per... attaccare i nostri sistemi e sfruttarli», ha osservato Mike Sievert, CEO e di T-Mobile, in un post. Ha scritto che affrontare la violazione è stata «un’esperienza che lo ha reso più umile». Ha affermato che «garantire la sicurezza dei dati dei nostri clienti è una responsabilità che prendiamo estremamente sul serio e impedire che si verifichino episodi di questo tipo è sempre stata una delle nostre massime priorità». Potete leggere la dichiarazione di T-Mobile all'indirizzo qui:.
Mentre amministratori delegati come Sievert — insieme ai loro team IT e di sicurezza — continuano a combattere quella che è ormai diventata una campagna incessante di attacchi informatici sferrati sia da Stati nazionali che da organizzazioni criminali, vi sono alcune lezioni da trarre da queste recenti violazioni informatiche che tutti dovrebbero tenere a mente.
Di seguito sono riportati cinque dei più importanti.
Riducano la superficie di attacco
Per poter ridurre la superficie di attacco è necessario conoscere quali risorse possiede la propria organizzazione e dove si trovano. Senza un inventario aggiornato, qualsiasi iniziativa volta a proteggere i Suoi beni risulterà incompleta. Tuttavia, l’impegno necessario per individuare i beni può rivelarsi complesso. Le aziende si fondono. Acquisiscono altre società. Tali aziende possono utilizzare le proprie connessioni a Internet.
«Gli attacchi sono in aumento e i malintenzionati lavorano instancabilmente per trovare nuovi modi di attaccare i nostri sistemi e sfruttarli.»Mike Sievert, CEO, T-Mobile
Di fronte a una tale espansione, è necessario disporre di un metodo sempre attivo per individuare le risorse e per classificarle . Una volta individuate le proprie risorse e stabilite quali siano quelle esterne, è possibile iniziare a ridurre la superficie di attacco.
È importante analizzare e comprendere il proprio perimetro esterno proprio come farebbe un hacker.
Once you inventory everything in your network, you need to make your external environment boring to a hacker: Anything other than corporate branded websites and 100% necessary externally facing ports should not be accessible. Più informazioni e servizi si mettono a disposizione del pubblico, maggiore è la necessità di proteggerli e difenderli dagli attacchi.
Le organizzazioni forniscono servizi rivolti all’esterno (quali siti web e servizi destinati a consumatori e partner) all’interno delle zone demilitarizzate (DMZ), ovvero le reti che si trovano tra la rete Internet pubblica e le reti private. Se tali sottoreti non sono configurate correttamente , i siti web e i servizi potrebbero risultare esposti e vulnerabili agli attacchi.
Talvolta, per velocizzare le operazioni amministrative o l’accesso, un servizio web viene reso accessibile direttamente su Internet. Tuttavia, le aziende non dovrebbero rendere accessibili su Internet i propri servizi amministrativi. Internet è costantemente oggetto di attacchi provenienti dall’esterno e qualsiasi accesso diretto o anche indiretto può comportare gravi problemi per la Sua rete e, in ultima analisi, per la Sua organizzazione e la sua resilienza.
Effettuando una scansione dal perimetro esterno, è possibile individuare rapidamente i servizi esposti, proprio come farebbe un hacker. È consigliabile monitorare i propri sistemi per assicurarsi che i servizi presenti sul perimetro non comunichino con servizi amministrativi o non autorizzati. Effettuare costantemente l’individuazione delle risorse all’interno dell’ DMZ e è fondamentale per garantire che i dispositivi non vengano aggiunti senza aver completato il processo di onboarding.
Gestite le vostre configurazioni
Come afferma Tony Robbins: «La complessità è nemica dell’attuazione».
Avrebbe potuto avere una carriera illustre come CISO. La sua massima si applica perfettamente alla sicurezza informatica. Risulta che la semplificazione sia la chiave per la sicurezza, soprattutto alla luce della crescente complessità delle reti odierne. Le organizzazioni devono innanzitutto individuare e catalogare tutte le proprie risorse e gli endpoint . Non è possibile gestire ciò che non si vede. Solo dopo aver individuato tutti gli elementi presenti nella propria rete sarà possibile proteggerla. E il passo successivo più importante consiste nel gestire le proprie configurazioni, cosa che molti non fanno in modo adeguato.
Infatti, tra i 300 CISO intervistati da IDC lo scorso anno, l’accesso privilegiato e i controlli di configurazione rappresentavano una delle principali minacce in materia di rischi legati al cloud: il 63% di tali responsabili della sicurezza (la maggior parte dei quali operava in organizzazioni che avevano subito almeno una violazione nel cloud nei precedenti 18 mesi) ha affermato che la protezione dei dati sensibili costituiva una sfida cruciale.
Non c’è da stupirsi. I team IT commettono spesso errori gravi nella configurazione dei propri controlli. Oppure assegnano a ciascuno una configurazione diversa, creando complessità e introducendo vulnerabilità superflue. L'idea è che, se tutte le risorse hanno la stessa configurazione e ricevono gli stessi aggiornamenti, presenteranno tutte le stesse vulnerabilità. Ma in realtà questa può essere una cosa positiva.
Disporre di una sola configurazione (o di configurazioni minime) per ogni tipo di risorsa consente di dedicare tempo e risorse al potenziamento e al collaudo di una sola configurazione. Se i sistemi si discostano da una configurazione pianificata, la domanda che dovrebbe porsi è: perché? Quali processi si sono interrotti per far sì che ciò accadesse?
Bloccare il movimento laterale
Una volta che gli hacker riescono a insinuarsi in un’azienda, la loro mossa successiva consiste spesso nel penetrare più in profondità nei sistemi informatici. Secondo quanto riferito, l’hacker di T-Mobile avrebbe affermato di aver violato un singolo router per poi infiltrarsi nei server dell’azienda. Probabilmente lo ha fatto spostandosi lateralmente all’interno della rete fino a quando non ha trovato i dati che cercava. Gli hacker si spostano lateralmente passando da un endpoint all’altro, acquisendo le credenziali di accesso degli utenti tramite la registrazione dei tasti digitati o altri strumenti specializzati.
«Con le credenziali giuste, possono arrivare ovunque desiderino», afferma Ben Rothke, responsabile senior della sicurezza informatica presso Tapad, fornitore di servizi pubblicitari e di distribuzione di contenuti, in un’intervista a Endpoint. Con tali credenziali, afferma Rothke, l’hacker può ottenere l’accesso alle reti, alle applicazioni e persino alla console cloud utilizzata da un amministratore. Ciò rende la prevenzione, l’individuazione e il blocco dei movimenti laterali elementi essenziali nella difesa di qualsiasi organizzazione.
Fortunatamente, ci sono diverse cose che potete fare. In primo luogo, rendete il più difficile possibile per un aggressore muoversi lateralmente. Ciò si ottiene aumentando il costo del successo per l'aggressore. Rendete loro la vita difficile mettendo in pratica i principi fondamentali di una corretta igiene informatica. Ciò dovrebbe includere la gestione, già menzionata in precedenza, delle risorse e delle configurazioni, nonché la gestione regolare delle patch.
È inoltre necessario gestire le identità. È fondamentale sapere chi dispone delle credenziali necessarie per accedere alle applicazioni critiche e alle risorse di rete. Il principio del “privilegio minimo” riduce la superficie di attacco interna, consentendo agli utenti l’accesso solo alle risorse di cui hanno assolutamente bisogno per svolgere il proprio lavoro.
Diventi un cacciatore di minacce proattivo
Perché? Perché non è una questione di quando, ma di come.
Le aziende non possono più permettersi di aspettare che qualcun altro subisca una violazione per poi mettersi a cercare lo stesso malware o hacker nei propri sistemi. Devono individuare in modo proattivo le minacce, rilevare eventuali scostamenti dalla normalità nelle proprie reti e intervenire di conseguenza.
Ciò significa innanzitutto individuare specifici indicatori di compromissione (IOC) e poi ricercarli regolarmente. Potrebbe trattarsi di processi o strumenti noti utilizzati dagli hacker contro altri operatori del settore. Concentratevi sull’identificazione delle tattiche, delle tecniche e delle procedure (TTP) degli hacker. Ad esempio, gli hacker devono effettuare operazioni di ricognizione per individuare obiettivi di valore e muoversi lateralmente all’interno di una rete.
Poiché gli hacker dispongono solo di pochi metodi per muoversi all’interno di un ambiente, individuare le loro TTP rappresenta il modo migliore per un threat hunter di individuarli. Tra le domande che dovreste porvi: come posso individuare le deviazioni dalla norma? Quali sono i parametri che dovrei monitorare? (Il traffico di rete proveniente da database o server critici potrebbe essere uno di questi.) Sono agile quanto i miei potenziali aggressori? In caso contrario, come potrei esserlo?
Naturalmente, una volta individuati gli intrusi, è necessario eliminarli. È proprio in questi casi che la flessibilità fa la differenza. Poiché poche ore o pochi giorni possono fare una grande differenza. In che modo ha semplificato il processo di rendicontazione affinché le persone che necessitano di tali informazioni possano riceverle ed esaminarle rapidamente?
E, infine: protegga le sue password!
Le password rappresentano un elemento fondamentale del nuovo perimetro di rete per molte organizzazioni. Poiché milioni di lavoratori in remoto accedono alle reti aziendali e alle applicazioni basate sul cloud tramite dispositivi " endpoint " quali laptop, PC e tablet, ciascuno di questi endpoint diventa un potenziale punto di ingresso per attacchi malevoli.
Le password sono concepite per impedire l'accesso ai malintenzionati. Tuttavia, gli esseri umani sono soggetti a errori e non sempre utilizzano le password in modo corretto. Potreste pensare che “ Marlins1234 ” sia una chiave perfettamente sicura per le vostre serrature digitali. Basta però dare un’occhiata ai Suoi profili sui social network e un hacker sarà in grado di indovinare quella password senza troppa fatica. A riprova di ciò, vi invitiamo a consultare l’elenco delle 200 password più comuni stilato dall’ :.
Milioni di lavoratori americani non adottano buone pratiche in materia di sicurezza delle password. Secondo Keeper Security, più della metà (57%) degli intervistati in un recente sondaggio condotto d ha dichiarato di annotare le proprie password di lavoro su post-it. Questa è negligenza. E da quando è scoppiata la pandemia, questo fenomeno non ha fatto che aumentare. Dallo stesso sondaggio è emerso che il 66% dei lavoratori è più propenso a prendere nota delle password quando lavora da casa.
[Legga anche: Perché abbiamo ancora bisogno della Giornata mondiale della password]
Naturalmente, nel contesto attuale, anche l’autenticazione a più fattori (MFA) è indispensabile. I siti web, le applicazioni e le reti aziendali utilizzano spesso l’autenticazione a più fattori (MFA), abbinando l’accesso tramite password ad app di autenticazione di terze parti a cui gli utenti possono accedere tramite smartphone. Tuttavia, l’autenticazione MFA non è una panacea, soprattutto se operatori come T-Mobile sono oggetto di attacchi. Mentre le organizzazioni guardano al futuro, molte stanno valutando l’adozione di un modello di accesso alla rete “zero-trust” per garantire un ulteriore livello di sicurezza oltre ai tradizionali controlli basati su password.
E se tutto il resto fallisce, chiami questo signore.
