Ancora una volta la violazione: cosa serve per sconfiggere i cyberattaccanti

In collaborazione con Hewlett Packard Enterprise e FireEye

Immagina questo: è la sera prima di una grande vacanza. La famiglia e gli amici scendono a casa tua per godersi un pasto rilassante e trascorrere del tempo lontano dall'ufficio.

Ma non tutti si prendono una pausa.

Nel cuore della notte, il telefono squilla. C'è un'emergenza sul lavoro: una violazione della rete. Ho ricevuto chiamate nei momenti più inopportuni, afferma Marshall Heilman, vicepresidente e direttore esecutivo, risposta agli incidenti e operazioni del team rosso presso la società di sicurezza informatica Mandiant, una società FireEye. Nel 2014 ho ricevuto una chiamata poco prima del Ringraziamento. Ho dovuto intervenire per aiutare un'azienda che era stata colpita da un aggressore avanzato, ed era una cosa seria, ricorda Heilman, aggiungendo che la sua squadra ha combattuto un'altra violazione alla vigilia di Natale del 2015. I membri del team hanno anche molte storie, ad esempio , essendo così impegnato durante le vacanze che i dipendenti lavoravano mentre cercavano di imbastire un tacchino allo stesso tempo, Heilman afferma: Gli hacker sono strategici riguardo alle vacanze. Compromettono le organizzazioni in quei momenti perché è allora che si aspettano che le difese siano abbassate.

Ma come Heilman sa fin troppo bene, gli hacker non hanno bisogno di aspettare le vacanze per cogliere alla sprovvista i loro bersagli. Le organizzazioni di tutte le dimensioni sono vulnerabili alle violazioni tutto l'anno.

C'è stato un tempo in cui gli esperti di sicurezza informatica usavano un'analogia con un castello per descrivere tali attacchi, in cui i nemici attraversano un fossato, scalano un muro e si intrufolano senza essere scoperti dai cavalieri. Ma Chris Leach, capo tecnologo di Hewlett Packard Enterprise (HPE) Security Services, definisce questa prospettiva obsoleta. La vecchia tattica di avere i cavalieri a guardare il perimetro non è il miglior uso delle risorse. A causa del cambiamento delle minacce e del modo in cui entrano i soldati mimetizzati, dobbiamo rilevare gli intrusi più rapidamente, prima di possono trovare i gioielli della corona.

Anche Andrzej Kawalec, Chief Technology Officer di HPE Security Services, vede un'evoluzione nella sicurezza informatica. Oggi c'è un'enorme asimmetria nelle capacità degli attaccanti e dei difensori, dice. La maggior parte delle organizzazioni oggi si affida alle mura e ai fossati del passato, pensando di difendersi da catapulte e cannoni, mentre gli aggressori utilizzano invece droni e tecnologie stealth altamente mirate. E nelle odierne imprese digitali, osserva, i dipendenti e i clienti sono spesso fuori dalle mura di un'azienda, ad esempio nei bar e negli spazi collaborativi senza forti difese perimetrali. Nel frattempo, come Rapporto sui rischi informatici di HPE 2016 rileva che l'86% delle organizzazioni attualmente non dispone di adeguate capacità di sicurezza informatica.

Video: Anatomia di un attacco

Mesi all'interno

Quanto tempo trascorrono gli avversari all'interno del perimetro prima di essere scoperti? Nel 2015, il numero mediano di giorni era 146, secondo il Rapporto M-Trends 2016 di Mandante. Sebbene la maggior parte degli attacchi non si trasformi in gravi violazioni, le continue minacce alla sicurezza informatica sono un dato di fatto in questi giorni, afferma Heilman. Un aggressore di successo può ottenere l'accesso alla rete nel corso di una settimana, o anche solo in un paio di giorni, dice. 'Quindi, se non puoi prevenire un attacco, se sai che l'attaccante entrerà in ogni caso, allora vuoi rilevarlo il più velocemente possibile e quindi rispondere. Kawalec di HPE è d'accordo. 'Le persone hanno bisogno di un solido partner per la sicurezza, o un insieme di partner, che sappiano come rispondere in tempo reale', afferma.

È qui che entrano in gioco FireEye e HPE. Le due società, che offrono servizi di risposta agli incidenti, valutazione delle compromissioni e rilevamento delle minacce alle aziende di tutto il mondo, rispondono a migliaia di tali violazioni ogni anno.

C'è bisogno di un vero apprendimento e comprensione della cadenza, la sequenza degli eventi, dice Kawalec. Tale cadenza include ricerca e ricognizione, infiltrazione, scoperta, acquisizione ed esfiltrazione o estrazione di dati. È fondamentale, afferma Kawalec, comprendere il profilo di rischio della tua organizzazione: dovresti iniziare con una semplice domanda: quali sono le tue risorse digitali e le minacce informatiche che devono affrontare? Senza quella risposta, sarai tristemente impreparato a rispondere in tempo reale a un attacco informatico potenzialmente devastante.

Il ciclo di vita dell'attacco

Risultati del sondaggio

• Sfide, rischi, tendenze e impatti della sicurezza informatica

  Prodotto da MIT Technology Review Custom in collaborazione con Hewlett Packard Enterprise Security Services e FireEye Inc.

Indipendentemente dal fatto che l'autore sia un hacktivista, un criminale informatico o un attore di minacce sponsorizzato dallo stato, la cadenza (o ciclo di vita dell'attacco ) rimane essenzialmente lo stesso, afferma Heilman. Il lavoro del suo team è orientato verso le minacce persistenti avanzate (APT), che sono situazioni in cui i perpetratori ottengono l'accesso a una rete e vi rimangono per molto tempo.

Dopo aver ricercato i sistemi e le persone di un'azienda target, gli aggressori fanno il passo successivo: infiltrarsi in una rete sfruttando un punto debole, nell'80% dei casi, inviando un'e-mail di spear-phishing, afferma Heilman. Facendo clic su un collegamento o aprendo un file, gli aggressori possono eseguire il proprio codice dannoso, che spesso crea una backdoor nella rete. Ciò stabilisce un punto d'appoggio da cui gli aggressori possono controllare le loro attività in quell'ambiente.

Poi arriva l'escalation dei privilegi, spiega Heilman: Prendono i diritti che hanno acquisito dai sistemi che hanno compromesso e li inoltrano a un amministratore locale o a un amministratore principale, all'accesso come root o a qualsiasi cosa di cui potrebbero aver bisogno per un maggiore accesso a sistemi e dati.' Ciò si ottiene spesso rubando credenziali, craccando password o sfruttando software vulnerabile.

Una volta che gli aggressori hanno ottenuto i diritti amministrativi, hanno raggiunto lo stato APT. Svolgono attività di ricognizione, spostandosi lateralmente nei sistemi informatici dell'azienda, facendo il punto su ciò che stanno vedendo, annotando i ruoli e le responsabilità delle persone chiave e la posizione delle informazioni che desiderano. Gli autori spesso mantengono la presenza, o la persistenza, installando più backdoor in tutto l'ambiente. 'Quindi cercheranno di realizzare qualunque cosa siano venuti a fare, che spesso è il furto di informazioni: proprietà intellettuale, dati finanziari, dettagli di fusioni e acquisizioni o informazioni di identificazione personale, ad esempio, dice Heilman. Quando hanno completato la loro missione, gli aggressori mantengono l'accesso ove possibile, nel caso vogliano tornare.

Suggerimenti per gli obiettivi: pensa come i cattivi

Dal punto di vista di Heilman, l'approccio migliore per sconfiggere gli attaccanti è adottare la loro mentalità, non rispondere alle loro prossime mosse, ma anticiparle. È inoltre necessario riconoscere e rilevare comportamenti anomali nella propria organizzazione.

Kawalec incoraggia i dirigenti aziendali a conoscere il panorama delle minacce della loro azienda. Sapere quali asset sono più critici, e quindi devono essere protetti in modo vigile, è un vantaggio offensivo significativo contro le minacce informatiche. 'Capire cosa è prezioso nella tua organizzazione. Chi proverà a ottenere quelle risorse principali? Questo ti dà una visione del rischio, dice. Quindi capisci se sei stato compromesso e dove sei vulnerabile.' Infine, il problema più grande: sai esattamente cosa farai quando il telefono squilla in caso di violazione? chiede Kawalec. Queste sono le grandi domande a cui qualsiasi leader della sicurezza informatica o responsabile della sicurezza delle informazioni dovrebbe essere in grado di rispondere per conto della propria organizzazione, perché se non possono, sono nei guai.'

Come per molti altri reati, le prime 48 ore successive a una violazione sono le più critiche. Ma la rapidità e l'efficacia con cui un'organizzazione risponde e si riprende è determinata da ciò che è stato fatto prima di l'incidente. La tua risposta iniziale all'emergenza dipende interamente e fondamentalmente dal lavoro che hai svolto mesi prima: scrivere e comprendere un piano di risposta alle violazioni, identificare i ruoli e le responsabilità delle persone coinvolte, in particolare i primi soccorritori, e poi formare le persone, spiega Kawalec. Anche le esercitazioni sono cruciali: esegui scenari e revisioni della squadra rossa, o simulazioni realistiche, e accompagna il consiglio di amministrazione dell'azienda attraverso un'esperienza di vita reale di un attacco informatico, afferma. In questo modo, quando lo sperimentano per davvero, non è la prima volta.'

E non sarà l'ultima volta. Come documenta l'ultimo Cyber ​​Risk Report di HPE, il volume delle violazioni è aumentato e, sebbene gli aggressori utilizzino ancora metodi relativamente vecchi per ridimensionare i firewall e aggirare il software antivirus e altre difese tradizionali, stanno anche diventando più sofisticati. Stanno adattando le loro tecniche per aggirare le nuove tecnologie di sicurezza informatica. Inoltre, stanno sviluppando intricati modelli di business in cui collaborano agli attacchi e stanno espandendo la loro portata nell'Internet delle cose, inclusi telefoni cellulari, tablet e servizi cloud. Tutto ciò si aggiunge a enormi spese per le organizzazioni: The Studio 2015 sul costo dello studio sulla criminalità informatica: globale , condotto dal Ponemon Institute e sponsorizzato da HPE, stima il costo medio annualizzato della criminalità informatica per 252 società sottoposte a benchmark a 7,7 milioni di dollari in un solo anno, con la società di ricerca sulla sicurezza che ha riferito che alcune hanno perso fino a 65 milioni di dollari.

Affrontare avversari sempre più sofisticati richiede linee di difesa altrettanto sofisticate. Con questo in mente, HPE ha sviluppato uno standard di settore Architettura di riferimento cibernetico (CRA) che fornisce ai clienti un progetto per servizi avanzati di protezione dalle minacce e capacità di risposta agli incidenti. Tra le altre funzionalità, il CRA incorpora le informazioni più attuali di FireEye sugli APT, quelle situazioni in cui gli aggressori stabiliscono forti appigli e provocano il caos per lunghi periodi di tempo.

In sostanza, il CRA è un ricettario di sicurezza informatica, afferma Leach, di HPE. 'L'architettura di riferimento articola l'aspetto che dovrebbe avere la tua organizzazione: le aree chiave, l'estensione delle responsabilità e le metriche. Si va dalla parte strategica, inclusa l'esecuzione di esercitazioni di risposta all'interno di un'azienda, alle persone, alle operazioni, a ciò che dovresti fare in una violazione effettiva, spiega.

L'architettura include anche progetti di utilizzo specifico, sintetizzando gli eventi comuni e mappandoli nuovamente al CRA per vedere se affronta il rischio e il rischio operativo, aggiunge Leach. 'Il Chief Information Security Officer (CISO) sta probabilmente affrontando il rischio nel modo più proattivo possibile. Ma un CISO potrebbe non contenere tutti i pezzi di quell'architettura di riferimento e, quindi, ha bisogno di collaborare con altri per ottenere il quadro completo, dice. Il CRA è davvero una preziosa guida end-to-end.'

Collabora con gli esperti

Le statistiche indicano che le aziende hanno bisogno di un aiuto esterno per la sicurezza informatica. Solo il 47% delle violazioni affrontate da Mandiant nel 2015 sono state scoperte internamente dai dipendenti di un'azienda; nel 53% dei casi, le aziende hanno appreso delle violazioni da fonti esterne, come forze dell'ordine, media, clienti o fornitori, o persino gli stessi aggressori. Kawalec afferma che tale notifica esterna mette i leader dell'azienda in una posizione difficile e reattiva. 'Significa che trovano molto difficile controllare la situazione, comandare e dirigere la risposta appropriata e anche comunicare da una posizione di forza', dice. Devono concentrarsi sulla comprensione e sul monitoraggio dei comportamenti degli utenti e dei sistemi, quindi confrontare uno schema con qualcosa che sanno non è giusto.'

Sempre più aziende globali si rivolgono ad HPE per i servizi di riparazione della sicurezza informatica supportati dall'esperienza avanzata di rilevamento delle minacce, intelligence, metodologie e risposta agli incidenti di FireEye. Gli analisti delle minacce HPE-FireEye si impegnano come estensione del team di sicurezza informatica di un'organizzazione, fornendo insight e intelligence in prima linea. Oltre a rispondere agli incidenti, HPE e FireEye cercano proattivamente gli indicatori di compromissione negli ambienti dei loro clienti.

Con 10 centri operativi di sicurezza in tutto il mondo e 5.000 professionisti della sicurezza che servono 10.000 clienti, HPE offre una portata globale senza precedenti. Inoltre, FireEye dispone di sei centri operativi di sicurezza globali che forniscono rilevamento e risposta costanti a 4.400 clienti. Insieme, le due società formano una potente partnership nella sicurezza informatica, afferma Kawalec. 'Se si considerano le risorse di un tipico team di sicurezza in un'organizzazione piuttosto grande, anche i team di sicurezza più grandi sarebbero composti solo da 15 a 100 persone. HPE e FireEye sono in grado di proiettare capacità di sicurezza informatica per un'ampia gamma di aziende. Ecco perché le persone si rivolgono a noi per questo aiuto.'

Per saperne di più sulla sicurezza informatica, esplora questo sito Web di risorse HPE-FireEye .

nascondere