Estimated reading time: 4 minuti
Cos’è Posture Guard
Posture Guard è il nuovo servizio gestito di Cyber Security offerto da Secure Online Desktop per proteggere le aziende da attacchi informatici e violazioni dei dati. Si tratta di una soluzione all’avanguardia che utilizza tecniche di Breach Attack Simulation (BAS) continuativo per valutare costantemente la postura di sicurezza di un’organizzazione ed identificare potenziali vulnerabilità prima che possano essere sfruttate dai criminali informatici.
Il servizio Posture Guard si basa su sofisticate tecniche di ethical hacking eseguite in modo controllato per testare la capacità di un sistema di resistere a tentativi di intrusione simulati. In questo modo è possibile individuare i punti deboli della sicurezza prima che diventino una reale minaccia.
Come funziona il servizio Posture Guard
Posture Guard utilizza metodologie di attacco simile a quelle impiegate dai criminali informatici per penetrare le difese di un’organizzazione. Tuttavia, al contrario di un vero attacco, Posture Guard è uno strumento benigno utilizzato a solo scopo difensivo.
Il servizio prevede l’esecuzione periodica di test di penetrazione simulati per identificare vulnerabilità sfruttabili nei sistemi e nelle reti del cliente. Questi test vengono condotti in modo controllato per non causare alcun danno, ma riproducono in modo realistico le tecniche usate dai malintenzionati per violare la sicurezza di un sistema.
I risultati dei test forniscono informazioni dettagliate sulle falle individuate, permettendo al cliente di colmarle rapidamente prima che possano essere sfruttate in un attacco reale. In questo modo Posture Guard aiuta a ridurre drasticamente il rischio di una violazione dei dati.
I vantaggi di Posture Guard
Posture Guard offre numerosi vantaggi rispetto alle soluzioni di sicurezza tradizionali, tra cui:
- Individuazione proattiva delle vulnerabilità – Posture Guard non si limita a monitorare e reagire alle minacce, ma va alla ricerca attiva di punti deboli sfruttabili. Questo rende possibile correggere le falle di sicurezza prima che vengano colpite dagli hacker.
- Miglioramento continuo – I test periodici consentono di misurare e migliorare nel tempo la postura di sicurezza di un’organizzazione. Si può vedere concretamente l’impatto positivo delle contromisure applicate.
- Approccio realistico – Simulando veri attacchi si ottiene una valutazione concreta di quanto un sistema sia effettivamente protetto da minacce del mondo reale.
- Risparmio sui costi – Individuare e risolvere le vulnerabilità in anticipo previene violazioni dei dati che comporterebbero ingenti costi per il ripristino dei sistemi, sanzioni legali e danni reputazionali.
- Conformità normativa – Molte normative richiedono l’esecuzione periodica di test di penetrazione. Il servizio Posture Guard aiuta a soddisfare tali requisiti in modo continuativo.
Monitoraggio delle KPI di sicurezza
Una caratteristica avanzata del servizio Posture Guard è il monitoraggio continuo di fondamentali Key Performance Indicator (KPI) per tenere sotto controllo lo stato di sicurezza dei sistemi del cliente.
Vengono raccolti ed analizzati in tempo reale dati come:
- Numero di vulnerabilità critica individuate
- Variazioni nel tempo delle superfici di attacco
- Indici di capacità di rilevamento delle soluzioni di sicurezza
- Tempi di risposta agli incidenti
- Conformità a standard e policy
Lo stato di queste metriche viene comunicato al cliente tramite cruscotti e report periodici. In caso di variazioni negative che indicano un potenziale peggioramento della sicurezza, vengono inviati alert in tempo reale.
Questo permette di intervenire rapidamente per investigare e mitigare possibili problemi prima che si trasformino in una concreta minaccia, mantenendo sempre sotto controllo il livello di rischio.
Ad esempio un calo del tasso di rilevamento di attacchi simulati da parte di una soluzione di protezione della rete probabilmente indica un malfunzionamento o una errata configurazione che richiede indagini e interventi correttivi urgenti. Il costante monitoraggio delle KPI rende possibile individuare tempestivamente queste situazioni.
Conclusioni
Il servizio Posture Guard rappresenta l’evoluzione della Cyber Security gestita, che non si limita più a proteggere i sistemi ma adotta un approccio proattivo per migliorarne continuamente la postura di sicurezza.
La combinazione di test di penetrazione simulati condotti regolarmente e monitoraggio continuo di KPI fondamentali permette di identificare e risolvere vulnerabilità prima che possano essere sfruttate dagli attaccanti.
Per le aziende che vogliono adottare una Cyber Security di livello enterprise senza dover gestire complesse attività di ethical hacking interne, Posture Guard è la soluzione ideale per proteggere i propri dati e sistemi in modo efficace.
Useful links:
Tempo di lettura stimato: 6 minuti
Oggi parliamo dell’aggiornamento CTI dei nostri servizi. La sicurezza dei dati rappresenta un aspetto che deve essere sempre tenuto in considerazione per evitare che i dati possano essere in qualche modo rubati.
Le problematiche della rete
Quando si possiede una presenza collegata alla rete, specialmente se contiene dati sensibili, le potenziali minacce ai quali si viene esposti sono molteplici. Il furto dei dati dei propri clienti, infatti, è solamente una delle potenziali situazioni negative che si possono palesare e che potrebbero compromettere la solidità del proprio sito e la nomea della propria impresa.
Il servizio di Cyber Threat Intelligence (CTI), nasce con l’obiettivo, non solo di scoprire quali sono le aree maggiormente a rischio, ma anche prevenire attacchi mirati. La prevenzione rappresenta la giusta soluzione grazie alla quale è possibile evitare che la situazione possa farsi difficile da affrontare e che possano esserci futuri problemi complessi da risolvere.
CTI: l’analisi preventiva delle minacce
Grazie al servizio di CTI da noi proposto e ai nostri Cyber Treath Hunter, è possibile evitare che un attacco programmato vada a segno. La ricerca delle zone vulnerabili dell’infrastruttura informatica rappresenta il primo processo del servizio di CTI da noi proposto.
Tali informazioni, infatti, sono quelle che vengono elaborate nel Dark Web, dove appunto vengono svolte gran parte delle progettazioni degli attacchi. L’analisi della fuga dei dati, quindi, viene svolta con estrema attenzione per capire quali e quanti dati possono essere divenuti oggetto dell’attenzione di hacker. Di conseguenza possiamo anche capire quali possono essere i target specifici di attacco o le prossime informazioni a rischio.
Le diverse analisi sono svolte con cura e precisione, per evitare che le vulnerabilità siano sfruttate e la sicurezza della struttura messa a repentaglio. Grazie all’analisi svolta da un team di professionisti, la vostra azienda eviterà che gli attacchi possano colpirvi e scatenare problemi economici e d’immagine.
Le analisi svolte dalla Cyber Threat Intelligence
Per quanto riguarda le diverse fasi delle analisi da noi proposte, queste sono svolte in maniera particolarmente accurata. Si pratica una serie di procedure grazie alle quali è possibile identificare quali sono le potenziali minacce che possono essere presenti nella rete.
Vediamo queste fasi per capire come procediamo per offrire un servizio completo ai nostri clienti.
L’analisi globale dei dati
Dopo aver ipotizzato il tipo di minaccia da evitare, quindi i dati necessari che devono essere analizzati, la squadra di tecnici preposti si occupa di svolgere una serie di procedure di raccolta delle informazioni. Grazie a questa possiamo capire se i dati necessari siano ben difesi oppure a rischio di breach. In sostanzia cerchiamo di ragionare come gli hacker prima che si preparino per l’attacco.
I dati sono sottoposti ad un’accurata analisi e soprattutto sono adeguatamente suddivisi. Tale procedura nasce per semplificare poi la fase di studio dei dati stessi, prevenendo quindi un accumulo di informazioni che potrebbero comportare confusione in fase di analisi.
I dati e la seconda analisi, tra informazioni fondamentali e secondarie
Terminata la fase di raccolta delle informazioni, si passa all’analisi iniziale delle stesse. Con questo passaggio fondamentale è possibile eliminare tutte le informazioni reputate superflue lasciando spazio a quelle che hanno maggior rilevanza in fase di studio.
A questo punto si svolge la fase di analisi sui dati, il cui scopo è quello di capire effettivamente quali possono essere le minacce concrete da evitare.
Durante la fase di studio si decide quali sono le diverse procedure da adottare sull’infrastruttura per evitare che gli attacchi vadano a buon fine. Tramite queste analisi possiamo quindi decidere con precisione come aumentare ulteriormente le difese dei dati aziendali.
La scelta delle misure di sicurezza da adottare
Infine, vi è la messa in pratica delle pratiche di sicurezza con un compito preciso: rendere operativi i risultati delle analisi.
Ecco come, grazie a questo insieme di procedure, il servizio di CTI da noi offerto si presenta come incredibilmente utile per evitare che possano esserci potenziali problemi. Ricordiamo che anche un solo attacco portato a termine, può avere un impatto significativo in termini economici.
Prevenzione di attacchi futuri
Grazie a questo insieme di analisi di CTI si possono, quindi, prevenire futuri attacchi. Il nostro team non solo si occupa di analizzare le potenziali e future minacce, ma anche quelle che potrebbero essere basate sulla situazione attuale dell’infrastruttura IT.
Vogliamo rimarcare, infatti, come le costanti minacce siano oggetto di un’evoluzione rapida e quanto sia importante essere sempre adeguatamente protetti e prevenuti. Con servizi come il SOCaaS e il CTI, monitoriamo in sicurezza la rete aziendale assicurandoci che resti protetta e sana.
CTI: L’importanza della massima sicurezza online
Vi invitiamo quindi a considerare queste situazioni di rischio per la sicurezza come meno remote di quanto si possa pensare. Queste stesse situazioni possono essere la causa di una serie di breach e data loss che possono compromettere l’azienda.
Grazie al nostro SOCaaS, e in particolare al CTI. è possibile evitare che i dati presenti della rete aziendale, possano essere intercettati con facilità.
Capire quali sono le minacce, avere un report dettagliato e soprattutto analizzare quali sono le contromisure che bisogna adottare è il nostro compito e grazie ai nostri sistemi all’avanguardia offriamo un servizio completo in grado di mettere in totale sicurezza l’infrastruttura.
I nostri servizi coprono molte situazioni di rischio per la sicurezza e offriamo in generale molte soluzioni professionali per aziende. Il SOCaaS, con sistema SIEM e UEBA, così come campagne di CTI e phishing, sono solo alcuni dei nostri servizi.
Mantenere sempre al top la sicurezza è il nostro compito, se volessi ulteriori informazioni, non esitare a conttattarci!
Useful links:
Tempo di lettura stimato: 6 minuti
La Cyber Threat Hunting è una ricerca proattiva della sicurezza attraverso reti, endpoint e set di dati per dare la caccia alle attività dannose, sospette o rischiose che sono sfuggite al rilevamento da parte degli strumenti esistenti.
Definizione
C’è una distinzione tra il rilevamento delle minacce informatiche e la cyber threat hunting. Il rilevamento delle minacce è un approccio passivo al monitoraggio dei dati e dei sistemi per individuare potenziali problemi per la sicurezza. È comunque una necessità e può aiutare un threat hunter (il cacciatore di minacce). Invece, le tattiche proattive di threat hunting si sono evolute per utilizzare nuove informazioni sulle minacce su dati precedentemente raccolti per identificare e classificare i potenziali rischi prima dell’attacco.
Il personale di sicurezza non può permettersi di credere che il proprio sistema di sicurezza sia impenetrabile. Deve rimanere sempre vigile per la prossima minaccia o vulnerabilità. Piuttosto che sedersi e aspettare che le minacce colpiscano, la cyber threat hunting sviluppa ipotesi basate sulla conoscenza dei comportamenti degli attori delle minacce e sulla convalida di tali ipotesi attraverso ricerche attive nell’ambiente.
Con la threat hunting, un esperto non parte da un allarme o da indicatori di compromissione (IOC), ma da un ragionamento più profondo. In molti casi gli sforzi dello threat hunter creano e concretizzano l’allarme o l’IOC.
Questo presuppone aggressivamente che si sia verificata o si verificherà una violazione nell’azienda. Gli addetti alla sicurezza danno la caccia alle minacce nel loro ambiente piuttosto che affidarsi ad automatismi.
Pratica di threat hunting
Per le aziende che sono pronte ad assumere un approccio più proattivo alla sicurezza informatica, che tenta di fermare gli attacchi prima che diventino troppo profondi, aggiungere protocolli di threat hunting al loro programma di sicurezza è il passo logico successivo.
Dopo aver consolidato la sicurezza degli endpoint e le strategie di risposta agli incidenti per mitigare gli attacchi di malware noti ormai inevitabili, le aziende possono iniziare a passare all’offensiva. Questo significa scavare in profondità e trovare ciò che non è stato ancora rilevato. Proprio questo è lo scopo della cyber threat hunting.
Come detto in precedenza, lo threat hunting è una tattica aggressiva che parte dalla premessa del “presupposto della violazione”. Gli aggressori sono già all’interno della rete di un’organizzazione e stanno segretamente monitorando e muovendosi in essa.
Questo può sembrare inverosimile, ma in realtà, gli aggressori possono essere all’interno di una rete per giorni, settimane e persino mesi. Nel frattempo preparano ed eseguono attacchi come minacce persistenti avanzate, senza che nessuna difesa automatica rilevi la loro presenza. Lo cyber threat hunting ferma questi attacchi cercando indicatori occulti di compromissione (IOC) in modo che possano essere mitigati prima che gli attacchi raggiungano i loro obiettivi.
Gli elementi chiave di un threat hunting
L’obiettivo della caccia alle minacce è quello di monitorare le attività quotidiane e il traffico attraverso la rete e indagare sulle possibili anomalie per trovare qualsiasi attività dannosa ancora da scoprire che potrebbe portare a una violazione completa. Per raggiungere questo livello di rilevamento proattivo, la caccia alle minacce incorpora quattro componenti ugualmente importanti.
1. Metodologia
Per avere successo nella caccia alle minacce, le aziende devono impegnarsi in un approccio proattivo e a tempo pieno che sia continuo e in continua evoluzione. Invece, un’implementazione reattiva, ad hoc, “quando abbiamo tempo“, sarà autolesionista e porterà solo a risultati minimi.
2. Tecnologia
La maggior parte delle aziende dispone già di soluzioni di sicurezza endpoint complete con rilevamento automatico. Lo threat hunting funziona in aggiunta a queste e aggiunge tecnologie avanzate. Il fine è quello di trovare anomalie, modelli insoliti e altre tracce di aggressori che non dovrebbero essere nei sistemi e nei file.
Le nuove piattaforme di protezione degli endpoint (EPP) cloud-native che sfruttano l’analisi dei big data possono catturare e analizzare grandi volumi di dati non filtrati sugli endpoint, mentre l’analisi comportamentale e l’intelligenza artificiale possono fornire un’ampia visibilità ad alta velocità sui comportamenti dannosi che all’inizio sembrano normali.
3. Personale altamente qualificato e dedicato
I threat hunter, o cacciatori di minacce alla sicurezza informatica, sono una razza a sé stante. Questi esperti sanno come utilizzare la tecnologia di sicurezza messa in campo dalle aziende. Inoltre, combinano anche l’aspirazione di passare all’offensiva con capacità intuitive di problem-solving per scoprire e mitigare le minacce nascoste.
4. Threat intelligence
Avere accesso all’intelligence globale basata su prove da parte di esperti di tutto il mondo (per esempio Mitre Att&ck) migliora e accelera ulteriormente la caccia alle minacce già esistenti. I cacciatori sono aiutati da informazioni come le classificazioni degli attacchi per l’identificazione di malware e gruppi di minacce, così come gli indicatori avanzati delle minacce.
Le abilità di un threat hunter
Il Threat Hunting Report di Crowd Research Partners conferma l’importanza di determinate capacità per il threat hunting. Quando è stato chiesto di classificare la capacità più importante, il sondaggio ha rilevato che:
Il 69% ha scelto l’intelligence delle minacce
Il 57% ha scelto l’analisi del comportamento
Il 56% ha scelto il rilevamento automatico
il 54% ha scelto l’apprendimento automatico e l’analisi automatizzata
Il profilo di un threat hunter
I cacciatori di minacce (threat hunter) cercano gli aggressori che riescono ad entrare attraverso vulnerabilità che un’azienda potrebbe non sapere nemmeno che esistono. Questi aggressori passano una quantità considerevole di tempo a pianificare ed eseguire la ricognizione, agendo solo quando sanno di poter penetrare con successo nella rete senza preavviso. Inoltre, inseriscono e costruiscono malware che non sono ancora stati riconosciuti oppure usano tecniche che non si basano affatto sui malware, per dotarsi di una base persistente da cui attaccare.
Cosa serve per superare in astuzia anche gli aggressori più intelligenti?
Un cyber threat hunter è implacabile e in grado di trovare anche la più piccola traccia di ciò che gli aggressori si sono lasciati dietro di sé. In generale, i cacciatori di minacce utilizzano le loro abilità per azzerare i piccoli cambiamenti che si verificano quando gli aggressori fanno le loro mosse all’interno di un sistema o di un file.
I migliori cacciatori di minacce si affidano al loro istinto per fiutare le mosse furtive dell’aggressore più pericoloso.
Sei un threat hunter? Contattaci!
SOD è alla ricerca di un analista SOC/ICT da aggiungere al team. Se pensi di essere la persona giusta, visita questa pagina per visualizzare l’annuncio di lavoro dettagliato.
Link utili:
Cyber Threat Intelligence (CTI) – maggiore efficacia per la sicurezza IT
Cos’è la Cyber Security? Definizione e proposte
La minaccia del ransomware DDoS
Tempo di lettura: 6 min
I classici strumenti e sistemi di difesa contro gli le minacce informatiche stanno rapidamente diventando obsoleti e ci sono diversi modi per superarli. Cio’ che rimane comune con sicurezza tra i cyber criminali che tentano un attacco e’ l’intento dell’attacco stesso. Infatti, sapendo che esistono sistemi in grado di rilevare gli indicatori di compromesso (IOC), e’ naturale che gli hacker competenti cercheranno di non lasciare tracce riconducibili agli standard. L’analisi del comportamento degli utenti e delle entita’ (UEBA) offre un modo piu’ completo per assicurarsi che l’azienda disponga di una sicurezza IT di prim’ordine. Al tempo stesso, aiuta a rilevare gli utenti e le entita’ che potrebbero compromettere l’intero sistema.
Una definizione di User Entity Behaviour Analytics
L’analisi del comportamento degli utenti e delle entita’, o UEBA (User Entity Behaviour Analytics), e’ un tipo di processo di sicurezza informatica che prende atto del comportamento standard degli utenti. A loro volta, il sistema rileva ogni comportamento anomalo o i casi in cui ci sono deviazioni dagli schemi “normali” citati prima. Ad esempio, se un particolare utente scarica regolarmente 10 MB di file ogni giorno, e improvvisamente ne scarica 1 GB, il sistema sarebbe in grado di rilevare questa anomalia e di avvertire immediatamente gli operatori. Il comportamento potrebbe essere legittimo, ma vale la pena controllare.
Il sistema UEBA utilizza l’apprendimento automatico, gli algoritmi e le analisi statistiche per sapere quando c’e’ una deviazione dai modelli stabiliti. Successivamente, mostra quale di queste anomalie potrebbe risultare in una potenziale e reale minaccia. Inoltre, UEBA puo’ aggregare i dati dei report e dei log, cosi’ come analizzare le informazioni su file, flusso e pacchetti.
Con un UEBA si tracciano tutti gli utenti e le entita’ del sistema. In questo modo il sistema si concentra sulle minacce interne, come dipendenti disonesti, quelli compromessi e le persone che hanno accesso al sistema e quindi effettuano attacchi mirati e tentativi di frode, cosi’ come i server, le applicazioni e i dispositivi che lavorano all’interno del sistema.
Vantaggi
E’ la spiacevole verita’ che gli strumenti di sicurezza informatica di oggi stanno rapidamente diventando obsoleti. Ormai gli hacker e i cyber criminali piu’ abili sono in grado di aggirare le difese perimetrali utilizzate dalla maggior parte delle aziende. Qualche anno fa si era sicuri se si disponeva di gateway web, firewall e strumenti di prevenzione delle intrusioni. Questo non e’ piu’ il caso nel complesso panorama delle minacce, ed e’ particolarmente vero per le grandi aziende che hanno dimostrato di avere perimetri IT molto porosi che sono anche molto difficili da gestire e supervisionare.
Il punto fondamentale? Le misure preventive non sono piu’ sufficienti. I firewall non saranno infallibili al 100% e gli aggressori entreranno nel sistema in un punto o nell’altro. Ecco perche’ il rilevamento e’ altrettanto importante: quando gli hacker entrano con successo nel sistema, allora bisogna essere in grado di rilevare rapidamente la loro presenza per ridurre al minimo i danni.
Come funziona?
La premessa del sistema e’ in realta’ molto semplice. Si puo’ facilmente rubare il nome utente e la password di un dipendente, ma e’ molto piu’ difficile imitare il comportamento normale della persona una volta dentro la rete.
Per esempio, diciamo che si riesca a rubare la password e il nome utente di Mario Rossi. E’ quasi impossibile comunque agire esattamente come Mario Rossi una volta dentro al sistema, a meno che non venga fatta anche un’ampia ricerca e preparazione in questa direzione. Pertanto, quando il nome utente di Mario e’ collegato al sistema e il suo comportamento e’ diverso da quello tipico, e’ il momento in cui iniziano a suonare gli allarmi UEBA.
Un’altra analogia correlabile sarebbe il furto di una carta di credito. Un ladro puo’ rubare il portafoglio e andare in un negozio di articoli di lusso e iniziare a spendere migliaia di euro. Ma, se il modello di spesa su quella carta e’ diverso da quello del ladro, il reparto di rilevamento delle frodi riconoscera’ le spese anomale e blocchera’ gli acquisti sospetti, inviandovi un avviso o chiedendo di verificare l’autenticita’ di una transazione.
Cosa puo’ fare UEBA?
UEBA e’ una componente molto importante della sicurezza informatica moderna e permette di:
1. Rilevare le minacce interne: Non e’ troppo azzardato immaginare che un dipendente, o forse un gruppo di dipendenti, possa disobbedire, rubare dati e informazioni utilizzando il proprio accesso. UEBA puo’ aiutarvi a rilevare violazioni dei dati, sabotaggi, abusi di privilegi e violazioni di policy da parte del personale.
2. Rilevare gli account compromessi: A volte, gli account utente vengono compromessi. Puo’ essere che l’utente abbia involontariamente installato malware sulla sua macchina, o che a volte un account legittimo sia stato falsificato. UEBA puo’ aiutare ad eliminare gli utenti compromessi prima che possano fare danni.
3. Rilevare gli attacchi di forza bruta: Gli hacker a volte prendono di mira le entita’ basate sul cloud cosi’ come i sistemi di autenticazione di terze parti. Con UEBA, si e’ in grado di rilevare i tentativi di attacco brute force, permettendo di bloccare l’accesso a queste entita’.
4. Rilevare le modifiche dei permessi e la creazione di super utenti: Alcuni attacchi prevedono l’uso di super users. UEBA consente di rilevare quando i super utenti vengono creati, o se ci sono account a cui sono stati concessi permessi non necessari.
5. Rilevare la violazione di dati protetti: Se si dispone di dati protetti, non e’ sufficiente tenerli al sicuro. Bisogna sapere quando un utente accede a questi dati se non ha alcun motivo commerciale legittimo per farlo.
UEBA e SIEM
Security Information and Event Management, o SIEM, e’ l’utilizzo di un complesso insieme di strumenti e tecnologie che fornisce una visione completa della sicurezza del vostro sistema IT. Si avvale di dati e informazioni sugli eventi, consentendo di vedere modelli e tendenze normali e di avvertire in caso di anomalie. UEBA funziona allo stesso modo, solo che utilizza le informazioni sul comportamento dell’utente (e dell’entita’) per verificare cio’ che e’ normale e cio’ che non lo e’.
Il SIEM, tuttavia, e’ basato su regole, e gli hacker competenti possono facilmente aggirare o eludere queste regole. Inoltre, le regole del SIEM sono progettate per rilevare immediatamente le minacce che si verificano in tempo reale, mentre gli attacchi piu’ avanzati sono solitamente effettuati nell’arco di mesi o anni. L’UEBA, invece, non si basa su regole. Utilizza invece tecniche di risk scoring e algoritmi avanzati che gli consentono di rilevare le anomalie nel tempo.
Una delle migliori pratiche per la sicurezza informatica e’ quella di utilizzare sia SIEM che UEBA per avere migliori capacita’ di sicurezza e di rilevamento.
Come andrebbe usato un UEBA
L’UEBA e’ nato dalla necessita’ di individuare il comportamento dannoso degli utenti e di altre entita’. Gli strumenti e i processi UEBA non sono destinati a sostituire i sistemi di monitoraggio precedenti, ma dovrebbero invece essere utilizzati per integrarli e migliorare la sicurezza generale di un’azienda. Un’altra grande pratica e’ quella di sfruttare le capacita’ di memorizzazione e di calcolo dei grandi dati, utilizzando l’apprendimento automatico e l’analisi statistica per evitare di ricevere una valanga di allarmi inutili e di essere sopraffatti dal grande volume di dati generati.
Ed e’ esattamente quello che accade nel SOCaaS offerto da SOD, in cui il SOAR e’ garantito anche dalla collaborazione di questi sistemi.
UEBA utilizza l’apprendimento automatico e gli algoritmi per rafforzare la sicurezza monitorando gli utenti e altre entita’, rilevando anomalie nei modelli di comportamento che potrebbero essere indicative di una minaccia. Adottando un approccio proattivo alla sicurezza e acquisendo una maggiore visibilita’ sul comportamento degli utenti e delle entita’, le imprese di oggi sono in grado di costruire sistemi di sicurezza piu’ forti e di mitigare piu’ efficacemente le minacce e prevenire le violazioni.
Link utili:
Cos’e’ un Network Lateral Movement e come difendersi
Il SOCaaS è utile per la tua azienda?
SOAR: cos’e’ e come puo’ essere utile per le aziende
Sicurezza: pentest e verifica delle vulnerabilita’
SIEM in informatica: la storia
Tempo di lettura: 5 min
La tecnologia SOAR (Security Orchestration, Automation and Response) aiuta a coordinare, eseguire e automatizzare le attivita’ tra persone e strumenti, consentendo alle aziende di rispondere rapidamente agli attacchi alla sicurezza informatica. Lo scopo e’ quello di migliorare la loro posizione complessiva in materia di sicurezza. Gli strumenti SOAR utilizzano playbook (strategie e procedure) per automatizzare e coordinare i flussi di lavoro che possono includere strumenti di sicurezza e mansioni manuali.
In che modo SOAR aiuta nel campo della sicurezza?
1. Combinando in un’unica soluzione l’orchestrazione della sicurezza, l’automazione intelligente, la gestione degli incidenti e le indagini interattive.
2. Facilitando la collaborazione dei team e consentendo agli analisti della sicurezza di intraprendere azioni automatiche sugli strumenti in tutto il loro stack di sicurezza.
3. Fornendo ai team un’unica console centralizzata per gestire e coordinare tutti gli aspetti della sicurezza della loro azienda.
4. Ottimizzando la gestione dei casi, incrementando l’efficienza con l’apertura e la chiusura dei ticket per investigare e risolvere gli incidenti.
Perche’ le aziende necessitano di un SOAR?
Le compagnie moderne devono affrontare regolarmente molte sfide e ostacoli, quando di tratta di lotta contro i cyber threat.
Una prima sfida e’ rappresentata da un volume sempre crescente di minacce complesse per la sicurezza. Inoltre, gli strumenti di sicurezza coinvolti molto spesso faticano a parlare tra loro, il che e’ di per se’ un ostacolo fastidioso.
Un cosi’ grande numero di dati e software, non puo’ che significare un numero elevato di allarmi di sicurezza. Infatti, sono troppi i dati di intelligence sulle minacce per consentire ai team di classificare manualmente, assegnare priorita’, indagare e indirizzare le minacce. Inoltre, il lavoro degli addetti alla sicurezza comporta competenze molto specifiche e con l’aumentare della richiesta e’ sempre piu’ complicato trovare un numero sufficiente di addetti alla sicurezza per svolgere il lavoro.
Implementazione del sistema
SOAR aiuta le aziende ad affrontare e superare queste sfide consentendo loro di:
– Unificare i sistemi di sicurezza esistenti e centralizzare la raccolta dei dati per ottenere piena visibilita’.
– Automatizzare le attivita’ manuali ripetitive e gestire tutti gli aspetti del ciclo di vita degli incidenti.
– Definire l’analisi degli incidenti e le procedure di risposta, oltre a sfruttare i playbook di sicurezza per dare priorita’, standardizzare e scalare i processi di risposta in modo coerente, trasparente e documentato.
– Identificare e assegnare in modo rapido e preciso i livelli di gravita’ degli incidenti agli allarmi di sicurezza e supportare la riduzione degli allarmi.
– Identificare e gestire meglio le potenziali vulnerabilita’ in modo proattivo e reattivo.
– Indirizzare ogni incidente di sicurezza all’analista piu’ adatto a rispondere, fornendo al contempo funzioni che supportino una facile collaborazione e il monitoraggio tra i team e i loro membri.
Applicazioni pratiche
Qui di seguito ho voluto elencare qualche esempio pratico di come un SOAR entra in azione in determinate situazioni.
Gestione degli allarmi
Arricchimento e risposta del phishing: attivazione di un playbook. Automazione ed esecuzione di attivita’ ripetibili come il triage e il coinvolgimento degli utenti interessati. Applicare un’estrazione e il controllo degli indicatori per l’identificazione di falsi positivi, in seguito richiedere l’attivazione del SOC per una risposta standardizzata su scala.
Infezione da malware degli endpoint: estrazione dei dati di alimentazione delle minacce dagli strumenti degli endpoint e arricchimento di tali dati. Riferimenti incrociati tra i file recuperati e gli hash con una soluzione SIEM, notifica agli analisti, pulizia degli endpoint e aggiornamento del database degli strumenti.
Login utente non riuscito: dopo un numero predefinito di tentativi di login utente non riusciti, valutando se un login non riuscito e’ autentico o dannoso, un SOAR puo’ attivarsi in vari modi. Innanzi tutto mettendo in pratica un playbook, coinvolgendo gli utenti e in seguito analizzando le loro risposte, poi anche le password in scadenza e infine chiudendo il processo.
Caccia alle minacce
Indicatori di compromesso (IOC): prendere ed estrarre gli indicatori dai file, rintracciare gli indicatori attraverso gli strumenti di intelligence e aggiornare i database.
Analisi del malware: verifica di dati da fonti multiple, estrazione ed eliminazione dei file dannosi. Successivamente viene generato un rapporto e controllata la presenza di malizia.
Risposta agli incidenti cloud: questo avviene attraverso l’utilizzo di dati provenienti da strumenti di rilevamento delle minacce e di registrazione degli eventi focalizzati sul cloud. I dati vengono poi unificati tra le infrastrutture di sicurezza cloud e on-premises, messi in correlazione grazie a un SIEM. Gli indicatori sono poi estratti e arricchiti, per poi controllare la presenza di malizia. Un ultimo passaggio di controllo umano agli analisti che fanno una loro revisione delle informazioni aggiornano il database e chiudono il caso.
I benefici di un SOAR
In sostanza un SOAR implementa metodi di lavoro e protocolli di azione nel sistema di lotta alle minacce informatiche di un azienda. In questo modo migliora notevolmente l’efficienza operativa e accelera il rilevamento degli incidenti cosi’ come i tempi di risposta, che vengono, di fatto, standardizzati.
Un SOAR aumenta la produttivita’ degli analisti e consente loro di concentrarsi sul miglioramento della sicurezza invece che sull’esecuzione di attivita’ manuali.
Sfruttando e coordinando gli investimenti tecnologici di sicurezza esistenti in un’azienda e’ possibile davvero fare la differenza.
Link utili:
Cos’e’ un Network Lateral Movement e come difendersi
Il SOCaaS è utile per la tua azienda?
SOAR: cos’e’ e come puo’ essere utile per le aziende
Sicurezza: pentest e verifica delle vulnerabilita’
Tempo di lettura: 5 min
Un numero crescente di aziende fa leva sul SOAR per migliorare l’efficacia delle proprie operazioni di sicurezza informatica. In questo articolo, spieghiamo come avvantaggiarsi del valore del SOAR potrebbe essere cruciale per migliorare la sicurezza della vostra organizzazione.
Che cos’e’ il SOAR?
Coniato dalla societa’ di ricerca Gartner, Security Orchestration, Automation and Response (SOAR) e’ un termine usato per descrivere la convergenza di tre mercati tecnologici distinti:
1. L’orchestrazione e l’automazione della sicurezza.
2. Le piattaforme di risposta agli incidenti di sicurezza.
3. Le piattaforme di intelligence delle minacce.
Le tecnologie SOAR consentono alle organizzazioni di raccogliere e aggregare grandi quantita’ di dati e allarmi di sicurezza provenienti da una vasta gamma di fonti. Di conseguenza l’analisi umana e meccanica e’ migliorata, cosi’ come la standardizzazione e l’automazione del rilevamento e del ripristino delle minacce.
E’ stimato che entro la fine del 2020, il 15% delle organizzazioni con un team di sicurezza fara’ leva sulle tecnologie SOAR. Nel 2018 erano l’1%.
In che modo SOAR sta aiutando le aziende a superare le sfide della sicurezza?
La veloce evoluzione tecnologica sta portando in campo sfide complicate per il settore IT. Le minacce sono in continua evoluzione, il personale qualificato e’ in costante carenza e le proprieta’ IT da gestire sono in continuo aumento. Di conseguenza, il concetto di SOAR sta aiutando le aziende di tutte le dimensioni a migliorare la loro capacita’ di rilevare e rispondere rapidamente agli attacchi. Vediamo come, nella pratica, SOAR può migliorare la sicurezza aziendale.
1. Fornire intelligence di migliore qualita’
Affrontare le piu’ recenti e sofisticate minacce alla sicurezza informatica richiede una conoscenza approfondita delle tattiche, delle tecniche e delle procedure (TTP) degli aggressori, cosi’ come la capacita’ di identificare gli indicatori di compromesso (CIO).
SOAR aggrega e convalida i dati provenienti da un’ampia gamma di fonti. Nello specifico, queste sono piattaforme di informazioni sulle minacce, tecnologie di sicurezza, sistemi di rilevamento delle intrusioni e le tecnologie SIEM e UEBA. Cosi’, attraverso i dati raccolti e convalidati, il SOAR aiuta i SOC a diventare piu’ orientati all’intelligence.
L’effetto di cio’ e’ che il personale di sicurezza e’ in grado di contestualizzare gli incidenti, prendere decisioni piu’ informate e accelerare il rilevamento degli incidenti così come la risposta alle minacce.
2. Migliorare l’efficienza e l’efficacia delle operazioni
La necessita’ di gestire cosi’ tante tecnologie di sicurezza disparate puo’ mettere a dura prova il personale addetto alla sicurezza. I sistemi hanno bisogno di un monitoraggio costante per garantire prestazioni efficienti. Inoltre, le migliaia di allarmi giornalieri che generano possono anche portare ad un affaticamento pericoloso. Il costante passaggio da un sistema all’altro non fa che peggiorare la situazione, costando alle squadre tempo e fatica, oltre ad aumentare il rischio di errori.
Le soluzioni SOAR aiutano i SOC ad automatizzare e semi-automatizzare alcuni dei compiti quotidiani delle operazioni di sicurezza.
Presentando intelligence e controlli attraverso un unico pannello e utilizzando intelligenza artificiale e apprendimento automatico, gli strumenti SOAR riducono significativamente la necessita’ per i team SOC di eseguire il ‘cambio di contesto’.
Inolte, possono contribuire a garantire che i processi siano gestiti in modo piu’ efficiente. Questo migliora la produttivita’ e la capacita’ delle organizzazioni di affrontare un maggior numero di incidenti senza la necessita’ di assumere personale aggiuntivo. Un obiettivo chiave dell’approccio SOAR e’ quello di aiutare il personale di sicurezza a lavorare in modo piu’ intelligente e non piu’ duramente.
3. Migliorare la risposta agli incidenti
Per ridurre al minimo il rischio di violazioni e limitare i vasti danni che possono causare, una risposta rapida e’ di vitale importanza. SOAR aiuta l’organizzazione a ridurre il tempo medio di rilevamento (MTTD) e il tempo medio di risposta (MTTR). E’ possibile qualificare gli allarmi di sicurezza e porvi rimedio in pochi minuti, anziche’ in giorni, settimane o mesi.
SOAR, quindi, consente alle squadre di sicurezza di automatizzare le procedure di risposta agli incidenti. Le risposte automatizzate possono includere il blocco di un indirizzo IP su un firewall, la sospensione di account utenti o la messa in quarantena degli endpoint infetti di una rete.
4. Semplificare la reportistica
In molti centri operativi di cyber security, gli operatori in prima linea passano molto tempo nella gestione dei casi, redazione e creazione di rapporti e nella documentazione delle procedure di risposta agli incidenti. Invece, aggregando le informazioni provenienti da un’ampia gamma di fonti e presentandole tramite dashboard visive e personalizzate, SOAR puo’ aiutare le organizzazioni a ridurre il lavoro collaterale, migliorando al contempo la comunicazione interna.
Inoltre, grazie all’automazione dei compiti delle procedure, SOAR aiuta a codificare la conoscenza sulle minacce.
In ultima analisi, svolgere i compiti piu’ velocemente significa avere piu’ tempo per la risoluzione e mitigazione delle minacce. Piu’ a lungo queste non vengono affrontate, maggiori sono le possibilita’ di danni e malfunzionamenti.
Concludendo
Mentre sia le informazioni sulla sicurezza che la gestione degli eventi (SIEM) e SOAR accumulano dati rilevanti da piu’ fonti, i servizi SOAR si integrano con una piu’ ampia gamma di applicazioni interne ed esterne.
Al momento, molte aziende utilizzano i servizi SOAR per potenziale il software SIEM interno. In futuro, si prevede che, man mano che i fornitori SIEM cominceranno ad aggiungere le funzionalita’ SOAR ai loro servizi, il mercato di queste due linee di prodotti si fondera’.
SOD applica la tecnologia SIEM Next Generation e UEBA per la gestione dei cyber threats e dei processi SOAR. Questo garantisce prevenzione e tempestivita’ di ottimo livello. Se vuoi saperne di piu’, visita la nostra pagina del servizio SOCaaS e contattaci per maggiori informazioni.
Link utili:
Cos’e’ un Network Lateral Movement e come difendersi
Il SOCaaS è utile per la tua azienda?
Tempo di lettura: 6 min
Una soluzione SIEM in informatica e’ uno dei componenti essenziali di un SOC (Security Operation Center). Il suo compito e’ quello di raccogliere informazioni e analizzarle alla ricerca di anomalie e possibili breach nel sistema. Ma non e’ sempre stato cosi’ semplice il processo di difesa. Quello che oggi chiamiamo SIEM, Security Information and Event Management, e’ l’unione di due differenti tipi di tool di cyber security.
SIM e SEM: le origini
Prima dell’arrivo di una soluzione completa SIEM in informatica, la sicurezza era fortemente incentrata sulla protezione del perimetro e non teneva adeguatamente controllata la rete interna. Le prime soluzioni sviluppate negli anni ’90 erano basilari e sostanzialmente si occupavano di gestione delle informazioni di sicurezza (SIM) oppure di gestione degli eventi di sicurezza (SEM). Erano soluzioni disponibili come strumenti che dovevano essere implementati in loco nel data center da proteggere. Questo limitava la scalabilita’, perché l’aggiunta di capacita’ richiedeva l’acquisto di ulteriore strumentazione.
Queste prime soluzioni erano anche costruite su database proprietari che obbligavano i clienti alla tecnologia di un unico fornitore. Se si voleva spostare i dati su un altro sistema, il processo era lungo e complicato. Da notare inoltre che l’archiviazione era piu’ costosa, quindi venivano raccolti solo i dati piu’ preziosi. Inoltre, sebbene le soluzioni SIM e SEM contenevano tutti i dati necessari alla difesa, la ricerca e l’allarme erano rudimentali. Inoltre, dipendevano da analisti della sicurezza esperti per ricercare, capire e interpretare cio’ che trovavano nei dati.
Le origini SIEM in informatica
Man mano che i dati diventavano piu’ sensibili e la tecnologia piu’ potente, i sistemi SIEM (SIM+SEM) diventavano capaci di ingerire, elaborare e memorizzare moltissimi dati. Le soluzioni SIEM in informatica di generazione successiva sono in grado di utilizzare gli avvisi signature-based per individuare le minacce nei dati raccolti. Tuttavia, in questo modo si possono individuare solo gli avvisi che abbiano individuato degli indicatori di compromesso (IOC) di una certa minaccia.
Per intenderci, se il tipo di attacco a cui viene sottoposto un sistema non e’ stato catalogato in una serie di IOC, un SIEM di prima generazione non e’ in grado di rilevarlo. Il principale svantaggio di quei sistemi era proprio la capacita’ molto limitata nello scoprire cyber threat sconosciuti.
Per fare un esempio pratico: era possibile usare una regola di questo tipo: “dare un avviso se un utente inserisce 10 password sbagliate consecutive”. In teoria questo potrebbe essere usato per rilevare attacchi con password di forza bruta. Ma cosa succederebbe se l’aggressore provasse solo 9 password di fila? O se l’allarme venisse dato per un utente molto smemorato?
Next Gen SIEM
Un SIEM di nuova generazione e’ costruito su una grande piattaforma di dati che fornisce una scalabilita’ illimitata ed e’ ospitato nel cloud. Un next gen SIEM include la gestione dei log, il rilevamento avanzato delle minacce basato sull’analisi del comportamento e la risposta automatica agli incidenti, il tutto su un’unica piattaforma.
Questo elimina i problemi a cui erano proni i vecchi sistemi on-premises. Non dovendo installare alcunché e potendo mandare i dati necessari nel cloud abbastanza semplicemente, la potenza di calcolo della macchina locale non e’ compromessa e il SIEM puo’ gestire tutti i dati tranquillamente.
Come procede un SIEM in analisi informatica delle minacce
1. Raccolta dati: una soluzione SIEM in informatica raccoglie dati da tutta l’organizzazione utilizzando agenti installati su vari dispositivi, tra cui endpoint, server, apparecchiature di rete e altre soluzioni di sicurezza. Il SIEM di nuova generazione include il supporto per applicazioni e infrastrutture cloud, applicazioni aziendali, dati di identita’ e feed di dati non tecnici.
2. Arricchimento dei dati: L’arricchimento aggiunge ulteriore contesto agli eventi. Il SIEM arricchira’ i dati con identita’, risorse, geolocalizzazione e informazioni sulle minacce.
3. Stoccaggio dei dati: I dati saranno poi memorizzati in una banca dati in modo da poterli ricercare durante le indagini. Il SIEM di nuova generazione sfrutta architetture open source e big data architectures, sfruttandone la scalabilita’.
4. Correlazione e analisi: Le soluzioni SIEM utilizzano diverse tecniche per trarre conclusioni utilizzabili dai dati del SIEM. Queste tecniche variano notevolmente.
5. Report: Un SIEM, in particolare un SIEM di nuova generazione, da’ la possibilita’ di cercare rapidamente i dati, permettendo di scavare negli avvisi e di cercare gli attori della minaccia e gli indicatori di compromesso. I dati visualizzati possono essere salvati o esportati. E’ inoltre possibile utilizzare report out-of-the-box o creare report ad hoc a seconda delle esigenze.
Per cosa e’ utilizzato un SIEM
Threat hunting e investigazione
La capacita’ di eseguire threat hunting su un SIEM e’ fondamentale per comprendere i veri modelli di attacchi basati sull’accesso, sull’attivita’ e sulle violazioni dei dati. Sviluppando una visione dettagliata e contestuale degli attacchi, gli analisti della sicurezza possono sviluppare piu’ facilmente politiche, contromisure e processi di risposta agli incidenti per contribuire a mitigare e rimuovere la minaccia.
Risposta in caso di incidente
Una risposta efficace agli incidenti e’ fondamentale per intervenire piu’ rapidamente e ridurre i tempi di permanenza della minaccia. Per questo, un SIEM fornisce un playbook per la risposta agli incidenti con azioni automatizzate configurabili. Un SIEM e’ in grado di integrarsi con soluzioni di terze parti per l’orchestrazione della sicurezza (SOAR) o la gestione dei singoli casi.
Difesa contro le minacce interne
Il motivo per cui le minacce interne sono un problema cosi’ grande perché non si tratta di entrare nel perimetro, ma di sfruttare posizioni interne. Possono essere i vostri dipendenti, appaltatori o soci in affari. Potrebbero essere loro stessi a voler sfruttare la loro posizione, oppure il loro account potrebbe essere stato violato.
Con ogni tipo di minaccia interna, l’aggressore cerca di rimanere nascosto, raccogliendo dati sensibili da sfruttare. Questo potrebbe causare notevoli danni alla compagnia, alla sua posizione nel settore e al suo rapporto con i consumatori o gli investitori. Con l’utilizzo di un SIEM, si evita questo rischio.
Individuazione di cyber threat
E’ probabile che la tua organizzazione disponga di almeno un archivio di dati sensibili. I cyber criminali prosperano sul saccheggio di questi dati per ottenere guadagni finanziari. Molte violazioni iniziano con una semplice e-mail phishing contro un obiettivo di un’organizzazione. Il semplice clic su un allegato puo’ lasciare codice dannoso dietro di sé. Un SIEM vi permettera’ di monitorare modelli avanzati di minacce informatiche come il phishing, il beaconing e il lateral movement.
Standard di conformita’
Per molti settori industriali, l’adesione agli standard di conformita’ e’ fondamentale. Un SIEM puo’ essere d’aiuto fornendo report incentrati sulle richieste per la conformita’ dei dati. I pacchetti integrati che coprono tutti i principali mandati, inclusi PCI DSS, SOX e ISO 27001, sono una caratteristica standard anche dei SIEM.
Next Generation SIEM
Un SIEM di nuova generazione non e’ solo un sistema ospitato nel cloud. Si avvale anche dell’implementazione di IA e Machine Learning per aumentare la difesa del sistema IT.
Lo vedremo in un prossimo articolo, ma e’ giusto specificare che il SOCaaS offerto da SOD si avvale della tecnologia di ultima generazione offerta da sistemi Next Gen. SIEM. Contattaci per saperne di piu’ a riguardo e parlare con esperti che possono fugare ogni tuo dubbio.
Link utili:
Cos’e’ un Network Lateral Movement e come difendersi
Tempo di lettura: 5 min
Durante un attacco informatico, gli hacker hanno un unico obiettivo in mente. Questo obiettivo potrebbe essere l’accesso alla macchina di uno sviluppatore e il furto del codice sorgente di un progetto, l’analisi delle e-mail di un particolare dirigente o l’estrazione di dati dei clienti da un server. Tutto cio’ che devono fare e’ entrare nella macchina o sistema che contiene i dati desiderati, giusto? Non proprio. In realta’, e’ un po’ piu’ complicato di cosi’. Per raggiungere il loro obiettivo, e’ probabile che gli hacker si introducano in un server web di basso livello, in un account di posta elettronica o un dispositivo per dipendenti, per fare qualche esempio. Da quel nodo, si muoveranno lateralmente (da cui il nome network lateral movement) per raggiungere il loro obiettivo.
In effetti, quando gli aggressori compromettono una risorsa in una rete, quel dispositivo non e’ quasi mai la loro destinazione finale. La compromissione iniziale, inoltre, raramente causa gravi danni e potrebbe passare inosservata. Solo se le squadre di sicurezza sono in grado di rilevare un lateral movement prima che gli aggressori raggiungano l’obiettivo previsto, e’ possibile prevenire la violazione dei dati.
In questo articolo esamineremo alcuni dei tipi piu’ comuni di network lateral movement e identificheremo i modi in cui possiamo rilevare l’attacco e difenderci.
Capire il network lateral movement
Il lateral movement avviene quando un aggressore si impossessa di una risorsa all’interno di una rete e poi estende la sua portata da quel dispositivo ad altri all’interno della stessa rete. Vediamolo con uno schema per aiutarci a capire meglio.
Il perimetro dell’infrastruttura da penetrare e’ rappresentato con una linea orizzontale. La meta’ superiore rappresenta cio’ che e’ al di fuori della rete, mentre cio’ che si trova al di sotto della linea rappresenta cio’ che e’ all’interno. Affinche’ un aggressore possa entrare nella rete, deve muoversi verticalmente, cioe’ dall’esterno verso l’interno (chiamato anche traffico Nord-Sud). Ma una volta che si e’ stabilito un punto d’appoggio, e’ possibile muoversi lateralmente o orizzontalmente, cioe’ all’interno della stessa rete (chiamato traffico Est-Ovest) per raggiungere l’obiettivo finale dell’attacco.
Possibile percorso di un lateral movement. La freccia indica i nodi della rete che vengono coinvolti nell’attacco.
Gli approcci al Lateral Movement
Nel complesso, ci sono due comuni metodi con cui un hacker applica il lateral movement.
Primo approccio: l’aggressore effettua una scansione interna per scoprire quali altre macchine si trovano all’interno della rete. In particolare, scansiona le porte aperte che sono in ascolto e le macchine che soffrono di vulnerabilita’. A quel punto, l’aggressore puo’ abusare di queste debolezze per spostarsi lateralmente verso un’altra risorsa.
Il secondo approccio al lateral movement sfrutta credenziali rubate, ed e’ il piu’ comune dei due. In questo tipo di attacco, l’hacker potrebbe utilizzare una tecnica di phishing via e-mail per infettare una macchina che si interfaccia con un particolare server. Dopo potra’ utilizzare il suo accesso per recuperare le password tramite un keylogger o altri strumenti simili. A questo punto, puo’ utilizzare qualsiasi credenziale sia stato in grado di ottenere per impersonare l’utente vittima del phishing e accedere a un’altra macchina. Una volta stabilito l’accesso su quel computer, si puo’ ripetere la tattica cercando ulteriori credenziali e/o privilegi da sfruttare. In questo modo, il malintenzionato puo’ farsi strada e creare connessioni remote al dispositivo target.
In entrambi i casi e’ complicato individuare l’attacco, perche’ non si presenta tramite malfunzionamenti di software o applicazioni.
Come difendersi
Un lateral movement si manifesta spesso tramite un’attivita’ di rete anomala. E’ sospettoso, ad esempio, che una macchina, che dialoga normalmente con poche altre, inizi a scansionare l’intera rete. Lo stesso vale se quella macchina tenta di connettersi a porte aperte, di interagire con servizi e credenziali con cui normalmente non ha contatti, o di utilizzare un nome utente che non e’ mai stato utilizzato prima.
La lista dei campanelli d’allarme va avanti all’infinito. La cosa fondamentale da capire e’ che un lateral movement implica macchine che fanno qualcosa fuori dalla loro routine, senza un’adeguata autorizzazione da parte dell’IT.
Questo e’ cio’ che da’ alle organizzazioni la possibilita’ di rilevare questo tipo di attacchi. Implementare una monitorizzazione dei log file e’ un primo passo per la difesa. Idealmente, i dati dovrebbero essere costantemente analizzati per individuare anomalie e possibili brecce.
Problematiche nella difesa
Queste difese non sono infallibili. I team di sicurezza che si affidano semplicemente ai log file limitano la portata della loro posizione difensiva, ad esempio, a causa di log file raccolti solo da particolari applicazioni. Si potrebbe decidere di monitorare un certo servizio per i furti di credenziali, ma gli aggressori potrebbero non sfruttare quel particolare servizio per effettuare un lateral movement. Cio’ significa che tutte le azioni dannose che non utilizzano i servizi monitorati non verranno rilevate tempestivamente.
Oltre a questo, gli hacker conoscono i tipi di protocolli che il personale di sicurezza tende a monitorare, rendendo il loro compito ulteriormente complesso. Gli attaccanti possono usare questa conoscenza per modellare le loro campagne di attacco in modo da avere maggiori possibilita’ di passare inosservati. E’ uno dei motivi per cui e’ stato creato il database MITRE ATT&CK, per raccogliere tecniche conosciute e alzare le difese.
Il vantaggio di un SOCaaS
Non e’ sufficiente che le organizzazioni cerchino il lateral movement utilizzando i log file o uno strumento EDR. E’ necessario rivolgere l’attenzione alla rete nel suo complesso. In questo modo e’ possibile vedere tutto il traffico di rete, stabilire una baseline della normale attivita’ di rete per ogni utente e dispositivo e in seguito monitorare le azioni insolite che potrebbero essere indicative di attacchi. E’ conosciuto come anomaly detection, ed e’ piu’ completo e spesso piu’ facile rispetto all’esame di ogni log file alla ricerca di eventi fuori dalla norma.
Il problema del anomaly detection e’ che molte di queste irregolarita’ sono benigne, e si perde quindi molto tempo ad analizzarle. Cio’ che serve per separare il lateral movement dannoso dalle anomalie di rete benigne e’ la comprensione dell’aspetto del comportamento dannoso.
E’ qui che entra in gioco un sistema completo che utilizza sia strumenti di analisi comportamentale che tecnici professionisti della sicurezza.
Il SOCaaS offerto da SOD comprende un Security Data Lake (SDL) per la raccolta dei dati e vari strumenti per l’analisi degli stessi. Uno di questi e’ lo UEBA, particolarmente indicato per la rilevazione di minacce sociali, in quanto analizza tramite IA i comportamenti degli utenti usando le loro azioni come fonte dei dati.
Con questi e altri strumenti che compongono il SOC, e’ possibile attivamente ridurre il rischio di attacchi ai propri dati aziendali. Se sei interessato a saperne di piu’ del SOCaaS di SOD, ti invito a visitare la pagina dedicata o a contattarci direttamente.
Link utili:
Il SOCaaS e’ utile per la tua azienda?
Customers
Twitter FEED
Recent activity
-
SecureOnlineDesktop
Estimated reading time: 6 minutes L'impatto crescente delle minacce informatiche, su sistemi operativi privati op… https://t.co/FimxTS4o9G
-
SecureOnlineDesktop
Estimated reading time: 6 minutes The growing impact of cyber threats, on private or corporate operating systems… https://t.co/y6G6RYA9n1
-
SecureOnlineDesktop
Tempo di lettura stimato: 6 minuti Today we are talking about the CTI update of our services. Data security is… https://t.co/YAZkn7iFqa
-
SecureOnlineDesktop
Estimated reading time: 6 minutes Il tema della sicurezza delle informazioni è di grande attualità in questo peri… https://t.co/tfve5Kzr09
-
SecureOnlineDesktop
Estimated reading time: 6 minutes The issue of information security is very topical in this historical period ch… https://t.co/TP8gvdRcrF
Newsletter
{subscription_form_2}Prodotti e Soluzioni
Collaborazioni
Modelli Cloud
News
- Da Secure Online Desktop a Cyberfero: il rebranding dell’azienda leader nella cybersecurity Maggio 6, 2024
- NIS2 – Come il nuovo regolamento cyber potenzia la sicurezza dell’Europa Aprile 22, 2024
- Advanced persistent threat (APT): cosa sono e come difendersi Aprile 17, 2024
- Penetration Testing e MFA: Una Strategia Duplice per Massimizzare la Sicurezza Aprile 15, 2024
- SOAR e l’automazione della sicurezza informatica Marzo 27, 2024
Recensioni Google
Ottima azienda, servizi molto utili, staff qualificato e competente. Raccomandata!leggi di più
Ottimo supportoleggi di più
E' un piacere poter collaborare con realtà di questo tipoleggi di più
Un ottimo fornitore.
Io personalmente ho parlato con l' Ing. Venuti, valore aggiunto indubbiamente.leggi di più
Contatti
© 2024 Cyberfero s.r.l. All Rights Reserved. Sede Legale: via Statuto 3 - 42121 Reggio Emilia (RE) – PEC [email protected] Cod. fiscale e P.IVA 03058120357 – R.E.A. 356650 Informativa Privacy - Certificazioni ISO