Estimated reading time: 7 minuti
Una advanced persistent threat (APT) è un termine ampio utilizzato per descrivere una campagna di attacco in cui un intruso, o un gruppo di intrusi, stabilisce una presenza illecita e a lungo termine su una rete al fine di estrarre dati altamente sensibili. Gli obiettivi di questi assalti, che sono scelti e studiati con molta attenzione, includono tipicamente grandi imprese o reti governative. Le conseguenze di tali intrusioni sono vaste, e includono:
– Furto di proprietà intellettuale (ad esempio, segreti commerciali o brevetti)
– Compromissione di informazioni sensibili (ad esempio, dati privati di dipendenti e utenti)
– Il sabotaggio di infrastrutture organizzative critiche (ad esempio, la cancellazione di database)
– Prendere il controllo totale del sito
L’esecuzione di un assalto APT richiede più risorse di un attacco standard alle applicazioni web. Gli autori sono di solito squadre di criminali informatici esperti che hanno un sostanziale sostegno finanziario. Alcuni attacchi APT sono finanziati dal governo e utilizzati come armi di guerra informatica.
Gli attacchi più comuni, come il Remote File Inclusion (RFI), la SQL injection e il cross-site scripting (XSS), sono frequentemente utilizzati dagli autori per stabilire un punto d’appoggio in una rete mirata. Poi, Trojan e backdoor shell sono spesso utilizzati per espandere quel punto d’appoggio e creare una presenza persistente all’interno del perimetro.
Progressione delle advanced persistent threat
Un attacco APT di successo può essere suddiviso in tre fasi: 1) infiltrazione nella rete, 2) espansione della presenza dell’attaccante e 3) estrazione dei dati accumulati, il tutto senza essere rilevato.
1. Infiltrazione nella rete
Come abbiamo detto, ogni advanced persistent threat parte da un’infiltrazione. Le aziende sono tipicamente infiltrate attraverso la compromissione di una delle seguenti aree: risorse web, risorse di rete o utenti umani autorizzati. Questo si ottiene sia attraverso upload maligni o attacchi di ingegneria sociale. Sono tutte minacce affrontate regolarmente dalle grandi organizzazioni.
Gli infiltrati possono eseguire contemporaneamente un attacco DDoS contro il loro obiettivo. Questo serve sia come cortina per distrarre il personale della rete sia come mezzo per indebolire un perimetro di sicurezza, rendendo più facile la violazione.
Una volta ottenuto l’accesso iniziale, gli aggressori installano rapidamente una shell-malware backdoor che garantisce l’accesso alla rete e permette operazioni remote e furtive. Le backdoor possono anche presentarsi sotto forma di Trojan mascherati da software legittimi.
2. Espansione della presenza
Dopo che il punto d’appoggio è stabilito, gli aggressori si muovono per ampliare la loro presenza all’interno della rete e quindi “creare” la advanced persistent threat vera e proprio.
Questo comporta lo spostamento verso l’alto della gerarchia di un’organizzazione, compromettendo i membri del personale con accesso ai dati più sensibili. Così facendo, gli attaccanti sono in grado di raccogliere informazioni aziendali critiche, comprese le informazioni sulla linea di prodotti, i dati dei dipendenti e i record finanziari.
A seconda dell’obiettivo finale dell’attacco, i dati accumulati possono essere venduti a un’impresa concorrente, alterati per sabotare la linea di prodotti di un’azienda o utilizzati per abbattere un’intera organizzazione. Se il sabotaggio è il motivo, questa fase viene utilizzata per ottenere sottilmente il controllo di più funzioni critiche e manipolarle in una sequenza specifica per causare il massimo danno.
Per esempio, gli aggressori potrebbero cancellare interi database all’interno di un’azienda e poi interrompere le comunicazioni di rete al fine di prolungare il processo di recupero.
3. Estrazione dei dati
Mentre un evento APT è in corso, le informazioni rubate sono tipicamente memorizzate in un luogo sicuro all’interno della rete assaltata. Una volta che sono stati raccolti abbastanza dati, i ladri devono estrarli senza essere rilevati.
Tipicamente, vengono utilizzate tattiche di white noise per distrarre il team di sicurezza in modo che le informazioni possano essere spostate fuori. Questo potrebbe prendere la forma di un attacco DDoS, ancora una volta legando il personale di rete e/o indebolendo le difese del sito per facilitare l’estrazione.
Misure di sicurezza contro le advanced persistent threat
Un rilevamento e una protezione adeguati contro le APT richiedono un approccio multiplo da parte degli amministratori di rete, dei fornitori di sicurezza e dei singoli utenti.
Monitoraggio del traffico
Il monitoraggio del traffico in entrata e in uscita è considerato la pratica migliore per prevenire l’installazione di backdoor e bloccare l’estrazione di dati rubati. Ispezionare il traffico all’interno del perimetro aziendale di rete può anche aiutare ad avvisare il personale di sicurezza di qualsiasi comportamento insolito che può puntare ad attività dannose.
Un web application firewall (WAF) distribuito sul bordo della rete filtra il traffico verso i server web proteggendo così una delle vostre superfici di attacco più vulnerabili. Tra le altre funzioni, un WAF può aiutare ad eliminare gli attacchi a livello di applicazione, come gli attacchi RFI e SQL injection, comunemente utilizzati durante la fase di infiltrazione APT.
I servizi di monitoraggio del traffico interno, come i firewall di rete, sono l’altro lato di questa equazione. Essi possono fornire una visione granulare che mostra come gli utenti stanno interagendo all’interno della vostra rete, mentre aiutano a identificare le anomalie del traffico interno, (ad esempio, login irregolari o trasferimenti di dati insolitamente grandi). Quest’ultimo potrebbe segnalare un attacco APT in corso. È anche possibile monitorare l’accesso alle condivisioni di file o agli honeypots di sistema.
Infine, i servizi di monitoraggio del traffico in entrata potrebbero essere utili per rilevare e rimuovere le shell backdoor. Per un servizio di controllo a 360°, l’adozione del SOCaaS di SOD potrebbe fare al caso vostro.
Controllo degli accessi
Per gli attaccanti, i dipendenti dell’azienda rappresentano tipicamente il soft-spot più grande e vulnerabile nel vostro perimetro di sicurezza. Il più delle volte, questo è il motivo per cui gli utenti della vostra rete sono visti dagli intrusi come un facile gateway per infiltrarsi nelle vostre difese, mentre espandono la loro presa all’interno del vostro perimetro di sicurezza.
In questo caso, gli obiettivi probabili rientrano in una delle seguenti tre categorie:
– Utenti disattenti che ignorano le politiche di sicurezza della rete e concedono inconsapevolmente l’accesso a potenziali minacce
– Insider malintenzionati che abusano intenzionalmente delle loro credenziali per concedere l’accesso al criminale
– Utenti compromessi i cui privilegi di accesso alla rete sono compromessi e utilizzati dagli aggressori
Lo sviluppo di controlli efficaci richiede una revisione completa di tutti i membri della vostra organizzazione, specialmente delle informazioni a cui hanno accesso. Per esempio, classificare i dati sulla need-to-know basis aiuta a bloccare la capacità di un intruso di dirottare le credenziali di accesso da un membro del personale di basso livello, usandole per accedere a materiali sensibili.
I punti chiave di accesso alla rete dovrebbero essere protetti con l’autenticazione a due fattori (2FA). Essa richiede agli utenti di utilizzare una seconda forma di verifica quando si accede alle aree sensibili (in genere un codice di accesso inviato al dispositivo mobile dell’utente). Questo impedisce ad attori non autorizzati, travestiti da utenti legittimi, di muoversi nella rete.
Misure ulteriori contro gli advanced persistent threat
Oltre alle già citate best practice per prevenire il verificarsi di un advanced persistent threat sulla rete aziendale, è bene intervenire su più fronti. In numerosi altri articoli abbiamo trattato quanto sia vantaggioso, per il team di sicurezza, avere un unico luogo in cui monitorare ogni punto della rete. Uno strumento eccellente per questo scopo è un SOC.
Il nostro SOCaaS offre tutte le funzionalità di un Centro Operativo di Sicurezza senza l’incombenza degli investimenti in attrezzature e personale specializzato. Inoltre, grazie alla tecnologia UEBA, non solo il nostro SOC è in grado di recuperare i log e archiviarli in modo sistematico, ma è anche attivamente coinvolto nell’individuare comportamenti sospetti degli utenti.
Queste caratteristiche sono ottime per aumentare la reattività del team di sicurezza e scongiurare anche i tentativi di advanced persistent threat ai danni della rete aziendale.
Per sapere come possiamo aiutare la vostra azienda a alzare la propria sicurezza, non esitare a contattarci, saremo lieti di rispondere a ogni domanda.
Useful links:
Link utili:
Estimated reading time: 6 minuti
I continui progressi in ambito di automazione della sicurezza informatica hanno permesso agli analisti di potersi dedicarsi maggiormente all’analisi delle minacce più importanti. Questo evitando di sprecare energie eseguendo operazioni ripetitive.
Anche se questi progressi tecnologici portano benefici in termini di tempo, è fondamentale avere il controllo completo su tutti i processi integrati dai sistemi automatizzati. Proprio per questo è importante utilizzare strumenti che semplificano il compito, come ad esempio un SOAR.
SOAR è l’acronimo di Security Orchestration, Automation and Response e descrive l’insieme delle funzionalità impiegate per proteggere i sistemi informatici dalle minacce.
Le funzioni di automazione della sicurezza informatica consentono di alleggerire il carico di lavoro delle organizzazioni, automatizzando i comportamenti consueti di basso valore. Il grado di automazione dev’essere regolato adeguatamente e i team di sicurezza devono stabilire quali azioni debbano includere l’interazione umana, che rappresenta l’aspetto fondamentale nei processi di analisi.
I vantaggi che comporta l’impiego di un SOAR sono sostanzialmente due: riduzione del tempo di risposta agli incidenti informatici e miglioramento dell’efficienza del SOC.
SOAR: progetti di automazione per la sicurezza informatica
È necessario effettuare alcune analisi preliminari prima di poter avviare un progetto di automazione di sicurezza SOAR.
Fase 1: Identificazione delle Procedure Standard Operative (SOPs) da attivare in risposta delle minacce
Prima di avviare un progetto di automazione, è opportuno effettuare delle analisi delle Procedure Standard presenti in azienda, ovvero dei processi di risposta e di investigazione degli incidenti che si vuole automatizzare. È importante identificare quali casi d’uso si vogliono implementare e migliorare prima di passare al passaggio successivo.
Fase 2: Analisi degli strumenti da orchestrare all’interno dei processi
Questa seconda fase consiste nell’analisi degli strumenti che bisogna orchestrare all’interno dei processi per poter effettuare indagini ed eseguire azioni correttive.
Fase 3: Verifica e creazione di connettori API
La terza fase consiste nel verificare che tutti i connettori API per effettuare le singole azioni identificate al punto due siano disponibili o sviluppabili.
Fase 4: Creazione dei connettori API mancanti
Alcune soluzioni SOAR presenti sul mercato sono molto chiuse e per poter effettuare qualche modifica è necessario rivolgersi al produttore. La flessibilità dev’essere una caratteristica chiave di un SOAR, così come la possibilità di poter scrivere e modificare in autonomia i connettori.
Fase 5: Miglioramento dei processi utilizzando workflow grafici
Con la logica dei playbook è possibile creare workflow grafici, in modo da avere sotto controllo tutti quei processi che devono essere eseguiti da un SOAR nell’automazione della sicurezza informatica.
Fase 6: Automazione progressiva
È importante decidere come dev’essere eseguita ogni singola azione dei processi. Qui sotto elenchiamo tre tipologie di azioni:
– Totalmente automatiche: tutte quelle azioni eseguite direttamente dal SOAR senza l’ausilio dell’intervento umano.
– Semi automatiche: le azioni che necessitano un’attivazione da parte di un analista.
– Manuali: tutti i task che un analista deve svolgere manualmente, utilizzando altre tecnologie.
Automazione sicurezza informatica e orchestrazione: le differenze
Quando parliamo di orchestrazione, ci riferiamo alla possibilità di poter gestire tutti gli strumenti di cui gli analisti hanno bisogno, permettendo loro di replicare i processi di risposta alle minacce e di ottenere tutte le informazioni di cui hanno bisogno per poter prendere le giuste decisioni.
Un’automazione della sicurezza informatica, invece, permette di accelerare l’implementazione dei processi, dato che l’operatore interviene solo quando bisogna prendere delle decisioni gestionali.
Automazione della sicurezza informatica in un SOAR
Il SOAR è uno strumento che permette alle organizzazioni di poter replicare i propri processi operativi di sicurezza in un flusso di lavoro che consenta di orchestrare diverse tecnologie esistenti col fine di identificare, tracciare e rispondere agli incidenti informatici in maniera efficace e tempestiva. Gli analisti, in genere, hanno un’infinità di compiti da svolgere e l’automazione dei compiti e dei processi svolge un ruolo fondamentale, permettendo loro di concentrarsi sulle minacce più importanti.
Il SOAR non sostituisce l’intervento umano ma aiuta a velocizzare in modo significativo le attività degli analisti, essendo uno strumento che permette di far dialogare tra loro più tecnologie in un’unica piattaforma.
Quali sono i processi di sicurezza informatica che possono essere automatizzati
Il SOAR è progettato per gestire gli incidenti di sicurezza in un ambiente IT, in considerazione all’enorme quantità di strumenti adottati per rispondere alle minacce. Negli ultimi anni, il numero di reati informatici è salito vertiginosamente. Sono sempre più comuni i tentativi di phishing, smishing, doxing, ransomware e altre tipologie di intrusione più sofisticate.
Un numero maggiore di attacchi comporta un incremento dei processi, e conseguenzialmente anche degli strumenti e delle risorse umane impiegate per eseguire tutte le operazioni necessarie per garantire una corretta protezione di un sistema IT. Grazie al SOAR, gli analisti hanno la possibilità di ricevere notifiche e task fondamentali, permettendo loro di verificare tutte le informazioni raccolte e attivare le contromisure di contenimento.
Il SOAR non solo gestisce gli incidenti di sicurezza informatica, ma è utile anche a svolgere tutte quelle operazioni ripetitive.
Aumentare la velocità di risposta agli incidenti
Il SOAR permette di far seguire le Procedure Operative Standard (SOP), assegnando task e aumentando la collaborazione tra macchine e il team di sicurezza. L’esecuzione di procedure all’interno delle SOP può richiedere molto tempo come, ad esempio, tutte quelle attività ripetitive come l’analisi degli alert e la generazione reportistica.
Per i team di sicurezza, è inaccettabile sprecare energie dietro tutte queste procedure. Un SOAR aiuta ad automatizzare tutte quelle attività ripetitive che presentano minori rischi, consentendo agli analisti di lavorare in modo coordinato.
Una volta individuata e analizzata una minaccia, assegna il task agli operatori e, grazie all’automatizzazione dei compiti ripetitivi, gli analisti ottengono tempestivamente tutte le informazioni necessarie da utilizzare nei processi decisionali in modo da contenere la minaccia.
Il SOAR analizza automaticamente gli alert, documentandone le caratteristiche e classificando la loro natura. I dati collezionati vengono trasmessi agli analisti che, non avendo più la necessità di dover accedere a tanti diversi strumenti, possono focalizzare la loro attenzione sulle minacce reali in modo da sfruttare le loro competenze nelle attività che necessitano dell’analisi da parte dell’uomo e nelle attività di lateral movment.
Senza SOAR, la fase di analisi e le risposte a tutti gli alert vengono eseguite manualmente dagli analisti, con gran dispendio di tempo ed energie, aumentando significativamente il tempo di risposta ad un incidente informatico.
SOAR:soluzione per tutte le aziende
Inizialmente il SOAR era principalmente adottato dalle grandi organizzazioni e aziende che avevano creato ambienti SOC interni con molteplici dipendenti.
Un SOAR ben progettato e implementato è in grado di essere scalato sia verticalmente che orizzontalmente. Considerando che anche le piccole e medie aziende hanno bisogno di un SOAR, è possibile adottare un modello scalabile che offre alle organizzazioni più piccole gli stessi vantaggi che offrono alle organizzazioni più grandi.
Conclusioni
Abbiamo visto cos’è un SOAR e il suo impiego come strumento di automazione della sicurezza informatica, utilizzato per alleviare il carico di lavoro degli analisti, automatizzando un’ampia gamma di attività ripetitive.
A differenza di molte altre aziende, la nostra soluzione SOCaaS include anche la possibilità, per il cliente, di utilizzare il SOAR. Se desideri saperne di più, non esitare a contattarci, siamo pronti a rispondere a tutte le tue domande.
Useful links:
Estimated reading time: 6 minuti
Proprio come qualsiasi altro campo IT, il mercato della cybersecurity è guidato dall’hype. Attualmente si fa hype verso l’XDR, ossia eXtended Detection and Response.
XDR è la novità per quello che concerne il rilevamento e alla risposta alle minacce, un elemento chiave della difesa dell’infrastruttura e dei dati di un’azienda.
Cos’è esattamente l’XDR?
XDR è un’alternativa ai tradizionali approcci reattivi che forniscono solo una layer visibility sugli attacchi. Mi riferisco a procedure come il rilevamento e la risposta degli endpoint (EDR), l’analisi del traffico di rete (NTA) e i SIEM, di cui abbiamo parlato in molti altri articoli.
La layer visibility implica che si adottino diversi servizi, stratificati (layer), che tengono sotto controllo ciascuno una specifica entità nell’infrastruttura. Questo può essere problematico. Infatti, bisogna assicurarsi che i livelli non finiscano isolati, rendendo difficile, o quasi impossibile gestire e visualizzare i dati. La layer visibility fornisce informazioni importanti, ma può anche portare a problemi, tra cui:
Collezionare troppi avvisi incompleti e senza contesto. L’EDR rileva solo il 26% dei vettori iniziali di attacco e a causa dell’elevato volume di avvisi di sicurezza, il 54% dei professionisti della sicurezza ignora gli avvisi che dovrebbero essere indagati.
Indagini complesse e dispendiose in termini di tempo che richiedono competenze specialistiche. Con l’EDR, il tempo medio per identificare una violazione è aumentato a 197 giorni, e il tempo medio per contenere una violazione è aumentato a 69 giorni.
Strumenti incentrati sulla tecnologia piuttosto che sull’utente o sul business. L’EDR si concentra sulle lacune tecnologiche piuttosto che sulle esigenze operative degli utenti e delle aziende. Con più di 40 strumenti utilizzati in un Security Operations Center (SOC) medio, il 23% dei team di sicurezza passa il tempo a mantenere e gestire gli strumenti di sicurezza piuttosto che eseguire indagini. (Fonte)
Per i team di sicurezza già sovraccarichi, il risultato può essere un flusso infinito di eventi, troppi strumenti e informazioni da alternare, tempi più lunghi per il rilevamento e spese per la sicurezza che superano il budget e non sono nemmeno pienamente efficaci.
La novità nell’eXtended Detection Response
XDR implementa un approccio proattivo al rilevamento delle minacce e alla risposta. Offre visibilità sui dati attraverso le reti, i cloud e gli endpoint, mentre applica l’analisi e l’automazione per affrontare le minacce sempre più sofisticate di oggi. I vantaggi dell’approccio XDR per i team di sicurezza sono molteplici:
Identificare le minacce nascoste, furtive e sofisticate in modo proattivo e rapido.
Tracciare le minacce attraverso qualsiasi fonte o posizione all’interno dell’organizzazione.
Aumentare la produttività delle persone che operano con la tecnologia.
Ottenere di più dai loro investimenti in sicurezza.
Concludere le indagini in modo più efficiente.
Dal punto di vista del business, XDR permette alle compagnie di individuare i cyber threat e fermare gli attacchi, oltre a semplificare e rafforzare i processi di sicurezza. Di conseguenza, consente alle aziende di servire meglio gli utenti e accelerare le iniziative di trasformazione digitale. Quando utenti, dati e applicazioni sono protetti, le aziende possono concentrarsi sulle priorità strategiche.
Perché considerarlo per la propria azienda
I due motivi principali per cui è vantaggioso questo tipo di approccio sono: gli endpoint non hanno visibilità sulle minacce in luoghi come i servizi cloud, inoltre, potrebbe non essere possibile mettere un software agent su tutti gli endpoint dell’azienda.
Ma ci sono anche altre motivazioni da considerare. L’aggiunta di altre fonti di dati può fornire maggiore contesto nei risultati dell’EDR, migliorando il triage e l’indagine degli avvisi. I provider si stanno movimentando non solo per fornire maggiori dati meglio organizzati, ma anche consegnando piattaforme di analisi per alleggerire il carico analitico sugli operatori. Questo si traduce in facilità d’uso e costi operativi ridotti.
L’XDR può sembrare molto attraente come prodotto: Integrazione stretta delle parti, contenuto altamente sintonizzato (poiché il fornitore ha il controllo totale sugli eventi dalle fonti di dati), uso di analitiche e automazione della risposta.
A cosa prestare attenzione prima dell’adozione
Alcuni provider stanno posizionando il loro XDR come la soluzione definitiva al rilevamento delle minacce. Tuttavia, molti fornitori non sono in grado di offrire tutti gli strumenti necessari per ottenere il vantaggio venduto. Alcuni provider offrono nel pacchetto il monitoring di endpoint e cloud, altri di endpoint e rete, ma se si esaminano le esigenze complete della maggior parte delle organizzazioni, ci sono spesso dettagli mancanti nell’immagine complessiva.
Se poi, una volta che l’azienda si impegna con un provider e nota una mancanza in uno dei settori monitorati, quali sono le possibili soluzioni? Si genera una situazione di vendor lock-in da cui svincolarsi significa recidere un contratto per poi aprirne un altro, con tutti i costi che ne conseguono.
L’XDR come un approccio, non come prodotto
Prima di sottoscrivere un contratto con un provider che vende un soluzione come definitiva, è sempre bene soppesare in modo analitico i vantaggi e le implicazioni.
L’integrazione stretta e bidirezionale di più capacità di rilevamento e risposta alle minacce è la prima caratteristica distintiva. Ma non è necessario acquistare due componenti tecnologici dallo stesso fornitore per ottenere una buona integrazione. Infatti, molti prodotti hanno la capacità di integrarsi con alcune soluzioni di altri fornitori come uno dei loro principali punti di forza.
L’approccio XDR deve fornire una piattaforma che consente la necessaria raccolta e conservazione dei dati, ma anche forti capacità di analisi, di orchestrare e automatizzare le azioni di risposta fornite dalle altre parti della soluzione. Un Next Generation SIEM cloud based è una soluzione perfetta.
Come muoversi dunque?
L’interesse per i prodotti XDR è un chiaro segnale che l’eccessiva frammentazione stava portando un’eccessiva complessità. Un po’ di consolidamento è un bene, ma deve essere fatto proteggendo la flessibilità e la capacità di seguire le soluzioni migliori.
Secondo noi, un SOCaaS è una soluzione ottimale. Fornisce un SIEM di nuova generazione, con forti capacità di analisi. Inoltre, integra anche un’intelligenza artificiale che aiuta nel riconoscere in tempo le minacce tramite l’analisi del comportamento. Un SOCaaS è il futuro delle piattaforme operative di sicurezza.
Per sapere con i nostri servizi possono aiutarti a proteggere i dati della tua azienda e dei tuoi clienti, contattaci, risponderemo volentieri a ogni tuo dubbio.
Useful links:
Estimated reading time: 6 minuti
I dati di threat intelligence forniscono alle aziende approfondimenti rilevanti e tempestivi necessari per comprendere, prevedere, rilevare e rispondere alle minacce alla sicurezza informatica. Le soluzioni di intelligence sulle minacce raccolgono, filtrano e analizzano grandi volumi di dati grezzi relativi a fonti esistenti o emergenti di minacce. Il risultato sono feed di threat intelligence e rapporti di gestione. I data scientist e i team di sicurezza utilizzano questi feed e report per sviluppare un programma con risposte mirate agli incidenti per attacchi specifici.
Tutti, dalla prevenzione delle frodi alle operazioni di sicurezza all’analisi dei rischi, traggono vantaggio dalla threat intelligence. Il software di intelligence sulle minacce fornisce visualizzazioni interattive e in tempo reale dei dati relativi alle minacce e alle vulnerabilità.
Il vantaggio offerto agli analisti ed esperti di sicurezza è evidente e serve a identificare facilmente e rapidamente i modelli degli attori delle minacce. Comprendere la fonte e l’obiettivo degli attacchi aiuta i capi d’azienda a mettere in atto difese efficaci per mitigare i rischi e proteggersi dalle attività che potrebbero avere un impatto negativo sull’azienda.
La cyber threat intelligence può essere classificata come strategica, tattica oppure operativa. Quella Strategica riguarda le capacità e gli intenti generali degli attacchi informatici. Di conseguenza anche lo sviluppo di strategie informate associate alla lotta contro le minacce a lungo termine. Quella Tattica riguarda le tecniche e le procedure che gli aggressori potrebbero utilizzare nelle operazioni quotidiane. Infine, la threat intelligence Operativa, fornisce informazioni altamente tecniche a livello forense riguardanti una specifica campagna di attacco.
Il ciclo della threat intelligence
Le soluzioni di intelligence sulle minacce raccolgono dati grezzi sugli attori e le minacce da varie fonti. Questi dati vengono poi analizzati e filtrati per produrre feed e rapporti di gestione che contengono informazioni che possono essere utilizzate in soluzioni automatizzate di controllo della sicurezza. Lo scopo principale di questo tipo di sicurezza è quello di mantenere le organizzazioni informate sui rischi delle minacce persistenti avanzate, delle minacce zero-day e degli exploit, e su come proteggersi da esse.
Il ciclo di intelligence delle minacce informatiche consiste nelle seguenti fasi.
Pianificazione: I requisiti dei dati devono essere prima definiti.
Raccolta: Si raccolgono grandi quantità di dati grezzi da fonti interne ed esterne di threat intelligence.
Elaborazione: I dati grezzi sono filtrati, categorizzati e organizzati.
Analisi: Questo processo trasforma i dati grezzi in flussi di informazioni sulle minacce con l’uso di tecniche analitiche strutturate in tempo reale e aiuta gli analisti a individuare gli indicatori di compromissione (IOC).
Diffusione: I risultati dell’analisi vengono immediatamente condivisi con i professionisti della sicurezza informatica e gli analisti di threat intelligence.
Feedback: Se tutte le domande trovano risposta, il ciclo si conclude. Se ci sono nuovi requisiti, il ciclo ricomincia dalla fase di pianificazione.
Indicatori comuni di compromissione
Le aziende sono sempre più sotto pressione per gestire le vulnerabilità della sicurezza e il panorama delle minacce è in continua evoluzione. I feed di threat intelligence possono aiutare in questo processo identificando gli indicatori comuni di compromissione (IOC). Non solo, possono anche raccomandare i passi necessari per prevenire attacchi e infezioni. Alcuni degli indicatori di compromissione più comuni includono:
Indirizzi IP, URL e nomi di dominio: Un esempio potrebbe essere un malware che prende di mira un host interno che sta comunicando con un noto attore di minacce.
Indirizzi e-mail, oggetto delle e-mail, link e allegati: Un esempio potrebbe essere un tentativo di phishing che si basa su un utente ignaro che clicca su un link o un allegato e avvia un comando dannoso.
Chiavi di registro, nomi di file e hash di file e DLL: Un esempio potrebbe essere un attacco da un host esterno che è già stato segnalato per un comportamento nefasto o che è già infetto.
Quali strumenti per la threat intelligence
Il crescente aumento del malware e delle minacce informatiche ha portato a un’abbondanza di strumenti di threat intelligence che forniscono preziose informazioni per proteggere le aziende.
Questi strumenti si presentano sotto forma di piattaforme sia open source che proprietarie. Queste forniscono una serie di capacità di difesa contro le minacce informatiche, come l’analisi automatizzata dei rischi, la raccolta di dati privati, strumenti di ricerca rapida di threat intelligence, la segnalazione e condivisione di queste informazioni tra più utenti, avvisi curati, analisi dei rischi di vulnerabilità, monitoraggio del dark web, mitigazione automatizzata dei rischi, threat hunting e molto altro.
Abbiamo parlato di uno di questi strumenti in un altro articolo: il Mitre Att&ck. Questo è uno strumento molto utile per conoscere i comportamenti e le tecniche di attacco hacker. Questo grazie alle informazioni raccolte dalla threat intelligence e la conseguente condivisione. Un framework come questo è molto efficiente per creare meccanismi difensivi che consentono di mettere in sicurezza le infrastrutture aziendali.
Intelligenza artificiale e informazioni sulle minacce
Come abbiamo visto prima, la raccolta di informazioni da varie fonti non è altro che una delle fasi. Queste devono poi venire analizzate e successivamente elaborate in protocolli di controllo, per essere davvero utili per la sicurezza.
Per questo tipo di lavori di analisi, definizione di comportamenti baseline e controllo dei dati ci si affida sempre di più all’intelligenza artificiale e al deep learning. Un Next Generation SIEM, affiancato a una soluzione UEBA sono perfetti per questo tipo di protezione.
Il controllo del comportamento delle entità all’interno del perimetro effettuato dal UEBA è in grado di identificare ogni comportamento sospetto, in base alle informazioni raccolte e analizzate dal SIEM.
Conclusioni
Gli strumenti di difesa che abbiamo nominato sono il valore primario di un piano di sicurezza aziendale. Adottare soluzioni specifiche, implementare la threat intelligence e quindi una ricerca attiva degli indicatori di minacce, offre una posizione di vantaggio strategica. L’azienda può operare un passo avanti ai criminali, i quali possono far leva solo sull’effetto sorpresa contro le loro vittime. Proprio per questa situazione generale, ogni azienda dovrebbe essere nelle condizioni di non farsi cogliere alla sprovvista. Implementare soluzioni proattive è ormai necessario.
La threat intelligence è quindi un’arma da difesa dietro la quale mettere al riparo le risorse più importanti per poter lavorare in tranquillità.
Se vuoi sapere come possiamo aiutarti con i nostri servizi dedicati alla sicurezza, non esitare a contattarci, saremo lieti di rispondere a ogni domanda.
Useful links:
Cyber Threat Intelligence (CTI) – maggiore efficacia per la sicurezza IT
Progetti di Secure Online Desktop
Cos’è la Cyber Security? Definizione e proposte
Prevenire il shoulder surfing e il furto di credenziali aziendali
Estimated reading time: 7 minuti
Il vishing è una particolare tipologia di phishing che sfrutta la tecnologia VoIP (Voice over IP) per compiere gli attacchi. A differenza dei tradizionali servizi di telefonia fissa, con la tecnologia VoIP è possibile effettuare conversazioni telefoniche utilizzando la connessione Internet.
Gli hackers sono soliti utilizzare spesso i VoIP nei loro attacchi vishing perché questo permette loro di falsificare il proprio caller ID con grande semplicità. Fingendosi dipendenti di un ente legittimo, come ad esempio una banca, la polizia o un’azienda nota, gli hacker cercano di ottenere informazioni personali e finanziarie delle loro vittime.
Con le informazioni ottenute è possibile accedere ad un contro bancario e svuotarlo. Inoltre, è possibile commettere frodi, truffe ed altri illeciti utilizzando l’identità del malcapitato. Il furto d’identità è un reato in aumento negli ultimi anni, motivo in più per informarsi e restare all’erta.
Vishing: come riconoscere l’attacco
Solitamente gli attacchi di vishing utilizzano sistemi automatici text-to-speech per reindirizzare la vittima verso un numero telefonico controllato dall’hacker, questo però non esclude la possibilità che un hacker possa intraprendere una conversazione reale con la sua vittima. Le informazioni più comunemente prese di mira dagli attacchi di vishing sono i dati relativi ai conti bancari. Tuttavia, molte volte, gli hacker cercano di ottenere anche credenziali d’accesso a servizi noti come ad esempio Microsoft, Apple o Google.
Utilizzando l’ingegneria sociale, gli hacker che effettuano attacchi di vishing ingannano le loro vittime estorcendo denaro. Generalmente, i truffatori tentano di creare un senso di urgenza o cercano di alterare lo stato emozionale delle loro vittime. Questo per costringerle a pagare velocemente e senza riflettere a fondo su cosa stia succedendo.
Vishing: schemi comuni d’attacco
Gli attacchi di vishing possono essere diversi tra loro, pur avendo sempre scopi comuni. Un truffatore che utilizza questo genere di attacchi, potrebbe camuffare il proprio Caller ID spacciandosi per una persona autorevole o una qualsiasi persona conosciuta. Potrebbe inoltre lasciare messaggi pre-registrati contenenti minacce nelle caselle email delle loro vittime. Non solo le email, gli hackers potrebbero sfruttare anche gli SMS per compiere i loro raggiri, come nei casi di smishing.
I truffatori sono soliti avvicinarsi alle loro vittime spacciandosi per persone autorevoli oppure sfruttano le relazioni personali della vittima. Qui di seguito troverai un elenco con gli schemi di truffa più comunemente adottati.
Attacchi di Vishing più comuni
Truffa dell’agenzia di recupero crediti
Il truffatore si finge un funzionario di un’agenzia addetta al recupero crediti. Il truffatore minaccia conseguenze legali o addirittura l’arresto se la vittima non paga i suoi debiti, anche se effettivamente la vittima non ha alcun debito.
Truffe sentimentali
l’hacker finge un interesse amoroso per la sua vittima conosciuta su un’app o un sito di incontri. Potrebbe talvolta fingersi una vecchia fiamma del passato che ha bisogno urgentemente di denaro per qualche motivo familiare o di natura medica.
Truffa del supporto tecnico
Il truffatore si finge un dipendente di supporto tecnico e afferma la presenza di un grave problema tecnico sul computer della vittima. Il truffatore, in questo caso, sfrutta la paura e il senso di urgenza per ottenere il controllo remoto del computer della vittima. Successivamente installerà poi dei malware spacciandoli per software di diagnostica. Una volta ottenuto il controllo remoto del computer, è possibile accedere a file o a tutte le informazioni personali memorizzate sul computer.
Ci sono vere e proprie aziende che vivono con questo tipo di “business” nei paesi asiatici. Sono noti, inoltre, dei creator e white-hat hacker su YouTube che intercettano questi truffatori e cercano di fare ingegneria (sociale) inversa per incastrare questi deliquenti. Alcuni di questi creator hanno raggiunto risultati ragguardevoli, facendo chiudere alcune di queste aziende di truffatori.
Truffe su affari e investimenti
I truffatori si fingono esperti finanziari e convincono le vittime a versare somme di denaro per gli investimenti. Ultimamente si stanno diffondendo molto le truffe incentrate sulle criptovalute, spinte dall’utopia di fare molti soldi in poco tempo.
Truffe su associazioni di beneficenza
I truffatori si fingono membri di associazioni benefiche per convincere le vittime a donare a favore della loro causa. Queste false organizzazioni in realtà non fanno alcun lavoro di beneficenza e il denaro donato va direttamente ai truffatori. È molto comune che utilizzino foto di bambini o persone affette da malattie per far leva sul senso di compassione umano.
Truffe sulle polizze assicurative
Utilizzando le informazioni in possesso sulle autovetture intestate alle loro vittime, cercano di proporre loro offerte assicurative vantaggiose. Con questa strategia è possibile, non solo raccogliere altre informazioni personali sulle proprie vittime, ma anche truffarli economicamente nel caso in cui la vittima decidesse di acquistare la polizza proposta dall’hacker.
Com’è possibile difendersi dal vishing
Per le vittime molte volte è difficile riconoscere i tentativi di vishing perché non è anomalo che le banche e altri enti ed organizzazioni richiedono informazioni sensibili per telefono. Gli attacchi di vishing sono sempre più sofisticati e possono includere messaggi preregistrati ed altri sistemi per aumentare la propria credibilità.
Noi di SOD suggeriamo diversi modi per rilevare i tentativi di vishing, in seguito sono elencate alcune strategie da adottare per riconoscere questo tipo di attacchi. La miglior difesa da queste frodi, come anche nel caso del phishing, è saperle individuare immediatamente e non diffondere alcuna informazione personale per via telefonica, soprattutto se la richiesta avviene inaspettata.
Bisogna fare sempre attenzione quando si utilizzano forme di pagamento poco tracciabili come contanti, carte regalo e carte prepagate. Inoltre, bisogna prestare particolarmente attenzione alle caratteristiche della telefonata, come il tono o l’accento della persona che ha effettuato la chiamata o l’urgenza della telefonata. Questi possono essere dei campanelli d’allarme che segnalano la possibile presenza di un caso di vishing.
Per evitare di cadere vittima del vishing, è consigliabile non rispondere mai alle chiamate provenienti da numeri sconosciuti. Un altro consiglio utile è quello di non assecondare mai le richieste provenienti da una persona sospetta, come ad esempio premere pulsanti quando richiesto oppure rispondere a domande sospette.
Se non si è sicuri di un numero da cui vengono ricevute delle chiamate, si può sempre fare una ricerca su internet e capire se il numero appartiene a un servizio che utilizziamo che magari ci sta contattando per un reale problema.
In molti paesi, i social media vengono utilizzati per comunicare con il pubblico. Tante piattaforme usano sistemi di protezione per verificare l’effettiva autenticità di profili governativi e bancari, pertanto non bisogna mai fidarsi di un ente sprovvisto di questi badge.
Conclusioni
Le tipologie e i meccanismi di intrusione sono sempre più sofisticati. I tentativi di phishing, smishing e vishing ormai sono una costante nelle nostre vite, mettendo continuamente a rischio i nostri dati personali. Come abbiamo visto in molteplici situazioni, i dati sono la merce di scambio più preziosa sulla rete, pertanto proteggerli deve essere una priorità!
Per difenderci concretamente, l’utilizzo di strumenti professionali è l’unica strada sicura da intraprendere. Il nostro servizio SOCaaS protegge dal vishing ma è anche uno strumento completo che garantisce la sicurezza aziendale, individuando e bloccando ogni genere di minaccia.
Inoltre, SOD organizza anche campagne di attacchi etici per verificare la resilienza dei dipendenti di un’azienda. Dopo gli attacchi, i dati raccolti sono usati per organizzare momenti di formazione orientata alle specifiche caratteristiche dell’azienda e alla resilienza mostrata dai dipendenti.
Per avere informazioni sui servizi di phihsing etico che offriamo o per comprendere meglio come un SOCaaS potrebbe essere una soluzione ideale per la tua azienda, non esitare a contattarci premendo il pulsante qui in basso.
Useful links:
Tempo di lettura stimato: 7 minuti
Quando parliamo di “left of boom” o “right of boom” ci riferiamo ad un concetto che all’apparenza può sembrare superficiale. Invece, è un potente strumento che offre la possibilità di analizzare i conflitti di sicurezza sia da un punto di vista offensivo che da uno difensivo. In una ipotetica linea temporale di un attacco, ciò che si trova alla sua sinistra (left of boom) si riferisce a quello che accade prima. Analogamente, ciò che sta alla destra, è quello che avviene dopo.
Nel linguaggio comune molto spesso anziché “boom” si utilizza il termine “bang”, ma il significato resta comunque invariato. Si tratta, in sostanza, dell’evento stesso intorno al quale si analizza il periodo precedente e successivo.
Quindi, “left of boom” è l’insieme di eventi che si verificano prima dell’attacco. “Right of boom”, invece, è l’insieme di eventi che seguono il “boom”. Questa è la differenza sostanziale tra i due termini. Se le azioni difensive riescono a rilevare gli eventi nel periodo “left of boom”, è possibile trovare e adottare soluzioni per prevedere quando accadrà il “boom”.
Per una persona inesperta nell’ambito della sicurezza informatica, questi concetti riguardanti la linea temporale di un attacco informatico potrebbero non essere nemmeno presi in considerazione, per questo motivo molte aziende preferiscono avvalersi di un SOCaaS.
Left of Boom
Un buon penetration tester riesce a rilevare alcuni eventi di tipo “left of boom”, ma spesso si tralascia la raccolta di informazioni sulle minacce. Certe volte non è in grado di distinguere tra loro concetti come “ingegneria della sicurezza, scoperta e risoluzione delle vulnerabilità” da un “controllo di prevenzione automatizzato”.
Non esiste in realtà un vero strumento valido di prevenzione, più che altro i controlli di sicurezza sono controlli di rilevamento. Alcuni di questi controlli integrano dei meccanismi di risposta automatizzati che impediscono il susseguirsi di spiacevoli eventi.
Un’applicazione web che previene attacchi di tipo XSS o SQLI è davvero utile per rilevare input non validi e risponde scartando il contenuto prima che l’iniezione possa verificarsi.
Un firewall progettato per bloccare le porte rileva semplicemente il traffico indesiderato in relazione al protocollo usato per la connessione e al numero della porta verso la quale si desidera accedere, interrompendo e reimpostando la richiesta di connessione.
Questi esempi si legano bene al concetto di “right of boom”. I controlli di prevenzione rilevano il “boom”, l’evento, e rispondono immediatamente arginando i possibili danni. “Left of boom” e “right of boom” sono così vicini nella linea temporale che sono difficilmente distinguibili, fino a quando non si esegue un’analisi accurata degli eventi.
Questo è uno dei motivi per cui i professionisti, nell’ambito della sicurezza informatica, amano i controlli di prevenzione. Lavorano rapidamente per correggere gli errori prima che gli hacker riescano a raggiungere i loro obbiettivi, limitando i danni.
Un SOCaaS in questi casi è una delle soluzioni migliori da adottare per proteggere l’integrità di un sistema informatico.
Right of Boom
Generalmente minore è la distanza tra “right of boom” e il tempo di risposta ad una minaccia, minori sono le conseguenze provocate da un eventuale attacco informatico. Ovviamente questa è solo una considerazione logica, non vale come regola assoluta.
Per alcune violazioni, la linea temporale tra l’evento e l’eliminazione completa della minaccia è discutibile, poiché il rilevamento è avvenuto dopo che l’hacker ha raggiunto il suo obbiettivo. Se gli hacker riescono ad infiltrarsi nel sistema ma vengono fermati in tempo, non arrecando nessun danno all’infrastruttura. In questo secondo caso, quindi, non c’è il “boom” di cui stiamo parlando.
Un esempio di right of boom
Per spiegare meglio il concetto di “right of boom” potremmo prendere come esempio un comune “malware”. I malware generalmente vengono sviluppati per attaccare in massa molti dispositivi, senza tanta discrezione. Con “right of boom” ci riferiamo a quel periodo di tempo che è passato da quando è avvenuta l’infezione da parte del malware.
Se hai letto gli altri articoli pubblicati da noi avrai appreso come gli hacker utilizzano queste tipologie di infezioni allo scopo di raccogliere informazioni sensibili, che vengono rivendute ad un terzo soggetto. Se il “right of boom” è più breve del tempo che l’hacker impiega per vendere queste informazioni, il danno può essere contenuto.
I migliori sistemi di sicurezza riescono ad accorciare il tempo “right of boom” riuscendo a raccogliere informazioni sugli attaccanti nel “left of boom”. Ci si può riuscire implementando delle contromisure in base al modello di minaccia. Questi strumenti permettono di scansionare intere infrastrutture, osservando i nuovi indicatori di minaccia giorni o addirittura settimane prima che gli attacchi si distribuiscano.
Come abbiamo visto anche in altri articoli, non sempre gli attacchi si svolgono in breve tempo. È, anzi, più probabile che gli hacker coinvolti agiscano in un primo, lento, periodo solo per raccogliere le informazioni necessario per sferrare l’attacco. Nel periodo “right of boom”, tornano utili strumenti come la cyber threat intelligence e un team di threat hunting.
Perché sono importanti i concetti “Right e Left of boom”
Se ci mettessimo nell’ottica dell’hacker, il concetto di “right of boom” e di “left of boom” può aiutare a decidere quale schema d’azione sia meglio intraprendere.
Supponiamo il caso in cui un hacker abbia a disposizione due metodi per potersi introdurre in un sistema informatico. Se uno dei due metodi potrebbe venire rilevato nel periodo “left of boom”, invece l’altro nel “right of boom”, è ovvio che l’hacker preferirà il secondo. Infatti, questo garantirebbe maggiori probabilità di successo dell’attacco.
Analogamente, tra due metodi che possono essere rilevati “right of boom” si sceglie quello che ha più possibilità di venir scoperto in ritardo. Più tempo passa dal boom alla rilevazione, maggiori sono le probabilità di successo. Questo tipo di ragionamento è importante per determinare quale tattica ha una linea temporale più ampia.
Ragionare in quest’ottica non è affatto semplice, richiede delle conoscenze avanzate da parte dell’esperto di sicurezza. Richiede inoltre il dover prendere in considerazione tutte quelle ipotesi che potrebbero potenzialmente determinare il successo dell’hacker.
Velocità
Un hacker è in grado di riuscire a prevedere se, utilizzando determinate tattiche, riuscirebbe a raggiungere l’obbiettivo più velocemente rispetto all’esperto che cerca di rilevare gli attacchi. Il “boom” è il primo contatto, nell’insieme delle tattiche d’intrusione utilizzate per accedere illegalmente ad un sistema informatico. Le rimanenti tattiche si collocano prima e dopo di esso.
Velocità e furtività solitamente si annullano a vicenda. Infatti, molto spesso si può essere più veloci sacrificando parte della furtività.
Velocità e furtività non vanno molto d’accordo quando parliamo di attacchi informatici. Essere furtivi, evitando di lasciare tracce, richiede più attenzione e quindi inevitabilmente anche più tempo. Tuttavia se lo scopo di un hacker non è un singolo obbiettivo ma una serie di più obbiettivi, l’essere veloci può rivelarsi efficace.
Per difendersi dagli attacchi, è possibile raccogliere gli indicatori di compromissione (IOC) per rimediare alle vulnerabilità presenti e per introdurre nuovi controlli di rilevamento, rendendo più sicuro il sistema informatico.
Conclusioni
È importante conoscere il concetto di linea temporale degli attacchi e abbiamo visto come i concetti di “left of boom” e “right of boom” influenzino i meccanismi di risposta alle minacce di intrusione.
I concetti che abbiamo visto in questo articolo, nonostante non aggiungano niente di concreto alle tecniche di difesa o di attacco di un sistema, offrono un punto di vista. Nella continua lotta tra hacker e operatori di sicurezza, avere una strategia vincente significa non solo disporre di strumenti efficienti, ma anche pianificare in modo dettagliato ogni dettaglio, prima e dopo gli attacchi.
Per sapere come un SOCaaS può aiutarti a monitorare l’infrastruttura aziendale e cogliere gli indizi “left of boom”, non esitare a contattarci, sapremo rispondere a ogni domanda e ti offriremo una soluzione per la tua azienda.
Useful links:
Estimated reading time: 7 minuti
Le applicazioni di Cyber Threat Analytics monitorano i log di sicurezza e il network per rilevare in maniera tempestiva eventuali infezioni malware (per esempio, gli attacchi zero day e i ransomware), la compromissione del sistema, le attività di “lateral movement”, pass-the-hash, pass-the-ticket e altre tecniche avanzate d’intrusione. L’uso di un SOCaaS permette di estrapolare dati da sorgenti come firewalls, proxy, VPN, IDS, DNS, endpoints, e da tutti i dispositivi connessi alla rete con lo scopo di identificare modelli dannosi come il “beaconing”, connessioni a domini generati digitalmente, azioni eseguite da robot e tutti i comportamenti anomali.
Il nostro sistema SOCaaS è dotato di intelligenza artificiale che arricchisce e trasforma gli eventi SIEM, in modo da identificare le minacce nell’intero ambiente IT, includendo anche le applicazioni aziendali critiche.
Quali sono i vantaggi a livello aziendale?
L’uso di un SOCaaS. Qui sotto è riportata una lista con soltanto alcuni dei vantaggi che l’uso di un SOCaaS può comportare un rapido rilevamento delle violazioni, la riduzione dell’impatto di queste. Inoltre, un SOCaaS fornisce risposte e indagini complete sulle minacce, diminuisce i costi di monitoring e gestione, così come i costi di conformità.
L’uso di un SOCaaS permette, inoltre, di ricevere segnalazioni quantificate e non soggettive su minacce e rischi.
Casi d’uso SOCaaS
Dopo una panoramica generale sui vantaggi che potrebbe offrire all’azienda l’uso di un SOCaaS, vediamo in quali contesti viene normalmente impiegato.
Un SOCaaS è costituito da elementi che sono molto idonei per essere applicati in caso di esecuzioni anomale di applicazioni, così come nell’analisi del traffico bot verso un sito web dannoso.
In altri casi il SOCaaS individua query DNS insolite, una possibile attività di comando e controllo a distanza, analizza gli spike in byte verso destinazioni esterni e quindi controlla anche il traffico, relazionandolo in un contesto applicazione/porta.
Altri scenari in cui l’uso di un SOCaaS è ideale sono i rilevamenti di exploit, di sessioni dalla durata insolita, ma anche di connessioni a IP o domini in blacklist e di attività anomale in genere.
Infine, è in grado anche di individuare attacchi di SPAM mirato e i tentativi di phishing.
Threat Models
Analizzando gli indicatori di minaccia è possibile rilevare comportamenti correlati su più origini di dati, per rilevando anche tutte quelle minacce che solitamente passano inosservate. Molteplici indicatori di minaccia che si verificano in uno schema e che coinvolgono entità simili tendono a presentare un maggior rischio di costituire una minaccia reale.
I Threat Models definiscono questi schemi e combinano le policy e gli indicatori di minaccia per rilevare i comportamenti correlati su più sorgenti di dati, identificando le minacce che potrebbero passare inosservate. In seguito sono riportati alcuni dei Threat Models più comuni che sono inclusi nell’uso di un SOCaaS
Rilevamento dei Lateral Movement
Questo Threat Model rileva i possibili scenari di “lateral movement”, impiegati dagli aggressori per diffondersi progressivamente in una rete alla ricerca di risorse e dati chiave. I segnali di un attacco del genere possono essere vari e li possiamo dividere in tre categorie: Autenticazione anomala, privilegi sospetti, processo anomalo.
Autenticazione anomala è solitamente individuabile tramite alcuni indizi. Per esempio se un account accede a un host mai raggiunto prima. Oppure se vengono usate credenziali esplicite su più host, oppure ancora se viene rilevato un tipo/processo di autenticazione sospetto.
Per quello che riguarda i privilegi sospetti, ecco alcuni indicatori rilevabili con l’uso di un SOCaaS:
- attività di provisioning anomala
- escalation sospetta dei privilegi
- accesso anomalo agli oggetti della condivisione della rete
Un processo anomalo viene individuato in questo modo tramite l’uso di un SOCaaS: un codice processo inconsueto, oppure la creazione sospetta di attività pianificate. Alternativamente possono essere rilevati dei cambiamenti sospetti alle impostazioni del registro di sistema.
Rilevamento di host compromessi
Questo modello viene impiegato nell’uso di un SOCaaS per rilevare gli host che mostrano segni di infezione e compromissione mettendo in relazione le anomalie basate su host e rete sulla stessa entità.
Un possibile allarme è dato dalle anomalie nel traffico in uscita. Questo si verifica quando il traffico si dirige verso domini casuali o host notoriamente malevoli. In altri casi, invece, un numero anomalo di domini contattati è un altro campanello di allarme rilevabile tramite l’uso di un SOCaaS.
Sono trovate anomalie nell’endpoint quando si trovano processi rari o un uso sospetto di porte o protocolli da parte del processo stesso. Una possibilità è anche quella di rilevare un agente inconsueto.
Rilevazione APT tramite uso di un SOCaaS
La rilevazione APT individua gli attacchi alle reti informatiche sanitarie, in cui lo scopo dell’aggressore solitamente è quello di ottenere un accesso non autorizzato a una rete con l’intenzione di rimanere inosservato per un periodo prolungato.
Questo include tentativi di phishing, l’individuazione di una scansione di rete o un’elusione dei controlli. In fase di delivery, invece, potrebbe essere individuato traffico verso domini casuali, un’anomalia nel traffico DHCP o traffico destinato verso host notoriamente dannosi.
In fase di exploit, gli indicatori possono essere: la rilevazione di attività da account terminati, traffico DNS anomalo, ma anche un processo di autenticazione sospetto. Un altro possibile indicatore individuabile con l’uso di SOCaaS è un’anomalia nella velocità della rete.
Tramite l’uso di un SOCaaS possono essere individuati anche casi di esfiltrazione di dati. I segnali in questo caso sono l’upload non autorizzato di dati sulla rete.
Modello rilevamento Phishing tramite uso di SOCaaS
Questo modello è in grado di rilevare possibili tentativi di phishing verso utenti all’interno dell’organizzazione. Ne abbiamo parlato anche in altri articoli, ed ecco alcuni indicatori di questo tipo di attacchi. Un campanello di allarme è sicuramente il rilevamento di campagne di phishing note. Non è raro, inoltre, che si individuino attacchi di spear phishing.
L’uso di un SOCaaS è in grado anche di individuare possibili tentativi di phishing o Campagne di phishing persistenti, grazie al confronto con email da mittenti/domini/indirizzi IP noti nelle blacklist. Come al solito, bisogna fare attenzione agli allegati e-mail sospetti, ma l’uso di un SOCaaS potrebbe automatizzare, almeno in parte, i controlli.
È poi possibile individuare delle anomalie del traffico in uscita, per esempio quello verso domini casuali, anch’esso possibile segnale di phishing. Possono essere indicatori anche il classico traffico verso host malevoli, un numero anomalo di domini rari a cui si è acceduto.
Enumerazione di Host/Account su LDAP
Utilizzato, solitamente, per identificare potenziali asset o enumerazioni di account sulla rete da parte di entità maligne.
Esecuzione di processi sospetti
- Processo/MD5 anomalo rilevato
- Uso di possibili set di strumenti di enumerazione AD (Active Directory)
- Rilevato l’uso di strumenti e utilità malevoli
Scansione della rete
- Possibili account AD/privilegi di enumerazione
- Conteggio dei servizi LDAP o SMB
- Numero anomalo di richieste di ticket di servizio Kerberos
- Port scanning
Anomalie di autenticazione
- Account che accedono a un host per la prima volta
- Uso di account mai visti prima sulla rete
- Numero anormalo di richieste di autenticazione fallite
Ricognizione seguita da un potenziale sfruttamento
Questo modello di minaccia mira a identificare i tentativi di ricognizione della rete che hanno avuto successo, seguiti da indicatori di sfruttamento.
Scansione esterna
- Scansione delle porte da host esterni
- Enumerazione di host da host esterni
Scansione della rete
- Possibile conteggio di account/privilegi AD
- Enumerazione di servizi LDAP
- Numero insolto di richieste di ticket di servizio Kerberos
- Picchi nel traffico LDAP
- Enumerazione di servizi SMB
Anomalie nei processi
- Rilevamento dei processi o MD5 anomali
- Creazione sospetta di attività pianificate
- Rilevati cambiamenti sospetti alle impostazioni del registro di sistema
Conclusioni
Abbiamo visto quali sono i maggiori casi d’uso SOCaaS, dando uno sguardo ad alcuni dei modelli di minaccia più comuni che include nel suo sistema di protezione. Per avere informazioni sui modelli di minaccia relativi ai malware e sugli identificatori di minaccia visitate questo articolo.
L’uso di un SOCaaS è una soluzione aziendale solida e di grande valore, chiedici cosa può fare per la tua azienda, saremo lieti di rispondere a ogni domanda.
Useful links:
Estimated reading time: 6 minuti
Nonostante alcuni declini stagionali, il ransomware è ancora una seria minaccia alla sicurezza, soprattutto per chi la sottovaluta. Spesso si pensa che per proteggersi da un ransomware basti avere una copia di backup dei dati. Questo punto di vista non prende in considerazione vari aspetti. Uno tra tutti, il rapporto che c’è tra ransomware e NAS (Network Access Storage), dove spesso si stocca una copia di backup del server, pensando sia sufficiente.
Gli attacchi ransomware sono in grado di rendere inutilizzabili interi dischi, cifrando il file system. Sono a rischio i dischi di rete, che possono venire cifrati anch’essi, riducendo l’efficacia di un backup stoccato in un NAS.
Definizione di Ransomware
Il ransomware, come abbiamo visto anche in altri articoli, è una forma di malware che cripta i file della vittima. L’aggressore chiede poi un riscatto alla vittima per ripristinare l’accesso ai dati dietro pagamento.
Agli utenti vengono mostrate le istruzioni su come pagare una tassa per ottenere la chiave di decrittazione. I costi possono variare da poche centinaia di euro a migliaia, pagabili ai criminali informatici in Bitcoin.
Una volta che il malware riesce ad essere eseguito, è quasi sempre troppo tardi. Infatti, spesso la vittima non se ne accorge fintanto che viene fatta la richiesta di riscatto o quando ormai tutto il disco è stato completamente cifrato.
Come funzionano i ransomware
Ci sono diverse vie che il ransomware può prendere per accedere a un server. Uno dei sistemi di consegna più comuni è il phishing. Alcuni allegati arrivano al computer della vittima in un messaggio e-mail, mascherati da un file innocui.
Una volta eseguiti, questi software mascherati da innocui file possono prendere il controllo del computer della vittima, specialmente se hanno strumenti di ingegneria sociale incorporati che ingannano gli utenti a consentire l’accesso amministrativo. Successivamente risalire al server non è poi così complicato come potrebbe sembrare.
Alcune altre forme più aggressive di ransomware, come NotPetya, sfruttano le falle di sicurezza per infettare i computer senza bisogno di ingannare gli utenti.
Ci sono diverse cose che il malware potrebbe fare una volta che ha preso il controllo del computer della vittima, ma l’azione di gran lunga più comune è quella di criptare alcuni o tutti i file a cui ha accesso. Se si vuole scendere nel tecnico, ecco un approfondimento su come avvengono le cifrature.
La cosa più importante da sapere è che alla fine del processo, i file non possono essere decifrati senza una chiave matematica conosciuta solo dall’attaccante. Alla vittima viene presentato una richiesta di riscatto e spiegato che senza un pagamento, i file rimarranno inaccessibili.
A prescindere dalle richieste e da come il ransomware sia scatenato in primo luogo, la cosa da notare è che non ci sono dati che si possono salvare. Quindi, se i dati dei vostri clienti sono su un server, possono venire coinvolti in un attacco di questo tipo.
Se il ransomware cifra i file system e non solo singoli file, i problemi potrebbero moltiplicarsi.
Ransomware, NAS e backup
Uno dei modi per mitigare il rischio, è quello di avere a disposizione un backup con cui ripristinare i dati senza dover cedere al pagamento. Le best practice per la gestione dei backup vogliono che non ci siano backup sulla stessa macchina, quindi è possibile che si mantengano su dischi di rete, sempre accessibili dai server. Ma di fatto quei dischi sono parte della macchina, in quanto accessibili.
Questi dischi, chiamati NAS (Network Access Storage), sono ottime soluzioni per la gestione di file in una rete, ma possono diventare inutili tanto quanto il server in caso di attacco ransomware. Se l’attacco cifra i file system, è possibile che, trovate le cartelle remote sul NAS cifri anche quelle, rendendo il backup inutilizzabile.
I target di un ransomware
Ci sono diversi modi in cui gli aggressori scelgono le organizzazioni che prendono di mira con gli attacchi ransomware. A volte è una questione di opportunità: per esempio, gli aggressori potrebbero prendere di mira le università perché tendono ad avere team di sicurezza più piccoli e una base di utenti disparati che condividono molti file, rendendo più facile penetrare le loro difese.
D’altra parte, alcune organizzazioni sono obiettivi allettanti perché sembrano più propensi a pagare un riscatto rapidamente. Per esempio, le agenzie governative o le strutture mediche spesso hanno bisogno di un accesso immediato ai loro file.
Gli studi legali e altre organizzazioni con dati sensibili possono essere disposti a pagare per tenere nascosta la notizia di una compromissione, inoltre, queste organizzazioni sono spesso particolarmente sensibili a una minaccia di esfiltrazione di dati.
Si è comunque notato che alcuni ransomware sono in grado di diffondersi da soli nella rete. Di fatto nessuno è al sicuro del tutto, soprattutto se i dati custoditi sui server sono sensibili.
Ransomware e NAS: come gestire i backup
Come abbiamo visto, un ransomware è una minaccia non da poco ai dati custoditi dai server aziendali. Ora vediamo quali precauzioni è possibile prendere per proteggere i dati e i server.
Non usare i NAS per i backup
Se il ransomware arriva a un NAS, quasi certamente lo cifrerà rendendo il backup inaccessibile. Evitare questo problema è facile: usare il cloud!
Il provider dei server dovrebbe offrire la possibilità di stoccare i backup delle macchine sul cloud. Questo significa che i backup non sono sempre raggiungibili dal server e quindi il software non è in grado di cifrarli.
Questo è lo standard del nostro servizio VPS. In caso di compromissione, infatti, è sufficiente ripristinare la macchina virtuale a uno stato antecedente tramite uno dei backup stoccati nel cloud.
Alternativamente, è possibile eseguire il backup on premise, ossia in locale, fisicamente in azienda. Tramite il servizio Acronis Backup si può eseguire un backup su un disco esterno non collegato alla rete.
Altra soluzione, ibrida delle precedenti, è quella di creare un backup tramite Acronis e di stoccarlo in cloud e non in locale. Si mantiene il vantaggio di avere un backup remoto che non sia collegato al server costantemente.
Prevenire gli attacchi
Infine, è corretto menzionare che è possibile adottare un’ulteriore soluzione, quella precauzionale. Con l’uso del nostro servizio SOC e grazie all’utilizzo di sistemi di analisi di ultima generazione, è possibile individuare immediatamente un malware o un attacco ransowmare e bloccarlo prima che faccia danni.
Sia che si tratti di adottare best practice per il backup e stoccarli in remoto, sia che si adotti un SOC per proteggere questo aspetto e molti altri in ambito di IT security, SOD è disponibile per discutere la situazione e trovare una soluzione su misura per le esigenze della tua azienda.
Contattaci per chiedere informazioni, saremo lieti di rispondere a ogni domanda.
Useful links:
Link utili:
Cos’è la Cyber Security? Definizione e proposte
Ransomware a doppia estorsione: Cosa sono e come difendersi
Evitare il Ransomware: ecco perché è meglio non correre alcun rischio
Presentare il servizio SOCaaS[EDR] di sicurezza gestito, offerto dalla Secure Online Desktop per l’identificazione, la gestione e la risposta ai Cyber Threat.
DESTINATARI
Coloro che in azienda si occupando di Cyber Security come: CISO, CSO e IT Manager.
PROGRAMMA
Di seguito il programma dell’evento:
- – Presentazione Secure Online Desktop
- – SOCaaS cosa è, a cosa serve, a chi è rivolto
- – Cynet – Who we are
- – Cynet – What do you need?
- – Cynet XDR platform
- – XDR Mobile
- – CyOps
- – How to weight the real world?
- – Cynet – MITRE framework
- – Cynet – Portfolio
- – Demo
- – Q&A
RELATORI
- – Nicolas Corona – Responsabile commerciale di Secure Online Desktop
- – Marco Lucchina – Channel Manager Italy, Spain & Portugal
DURATA
90 minuti
SPONSOR/PARTNERS
REGISTRAZIONE
Registrati gratuitamente qui: https://meet.zoho.eu/uMQfd1dvoA
Estimated reading time: 5 minuti
La sicurezza delle informazioni è una preoccupazione crescente per le aziende di tutte le dimensioni, poiché le minacce informatiche diventano sempre più sofisticate e gli attacchi sempre più frequenti. Per far fronte a questa sfida, molte organizzazioni stanno cercando di implementare soluzioni di sicurezza più avanzate e affidabili. Una delle opzioni che sta guadagnando popolarità è il Security Operation Center as a Service (SOCaaS). In questo articolo, esploreremo cos’è il SOCaaS, come funziona e perché è importante per la tua azienda.
Cos’è il SOCaaS?
Il Security Operation Center as a Service (SOCaaS) è un modello di servizio che prevede l’outsourcing delle funzioni di sicurezza informatica a un fornitore esterno. Questo fornitore gestisce e monitora le infrastrutture di sicurezza della tua azienda, proteggendo le tue risorse digitali da potenziali minacce e attacchi informatici. Il SOCaaS combina tecnologia, processi e persone per fornire una soluzione di sicurezza completa e scalabile alle organizzazioni.
Come Funziona il SOCaaS?
Il SOCaaS è progettato per monitorare, identificare e rispondere a eventuali minacce informatiche in tempo reale. Ecco come funziona il processo:
1. Monitoraggio e Rilevamento
Il fornitore di SOCaaS utilizza strumenti e tecnologie avanzate per monitorare continuamente l’infrastruttura IT della tua azienda. Questo include server, dispositivi di rete, applicazioni e altri componenti critici. Gli strumenti di monitoraggio raccolgono dati sulle attività di rete e sui comportamenti degli utenti, creando un quadro completo delle potenziali vulnerabilità e minacce.
2. Analisi e Correlazione
I dati raccolti vengono analizzati utilizzando algoritmi di intelligenza artificiale e apprendimento automatico per identificare schemi e comportamenti anomali. Questo processo di correlazione consente di individuare rapidamente eventuali attività sospette o indicazioni di un attacco informatico in corso.
3. Allerta e Risposta
In caso di rilevamento di una minaccia, il SOCaaS invierà una notifica all’azienda e al team di sicurezza interno. A seconda della gravità dell’incidente, il fornitore di SOCaaS può intraprendere azioni immediate per contenere e mitigare l’attacco, come bloccare gli IP sospetti o isolare le risorse compromesse.
4. Gestione degli Incidenti e Recupero
Dopo aver risolto la minaccia, il fornitore di SOCaaS lavorerà con l’azienda per analizzare l’incidente, identificare le cause e implementare misure correttive per prevenire attacchi futuri. Questo processo di gestione degli incidenti e recupero è essenziale per mantenere un alto livello di sicurezza informatica nel tempo.
Perché il SOCaaS è Importante per la Tua Azienda?
Ci sono diverse ragioni per cui il SOCaaS può essere una scelta strategica per la tua azienda:
1. Riduzione dei Costi
Implementare e gestire un Security Operation Center interno può essere costoso, richiedendo investimenti significativi in hardware, software e personale specializzato. Il SOCaaS consente alle aziende di ridurre questi costi, pagando solo per i servizi di sicurezza di cui hanno bisogno.
2. Accesso a Esperti di Sicurezza
Il SOCaaS fornisce alle aziende accesso a un team di esperti di sicurezza informatica che lavorano 24/7 per proteggere le loro risorse digitali. Questo team può affrontare rapidamente eventuali incidenti di sicurezza e fornire consulenza su come migliorare le pratiche di sicurezza dell’azienda.
3. Scalabilità
Il SOCaaS è una soluzione scalabile che cresce con la tua azienda. Mentre le tue esigenze di sicurezzaevolvono e il tuo business si espande, il fornitore di SOCaaS può adattare facilmente i servizi per soddisfare le tue esigenze in continua evoluzione.
4. Miglioramento della Capacità di Rilevamento e Risposta
I fornitori di SOCaaS utilizzano tecnologie all’avanguardia e strategie proattive per identificare e rispondere rapidamente alle minacce informatiche. Questo ti consente di ridurre il tempo di esposizione alle vulnerabilità e di proteggere meglio i tuoi dati e le tue risorse.
5. Conformità Normativa
Molte aziende sono soggette a requisiti normativi in materia di sicurezza delle informazioni, come il GDPR, il CCPA e altre leggi sulla privacy dei dati. Il SOCaaS può aiutare la tua azienda a conformarsi a queste normative, fornendo servizi di monitoraggio, gestione degli incidenti e reporting.
Come Scegliere un Fornitore di SOCaaS?
Quando scegli un fornitore di SOCaaS, è importante considerare diversi fattori per assicurarti di ottenere il massimo dalla tua soluzione di sicurezza. Ecco alcuni criteri da tenere a mente:
- Esperienza e Competenza: Assicurati che il fornitore abbia una solida esperienza nel settore della sicurezza informatica e possa dimostrare la sua competenza attraverso certificazioni, riconoscimenti e referenze dai clienti.
- Tecnologia e Strumenti: Il fornitore dovrebbe utilizzare tecnologie all’avanguardia e strumenti di sicurezza avanzati per monitorare e proteggere la tua infrastruttura IT.
- Integrazione con i Sistemi Esistenti: Il SOCaaS dovrebbe essere in grado di integrarsi facilmente con i tuoi sistemi esistenti e di lavorare in modo efficace con il tuo team IT interno.
- Supporto e Servizio Clienti: Assicurati che il fornitore offra un’assistenza rapida ed efficiente e sia disponibile per rispondere alle tue domande e preoccupazioni.
- Flessibilità e Personalizzazione: Il fornitore di SOCaaS dovrebbe essere in grado di adattare i suoi servizi alle tue esigenze specifiche e offrire opzioni di personalizzazione per soddisfare le tue priorità di sicurezza.
Conclusione
Il Security Operation Center as a Service (SOCaaS) è una soluzione di sicurezza informatica sempre più popolare che offre numerosi vantaggi alle aziende di tutte le dimensioni. Implementando il SOCaaS, la tua azienda può ridurre i costi, migliorare la sua capacità di rilevamento e risposta alle minacce informatiche, e garantire una protezione continua dei dati e delle risorse digitali. Assicurati di valutare attentamente i fornitori di SOCaaS per trovare quello che meglio si adatta alle tue esigenze e preparati a trarre vantaggio da una soluzione di sicurezza informatica all’avanguardia e affidabile.
Useful links:
Estimated reading time: 6 minuti
L’impatto crescente delle minacce informatiche, su sistemi operativi privati oppure aziendali, induce sempre più utenti nel servirsi di applicativi di terze parti per proteggere le informazioni lavorative. Fortunatamente, l’implementazione di nuove tecnologie consente di migliorare tale condizione. Tra le soluzioni più interessanti, volte alla protezione dei sistemi aziendali, figura la tecnologia SOAR con i suoi benefici. Quali sono le potenzialità e i vantaggi che un’azienda può ricavare da tale sistema?
SOAR: che cos’è?
Prima di analizzare i benefici concreti che può garantire la tecnologia SOAR è indispensabile comprenderne cosa sia e il suo significato.
Con SOAR, acronimo di Security Orchestration, Automation and Response, si identifica uno strumento capace di supportare gli addetti alla sicurezza informatica. Le tecnologie con modello SOAR consentono di avere un approccio triplo: gestione delle vulnerabilità e dei rischi, risposta agli incidenti e infine l’automazione delle operazioni di sicurezza. Nella loro terminologia inglese rispettivamente: Threat and Vulnerability Management, Incident Response e Security Operations Automation.
Il funzionamento dei sistemi SOAR
Attraverso l’utilizzo di algoritmi di intelligenza artificiale e machine learning, un sistema con implementazione SOAR è capace di correlare tre settori usualmente distanti tra loro. Nello specifico una tecnologia SOAR unisce: SAO, TIP e SIRP. Rispettivamente Security Orchestration and Automation, Threat Intelligence platform e Security Incident Response Platform.
Tali piattaforme hanno lo scopo di immagazzinare i dati e le informazioni sul comportamento dei virus, attacchi hacker, malware e altre potenziali minacce informatiche. Le aziende che utilizzano un sistema SOAR sono molto più sicure, poiché possono beneficiare di un sistema polivalente, che non mira soltanto alla cura della minaccia, ma anche alla sua potenziale comparsa.
Differenza tra orchestrazione e automazione
La tecnologia SOAR abbina sia sistemi di automazione che di orchestrazione per la sicurezza informatica, ma qual è la differenza? Quando si utilizza un sistema basato sulle attività di orchestrazione, si ha un approccio in cui strumenti e sistemi di sicurezza diversi vengono connessi per ottimizzare i processi.
Nel caso di un sistema volto all’automazione, ci si riferisce alla capacità di rendere automatiche delle operazioni degli ambienti aziendali. L’automazione si basa sulle attività, mentre l’orchestrazione si basa sui processi. Sfruttando la tecnologia SOAR si può ottenere l’orchestrazione dei processi per l’esecuzione di attività automatizzate.
I benefici del SOAR
Affinché si possa avere un’idea più concreta di quelle che sono le applicazioni di una tecnologia SOAR e i conseguenti benefici, è indispensabile esaminarne i vantaggi nel dettaglio.
Assimilare caratteristiche di automazione e orchestrazione
Utilizzando funzionalità legate al machine learning e all’intelligenza artificiale, un sistema SOAR incrementa notevolmente la sicurezza informatica aziendale. I processi e le attività esaminate dai sistemi di automazione e orchestrazione garantiscono all’azienda di rispondere alle minacce informatiche senza generare ticket post attacco. Un esempio è l’implementazione di SIEM e UEBA nell’orchestrazione della sicurezza.
Usualmente un sistema tradizionale genera un alert, successivamente i tecnici IT provvedono alla risoluzione manuale del problema. Con un sistema automatizzato, è il software stesso a rilevare, risolvere e archiviare il problema. Beneficio da non sottovalutare se all’interno del contesto aziendale non sono presenti tecnici IT.
Centralizzazione delle minacce
Un sistema informatico standard difficilmente ha una visione centralizzata delle minacce. Tale condizione costringe il sistema stesso a intervenire in modo marcato dopo che è stato compromesso. Purtroppo, i sistemi canonici presentano differenti livelli di sicurezza, dove ognuno interviene in specifiche condizioni di allerta.
Le aziende più grandi dividono la rilevazione delle minacce in base all’area di riferimento, sia questa NOC, IT oppure DevOPS, ciò limita notevolmente la sicurezza informatica del sistema.
La tecnologia SOAR unisce, grazie alle sue capacità di automazione e orchestrazione, tutta la fase di centralizzazione delle minacce, garantendo la massima protezione anche in contesti diversi.
Ottimizzazione del tempo
Uno dei vantaggi più rilevanti nell’utilizzo di una tecnologia SOAR è il risparmio del tempo. Quando si subisce un attacco informatico, sia questo di lieve entità oppure rilevante, necessita dell’intervento di tecnici IT. Nel lasso di tempo che intercorre tra l’alert inviato dall’azienda e la risoluzione del problema, l’attività lavorativa deve interrompersi.
Grazie a un software dedicato, con implementazione SOAR, è possibile ottimizzare i tempi di intervento e in molti casi eliminarli del tutto.
Playbook
Ottenere, nel modo più dettagliato possibile, un playbook è essenziale per comprendere gli attacchi subiti. Un sistema SOAR, in modo completamente intuitivo, permette di concatenare più playbook per fronteggiare le azioni complesse.
Per esempio, nel caso in cui ci fosse un alert abbinato a uno specifico sistema di tracciamento, capace di isolare il traffico di uno specifico indirizzo IP sospetto; il software SOAR in quel momento analizzerà le informazioni utili per individuare gli indirizzi IP e valutare se vi siano account compromessi.
Integrazione ottimale con l’infrastruttura
Beneficio che ha reso la tecnologia SOAR particolarmente utile è la sua capacità d’integrazione. Un software SOAR può integrarsi perfettamente in qualsiasi infrastruttura aziendale, raccogliendo informazioni e provvedendo alla sicurezza informatica in modo automatizzato, anche su sistemi non moderni.
Efficienza del team
Ridurre al minimo le interazioni con il sistema aziendale, per la risoluzione di problemi informatici, consente all’azienda di ottimizzare i tempi di lavoro. Tutto il tempo perso per la risoluzione del problema tecnico può essere recuperato e utilizzato per altre attività lavorative più utili.
Anche i team meno competenti nelle operazioni informatiche possono utilizzare hardware e software senza paure di minacce. Una delle problematiche più rilevanti nei contesti aziendali è l’inefficienza dei tecnici IT nel riconoscere minacce informatiche.
La presenza di phishing nella posta elettronica oppure di scambio di file tra un’area e l’altra induce in molti casi ad attacchi informatici. Con un sistema SOAR è possibile ridurre al minimo tali problematiche, aiutando gli assistenti IT a concentrarsi solo sul lavoro.
Costo annuale
Vantaggio da non trascurare è il costo dei continui interventi per la risoluzione di attacchi informatici. I tecnici IT che devono intervenire dopo un alert prodotto dal sistema hanno un costo, quest’ultimo rilevante se protratto nel tempo. La tecnologia SOAR da questo punto di vista tutela le aziende che non vogliono spendere altro denaro per gli interventi periodici.
Secure Online Desktop: soluzione intelligente e veloce
Le potenzialità di un sistema SOAR sono evidenti, ma è importante affidarsi a un servizio di qualità per ottenerne la massima resa. Noi di SOD da anni ci impegniamo nell’offrire soluzioni di sicurezza IT.
Il servizio SOCaaS con SOAR dedicato permette di implementare nella propria azienda software capaci di automatizzare e orchestrare nel modo migliore possibile le attività e i processi lavorativi.
Tale condizione è particolarmente utile per aziende che hanno la necessità di proteggere l’infrastruttura informatica aziendale. La facilità di utilizzo e gli enormi benefici rendono la tecnologia SOAR indispensabile per chi vuole ridurre i costi degli interventi IT e allo stesso tempo migliorare la sicurezza informatica.
Per qualunque domanda su come i nostri servizi possano essere utili alla tua azienda, non esitare a contattarci, saremo lieti di rispondere.
Useful links:
Estimated reading time: 6 minuti
Il tema della sicurezza delle informazioni è di grande attualità in questo periodo storico caratterizzato dalla digitalizzazione. Per proteggersi le aziende e gli individui possono utilizzare una serie di strumenti che possono impedire un attacco, ma anche aiutarlo a gestirlo. In questo articolo parliamo di Automated Response Integration e delle automazioni nel SOCaaS offerto da SOD.
Sebbene i sistemi utilizzati siano quasi sempre improntati su tecnologie efficienti, negli ultimi anni l’implementazione di servizi di SOCaaS muniti di SNYPR per l’analisi dei Big Data sta facendo la differenza. I servizi dedicati SOCaaS, agevolano gli utilizzatori finali nell’utilizzo dei sistemi di sicurezza, improntando il loro funzionamento su processi automatici che tutelano i dispositivi aziendali.
Cos’è l’Automated Response Integration
Con il termine Automated Response Integration, si identifica uno specifico approccio all’analisi dei dati e conseguente risposta in uno scenario di difesa informatica. Lo vediamo oggi, in particolare, correlato al nostro SOCaaS su cui viene applicato lo strumento SNYPR, di cui abbiamo già parlato in passato.
SNYPR e l’Automated Response Integration
Affinché si possano comprendere le potenzialità di un servizio SOCaaS, con implementazione di SNYPR, è opportuno capire prima cosa si intenda con questo termine. Quando si utilizza la parola SNYPR si identifica quello strumento di esame capace di analizzare i Big Data e semplificarne le azioni. Un sistema dotato di SNYPR può esaminare un’enorme mole di dati e identificare i comportamenti di tutti coloro che interagiscono con la piattaforma.
Vi è la combinazione dei log SIEM e UEBA, oltre che un’analisi dedicata alla sicurezza in tempo reale, molto utili per automatizzare le operazioni quotidiane svolte nell’infrastruttura.
Il funzionamento di uno strumento SNYPR per la informatica aziendale, è basato sull’analisi di migliaia di informazioni raccolte, grazie a un’intelligenza artificiale. Queste analisi sono poi usate per prevenire e intervenire sulle minacce informatiche. Il fatto che gran parte di queste operazioni sia automatica, ci porta nell’ambito dell’Automated Response Integration.
Tecnicamente si differenzia da altre piattaforme per l’utilizzo di algoritmi di rilevamento delle minacce che hanno la capacità di scansionare in tempo reale i sistemi e gli accessi eseguiti da altri dispositivi. Un sistema tradizionale raccoglie semplicemente i dati, mentre un SOCaaS con implementazione SNYPR può anche rilevare minacce molto più dannose e adattarsi di conseguenza.
I punti di forza del Automated Response Integration con SNYPR / SOCaaS
Tra i punti di forza di questo strumento, figura il sistema di sicurezza basato su SDL (Security Data Lake). Tale condizione permette alle aziende di conservare una copia dei dati nel SDL e inoltrare la richiesta di scansione in qualsiasi momento. Non vi è un blocco dei dati, come nei sistemi tradizionali, ma un sistema aperto capace di condividere le informazioni con i diversi dispositivi.
Come è facile intuire, è proprio questa disponibilità di dati e la possibilità di analisi approfondita, che ci permette di mettere in campo una strategia di Automated Response Integration con il nostro SOCaaS.
Ci sono varie funzioni dei sistemi in campo che sono degni di nota. Tra queste segnaliamo: l’arricchimento dei dati, l’analisi distribuita sul comportamento, l’indagine storica, la scalabilità e la ridondanza dei dati.
Questa coordinazione di servizi, permette di avere un impatto concreto per la sicurezza informatica, condizione evidente in tre aree di competenza dello SNYPR: minacce interne, minacce persistenti e utilizzo professionale.
L’utilizzo professionale di SNYPR: negli ultimi anni le aziende più importanti si sono dotate di una piattaforma SNYPR per tutelare le loro infrastrutture di archiviazione e analisi dei dati. Il sistema monitora costantemente il flusso di informazioni e si adatta alle condizioni migliori in caso di attacchi informatici.
Automated Response Integration per l’automazione nel SOCaaS
Da un punto di vista tecnico un sistema SNYPR garantisce di per sé ottime potenzialità, ma è con l’implementazione SOCaaS che trova la sua massima espressione di protezione nei sistemi informatici.
L’analisi delle minacce in un sistema aziendale, sebbene venga effettuato in tempo reale, necessita dell’intervento di tecnici specializzati per identificare la problematica. Con il SOCaaS l’individuazione si lega alle azioni automatizzate per fronteggiare le possibili minacce, senza che ci sia un intervento di terze parti.
Vi è una vera e propria integrazione con risposta automatizzata utile a prevenire e debellare le possibili minacce. Tale processo è essenziale non solo per evitare che i sistemi aziendali vengano compromessi, ma anche per tutelare le aziende e i loro reparti IT, che si possono focalizzare su altri compiti.
Funzionalità dell’Automated Response Integration
Playbook: lo strumento può avviare un playbook nel momento in cui vengano rilevate minacce da SNYPR. La trascrizione degli eventi è importante per comprendere la provenienza della minaccia.
Query: l’automazione può gestire le azioni o le query sugli end point direttamente da SNYPR, al fine di fronteggiare l’attacco informatico. Tale caratteristica evita il blocco della produzione nei momenti più concitati.
UEBA: come anticipato nelle righe precedenti, uno strumento basato su NSYPR può importare avvisi UEBA. I formati di riferimento usualmente sono CEF, che riportano avvisi provenienti da qualsiasi tipologia di dispositivo, incidendo sulla sicurezza in modo significativo.
Controllo IP: uno dei punti di forza di questa tecnologia è il controllo di domini, IP, file e URL, garantendo la massima versatilità per ogni tipologia di attività lavorativa.
Dati DNS e Whols: la risposta automatizzata è particolarmente utile nell’archiviazione dei dati DNS e Whols, poiché è possibile verificare la validità dei certificati e monitorare gli accessi indesiderati.
Vulnerabilità: è possibile pianificare una scansione della vulnerabilità della rete. Tale processo di analisi è indicato soprattutto per le aziende che inviano e ricevono un flusso ingente di informazioni fuori dal contesto aziendale.
Affidarsi a professionisti
Non tutti i servizi basati su SOCaaS che implementano SNYPR sono identici tra loro, alcuni di questi offrono la medesima tecnologia ma modalità di intervento diverse. Tra le soluzioni più interessanti figura il nostro SOCaaS. Noi da anni ci occupiamo di offrire soluzioni di sicurezza IT a livello internazionale e questo è garanzia di eccellenza, a fianco delle nostre certificazioni e pertnership.
Il nostro servizio per la sicurezza informatica, basato sull’Automated Response Integration, garantisce il monitoraggio completo delle infrastrutture aziendali, aiutando l’azienda a evitare costi aggiuntivi per la manutenzione ordinaria o straordinaria dei dispositivi.
Conclusioni
L’implementazione dei sistemi automatizzati SOCaaS è ormai indispensabile per le aziende che vogliono tutelarsi dagli attracchi informatici. L’analisi in tempo reale e la notifica di potenziali minacce garantiscono una serenità indispensabile in un’epoca sempre più esposta ai pericoli digitali.
Per sapere come SOD e i suoi servizi possono essere d’aiuto alla tua azienda, non esitare a contattarci, saremo lieti di rispondere a ogni domanda.
Useful links:
Estimated reading time: 4 minuti
Quando ci si riferisce all’intelligenza artificiale spesso si fa riferimento alle grandi tecnologie che potrebbero controllare il mondo, con un’evidente vena di fantascienza. La realtà è ben diversa ed è contraddistinta da una tecnologia dalle grandi potenzialità, che è in grado di assicurare innumerevoli vantaggi. Oggi parliamo di come l’intelligenza artificiale possa essere implementata nel monitoring.
L’utilizzo di queste tecnologie è inderogabilmente trasversale a molti settori dell’economia, ma è anche fruibile in alcuni aspetti della vita di tutti i giorni. Alcuni esempi vanno dalle lavatrici che pesando il carico della biancheria riescono a scegliere quale sia il programma di lavaggio più vantaggioso, agli assistenti vocali che ci semplificano la vita di tutti i giorni.
Molto importanti nel settore aziendale sono i sistemi di monitoraggio che sono stati messi appunto a partire da queste tecnologie di cui parleremo più a fondo tra un momento.
Grazie all’ottimizzazione della capacità di calcolo operata dall’intelligenza artificiale, è possibile aumentare l’efficienza degli apparati aziendali. Vediamo come.
Che cos’è l’intelligenza artificiale e come può innovare il monitoring?
Oggi l’intelligenza artificiale viene declinata sotto numerosi aspetti. Forse quello più importante è l’elaborazione di un quantitativo elevato di dati fornendo poi risposte a quesiti complessi. Alla base dell’intelligenza artificiale vi è lo studio di algoritmi che si occupano di eseguire operazioni matematiche complesse.
L’intelligenza artificiale è uno strumento molto utile all’interno di un’azienda, in quanto è in grado di portare a termine elaborazioni molto sofisticate e precise. Queste operazioni sono in grado di migliorare in modo considerevole l’operatività e la produttività di numerosi comparti dell’azienda stessa.
Applicata al monitoring, per esempio, l’intelligenza artificiale è capace di analizzare i log provenienti dalla rete, sia in termini di prestazioni che di comportamento. Il grande passo avanti nell’analisi e nel monitoring di un’infrastruttura consiste proprio nel riconoscere se alcuni comportamenti che emergono dai log siano rischiosi o meno.
Per raggiungere questi risultati è essenziale disporre di tutte quelle caratteristiche che sono disponibili tramite intelligenza artificiale.
Quali sono i vantaggi dell’utilizzo dell’intelligenza artificiale per il monitoring?
L’intelligenza artificiale è in grado di fornire alle aziende che scelgono di utilizzarla innumerevoli vantaggi. Non soltanto per quanto concerne il miglioramento delle prestazioni dei sistemi informatici, ma anche per rendere più efficiente e migliorare la sicurezza degli stessi, prevenendo gli attacchi.
Questo avviene grazie all’analisi dei log sia da un punto di vista tecnico che comportamentale. L’analisi tecnica evidenzia eventuali problemi in corso, mentre l’analisi comportamentale è in grado di prevenire o individuare immediatamente azione sospette.
Come può il nostro sistema di monitoraggio migliorare l’efficienza aziendale?
Il nostro sistema di monitoring è in grado di migliorare l’efficienza aziendale attraverso le numerose analisi tecniche in grado di essere attuate non soltanto sull’intero sistema, ma anche sulle singole unità.
La capacità inoltre di analizzare i dati in modo approfondito, permette di migliorare la gestione di tutta la struttura informatica e prevenire sovraccarichi o attacchi. Complessivamente si aumentano allo stesso tempo efficienza e sicurezza dell’infrastruttura tramite intelligenza artificiale applicata al monitoring.
Ma c’è di più: questi sistemi di analisi e monitoring sono in grado di inserirsi con estrema efficacia in architetture complesse. Potendo analizzare grandi quantità di dati e potendo dedurre comportamenti e azioni da questi, l’efficienza nella sicurezza è assicurata.
Ulteriore vantaggio è il fatto che questo sistema di monitoring non richiede hardware specifico. Sui sistemi da controllare sono installati degli agenti software che hanno il solo compito di mandare i dati sotto forma di log al sistema di analisi.
Questi sistemi dunque si rivelano come la soluzione ideale per tenere sotto controllo grandi e piccoli architetture informatiche, con l’obiettivo di migliorare l’efficienza e di aumentare la sicurezza complessiva. Insomma, un’applicazione davvero interessante e utile dell’intelligenza artificiale nel monitoring.
Quali sono i campi di impiego di questa tecnologia?
Noi applichiamo sistemi di Intelligenza artificiale al monitoring traendo enorme vantaggio per nostri clienti. In primo luogo possiamo collezionare grandi quantità di dati, arricchirli in modo automatico e infine analizzarli. Le analisi si svolgono sia da un punto di vista tecnico che da quello comportamentale.
Il risultato è un sistema dedicato, il nostro SOCaaS, che rende estremamente efficiente la mitigazione del rischio, particolarmente veloce l’intervento in caso di anomalia e fornisce, inoltre, report regolari.
Questo servizio è in grado di riunire tutte le caratteristiche elencate nell’articolo, e di proporlo come soluzione per le aziende che vogliono un sistema di sicurezza superiore.
Migliore efficienza, sicurezza, versatilità, operatività, sono solo alcuni dei paradigmi utilizzati per definire i servizi che mettiamo a disposizione dei nostri clienti. Abbiamo come obiettivo principale quello di semplificare e di rendere più efficiente la sicurezza informatica della vostra azienda.
Non esitare a contattarci se vuoi saperne di più, saremo lieti di rispondere a ogni domanda.
Useful links:
Tempo di lettura stimato: 8 minuti
Quando parliamo di log management ci riferiamo a un preciso processo che consiste nella raccolta centralizzata di dati che provengono da diversi ambienti operativi come: dispositivi, database, applicazioni e molto altro ancora. I log vengono prodotti da diversi eventi di sistema, molti particolarmente importanti in ambito aziendale.
Vediamo, quindi, alcuni dettagli importanti che riguardano la gestione del log management.
L’importanza della raccolta nel log management
La procedura di raccolta dei dati di log è importante per ottenere diversi obiettivi a livello aziendale. I principali sono: verificare la vulnerabilità; gestire possibili problemi di sicurezza; controllare gli accessi a dati e applicazioni; il monitoring in real time; controllare eventuali malfunzionamenti a livello applicativo.
Dal punto di vista regolamentare, poi, il log management è molto importante a livello aziendale in quanto consente di osservare i principi più importanti che riguardano la protezione dei dati. Questo è stabilito dalla direttiva “UE 95/46/EC”. È richiesto anche dagli obblighi previsti dal “Regolamento Generale sulla Protezione dei Dati Personali (RGPD o GDPR)“.
Quindi, queste caratteristiche fanno capire quanto sia importante una buona gestione dei log e come possa aiutare le aziende a prevenire eventi potenzialmente invasivi prima che si verifichino.
Questo tipo di azione corrisponde a quello che, in gergo, è chiamato “Privacy by Design”. Secondo questo principio, diventa necessario eseguire le giuste strategie per evitare che si creino dei rischi e delle problematiche relative a violazioni.
Le problematiche da affrontare nel log management
Il log management necessita del corretto equilibrio tra disponibilità dinamica di risorse e numero di dati di log che cresce sempre di più. In più, già dal primo step di acquisizione dei dati di log, è opportuno prendere in considerazione diversi elementi. Questi, spesso, generano diverse complessità come, ad esempio: la quantità di sorgenti di cui tener conto; il numero di data log creati; la molteplicità degli eventi che danno vita a data log; i tipi di data log; la metodologia di acquisizione dei data log; la conformità dei sistemi di protezione dei data log.
Oltre a quanto citato, bisogna anche tenere conto di quei principi di riservatezza e disponibilità dei dati che devono essere rispettati. Questo per fare in modo che si evitino violazioni, sia di tipo intenzionale che accidentale.
È quindi opportuno pianificare le strategie che consentono di adottare le soluzioni idonne per il personale che si occupa del log management. In questo modo, i tecnici potranno intervenire rispettando i requisiti che già citati.
Le caratteristiche di un’infrastruttura di log management
L’infrastruttura per il log management è formata dall’unione di elementi hardware, software e di rete che vengono impostati in modo da poter comunicare in modo efficace tra loro. Le comunicazioni tra questi componenti vengono realizzati all’interno della stessa rete che viene usata per le comuni attività dell’azienda.
Nonostante ciò, per un’azienda è importante anche tener conto della possibilità di effettuare la raccolta dei dati utilizzando una rete differente così che eventuali attacchi di spyware o altri incidenti vadano ad alterare, intercettare o eliminare i dati.
Se dal punto logistico e di architettura non è possibile, in un’azienda, effettuare questa seconda possibilità si dovrebbero adottare accorgimenti alternativi come, ad esempio, la crittografia dei dati.
Sintetizzando, quindi, un’infrastruttura di log management dovrebbe assicurare il rispetto dei seguenti requisiti: mantenere informazioni che servono a raggiungere l’obiettivo di raccolta seguendo i principi di “minimizzazione” e “proporzionalità”; far sì che i dati rimangano inalterabili in tutto il loro arco di vita; assicurare l’integrità dei dati raccolti senza che vengano effettuate modifiche; conservare i dati per un lasso temporale limitato.
L’aggregazione dei dati a livello aziendale
Quando le aziende crescono e raggiungono numeri di applicazioni considerevoli all’interno del loro ambiente, la raccolta dei dati diventa una sfida sempre più importante e determinante.
In più se teniamo conto della difficoltà di raccolta dei data log sufficienti per poter rimanere conformi, del rispetto degli standard di privacy e delle problematiche di sicurezza che nascono dalle minacce moderne, ci accorgiamo facilmente di come la raccolta diventa una sfida sempre più complessa.
Quindi, a livello aziendale, la chiave per creare un sistema di raccolta efficiente sta nella capacità di acquisire in modo dinamico i dati in tempo reale da tutte le fonti disponibili. Possedere una soluzione che consenta di inserire i dati in una posizione centrale, come un data lake, e facilitare il filtraggio, la trasformazione, la classificazione, permette di rendere più semplice il compito di log management per l’azienda.
SOCaaS e il sistema di log management avanzato
Una soluzione molto avanzata è quella offerta dal SOCaaS, in particolare dalla sua componente SIEM, che sfrutta l’innovazione dell’intelligenza artificiale. Questa consente di analizzare i dati raccolti così da trovare possibili dati sospetti.
In più, viene sempre reso disponibile un intervenendo di tipo tecnico qualificato in ogni momento della giornata con compiti precisi e non dispersivi. L’intervento consente di poter verificare le notifiche di allarmi che vengono generati dal sistema così da escludere i falsi positivi, intervenendo per eliminare la minaccia e dare report costanti nel tempo.
La raccolta dei dati sempre maggiore e l’analisi dell’intelligenza artificiale consentono di rendere il servizio molto conveniente e completo.
Le potenzialità del sistema SOCaaS per le aziende
Come abbiamo appena visto, per le aziende è molto conveniente affidarsi ad un servizio SOC (SOCaaS). La potenzialità maggiore è rappresentata proprio dall’innovazione apportata dall’intelligenza artificiale che consente di raggiungere il massimo dei risultati per quanto riguarda l’analisi costante e continua dei dati così che ha la sicurezza di identificare le possibili minacce in tempi brevissimi. Grazie a questo sistema, quindi, si andranno a prevenire e mitigare i rischi.
Un valore aggiunto, poi, è il non dover assumere tecnici specializzati con capacità specifiche nell’identificare e verificare le minacce. Chi si affida a questo servizio potrà anche ricevere dei report sulla situazione e notifiche in caso di problemi.
Il SOCaaS, quindi, consente di poter prendere le giuste precauzioni contro quelle tecniche ancora sconosciute e ha la capacità di trovare il collegamento tra i dati che riguardano possibili attacchi con sistemi ancora non conosciuti. Questo grazie all’analisi del comportamento degli utenti e delle intità dell’infrastruttura (UEBA).
Inoltre, la struttura del sistema è realizzata in modo da apportare un costante miglioramento. Il lavoro sinergico tra tecnici e intelligenza artificiale consente di individuare anche i tentativi di breach non convenzionali.
Per le aziende significa migliorare le proprie difese di adeguarle in basi ai dati raccolti in precedenza.
Il SOCaaS è perfetto per quelle aziende che vogliono lavorare in piena sicurezza utilizzando infrastrutture basate sulla rete. Si tratta di una garanzia di difesa contro attacchi informatici.
I vantaggi di scegliere il nostro SOCaaS per il log management
Scegliere di affidarsi al nostro SOCaaS ha diversi benefici.
Il primo è quello di risparmiare denaro sia nel breve che lungo termine. Infatti, si eviterà di acquistare hardware dedicati e software specifici. In più, non sarà necessario nemmeno assumere nuovi impiegati o aggiornare le competenze di quelli che già lavorano.
Un altro vantaggio è quello di avere il supporto professionale di tecnici che si aggiornano ogni giorno per avere le competenze per combattere i nuovi tipi di minacce. Questo tipo di assistenza non ha prezzo ed è estremamente difficile da ottenere all’intero dell’organico dell’azienda. Questo è anche dovuto all’attuale scarsità di professionisti nel settore.
Un ulteriore vantaggio è quello di avere a disposizione tecnologia sempre aggiornata. Non ci si dovrà occupare e preoccupare di aggiornare sempre i software, perché questi, unici responsabili della raccolta di dati per il SOCaaS, vengono mantenuti sempre all’ultima versione.
Vuoi ottenere maggiori informazioni per approfondire le funzionalità del SOCaaS di SOD? Contattaci per sapere come possiamo aiutarti a tenere alte le difese della tua azienda.
Useful links:
Tempo di lettura stimato: 6 minuti
Oggi parliamo dell’aggiornamento CTI dei nostri servizi. La sicurezza dei dati rappresenta un aspetto che deve essere sempre tenuto in considerazione per evitare che i dati possano essere in qualche modo rubati.
Le problematiche della rete
Quando si possiede una presenza collegata alla rete, specialmente se contiene dati sensibili, le potenziali minacce ai quali si viene esposti sono molteplici. Il furto dei dati dei propri clienti, infatti, è solamente una delle potenziali situazioni negative che si possono palesare e che potrebbero compromettere la solidità del proprio sito e la nomea della propria impresa.
Il servizio di Cyber Threat Intelligence (CTI), nasce con l’obiettivo, non solo di scoprire quali sono le aree maggiormente a rischio, ma anche prevenire attacchi mirati. La prevenzione rappresenta la giusta soluzione grazie alla quale è possibile evitare che la situazione possa farsi difficile da affrontare e che possano esserci futuri problemi complessi da risolvere.
CTI: l’analisi preventiva delle minacce
Grazie al servizio di CTI da noi proposto e ai nostri Cyber Treath Hunter, è possibile evitare che un attacco programmato vada a segno. La ricerca delle zone vulnerabili dell’infrastruttura informatica rappresenta il primo processo del servizio di CTI da noi proposto.
Tali informazioni, infatti, sono quelle che vengono elaborate nel Dark Web, dove appunto vengono svolte gran parte delle progettazioni degli attacchi. L’analisi della fuga dei dati, quindi, viene svolta con estrema attenzione per capire quali e quanti dati possono essere divenuti oggetto dell’attenzione di hacker. Di conseguenza possiamo anche capire quali possono essere i target specifici di attacco o le prossime informazioni a rischio.
Le diverse analisi sono svolte con cura e precisione, per evitare che le vulnerabilità siano sfruttate e la sicurezza della struttura messa a repentaglio. Grazie all’analisi svolta da un team di professionisti, la vostra azienda eviterà che gli attacchi possano colpirvi e scatenare problemi economici e d’immagine.
Le analisi svolte dalla Cyber Threat Intelligence
Per quanto riguarda le diverse fasi delle analisi da noi proposte, queste sono svolte in maniera particolarmente accurata. Si pratica una serie di procedure grazie alle quali è possibile identificare quali sono le potenziali minacce che possono essere presenti nella rete.
Vediamo queste fasi per capire come procediamo per offrire un servizio completo ai nostri clienti.
L’analisi globale dei dati
Dopo aver ipotizzato il tipo di minaccia da evitare, quindi i dati necessari che devono essere analizzati, la squadra di tecnici preposti si occupa di svolgere una serie di procedure di raccolta delle informazioni. Grazie a questa possiamo capire se i dati necessari siano ben difesi oppure a rischio di breach. In sostanzia cerchiamo di ragionare come gli hacker prima che si preparino per l’attacco.
I dati sono sottoposti ad un’accurata analisi e soprattutto sono adeguatamente suddivisi. Tale procedura nasce per semplificare poi la fase di studio dei dati stessi, prevenendo quindi un accumulo di informazioni che potrebbero comportare confusione in fase di analisi.
I dati e la seconda analisi, tra informazioni fondamentali e secondarie
Terminata la fase di raccolta delle informazioni, si passa all’analisi iniziale delle stesse. Con questo passaggio fondamentale è possibile eliminare tutte le informazioni reputate superflue lasciando spazio a quelle che hanno maggior rilevanza in fase di studio.
A questo punto si svolge la fase di analisi sui dati, il cui scopo è quello di capire effettivamente quali possono essere le minacce concrete da evitare.
Durante la fase di studio si decide quali sono le diverse procedure da adottare sull’infrastruttura per evitare che gli attacchi vadano a buon fine. Tramite queste analisi possiamo quindi decidere con precisione come aumentare ulteriormente le difese dei dati aziendali.
La scelta delle misure di sicurezza da adottare
Infine, vi è la messa in pratica delle pratiche di sicurezza con un compito preciso: rendere operativi i risultati delle analisi.
Ecco come, grazie a questo insieme di procedure, il servizio di CTI da noi offerto si presenta come incredibilmente utile per evitare che possano esserci potenziali problemi. Ricordiamo che anche un solo attacco portato a termine, può avere un impatto significativo in termini economici.
Prevenzione di attacchi futuri
Grazie a questo insieme di analisi di CTI si possono, quindi, prevenire futuri attacchi. Il nostro team non solo si occupa di analizzare le potenziali e future minacce, ma anche quelle che potrebbero essere basate sulla situazione attuale dell’infrastruttura IT.
Vogliamo rimarcare, infatti, come le costanti minacce siano oggetto di un’evoluzione rapida e quanto sia importante essere sempre adeguatamente protetti e prevenuti. Con servizi come il SOCaaS e il CTI, monitoriamo in sicurezza la rete aziendale assicurandoci che resti protetta e sana.
CTI: L’importanza della massima sicurezza online
Vi invitiamo quindi a considerare queste situazioni di rischio per la sicurezza come meno remote di quanto si possa pensare. Queste stesse situazioni possono essere la causa di una serie di breach e data loss che possono compromettere l’azienda.
Grazie al nostro SOCaaS, e in particolare al CTI. è possibile evitare che i dati presenti della rete aziendale, possano essere intercettati con facilità.
Capire quali sono le minacce, avere un report dettagliato e soprattutto analizzare quali sono le contromisure che bisogna adottare è il nostro compito e grazie ai nostri sistemi all’avanguardia offriamo un servizio completo in grado di mettere in totale sicurezza l’infrastruttura.
I nostri servizi coprono molte situazioni di rischio per la sicurezza e offriamo in generale molte soluzioni professionali per aziende. Il SOCaaS, con sistema SIEM e UEBA, così come campagne di CTI e phishing, sono solo alcuni dei nostri servizi.
Mantenere sempre al top la sicurezza è il nostro compito, se volessi ulteriori informazioni, non esitare a conttattarci!
Useful links:
Estimated reading time: 6 minuti
Oggi vediamo una delle ultime novità per il nostro SOCaaS, l’Autonomous Threat Sweeper (ATS). Un sistema in grado di supportare il SOC in modo innovativo e proteggere dalle più innovative minacce.
Il Garante della Privacy, attraverso il provvedimento datato 27 maggio 2021, ha introdotto alcune modifiche in materia di violazione di dati sensibili e personali. Un particolare riferimento è stato fato ai numerosi casi di data breach. In sostanza si è inasprita la normativa relativa al sistema delle notifiche. La normativa prevede l’applicazione di una determinata procedura da adottare in caso di violazione dei dati.
Non è semplice restare aggiornati sulle continue normative in tema di privacy, né tantomeno avere a disposizione dei sistemi di prevenzione di minacce informatiche come i ransomware che lavorano nell’ombra e sempre più aggressivi e pericolosi. Per questo motivo la protezione dalle minacce è divenuta una questione non più facilmente gestibile attraverso sistemi non professionali. Oggi sono richieste specifiche competenze informatiche continuamente in aggiornamento e professionisti operanti nel settore, soprattutto per le aziende.
Contesto: l’inarrestabile crescita dei ransomware
Come sappiamo, con il termine ransomware si definisce una categoria di un malware in grado di cifrare i file e documenti contenuti nel computer attaccato, in alcuni casi anche nella rete a cui è collegato. Lo abbiamo visto in vari articoli attraverso degli esempi noti.
l ransomware negli ultimi anni si sono diffusi moltissimo, tanto da essere catalogati come la minaccia informatica più pericolosa per le aziende.
Fra le principali aziende prese di mira vi sono quelle che dispongono di un elevato quantitativo di dati sensibili le quali, qualora venissero sottratti esporrebbero l’azienda alla sfiducia da parte dei loro clienti. La crittografia dei file memorizzati all’interno dei dispositivi viene, quindi, risolta solo a seguito del pagamento di un riscatto.
Purtroppo, una volta compromesso, il sistema non consente agli utenti di poter accedere ai dati presenti all’interno dei loro dispositivi impedendo di fatto l’utilizzo.
Attualmente il ransomware è una delle principali minacce informatiche, tanto da essere catalogata come un modello di business redditizio. Questo a causa dei costanti miglioramenti apportati ai loro software che rendono l’utilizzo da parte di hacker sempre più semplice. Il risultato è un crescente numero di attacchi eseguiti con strumenti che hanno richiesto quasi nessuna competenza specifica.
Sicurezza informatica: aumento del rischio = aumento polizze assicurative
In tema di sicurezza informatica gli aspetti da considerare sono diversi, tra questi, appunto, vi è quello legato ai software ransomware. Questi richiedono una maggiore definizione dei requisiti di segnalazione in caso di data breach a causa dell’aumento di un rischio sistemico.
Questo problema ha generato, di riflesso, un aumento dei prezzi del mercato delle assicurazioni. Poiché tali minacce, oltre a essere sempre più frequenti, sono la causa di elevati danni alle aziende, le compagnie assicurative hanno alzato i prezzi. Ma non solo, oggi pretendono anche dagli assicurati requisiti specifici, atti a dimostrare l’utilizzo di sistemi di difesa adeguati in ambito IT.
Autonomous Threat Sweeper: la nuova tecnologia integrata nel SOCaaS
Il rilevamento preventivo dei malware è la soluzione prioritaria da adottare al fine di non correre il rischio di essere attaccati da un malware che possa appropriarsi dei dati aziendali.
Ciò che preoccupa, tuttavia, non è solo l’aumento del costo delle assicurazioni, ma la maggiore definizione dei requisiti richiesti. I requisiti, cioè, relativi alle segnalazioni da inoltrare in caso di di data breach e il conseguente aumento di un rischio sistemico.
Il SOC as a Service è un servizio dedicato interamente alla sicurezza informatica delle aziende, che prevede la raccolta dei dati e l’arricchimento finalizzata all’individuazione proattiva degli attacchi di ingegneria sociale. Il sistema comprende un Security Data Lake (SDL), la gestione degli eventi e delle informazioni (SIEM) e l’analisi dei comportamenti degli utenti (UEBA).
Attraverso l’Autonomous Threat Sweeper (ATS) il team è in grado di fornire alle aziende una copertura 24/7 attraverso una ricerca automatica. Questa, una volta attivata, è in grado non solo di prevenire attacchi dall’esterno, ma di scovare anche eventuali malware installati in precedenza all’interno dei dispositivi aziendali.
Tale sistema consente di automatizzare un rilevamento rapido di queste minacce. Una volta individuate è facile mettere in pratica azioni mirate al fine di contrastarne gli attacchi. Poiché gli attacchi informatici sono e saranno sempre presenti nella vita aziendale di tutti i giorni, è sicuramente importante essere attrezzati al meglio. Gli attacchi continueranno a crescere in ampiezza e scala e non scordiamoci il trend nel mercato della scarsità di tecnici. Possiamo solo mettere in gioco sistemi che automatizzino le prime fasi di controllo e individuazione.
L’Autonomous Threat Sweeper (ATS) è attualmente uno dei pochi sistemi in grado di codificare anticipatamente gli attacchi informatici di ultima generazione. La sua copertura include le reti e i dispositivi aziendali.
Autonomous Threat Sweeper (ATS)
Autonomous Threat Sweeper (ATS) è un sistema costantemente aggiornato in grado di rilevare le minacce di ultima generazione. Questo garantisce alle aziende che si rivolgono a noi di essere sempre protette dai rischi informatici di ultima generazione alle infrastrutture e dispositivi.
Abbiamo già parlato di SIEM, strumenti software in grado di fornire ai professionisti della cyber security un’analisi dei log e degli eventi al fine offrire un minitoring delle minacce in tempo reale. Ecco, l’ATS migliora persino le funzionalità di un software così complesso e accurato come il SIEM, rendendolo in grado di rilevare minacce basse e lente attraverso post-hoc.
In sostanza, con l’ATS si potrà accelerare il processo di rilevamento delle minacce al fine di evitare danni che compromettono anche la solidità dell’infrastruttura.
Conclusioni: Come comportarsi in caso di violazione
Nel caso in cui si verificasse una violazione informatica, con o senza dolo, che comporti la perdita, distruzione, modifica o divulgazione non autorizzata o l’accesso non autorizzato ai dati trattati da un’azienda, il titolare del trattamento dei dati nominato dalla stessa dovrà notificare la violazione subita entro 72 ore.
Successivamente potrebbero scattare indagini per capire l’entità del danno e poi anche sanzioni in caso di negligenza. Adottando un Autonomous Threat Sweeper la vostra azienda sarà in grado di intercettare le minacce prima che possano fare alcun danno.
Prevenire data breach, richieste di riscatto e altri attacchi alla sicurezza informatica è semplice, se ci si rivolge a persone competenti. Chiedici ulteriori dettagli su come possiamo supportare la vostra azienda per quello che riguarda la sicurezza informatica. Saremo lieti di rispondere ad ogni vostro dubbio.
Useful links:
Webinar: SOCaaS (Security Operation Center as a Service) e NGS (Next Generation SIEM)
Pass the Ticket: how to mitigate it with a SOCaaS
Use cases of a SOCaaS for companies part 2
Use cases of a SOCaaS for companies part 1
Predictive cybersecurity with our SOCaaS
Estimated reading time: 5 minuti
Ogni anno cresce costantemente il numero di attacchi che minacciano la sicurezza di dispositivi, sistemi informatici, server e infrastrutture di rete. Questo avviene traendo vantaggio dalle vulnerabilità presenti in questi sistemi. Tra le tante tipologie di attacchi, bisogna prestare particolarmente attenzione all’attacco pass the ticket (PTT).
Con un attacco pass the ticket è possibile sfruttare il protocollo di rete Kerberos, presente in tutti i principali sistemi operativi, per accedere alla sessione di un utente pur non avendo le sue credenziali d’accesso. Un attacco di questo tipo può essere difficile da rilevare e solitamente è in grado di aggirare i più comuni controlli d’accesso al sistema.
Pass The Ticket: cos’è e come funziona
Kerberos
Prima di capire nel dettaglio cos’è e come funziona un attacco PTT è opportuno fare un po’ di chiarezza sul protocollo di rete Kerberos dato che un attacco di questo tipo, sfrutta proprio questo protocollo. Kerberos è un protocollo di rete progettato dal MIT negli anni ’80 ed è diventato uno standard IETF nel 1993. Viene usato per l’autenticazione forte tra diversi terminali tramite un sistema di crittografia a chiave simmetrica, senza trasmettere alcuna password.
Il vantaggio nell’utilizzare il protoccolo Kerberos sta nel suo sistema di autenticazione forte tra client e server. Questo lo rende molto efficace contro i tentativi di phishing e contro gli attacchi “man in the middle“.
Kerberos è integrato in tutti i principali sistemi operativi appartenenti ad aziende note come Microsoft, Apple, Red Hat Linux e molte altre ancora.
Con un attacco pass the ticket è possibile sfruttare l’autenticazione Kerberos per ottenere l’accesso ad un account utente. Le conseguenze che potrebbe comportare un avvenimento del genere non sono da sottovalutare. Tra i tanti scenari immaginabili ad esempio, ci potrebbe essere la possibilità che l’account compromesso goda di elevati privilegi amministrativi garantendo così all’hacker pieno accesso alle risorse.
L’attacco
Un attacco pass the ticket permette di ottenere un accesso privilegiato alle risorse di rete senza dover utilizzare alcuna password utente. Ecco come: in Active Directory, un Ticket Granting Ticket (TGT) ha la funzione di dimostrare che un utente è proprio chi dice di essere. Tramite alcuni strumenti e tecniche, un hacker potrebbe raccogliere questi ticket e utilizzarli per richiedere dei Ticket Granting Service (TGS) con il fine di accedere alle risorse presenti in altre parti della rete.
Un attacco PTT potrebbe comportare dei rischi anche se l’account compromesso non gode di particolari privilegi amministrativi dal momento che l’hacker, tramite il Lateral Movment, potrebbe riuscire ad ottenere l’accesso ad altri account e dispositivi.
La differenza tra il pass the ticket e un attacco pass the hash sta nel fatto che il primo sfrutta i ticket TGT che hanno una scadenza di poche ore, mentre il secondo utilizza gli hash NTLM che cambiano solo nel caso in cui un utente decida di cambiare la sua password. Un ticket TGT deve essere utilizzato entro i tempi della sua scadenza oppure va rinnovato per un periodo di tempo più lungo.
Come difendersi e prevenire un attacco Pass The Ticket
Mantenere sicura una rete e i dispositivi ad essa connessi è un fattore molto importante. Bisogna sempre avere protocolli e software che riescano a garantire una protezione efficace da ogni tipo di minaccia, con sistemi aggiornati che mantengano le informazioni sensibili al sicuro. Le aziende possono avvalersi di tecnologie di rilevamento e risposta degli endpoint. Sarà possibile il rilevamento locale di più ticket utilizzati per la stessa sessione.
Caso account senza privilegi
Nel caso in cui avvenga un attacco pass the ticket, se l’account compresso a cui è stato sottratto il TGT o il TGS era un account con privilegi limitati, la mitigazione potrebbe essere abbastanza semplice. Basta reimpostare la password di Active Directory dell’utente. Un’azione simile invaliderebbe il TGT o il TGS, impedendo all’hacker di generare nuovi ticket.
Caso account con privilegi
Al contrario, se l’attacco PTT ha compromesso un account privilegiato, limitare il danno è molto più difficile. In questi casi, le aziende potrebbero rispondere all’attacco reimpostando il servizio Kerberos TGT in modo da generare una nuova chiave di firma, assicurandosi di eliminare la chiave compromessa.
Successivamente è necessario analizzare nel dettaglio i registri Kerberos e le informazioni di Active Directory per investigare e scoprire a quali risorse di rete sono state compromesse. In questo modo si ha anche modo di capire quali dati potrebbero essere stati sottratti. La tecnologia SIEM consente alle organizzazioni di assimilare, analizzare e analizzare questi dati.
Protezione dall’attacco
Per garantire una protezione completa ad una infrastruttura, impedendo anche attacchi pass the ticket, è bene usare tecnologie di rilevamento valide come UEBA e SIEM. Infatti, è possibile prevenire attacchi Pass The Ticket analizzando il comportamento degli utenti e delle entità. La soluzione UEBA, in questi casi, assicurerebbe l’identificazione rapida di qualsiasi account compromesso, bloccandolo in modo da mitigare i danni.
Alcuni software SIEM inoltre, permettono non solo di analizzare i tradizionali logs ma sono in grado anche di fornire un’analisi accurata della sicurezza, analizzando il comportamento della rete e degli utenti in modo da rilevare tempestivamente la presenza di eventuali minacce all’infrastruttura.
Conclusioni
Abbiamo visto cos’è un attacco pass the ticket e in che modo le aziende possono adottare soluzioni specifiche per intercettare i pericoli e le anomalie di un’intera infrastruttura informatica. Possiamo così mitigare più efficacemente le minacce.
Una soluzione completa, come abbiamo visto, coinvolge un monitoring costante e granulare delle comunicazioni. La soluzione che proponiamo a questo scopo è un SOCaaS.
Se vuoi conoscere i nostri servizi dedicati alla sicurezza, non esitare a contattarci. Puoi usare il pulsante qui sotto, saremo lieti di rispondere a qualsiasi tua domanda.
Useful links:
Estimated reading time: 5 minuti
Come abbiamo già affrontato precedentemente negli scorsi articoli, i ransomware sono una tipologia di malware che, sfruttando la crittografia, attaccano i sistemi informatici, impedendo l’accesso ai dati da parte dei legittimi proprietari. La diffusione di questi attacchi è in costante aumento e senza delle adeguate misure di sicurezza da adoperare a supporto dei sistemi informatici (come ad esempio UBA e UEBA) è più facile che questi attacchi avvengano con successo.
Cosa è accaduto nel 2020
Nello scorso anno, il 39% degli italiani che hanno subito questa tipologia di attacchi ha assecondato le richieste degli hacker e il 43% di essi non è riuscito ad ottenere indietro le informazioni sottratte. [Fonte: Indagine Kaspersky]
Secondo i più recenti sondaggi a livello globale è emerso che gli utenti con età compresa tra i 35 e i 44 anni sarebbero i più propensi a pagare il riscatto, inoltre il 65% di loro ha dichiarato di averlo già fatto in passato.
Il 52% degli utenti (più della metà) con età compresa tra i 16 e i 24 anni hanno versato il denaro ai criminali. Gli utenti con età superiore a 55 anni si sono rivelati i più indisposti, soltanto l’11% di loro ha assecondato le richieste degli hackers. Un terzo degli italiani intervistati (il 33%) ha affermato di aver perso definitivamente l’accesso a quasi tutti i propri dati.
In Italia, soltanto l’11% degli gli utenti che hanno subito questa tipologia di attacchi è riuscito a recuperare e a ripristinare tutti i file criptati. Il 17% dichiara di averne persi solo in parte e il 22% dichiara di aver ottenuto una quantità non significativa di dati.
Deduzioni
Da tutte queste informazioni abbiamo capito che le conseguenze di questi attacchi sono davvero invalidanti per un’azienda. Nell’ultimo anno una percentuale significativa di utenti ha pagato invano per ottenere l’accesso alle proprie informazioni personali.
Pagare non garantisce il recupero delle informazioni sottratte. Questa, per altro, è una componente importante dell’attacco a doppia estorsione, che abbiamo già visto in un altro articolo.
È opportuno effettuare periodicamente molteplici backup dei dati e investire in strumenti di sicurezza in grado di proteggere i vari dispositivi da questa tipologia di minacce informatiche.
UBA e UEBA sono strumenti in grado di comprendere il comportamento routinario di tutti gli utenti in un ambiente IT con il fine di creare una linea di comportamento utile per scovare i comportamenti anomali e bloccare tempestivamente le minacce.
Cosa sono UBA e UEBA
UBA e UEBA sono rispettivamente gli acronimi di User Behavior Analytics e User Behavior and Entity Analytics. Sono molto simili in quanto entrambi sfruttano il machine learning per comprendere come si comportano gli utenti all’interno di un sistema. I due sistemi identificano tutte le attività rischiose e le anomalie che si discostano dal comportamento abitudinario. Queste informazioni possono poi essere usate in molteplici modi, tra cui far scattare una notifica, per fare in modo che un operatore controlli cosa stia succedendo; oppure il blocco dell’evento anomalo come misura cautelare.
La differenza sostanziale tra i due è che il UEBA è in grado di analizzare anche il comportamento delle macchine e non solo degli utenti, a differenza dello UBA, pertanto è in grado di fornire una protezione più completa.
Poniamo il caso che un utente si connetta abitudinariamente ad una VPN per navigare. Con UBA e UEBA è possibile tracciare tutte le abitudini dell’utente e i dati relativi alle tecnologie che utilizza. Ad esempio è possibile ottenere informazioni sulla data di inizio e di fine delle sue sessioni, gli indirizzi IP ai quali si connette, il paese da cui accede e tanti altri attributi di questo genere.
Nel momento in cui l’utente non si dovesse connettere alla VPN per visitare un portale specifico, per esempio quello aziendale, UBA e UEBA segnalerebbero un’anomalia.
Consigli e raccomandazioni
Molte persone non sono informate sulle più comuni minacce informatiche. Nell’ultimo anno soltanto il 28% delle persone ha sentito parlare di attacchi ransomware.
Noi di SOD prendiamo molto a cuore tutti gli aspetti che riguardano la sicurezza di un sistema informatico e la tutela dei suoi utenti. Uno dei nostri obiettivi è sensibilizzare gli utenti informandoli sulla pericolosità di queste minacce informatiche, dando loro consigli utili per far fronte a queste tipologie di attacchi.
Ecco alcuni consigli utili per rispondere agli attacchi:
– Non pagare MAI il riscatto: Il consiglio che diamo sempre in queste situazioni è contattare immediatamente le forze dell’ordine segnalando l’accaduto.
– Cerca di scoprire il nome del malware ransomware: scoprendo il nome del malware si facilita il lavoro agli esperti di sicurezza informatica. Più informazioni hanno a disposizione e più tempestivamente riusciranno a rispondere alla minaccia.
– Mai aprire allegati provenienti da indirizzi email non conosciuti e controllare sempre l’indirizzo email del mittente. Molto spesso gli hacker utilizzano nomi ingannevoli fingendosi aziende note, bisogna sempre verificare che l’indirizzo del mittente corrisponda effettivamente all’indirizzo a noi noto. N.B. Mediante una tecnica chiamata mail source spoofing è possibile per un malintenzionato falsificare il mittente in modo che risulti identico ad uno legittimo a voi conosciuto.
– Mai inserire chiavette USB o altri sistemi di archiviazione esterna se non si è sicuri della loro provenienza.
– Eseguire con frequenza il backup dei dispositivi in modo da poter aver accesso ad una copia recente utilizzabile per il ripristino del dispositivo. E’ opportuno che la copia di backup sia offline come impone la regola del 3-2-1.
– Premunirsi di sistemi e servizi professionali di sicurezza, come UBA e UEBA.
Conclusioni su UBA e UEBA
Secondo i dati risalenti al 2020 è emerso come il rischio derivato da minacce ransomware sia sempre più frequente e come è possibile prevenire e bloccare questi attacchi con UBA e UEBA. Seguendo i consigli riportati in questo articolo è possibile impedire che certe situazioni si manifestino.
Proteggi i tuo dati e quelli della tua azienda, contattaci per ulteriori informazioni premendo il pulsante presente qui in basso, saremo lieti di rispondere ad ogni tua domanda.
Useful links:
Estimated reading time: 6 minuti
Il Database Activity Monitoring (DAM) è una tecnologia applicata alla sicurezza dei database. Il DAM può combinare più dati di monitoraggio della rete e le informazioni di audit per fornire un quadro completo di tutte le attività di un database. I dati raccolti dal DAM vengono poi utilizzati per analizzare le attività del database, supportando le indagini relative alle violazioni dei sistemi IT e scovando anomalie.
Il DAMP invece, è un’estensione del DAM che si applica per bloccare tutte le attività non autorizzate.
Il DAM è importante per proteggere i database contenenti informazioni sensibili dagli attacchi esterni da parte degli hacker. Secondo le più recenti indagini, il numero delle violazioni dei database è aumentato esponenzialmente, mettendo a rischio le informazioni personali degli utenti. Per garantire una protezione completa ad un sistema informatico, la soluzione migliore è avvalersi di un servizio SOCaaS.
Inoltre, il DAM fornisce un sistema di monitoraggio degli accessi da parte di utenti e applicazioni con privilegi. Può funzionare come un controllo aggiuntivo per i problemi legati alla separazione dei compiti degli utenti privilegiati, monitorando l’attività degli amministratori.
Questa tecnologia migliora la sicurezza del database rilevando attività insolite sia di lettura che di aggiornamento del database. L’aggregazione degli eventi del database, la correlazione e il reporting forniscono una capacità di audit del database senza la necessità di abilitare le funzioni native. Queste, infatti, diventano facilmente molto dispendiose in termini di risorse man mano che il livello di auditing aumenta.
Database Activity Monitoring: casi d’uso
Monitoraggio degli utenti privilegiati
Questo include il monitoraggio degli utenti con privilegi elevati (superuser), come gli amministratori di database (DBA), gli amministratori di sistema (sysadmin), gli sviluppatori, l’help desk e il personale. È essenziale per la protezione contro le minacce sia esterne che interne. Il monitoraggio degli utenti privilegiati include il controllo di tutte le attività e transazioni. Include anche l’identificazione di attività anomale, come ad esempio la visualizzazione di dati sensibili o la creazione di nuovi account con privilegi elevati.
Inoltre, dato che solitamente gli attacchi hacker puntano ad ottenere credenziali di utenti con privilegi di alto livello, il monitoraggio delle attività con privilegi elevati è anche un modo efficace per identificare i sistemi compromessi.
Il monitoraggio degli utenti con elevati privilegi amministrativi aiuta a garantire:
– La privacy dei dati, facendo in modo che solo le applicazioni e gli utenti autorizzati possano visualizzare le informazioni sensibili.
– Data governance, in modo che le strutture e i valori critici del database non vengano modificati al di fuori delle procedure di controllo aziendali.
– Monitoraggio delle applicazioni: Lo scopo principale del monitoraggio dell’attività delle applicazioni è quello di fornire un livello maggiore di responsabilità dell’utente finale e rilevare le frodi (e altri abusi di accesso legittimo) che si verificano attraverso le applicazioni aziendali, piuttosto che attraverso l’accesso diretto al database.
– Protezione dagli attacchi informatici: la SQL injection è un tipo di attacco usato per sfruttare pratiche di codifica sbagliate in applicazioni che utilizzano database. L’hacker utilizza l’applicazione per inviare un’istruzione SQL col fine di estrapolare le informazioni presenti nel database.
Uno dei modi in cui il DAM può aiutare nella prevenzione di attacchi di tipo SQL Injecton è monitorando le attività dell’applicazione, generando come riferimento una linea di “comportamento normale” e identificando gli attacchi scovando divergenze dalle normali strutture e istruzioni SQL.
Database Activity Monitoring: caratteristiche principali
Gli strumenti di Database Activity Monitoring utilizzano diversi meccanismi di raccolta dei dati, li dati per l’analisi e segnalano i comportamenti che violano le politiche di sicurezza o indicano la presenza di anomalie comportamentali. Con il progresso tecnologico, le funzionalità dei DAM aziendali stanno iniziando ad ampliarsi introducendo nuovi strumenti capaci di rilevare le attività dannose o gli accessi anomali o non approvati dell’amministratore del database (DBA).
Alcune delle funzionalità di Database Activity Monitoring più avanzate includono:
– La capacità di monitorare attacchi intra-database e back-door in tempo reale
– Blocco e prevenzione delle intrusioni
– Individuazione dei dati a rischio
– Miglior visibilità del traffico delle applicazioni
– La capacità di offrire il monitoraggio dell’attività del database in ambienti virtualizzati o nel cloud
Alcune imprese sono anche alla ricerca di altre funzioni. Alcune di queste sono:
Funzionalità di DLP (Data Loss Prevention) capaci di affrontare i problemi di sicurezza. Per esempio come l’identificazione dei dati e i requisiti di protezione del Payment Card Industry (PCI) ed altre normative incentrate sui dati. Un’altra funzionalità interessante sono i rapporti di attestazione dei diritti dell’utente del database, richiesti da un’ampia gamma di regolamenti. Ancora, la capacità di offrire il monitoraggio dell’attività del database in ambienti virtualizzati, o anche nel cloud, dove non esiste una topologia di rete ben definita o coerente. Infine, una miglior integrazione con i prodotti di scansione delle vulnerabilità.
Struttura di un Database Activity Monitoring
Il Database Activity Monitoring può essere classificato in base alla sua tipologia di architettura. Le tre tipologie di architetture sono:
Architettura basata sull’intercettazione
La maggior parte dei moderni sistemi di Database Activity Monitoring analizzano e raccolgono le attività del database, I sistemi DAM individuano dei punti in cui possono esaminare i flussi delle comunicazioni col fine di ottenere richieste e risposte senza dover interrogare il database.
Architettura basata sulla memoria
Alcuni sistemi DAM hanno un sensore che si collega ai database interrogandolo continuamente per raccogliere le istruzioni SQL mentre vengono eseguite.
Architettura basata sui log
Si definiscono così quelle tipologie di DAM che analizzano ed estraggono le informazioni dai log delle transazioni. Questi sistemi sfruttano il fatto che molti dei dati siano memorizzati all’interno dei registri di ripristino ed estrapolano le informazioni contenute in questi log. Sfortunatamente, non tutte le informazioni richieste si trovano nei registri di ripristino.
Questi sistemi sono un ibrido tra un vero sistema DAM (che è completamente indipendente dal DBMS) e un SIEM che si basa sui dati generati dal database.
Conclusioni
Le attività di Database Activity Monitoring offrono una protezione da tutte le minacce rivolte ai database monitorando e segnalando tutte le attività anomale del database e degli utenti con privilegi di amministrazione elevati.
La tutela delle informazioni è un aspetto che non bisogna trascurare. Utilizzare un servizio SOCaaS può aiutare a prevenire e a mitigare gli attacchi informatici, garantendo una sicurezza completa sotto ogni aspetto, salvaguardando l’integrità dei nostri dati sensibili.
Hai qualche dubbio o necessiti saperne di più a riguardo? Contattaci premendo il pulsante qui in basso, saremo pronti a rispondere ad ogni domanda.
Useful links:
Estimated reading time: 5 minuti
Nell’articolo precedente abbiamo visto i più comuni casi d’uso di un SOCaaS, spiegando in che modo può essere utile per le aziende avvalersi di questo strumento per prevenire attacchi informatici e spiegando inoltre quali sono i Threat Models più comuni.
In questo articolo, invece, vedremo più da vicino alcuni dei più comuni indicatori di compromissione (IOC). Prima vedremo brevemente i modelli di minaccia malware che l’uso di un SOCaaS può prevenire e bloccare. Per come funziona, un SOCaaS può essere molto duttile e analizzare molti dati contemporaneamente, fornendo così risultati approfonditi e precisi.
Malware Threat Models
È importante saper distinguere e classificare le diverse tipologie di malware per capire in che modo possono infettare sistemi e dispositivi, il livello di minaccia che rappresentano e come proteggersi da essi. Noi di SOD consigliamo di adottare l’uso di un SOCaaS in modo da poter classificare l’intera gamma di malware o di oggetti potenzialmente indesiderati. I malware vengono catalogati in base all’attività che svolgono sui sistemi infetti.
Rilevamento malware Wannacry
Grazie a questo modello di minaccia è possibile rilevare il comportamento del noto malware Wannacry.
Il malware Wannacry è un ransomware che attacca il sistema crittografando file di particolare importanza per un’organizzazione in modo da renderli illeggibili.
Il rilevamento tempestivo di un ransomware è probabilmente l’azione più efficace che si possa svolgere per difendersi. Esistono anche servizi che riescono a bloccare l’azione del malware e ripristinare gli eventuali file già cifrati con quelli di un backup, per esempio Acronis Cyber Protect Cloud.
Anomalia del network seguita da infiltrazioni di dati
Identifica i tentativi di aggregazione dei dati di rete che hanno avuto successo, seguiti da segni di infiltrazione dei dati. Qui di seguito vediamo alcune delle anomalie e di come l’uso di un SOCaaS possa individuare indizi importanti per contrastare le minacce.
Durante una scansione della rete è possibile notare enumerazioni di account e privilegi AD, conteggio dei servizi LDAP fuori dalla rete aziendale e un numero sospetto di richieste di ticket al protocollo Kerberos. Inoltre, altri indicatori possono essere un picco nel traffico LDAP e l’enumerazione dei servizi SMB.
Per quello che riguarda le anomalie dell’unità di rete, l’uso di un SOCaaS è in grado di controllare gli accessi allo sharepoint in modo da individuare un numero insolito di accessi ad elementi condivisi. Questo anche in relazione agli utenti e al loro livello di accesso.
Sotto l’aspetto di Data Aggregation e di infiltrazione di dati, sono monitorati le quantità di byte scaricati dalle porte dei server e tramite protocolli FTP, così come una quantità inconsueta di byte trasmessi verso l’esterno.
Rilevamento Petrwrap/Goldeneye/Amalware
Questo modello di minaccia ha lo scopo di rilevare il malware Petrwrap. L’uso di un SOCaaS può rilevare attività di network scanning tramite il monitoring del numero di attività SMBv1, così come le anomalie in queste attività. Anche il tentativo di raggiungere un host mai raggiunto prima potrebbe essere un indicatore.
Un altro modo in cui è possibile individuare queste minacce con l’uso di un SOCaaS è il controllo delle attività con privilegi sospette. Per esempio si verifica che non ci sia un’escaletion di privilegi, un accesso insolito in una zona admin o anche la manomissione dei file di log.
Indicatori di rischio in generale
Gli indicatori di rischio sono metriche utilizzate per mostrare che l’organizzazione è soggetta o ha un’elevata probabilità di essere soggetta a un rischio.
Questi indicatori vengono usati per classificare il tipo di comportamento o minaccia per una policy e possono essere utilizzati in più policy per diverse funzionalità in base all’origine dei dati. Gli indicatori di rischio possono essere concatenati con i modelli di minaccia per identificare attacchi sofisticati su più fonti di dati.
Si tratta, in sostanza, di indizi o campanelli di allarme che indicano eventi a cui gli operatori di sicurezza di un’azienda dovrebbero prestare particolare attenzione. L’uso di un SOCaaS può aiutare a individuare questi indizi grazie all’analisi di grandi quantità di dati e log in tempi ridotti.
Qui di seguito vediamo un elenco non esaustivo di alcuni degli indicatori di minaccia più comuni che sono individuabili tramite l’uso di un SOCaaS. Li divideremo in diversi ambiti, per chiarezza.
Accessi
Le anomalie che riguardano l’accesso o comunque l’account includono il rilevamento di accesso allo sherepoint amministrativo anomalo ma anche tempi di caricamento delle applicazioni anomali. Anche applicazioni che utilizzano una quantità inconsueta di memoria potrebbero essere indicatori di compromissione.
Per quello che riguarda gli account, ovviamente, il blocco di un account risulta un campanello di allarme, così come un numero inconsueto di account creati o un numero spropositato di autenticazioni fallite. Infine, l’uso di un SOCaaS potrebbe indicare come IOC un numero sospetto di account in esecuzione contemporaneamente.
Reti
I campanelli di allarme che riguardano le reti sono, ovviamente, quelli più comuni. Essendo le reti come “le strade” di un’infrastruttura aziendale, è normale che i comportamenti anomali in queste siano particolarmente rilevanti.
Come indicatori comuni ci sono i trasferimenti anomali di zone DNS o le richieste non riuscite fatte al firewall. Ma anche un numero anomalo di host in esecuzione o di connessioni ICMP. Tramite l’uso di un SOCaaS è controllato anche il traffico in generale, in modo che ogni movimento sospetto di dati sia analizzato o comunque verificato. Un esempio di questo sono i movimenti di pacchetti verso porte critiche, i tentativi di connessione RDP, SSH o a un server DHCP. Questi eventi indicano spesso dei tentativi anomali di connessione a oggetti o a condivisioni di rete.
Tramite l’uso di un SOCaaS è molto semplice anche controllare il comportamento degli account che spesso mostrano di per sé dei campanelli di allarme. Per esempio, un account che accede a un host per la prima volta, la creazione di un account o l’aggiunta di privilegi.
Conclusioni
Affidarsi alla fortuna per catturare le minacce è una follia, come ci ha dimostrato l’attacco SolarWinds.
Create la vostra fortuna con la nostra soluzione SOCaaS, assicurandovi di individuare le minacce prima che accadano incident e di essere abbastanza “fortunati” da contrastarle.
Contattaci per sapere come i nostri servizi possono rafforzare le difese della tua azienda, saremo lieti di rispondere a ogni domanda.
Useful links:
Tempo di lettura stimato: 4 minuti
Oggi, affrontare un attacco in un SOC aziendale è molto simile ad essere sotto attacco senza sapere da quale direzione sta arrivando il colpo. La threat intelligence è in grado di tenervi informati sui problemi di sicurezza. Tuttavia, in molti casi, queste informazioni sono fornite solo quando siete già sotto attacco, e raramente sono molto utili se non a posteriori. Ci vorrebbe un approccio diverso all’analisi dei dati, ed è proprio quello che proponiamo con la cybersecurity predittiva.
Nella cybersecurity, ci si affida ancora alla threat intelligence come strumento difensivo fondamentale. Purtroppo, le informazioni sulle minacce coprono solo un sottoinsieme delle minacce che sono già state trovate, mentre gli aggressori innovano costantemente. Questo significa che nuovi eseguibili malware, domini di phishing e strategie di attacco sono creati in continuazione.
Le informazioni sulle minacce hanno un forte valore per la risposta reattiva agli incidenti. Aiuta quando si fa perno durante un’indagine, identificando l’intento o altri dati utili, e fornisce ulteriore assistenza investigativa. Ma ha un valore limitato per il rilevamento, poiché gli attori delle minacce evitano di riutilizzare la loro infrastruttura di attacco da un obiettivo all’altro.
Se gli indizi che vedrete sono diversi da quelli conosciuti dagli attacchi precedenti, cosa si può fare per andare avanti con un rilevamento efficace? Una domanda legittima, per cui forse la cybersecurity predittiva ha una risposta.
…e se si potesse sapere cosa sta per colpire?
SOCaaS: cybersecurity predittiva
Occhi sugli avversari piuttosto che sugli attacchi passati
La soluzione SOCaaS offerta da SOD porta capacità di cybersecurity predittiva alla sicurezza informatica. La soluzione mappa gli avversari, invece delle minacce, e analizza le loro azioni per prevedere il comportamento e gli strumenti utilizzati nei loro attacchi.
Il motore analitico traduce i modelli comportamentali in profili di infrastrutture di attacco avversarie, che indicano come (trojan, phishing o altre forme di attacco) e dove (filiali, clienti, partner, pari, settore e aree geografiche) gli aggressori stanno progettando di colpire la vostra azienda.
Questo fornisce una mappa di attacco preventiva, che identifica gli avversari in base alla loro fase di attacco e alla posizione attuale all’interno del panorama aziendale esteso. Ma non solo, infatti sono identificate anche le informazioni sull’avversario, i modelli di attacco tipici e le possibili contromisure che possono essere prese in anticipo. In questo modo si può annullare la minaccia prima che si materializzi.
Cybersecurity predittiva: capire prima ciò che accadrà
Il nostro SOCaaS fornisce capacità di rilevamento predittivo contro le minacce interne ed esterne con la combinazione di analisi del comportamento di utenti, entità e avversari. Il nostro Next-Gen SIEM utilizza un approccio guidato dall’analisi per il rilevamento delle minacce. Il SOC fornisce visibilità nelle prime fasi cruciali di un attacco. Cioè quando gli attori informatici stanno prendendo di mira, pianificando e preparando l’infrastruttura per un attacco.
Con questo livello di visibilità predittiva, il team può prevenire gli attacchi e contenere sistematicamente quelli in corso. La cybersecurity predittiva permette ai difensori di sintonizzare i loro sistemi contro l’infrastruttura di attacco. È, infatti, possibile costruire blacklist che includono gli indirizzi IP e i nomi host delle istanze utilizzate per l’attacco. Altre misure includono la fortificazione dei sistemi aziendali contro il malware specifico che viene utilizzato per colpirli, rendendo l’attacco impotente, quando avviene.
L’analisi del comportamento degli avversari estende le capacità del Next-Gen SIEM fornendo continuamente un’analisi aggiornata delle informazioni degli avversari e del loro comportamento. Questo comprende l’intera infrastruttura di attacco, per una protezione dalle minacce dinamica e preventiva.
Il SOCaaS traduce automaticamente il comportamento pre-attacco degli avversari in azioni o contromisure che è possibile adottare contro il phishing, la compromissione della posta elettronica aziendale, il ransomware, le frodi e molte altre minacce comuni.
Casi comuni di utilizzo
Concatenamento delle minacce
Correlare le violazioni provenienti dallo stesso avversario/campagna in una minaccia coesiva, anche se per ogni evento vengono utilizzati diversi pezzi di infrastruttura di attacco.
Prevenzione e difesa preventiva
Bloccare preventivamente l’intera infrastruttura di attacco di un avversario, come i domini di phishing appena creati, per una difesa preventiva.
Rafforzare le risorse vulnerabili
Concentratevi e mettete in sicurezza le parti più vulnerabili della vostra infrastruttura sulla base di informazioni che identificano quali aree sono possibili obiettivi.
Le informazioni fornite dal SOCaaS vengono utilizzate per aggiungere un maggiore contesto alle minacce esistenti, oltre a fornire informazioni sugli attacchi che non sono ancora stati realizzati o sono nelle prime fasi, come la ricognizione. Questo permette di intraprendere azioni dirette contro le minacce in evoluzione e una difesa più robusta.
Conclusioni
Affidarsi alla fortuna per catturare le minacce è una follia, come ci ha dimostrato il recente attacco SolarWinds. Create la vostra fortuna con la soluzione SOCaaS di SOD, assicurandovi di vedere le minacce prima che accadano e di essere abbastanza “fortunati” da contrastarle.
Useful links:
Estimated reading time: 8 minuti
Il termine shoulder surfing potrebbe evocare immagini di un piccolo surfista sul colletto della camicia, ma la realtà è molto più banale. Il shoulder surfing è una pratica criminale in cui i ladri rubano i tuoi dati personali spiandoti alle spalle mentre usi un laptop, un bancomat, un terminale pubblico o un altro dispositivo elettronico in mezzo ad altre persone. Questa tecnica di ingegneria sociale è un rischio per la sicurezza che può causare un disastro, soprattutto se le credenziali rubate sono aziendali.
La pratica precede di molto gli smartphone e i computer portatili e risale a quando i criminali spiavano gli utenti dei telefoni a pagamento mentre inserivano i numeri delle loro carte telefoniche per effettuare le chiamate. Sono passati molti anni, ma la tecnica non è andata perduta. I ladri si sono evoluti ad osservare le loro vittime mentre digitano il PIN del bancomat, pagano alle pompe self-service di benzina o anche mentre fanno un acquisto in un negozio.
Una tecnica analoga per il furto di bancomat prevede un dispositivo di clonazione della carta sovrapposto alla buchetta di inserimento della tessera e una microcamera per spiare il codice. La microcamera compie un atto di shoulder surfing. La clonazione della carta è essenziale perché senza un dispositivo fisico il pin è inutile, ma nel caso di credenziali di account in rete, non serve altro che user e password.
Quando avviene il Shoulder Surfing?
Il shoulder surfing può avvenire ogni volta che si condividono informazioni personali in un luogo pubblico. Questo include non solo i bancomat, le caffetterie e i dispositivi POS in generale, ma praticamente qualsiasi luogo in cui si utilizza un computer portatile, un tablet o uno smartphone per inserire dati personali.
I shoulder surfer di vecchia data, di solito, non incombevano alle spalle delle loro vittime per scrutare le informazioni. Invece, stavano a distanza di sicurezza e interpretavano i movimenti delle dita mentre le persone digitavano i numeri sulla tastiera. Allo stesso modo, gli ingegneri sociali di oggi spesso sfuggono all’attenzione mentre osservano tranquillamente gli altri in luoghi pubblici come le sale d’attesa degli aeroporti e i centri commerciali, i bar e i ristoranti, sui treni o le metropolitane, o ovunque ci sia gente, a dire il vero.
Addirittura, i più sofisticati criminali di oggi osservano da più lontano, nascosti alla vista. Potrebbero usare un binocolo, delle microcamere o la fotocamera del loro telefono o tablet per scrutare il tuo schermo o la tua tastiera. Non solo, potrebbero origliare mentre leggi i numeri delle carte di credito al telefono o fornisci altre informazioni sensibili. I criminali potrebbero anche scattare foto, fare un video o registrare l’audio delle informazioni e poi interpretarle in seguito.
Qualunque sia la metodologia, è chiaro che la tecnologia non solo ci ha aiutato a essere più connessi e poterci permettere di pagare un frappuccino con il cellulare, ma ci ha anche esposto a rischi per la nostra sicurezza. Quando si tratta di dati sensibili, soprattutto se c’è di mezzo un account aziendale da cui si potrebbe accedere a dati sensibili di altre persone, non si deve mai abbassare la guardia, le conseguenze potrebbero essere molto gravi.
Come avviene comunemente il shoulder surfing
Prima di suggerire alcuni metodi per prevenire il shoulder surfing da mettere in pratica immediatamente, vediamo ancora più nel dettaglio come potrebbe avvenire un furto di credenziale con questa tecnica.
Al bar o in caffetteria
Sei al bar di un ristorante affollato in attesa di un amico. Per passare il tempo, ti colleghi a Instagram. Sfortunatamente, non ti accorgi che la persona bloccata in fila accanto a te sta guardando la tua password, che si dà il caso sia la stessa che usi per il tuo account e-mail e il tuo conto bancario.
Al bancomat
Stai prendendo contanti a un bancomat. Ti senti al sicuro perché l’uomo dopo di te in fila è ad almeno 3 metri di distanza e sta addirittura guardando il suo telefono. In realtà, sta registrando i movimenti delle tue dita sul suo telefono e li decifrerà successivamente per ottenere il tuo numero PIN.
All’aeroporto
Il tuo volo è in ritardo, quindi prendi il portatile e ammazzi il tempo andando a leggere un paio di e-mail di lavoro, così per restare aggiornato. Accedi al sito aziendale per leggere la posta e inserisci nome utente e password. Sei così tranquillo, che non vedi la donna a pochi posti di distanza che fissa lo schermo mentre inserisci i dati.
Quali sono le conseguenze del Shoulder Surfing?
Usare i dati della tua carta di credito per fare acquisti fraudolenti è solo un esempio dei danni che potresti subire se rimani vittima di shoulder surfing. Più informazioni personali un criminale cattura su di te, più le conseguenze possono essere gravi per il tuo conto bancario e la tua salute finanziaria.
Un grave caso di shoulder surfing può esporti al furto di identità. Un criminale potrebbe usare le tue informazioni personali, come il tuo codice fiscale, per aprire nuovi conti correnti, richiedere prestiti, affittare appartamenti o fare domanda di lavoro sotto il tuo nome. Un ladro d’identità potrebbe mettere le mani sul tuo rimborso delle tasse, usare il tuo nome per ottenere cure mediche o anche richiedere agevolazioni statali a tuo nome. Potrebbe anche commettere un crimine e fornire le tue informazioni personali quando interrogato dalla polizia, lasciandoti con una fedina penale sporca o un mandato d’arresto.
Ovviamente, se hai il sospetto che questo sia avvenuto, dovrai recarti immediatamente alla polizia, bloccare i conti correnti e avvisare la banca. Se azioni fraudolente sono già state effettuate a tuo nome, dovrai forse dimostrare che non tu non c’entri.
Le cose si fanno pericolose se i dati trafugati sono quelli di un account aziendale. Infatti, con l’uso di credenziali valide, chiunque potrebbe entrare nel sistema della compagnia e compiere ogni tipo di azione, come raccogliere ulteriori dati, piazzare un malware, avviare un ransomware, trafugare i dati dei clienti e poi venderli online.
Come difendersi dallo shoulder surfing
Si possono individuare due livelli di protezione, il primo è proattivo ed è orientato a evitare che le credenziali siano esposte a malintenzionati, il secondo è attivo e prevede dei software per individuare tentativi di utilizzo delle credenziali rubate.
Difendersi proattivamente
Se proprio non puoi evitare di inserire dati sensibili nel laptop, tablet o smartphone in un luogo pubblico, dovresti seguire le contromisure elencate di seguito.
Suggerimento 1: Prima di inserire qualsiasi dato sensibile, trova un posto sicuro. Assicurati di sederti con le spalle al muro. Questo è il modo migliore per proteggersi da occhi indiscreti. Evita i mezzi pubblici, le poltroncine centrali di una sala d’aspetto e luoghi in cui c’è molto via vai di persone.
Suggerimento 2: Utilizzare un filtro per la privacy. Questo dispositivo hardware è un semplice foglio traslucido polarizzato che viene messo sopra lo schermo. Farà sembrare il tuo schermo nero a chiunque lo guardi da un qualunque angolo innaturale. Questo renderà molto più difficile per le persone non autorizzate vedere le tue informazioni.
Suggerimento 3: L’autenticazione a due fattori richiede che un utente provi la propria identità utilizzando due diversi componenti di autenticazione che sono indipendenti l’uno dall’altro. Poiché questo tipo di autenticazione passa solo quando entrambi i fattori sono utilizzati correttamente in combinazione, la misura di sicurezza è particolarmente efficace. Per esempio, questo metodo è spesso usato molto nell’online banking. Sono molti i servizi che permettono di usare anche il tuo cellulare come secondo fattore di autenticazione. Questo avviene tramite apposite app.
Suggerimento 4: un’altra soluzione è quella di utilizzare un gestore di password. Così facendo, non dovrai più inserire ogni password individualmente sul tuo computer. Il gestore di password lo farà per te dopo che avrai inserito la tua password principale. Questo impedisce a persone non autorizzate di usare la tua tastiera per determinare la vera password, a condizione che tu protegga adeguatamente la tua password principale.
Difendersi attivamente con un SOC e l’analisi del comportamento
Adesso immaginiamo che le credenziali dell’account aziendale siano state rubate. A questo punto solo un sistema di controllo del comportamento può far scattare un allarme e quindi il blocco dell’utente prima che ci siano dei danni.
Infatti, usando credenziali corrette, un normale SIEM tradizionale, non farebbe scattare nessun allarme. Per un SIEM di vecchia generazione l’accesso sarebbe legittimo, perché le credenziali risultano giuste. Il malintenzionato avrebbe libero accesso indisturbato al sistema e potrebbe proseguire con il suo piano di attacco.
Con il servizio SOCaaS di SOD, invece, l’accesso anomalo farebbe scattare un allarme. Il SOC messo a disposizione è equipaggiato con un Next Generation SIEM e un sistema UEBA di controllo del comportamento. Questo significa che ogni scostamento dal comportamento usuale dell’utente, verrebbe segnalato.
Nel caso del furto di credenziali, come avviene con il shoulder surfing, l’accesso effettuato dal malintenzionato farebbe quindi scattare un allarme perché ci sarebbe qualcosa che non torna. Per esempio il login potrebbe avvenire in fasce orarie anomale, in un’altra nazione/IP, da un sistema operativo differente, etc.
Conclusioni
Il shoulder surfing è una tecnica dell’ingegneria sociale che punta sulla disattenzione dell’utente mentre inserisce dati sensibili in un sistema. Nel caso in cui le credenziali aziendali di un utente venissero rubate, l’unica cosa davvero efficiente è avere un sistema che analizzi il comportamento degli utenti e segnali ogni volta che azioni sospette vengono individuate.
Se vuoi sapere nel dettaglio come un SOC e un sistema UEBA possano aiutare la tua azienda a difendersi da attacchi di ingegneria sociale, non esitare a contattarci, saremo lieti di rispondere a ogni domanda.
Useful links:
Estimated reading time: 7 minuti
Poiché il panorama delle minacce alla sicurezza informatica diventa sempre più sofisticato, i fornitori di servizi, come SOD, devono prendere ulteriori precauzioni per proteggere le reti dei loro clienti. Un sistema di gestione delle informazioni e monitoring SIEM è una scelta eccellente sotto questo aspetto.
Questo sistema, infatti, aiuta a mitigare le minacce alla sicurezza informatica da due diverse angolazioni, il tutto da una singola interfaccia. Il sistema di monitoring SIEM raccoglie informazioni da più fonti: dati di rete, feed di informazioni sulle minacce, normative di conformità, firewall, ecc. Successivamente, utilizza tali dati per alimentare le funzionalità progettate per aiutare gli amministratori IT a rispondere agli eventi di minaccia in tempo reale.
Vantaggi del monitoring SIEM
In contrasto con i singoli sistemi di controllo della sicurezza come la gestione delle risorse o il rilevamento delle intrusioni di rete, il SIEM consente di scavare più a fondo nelle vulnerabilità della sicurezza unificando le informazioni provenienti da vari sistemi anche molto differenti e offrendo una visibilità senza precedenti sugli eventi che si verificano nel sistema.
SIEM non è un sistema di rilevamento delle minacce in sé e per sé, ma migliora gli strumenti di sicurezza già in uso, fornendo approfondimenti in tempo reale su cui lavorare. In particolare, SOD utilizza un Next Gen SIEM in un modello SOAR (Security Orchestration, Automation and Response) che comprende anche strumenti avanzati di analisi comportamentale (UEBA).
Se si inseriscono log file di alta qualità in uno strumento SIEM, si ricevono approfondimenti di alta qualità sulla sicurezza della rete. Queste informazioni possono aiutare a migliorare i protocolli di sicurezza della rete.
Sfortunatamente, molti amministratori trattano l’implementazione SIEM come una soluzione da impostare e poi dimenticare. Per sperimentare tutti i benefici della gestione delle informazioni e degli eventi di sicurezza, è necessario implementare una serie di best practice per ottimizzare la soluzione, a partire proprio dalla registrazione di sicurezza.
I log di un SIEM
Come si inserisce il monitoring della sicurezza nelle best practice di implementazione del SIEM? Se si analizza il SIEM nei suoi componenti principali, si tratta di un sistema di gestione dei log.
Tutte le informazioni che uno strumento SIEM raccoglie sono sotto forma di log, o registrazioni di eventi che si verificano all’interno dell’infrastruttura IT e della rete di un’organizzazione.
Esempi di log raccolti da SIEM includono, ma non sono limitati a: Firewall, router, punti di accesso wireless, rapporti di vulnerabilità, informazioni sui partner, antivirus e antimalware.
Tuttavia, poiché gli strumenti SIEM hanno una portata molto ampia e raccolgono costantemente dati di log da ogni parte del sistema, possono essere un po’ complicati e poco pratici da implementare. Le best practice SIEM aiutano ad evitare i punti dolenti lungo la linea operativa. In questo modo si usa il SIEM nella maniera più efficace possibile fin dall’inizio.
Best practice
1. Iniziare con calma
L’errore più comune che si commette nell’implementazione del monitoring SIEM è cercare di fare troppo e troppo presto. Prima ancora di iniziare a cercare una soluzione SIEM, infatti, è meglio definire la portata dell’implementazione SIEM e pensare a ciò che si vuole che il SIEM faccia per la rete e l’infrastruttura.
Si inizia isolando gli obiettivi, facendo il punto sui protocolli di sicurezza esistenti e facendo un brainstorming su come questi protocolli si inseriscono nella futura implementazione SIEM. È anche possibile segmentare tutto ciò che si vuole monitorare in gruppi e definire come si vuole monitorarli. Questo aiuta a garantire di avere un piano preciso per la registrazione dei log.
Una volta che si è svolta una prima pianificazione, non bisogna ancora implementare il sistema SIEM nell’intera infrastruttura IT. È meglio infatti procedere in modo frammentario.
Si dovrebbe, quindi, testare la soluzione di monitoring SIEM su una piccola sezione del sistema, per verificare come funziona. Solo successivamente, si identificano le vulnerabilità chiave della sicurezza che dovrebbero essere affrontate immediatamente e si procede con l’implementazione nei segmenti successivi.
Impostare un monitoring SIEM poco alla volta, piuttosto che lanciare tutto subito, aiuterà a garantire che la raccolta di log funzioni in armonia con il resto della sezione IT.
2. Pensare ai requisiti
Il monitoring SIEM può aiutare l’azienda a dimostrare la conformità con i regolamenti e gli audit di sicurezza, ma solo sapendo quali sono questi standard in anticipo. Prima di impegnarvi in un sistema SIEM, si crea un elenco di HIPAA, GDPR, HITECH e qualsiasi altra normativa IT che è necessario rispettare. L’elenco viene poi usato per confrontare le normative richieste con le soluzioni che si mettono in pratica.
Non solo questo restringe la lista degli standard, ma costringerà a considerare la quantità di dati di log di cui si ha effettivamente bisogno. Tenere la quantità più corretta per essere conformi, si allinea anche con le best practice di registrazione e monitoraggio SIEM.
Ovviamente, le soluzioni e protocolli da seguire non sono uguali per tutti e necessitano di un adattamento in base alla posizione della singola azienda. Per questo particolare aspetto, SOD può aiutare la tua azienda sia in fase di raccolta delle informazioni necessarie per individuare a quali standard attenersi, sia nella verifica degli standard una volta implementati.
3. Sistemare le correlazioni
La correlazione SIEM ottimizza la sua implementazione, consentendo di configurare il sistema in base alle esigenze specifiche dei loro clienti. SIEM funziona raccogliendo dati da più fonti e poi filtrandoli, analizzandoli e correlandoli per determinare se meritino di essere segnalati come un allarme per la sicurezza.
Per questo è indispensabile correlare le regole e impostare soglie di allarme in base al tipo di dati e alla loro provenienza. È importante ricordare, infatti, che il SIEM è progettato per trovare connessioni tra gli eventi che non sarebbero altrimenti correlati tra loro.
Impostare un sistema di monitoring SIEM è un’operazione delicata ma fondamentale per migliorare il sistema di sicurezza per una determinata azienda.
4. Raccogliere i dati in modo efficiente
Attraverso un sistema di monitoring SIEM è possibile raccogliere una mole tale di dati che potrebbe diventare complicata da gestire. Diventa importante scegliere in modo equilibrato quali dati usare in modo tale da ottimizzarne la giusta quantità senza perdere il vantaggio di avere sotto controllo l’intero sistema.
Tra i dati che è meglio non tralasciare ci sono: Autorizzazioni riuscite e tentativi falliti, modifiche ai privilegi dell’utente, errori delle applicazioni e problemi di prestazioni, opt-in e in generale tutte le azioni fatte da utenti con privilegi amministrativi.
Vengono esclusi, invece: informazioni la cui raccolta è illegale, informazioni bancarie o dati di carte di credito, chiavi di crittografia, password e dati personali.
5. Avere un piano in caso di minaccia rilevata
Scegliere la giusta soluzione SIEM e impiegare le best practice di registrazione dei log è solo una parte del lavoro. È necessario avere un piano di azione in caso di cyber threat.
Per l’azienda che si affida a un MSSP come SOD, questo significa assicurarsi che il monitoring sia solo la prima parte del servizio erogato. Idealmente il monitoring SIEM è il primo tassello di un SOAR ben architettato che mette in campo operatori professionisti, notifiche di allerta e un recovery plan in accordo con il tipo di dati messi a rischio.
Sotto questo aspetto, il SOC as a Service che offriamo copre gran parte delle evenienze.
Conclusioni
Il monitoring è parte fondamentale del sistema di sicurezza aziendale e un SIEM è uno dei modi in cui metterlo in pratica. Non ci si deve però fermare alla raccolta di informazioni, bisogna saperle trattare, arricchire e analizzare.
SOD offre servizi completi che implementano sistemi di monitoring SIEM. La messa in opera implica, ovviamente, una “calibrazione” dei sistemi e delle correlazioni tra i dati in modo da offrire sempre la soluzione più adatta.
Se volessi ulteriori informazioni sui nostri prodotti, non esitare a contattarci, saremo lieti di rispondere alle tue domande.
Useful links:
Link utili:
Progetti di Secure Online Desktop
Cyber Threat Intelligence (CTI) – maggiore efficacia per la sicurezza IT
Cos’è la Cyber Security? Definizione e proposte
Tempo di lettura stimato: 6 minuti
La Cyber Threat Hunting è una ricerca proattiva della sicurezza attraverso reti, endpoint e set di dati per dare la caccia alle attività dannose, sospette o rischiose che sono sfuggite al rilevamento da parte degli strumenti esistenti.
Definizione
C’è una distinzione tra il rilevamento delle minacce informatiche e la cyber threat hunting. Il rilevamento delle minacce è un approccio passivo al monitoraggio dei dati e dei sistemi per individuare potenziali problemi per la sicurezza. È comunque una necessità e può aiutare un threat hunter (il cacciatore di minacce). Invece, le tattiche proattive di threat hunting si sono evolute per utilizzare nuove informazioni sulle minacce su dati precedentemente raccolti per identificare e classificare i potenziali rischi prima dell’attacco.
Il personale di sicurezza non può permettersi di credere che il proprio sistema di sicurezza sia impenetrabile. Deve rimanere sempre vigile per la prossima minaccia o vulnerabilità. Piuttosto che sedersi e aspettare che le minacce colpiscano, la cyber threat hunting sviluppa ipotesi basate sulla conoscenza dei comportamenti degli attori delle minacce e sulla convalida di tali ipotesi attraverso ricerche attive nell’ambiente.
Con la threat hunting, un esperto non parte da un allarme o da indicatori di compromissione (IOC), ma da un ragionamento più profondo. In molti casi gli sforzi dello threat hunter creano e concretizzano l’allarme o l’IOC.
Questo presuppone aggressivamente che si sia verificata o si verificherà una violazione nell’azienda. Gli addetti alla sicurezza danno la caccia alle minacce nel loro ambiente piuttosto che affidarsi ad automatismi.
Pratica di threat hunting
Per le aziende che sono pronte ad assumere un approccio più proattivo alla sicurezza informatica, che tenta di fermare gli attacchi prima che diventino troppo profondi, aggiungere protocolli di threat hunting al loro programma di sicurezza è il passo logico successivo.
Dopo aver consolidato la sicurezza degli endpoint e le strategie di risposta agli incidenti per mitigare gli attacchi di malware noti ormai inevitabili, le aziende possono iniziare a passare all’offensiva. Questo significa scavare in profondità e trovare ciò che non è stato ancora rilevato. Proprio questo è lo scopo della cyber threat hunting.
Come detto in precedenza, lo threat hunting è una tattica aggressiva che parte dalla premessa del “presupposto della violazione”. Gli aggressori sono già all’interno della rete di un’organizzazione e stanno segretamente monitorando e muovendosi in essa.
Questo può sembrare inverosimile, ma in realtà, gli aggressori possono essere all’interno di una rete per giorni, settimane e persino mesi. Nel frattempo preparano ed eseguono attacchi come minacce persistenti avanzate, senza che nessuna difesa automatica rilevi la loro presenza. Lo cyber threat hunting ferma questi attacchi cercando indicatori occulti di compromissione (IOC) in modo che possano essere mitigati prima che gli attacchi raggiungano i loro obiettivi.
Gli elementi chiave di un threat hunting
L’obiettivo della caccia alle minacce è quello di monitorare le attività quotidiane e il traffico attraverso la rete e indagare sulle possibili anomalie per trovare qualsiasi attività dannosa ancora da scoprire che potrebbe portare a una violazione completa. Per raggiungere questo livello di rilevamento proattivo, la caccia alle minacce incorpora quattro componenti ugualmente importanti.
1. Metodologia
Per avere successo nella caccia alle minacce, le aziende devono impegnarsi in un approccio proattivo e a tempo pieno che sia continuo e in continua evoluzione. Invece, un’implementazione reattiva, ad hoc, “quando abbiamo tempo“, sarà autolesionista e porterà solo a risultati minimi.
2. Tecnologia
La maggior parte delle aziende dispone già di soluzioni di sicurezza endpoint complete con rilevamento automatico. Lo threat hunting funziona in aggiunta a queste e aggiunge tecnologie avanzate. Il fine è quello di trovare anomalie, modelli insoliti e altre tracce di aggressori che non dovrebbero essere nei sistemi e nei file.
Le nuove piattaforme di protezione degli endpoint (EPP) cloud-native che sfruttano l’analisi dei big data possono catturare e analizzare grandi volumi di dati non filtrati sugli endpoint, mentre l’analisi comportamentale e l’intelligenza artificiale possono fornire un’ampia visibilità ad alta velocità sui comportamenti dannosi che all’inizio sembrano normali.
3. Personale altamente qualificato e dedicato
I threat hunter, o cacciatori di minacce alla sicurezza informatica, sono una razza a sé stante. Questi esperti sanno come utilizzare la tecnologia di sicurezza messa in campo dalle aziende. Inoltre, combinano anche l’aspirazione di passare all’offensiva con capacità intuitive di problem-solving per scoprire e mitigare le minacce nascoste.
4. Threat intelligence
Avere accesso all’intelligence globale basata su prove da parte di esperti di tutto il mondo (per esempio Mitre Att&ck) migliora e accelera ulteriormente la caccia alle minacce già esistenti. I cacciatori sono aiutati da informazioni come le classificazioni degli attacchi per l’identificazione di malware e gruppi di minacce, così come gli indicatori avanzati delle minacce.
Le abilità di un threat hunter
Il Threat Hunting Report di Crowd Research Partners conferma l’importanza di determinate capacità per il threat hunting. Quando è stato chiesto di classificare la capacità più importante, il sondaggio ha rilevato che:
Il 69% ha scelto l’intelligence delle minacce
Il 57% ha scelto l’analisi del comportamento
Il 56% ha scelto il rilevamento automatico
il 54% ha scelto l’apprendimento automatico e l’analisi automatizzata
Il profilo di un threat hunter
I cacciatori di minacce (threat hunter) cercano gli aggressori che riescono ad entrare attraverso vulnerabilità che un’azienda potrebbe non sapere nemmeno che esistono. Questi aggressori passano una quantità considerevole di tempo a pianificare ed eseguire la ricognizione, agendo solo quando sanno di poter penetrare con successo nella rete senza preavviso. Inoltre, inseriscono e costruiscono malware che non sono ancora stati riconosciuti oppure usano tecniche che non si basano affatto sui malware, per dotarsi di una base persistente da cui attaccare.
Cosa serve per superare in astuzia anche gli aggressori più intelligenti?
Un cyber threat hunter è implacabile e in grado di trovare anche la più piccola traccia di ciò che gli aggressori si sono lasciati dietro di sé. In generale, i cacciatori di minacce utilizzano le loro abilità per azzerare i piccoli cambiamenti che si verificano quando gli aggressori fanno le loro mosse all’interno di un sistema o di un file.
I migliori cacciatori di minacce si affidano al loro istinto per fiutare le mosse furtive dell’aggressore più pericoloso.
Sei un threat hunter? Contattaci!
SOD è alla ricerca di un analista SOC/ICT da aggiungere al team. Se pensi di essere la persona giusta, visita questa pagina per visualizzare l’annuncio di lavoro dettagliato.
Link utili:
Cyber Threat Intelligence (CTI) – maggiore efficacia per la sicurezza IT
Cos’è la Cyber Security? Definizione e proposte
La minaccia del ransomware DDoS
Estimated reading time: 6 minuti
La Cyber Security è la pratica di difendere computer, server, dispositivi mobili, sistemi elettronici, reti e dati da attacchi maligni. È anche conosciuta come Information Technology Security e Electronic Information Security. Il termine si applica in una grande varietà di contesti, dal business al mobile computing e può essere diviso in alcune categorie comuni.
Possiamo dividere la cyber security in diverse aree di interesse che elenco qui di seguito brevemente. In quasi ogni situazione elencata, SOD dispone di un servizio dedicato.
Aree di interesse della Cyber Security
La network security è la pratica di proteggere una rete di computer dagli intrusi, sia che si tratti di aggressioni mirate o di malware generici.
L’application security si concentra sul mantenere il software e i dispositivi liberi da minacce. Un’applicazione compromessa potrebbe fornire l’accesso ai dati che è stata progettata per proteggere. Una sicurezza solida inizia nella fase di progettazione, ben prima che un programma o un dispositivo venga distribuito. Per questo l’analisi del codice di un’app è essenziale prima che venga rilasciata.
L’operational security include i processi e le decisioni nella gestione e protezione delle risorse e dei dati. I permessi che gli utenti hanno quando accedono a una rete e le procedure che determinano come e dove i dati possono essere memorizzati o condivisi rientrano tutti in questo ambito.
Disaster recovery e business continuity definiscono come un’organizzazione sia in grado di rispondere a un incidente che riguarda la cyber security o a qualsiasi altro evento che causi la perdita di dati. Le politiche di disaster recovery dettano come l’organizzazione ripristina le sue operazioni e informazioni per tornare alla stessa capacità operativa di prima dell’evento. La continuità del business è il piano a cui l’organizzazione ricorre mentre cerca di operare senza certe risorse.
La parte umana della cyber security
L’educazione dell’utente finale affronta il fattore più imprevedibile della sicurezza informatica: le persone. Chiunque può accidentalmente introdurre un virus in un sistema altrimenti sicuro non seguendo le best practice per la sicurezza. Per esempio, insegnare agli utenti a cancellare gli allegati di posta elettronica sospetti e a non inserire unità USB non identificate è vitale per la sicurezza di qualsiasi organizzazione.
In quest’area, particolare rilievo va dato alle truffe, al phishing e in generale all’ingegneria sociale, che fa leva sull’elemento solitamente più debole del sistema informatico: l’operatore.
La portata delle cyber threat
La minaccia informatica (cyber threat) globale continua ad evolversi ad un ritmo rapido, con un numero crescente di violazioni dei dati ogni anno. Un rapporto di RiskBased Security ha rivelato che 7,9 miliardi di documenti sono stati esposti a violazioni di dati nei primi nove mesi del 2019. Questa cifra è più del doppio (112%) del numero di documenti esposti nello stesso periodo l’anno precedente.
I servizi medici, i rivenditori e gli enti pubblici hanno sperimentato il maggior numero di violazioni, con criminali malintenzionati responsabili della maggior parte degli incidenti. Alcuni di questi settori sono più attraenti per i criminali informatici perché raccolgono dati finanziari e medici, ma tutte le aziende che utilizzano le reti possono essere prese di mira per i dati dei loro clienti, lo spionaggio aziendale o per attaccare i clienti.
Cosa fanno i governi
Con la scala della minaccia cibernetica destinata a continuare a crescere, l’International Data Corporation prevede che la spesa mondiale per le soluzioni di cyber security raggiungerà una cifra record di $133,7 miliardi entro il 2022. I governi di tutto il mondo hanno risposto alla crescente minaccia informatica con una guida per aiutare le organizzazioni a implementare pratiche efficaci di sicurezza informatica.
Negli Stati Uniti, il National Institute of Standards and Technology (NIST) ha creato un cyber security framework, per combattere la proliferazione del codice malware e aiutare il rilevamento preventivo. Il framework raccomanda il monitoraggio continuo e in tempo reale di tutte le risorse elettroniche.
L’importanza del monitoraggio del sistema è ripresa nei “10 passi verso la sicurezza informatica“, una guida fornita dal National Cyber Security Centre del governo britannico. In Australia, l’Australian Cyber Security Centre (ACSC) pubblica regolarmente una guida su come le organizzazioni possono contrastare le ultime minacce alla sicurezza informatica.
In Italia abbiamo il framework nazionale per la cyber security che fornisce tutorial, guide e norme europee in fatto di sicurezza informatica.
MSSP e servizi per la cyber security
Un Managed Security Service Provider (MSSP) fornisce monitoraggio e gestione in outsourcing per dispositivi e sistemi di sicurezza. In pratica si occupa di tutte le misure di cyber security per l’azienda che ne richiede i servizi.
SOD è un MSSP e i servizi offerti includono protezione e monitoring di diversi settori del reparto IT aziendale.
I nostri servizi di verifica includono test di vulnerabilità e di penetrazione, così come l’analisi delle procedure di sicurezza. Con il servizio SOC as a Service mettiamo a disposizione le potenzialità di un Security Operation Center sollevando l’azienda dai costi di installazione e gestione. Il SOC adotta tecnologie di ultima generazione come SIEM Next Gen e UEBA, che introducono l’analisi da parte di una IA per il motoring dei log e degli utenti.
SOD utilizza centri operativi di sicurezza per fornire servizi 24/7 progettati per ridurre il numero di personale operativo che un’azienda deve gestire, garantendo comunque livelli di cyber security eccellenti.
Ma i fronti di difesa non si devono fermare al software e alle macchine, devono includere anche l’elemento più imprevedibile: l’utente finale. Ecco perché nella nostra offerta per le aziende si trovano anche servizi people-oriented, come vedremo tra poco.
Protezione dell’utente finale
La protezione dell’utente finale è un aspetto cruciale della cyber security. Dopo tutto, è spesso l’utente finale che accidentalmente carica un malware o un’altra forma di minaccia informatica sul proprio dispositivo.
Come suggerito prima, i protocolli di sicurezza messi in piedi da SOD analizzano i software in tempo reale. Attraverso sistemi di analisi comportamentale possiamo monitorare sia il comportamento di un software che dell’utente. Nel caso di un attacco basato sul lateral movement, per esempio, accessi e richieste anomale da parte di un utente possono essere indicatori di un attacco in corso.
Ma non ci fermiamo a questo, possiamo mettere alla prova l’azienda contro tecniche di ingegneria sociale, phishing e manomissione fisica. Grazie ai servizi di ethical hacking e conseguente report, siamo in grado di individuare i punti deboli dell’azienda e suggerire strategie efficaci per mitigare i rischi. Nel caso del phishing, organizziamo anche formazione ad hoc in base alle debolezze evidenziate dal report.
Tramite il servizio di sicurezza fisica, in aggiunta ai servizi di test delle vulnerabilità informatiche, ci mettiamo nei panni dei malintenzionati e proviamo a portare a termine attacchi fisici. Per esempio, cerchiamo di entrare negli edifici aziendali che dovrebbero essere protetti, cerchiamo di raggiungere le infrastrutture di rete e installare hardware potenzialmente dannosi, etc.
Grazie a un team di hacker etici e operatori formati e preparati, testiamo ogni aspetto di cyber security prima che un rischio diventi un problema.
Se vuoi maggiori informazioni riguardo ai nostri servizi o hai delle domande, non esitare a contattarci.
Useful links:
Link utili:
La minaccia del ransomware DDos
Cyber Threat Intelligence (CTI)
Vulnerability Assessment & Penetration Test
Mobile App Penetration Test & Code Review
VPN Aziendali e navigazione internet sicura
Estimated reading time: 9 minuti
Lo spam sembra arrivare ad ogni singolo account di posta elettronica che usiamo, non importa quanto siamo attenti o quale sia il provider dell’indirizzo. Come fanno gli spammer ad avere tutti i nostri indirizzi e-mail? Possiamo fare qualcosa per nascondere il nostro indirizzo e-mail alle più comuni tecniche spammer?
Sfortunatamente, non c’è molto che tu possa fare per evitare che gli spammer ti bombardino di email. Ci sono alcuni consigli che ti aiuteranno a proteggerti, ma gli spammer probabilmente troveranno il tuo indirizzo e-mail comunque.
Il problema non è tanto il messaggio di pubblicità indesiderato, quanto piuttosto cosa comporta il fatto che tu abbia ricevuto un messaggio. Come hai reagito? Lo hai cancellato? Hai cliccato su qualche link? Lo hai flaggato come spam? Ogni azione potrebbe portare informazioni utili agli attaccanti senza che tu te ne accorga.
Vediamoci più chiaro e partiamo da una domanda: dove gli spammer trovano le nostre e-mail?
Tecniche spammer per il recupero degli indirizzi e-mail
Nessuno fornisce la propria e-mail a un sito web e si aspetta che finisca nelle mani di un truffatore. Eppure non è raro che qualcuno trovi la propria casella di posta piena di email di spam non richieste.
Database rubati
La più semplice tra le tecniche usate dagli spammer per raccogliere grandi liste di indirizzi e-mail attivi è attraverso database di account trafugati. Questi furti di password accadono con spaventosa regolarità. Compagnie come Adobe, LinkedIn, eHarmony, Gawker, Last.fm, Yahoo!, Snapchat e Sony sono state tutte compromesse negli ultimi anni.
I database trapelati sono normalmente considerati una minaccia alla sicurezza perché spesso mostrano nomi di account e password. Tuttavia, generalmente mostrano anche gli indirizzi e-mail. Gli spammer possono scaricare questi database trapelati e aggiungere i milioni di indirizzi e-mail alle loro liste. Gli spammer sanno che la maggior parte di questi indirizzi e-mail dovrebbe essere attiva, quindi questi database sono eccellenti per loro.
Questo è probabilmente il modo in cui la maggior parte degli spammer sta trovando indirizzi e-mail per inviare spam. Non c’è davvero molto che tu possa fare per proteggerti da uno spammer che ottiene il tuo indirizzo in questo modo.
Un sito come Have I been pwned? può dirti se le informazioni del tuo account potrebbero essere state diffuse.
Puoi proteggerti dal furto di password utilizzandone di diverse, purtroppo però, devi utilizzare sempre lo stesso indirizzo email ovunque, sarebbe impensabile avere un indirizzo per ogni servizio usato.
Link nei messaggi di posta
Se ricevi email di spam, dovresti evitare di cliccare sui link nell’email. Se trovi un link “Unsubscribe” in un’e-mail da un’azienda legittima, è probabilmente sicuro cliccarlo. Un’azienda reale non vuole spammare e potenzialmente incorrere nelle leggi anti-spam, quindi ti rimuoverà semplicemente dalla sua lista.
Tuttavia, se vedi un link “Unsubscribe” (o, peggio ancora, un link “Buy Now!”) in un’e-mail che sembra molto poco professionale e truffaldina, lo spammer non ti rimuoverà necessariamente dalle sue liste.
Qui le cose si fanno più complesse. Noteranno il tuo clic e i loro sistemi identificheranno il tuo indirizzo email come attivo. Sanno che sei lì, e potresti vedere quantità maggiori di spam dopo aver cliccato il link.
Lo stesso vale per il caricamento delle immagini nelle e-mail di spam. Non cliccare sul pulsante “Carica immagini”, o gli spammer sapranno che hai aperto l’e-mail. Anche se non vedi un’immagine nel messaggio, potrebbe esserci un piccolo pixel di tracciamento che permette allo spammer di identificarti se carichi la risorsa.
Questo è il motivo per cui la maggior parte dei client di posta elettronica non carica automaticamente le immagini.
E-mail scraping, cercare e-mail in chiaro nella rete
Un’altra tecnica spammer per recuperare indirizzi dalla rete, è quella di raschiarle (scraping) dai dati in chiaro in rete. Ci sono in giro dei software che leggono i file in rete e trovano quelli che contengono e-mail e se le salvano. Un po’ come fanno i crawler di Google quando scansionano un sito, ma con intenti malevoli.
Ti sarà capitato di leggere un commento in cui qualcuno lascia il proprio indirizzo per essere contattato. Il bot che scansiona la rete salverà indirizzi simili.
Lo spammer aggiunge questo indirizzo alle sue liste di spam et voilà, lo spam è servito. Questo è il motivo per cui eBay fornisce un indirizzo email temporaneo dove puoi essere raggiunto piuttosto che includere il tuo vero indirizzo email. Questa tecnica è probabilmente meno comune ora che gli spammer hanno dei database di account trapelati enormi con cui lavorare.
Gli spammer possono anche cercare di acquisire indirizzi email validi curiosando in altri posti che sono pubblicamente disponibili, come i record whois per un dominio. Questi record mostrano un indirizzo email associato alla persona o all’organizzazione che ha registrato il nome del dominio.
Acquisto di indirizzi e-mail
Un’altra tecnica spammer, decisamente per hacker pigri, è quella di acquistare indirizzi da banche dati che li mettono a disposizione.
Persone senza scrupoli vendono liste di e-mail agli spammer per un basso prezzo. Questi indirizzi erano spesso distribuiti su CD in passato, e potrebbero esserlo ancora, ma i database di account trapelati hanno probabilmente eliminato un po’ di interesse per questo mercato.
Gli spammer possono anche semplicemente scambiarsi le loro liste di indirizzi tra loro, assicurandosi che altri malintenzionati mettano le mani sul tuo indirizzo, una volta che accade la prima volta.
Sia chiaro che questa tecnica non è del tutto illegale. Quando ci iscriviamo ad un servizio, spesso abbiamo la possibilità di fornire il nostro indirizzo e-mail a terzi per scopi pubblicitari. Alcuni utenti accettano senza rifletterci e senza verificare se sia un obbligo per sottoscrivere il servizio o no.
Mi è personalmente successo di venire contatto da una persona che, senza intento di spam, ma per fare numero, aveva acquistato il mio indirizzo da un’agenzia di rivendita di contatti, suddivisi per aree di interesse. Se fosse stato uno spammer, avrebbe potuto usare un servizio simile.
Come proteggere il proprio indirizzo
Gli spammer possono anche ottenere indirizzi e-mail in altri modi ma i metodi elencati qui sopra sono alcuni dei più comuni.
Non c’è molto che tu possa fare per evitare che il tuo indirizzo e-mail venga diffuso e riceva spam.
- – puoi evitare di mettere il tuo indirizzo e-mail sul web in forma di testo semplice
- – non cliccare mai su un link
- – non caricare un’immagine in una email sospetta.
Tuttavia, il tuo indirizzo finirà quasi sicuramente nell mani di uno spammer, ad un certo punto.
In realtà, non bisogna preoccuparsi tanto che l’indirizzo sia in circolazione, quanto piuttosto su come viene usato l’indirizzo, soprattutto se attivo.
Tecniche spammer di uso degli indirizzi
Una volta che un truffatore ottiene il tuo indirizzo e-mail, è molto probabile che lo userà per avvantaggiarsi in ogni modo possibile. Più è bravo, maggiori saranno i rischi.
Molti ti invieranno email di spam, con la speranza di raccogliere informazioni private come i numeri delle carte di credito. Cercheranno di ingannarti facendoti credere di aver vinto qualcosa, o che hanno un articolo vantaggioso in vendita. Gli hacker potrebbero anche usare la tua email per rubarti l’identità e mandare messaggi ai tuoi contatti. Ricordi le tecniche di Zombie Phishing?
Altri truffatori useranno le tue informazioni personali per cercare di accedere ai tuoi altri account. La maggior parte delle persone riutilizza le stesse password per diversi account, il che significa che gli hacker che hanno accesso a un account possono facilmente infiltrarsi negli altri.
Questo è il motivo per cui usare password uguali in giro per il web è sconsigliatissimo e per niente sicuro.
Creare botnet
Uno dei motivi per cui non dovresti mai interagire attivamente con i messaggi di spam è che le interazioni mandano agli hacker un’importante informazione: l’indirizzo è attivo, qualcuno lo usa sul proprio dispositivo.
Un indirizzo attivo, una volta che viene individuato, è un bersaglio perfetto per attacchi più specifici di phishing, e poiché tutti gli indirizzi sono a rischio, anche quelli aziendali, dal phishing si può facilmente arrivare a un ransomware a doppia estorsione.
In quest’ultimo caso, la minaccia di un attacco DDoS potrebbe arrivare dalla già citata tecnica dello zombie phishing, e potrebbe tutto essere partito da qualche messaggio di spam.
I computer che praticamente invieranno le richieste al server per eseguire il DDoS attack potrebbero essi stessi essere parte di una botnet creata a seguito di tecniche usate dagli spammer.
Fenomenologia di un attacco
Come prima tecnica spammer, vengono recuperati degli indirizzi aziendali. Questo può avvenire tramite scraping o acquisto di database nel dark web. Successivamente, per verificare quali indirizzi siano attivi, vengono inviate un paio di campagne di spam. Niente di dannoso, delle finte newsletter con un evidente messaggio Unsubscribe, oppure un pixel di tracciamento.
Nota: un pixel di tracciamento è solitamente un’immagine trasparente molto piccola che viene caricata da un server remoto. Basterà verificare quante volte è stata scaricata e da chi per capire quali indirizzi siano attivi e quali no.
Come risultato, il database di contatti si sarà ridotto a una lista di indirizzi attivi, in cui gli utenti sono stati abbastanza disattenti da cliccare su un link da una mail sospetta.
Infine, a questi indirizzi selezionati, viene inviato un vero e proprio messaggio di phishing contenente un malware oppure una richiesta di intervento su una pagina web apparentemente legittima. Per esempio, la richiesta di reset delle proprie credenziali tramite il link allegato.
L’ignaro utente, pensando di stare facendo una cosa sicura, segue il link, inserisce le credenziali regalandole di fatto allo spammer. A questo punto l’attaccante ha ottenuto accesso a un account. Da quel momento i rischi sono molti di più e molto più dannosi.
Come difendersi dalle tecniche spammer
Facciamo qualche passo indietro. Tutta la catena di eventi che ha portato l’hacker ad ottenere l’accesso ad un account importante è passato attraverso lo spam e messaggi di phishing.
Ethical Phishing
In alcuni dei passaggi, l’attacco si sarebbe potuto evitare. L’abilità di riconoscere un messaggio sospetto e quindi ignorarlo, è la prima arma a disposizione di un utente. SOD può aiutare la vostra azienda in questo.
Tramite un servizio di ethical phishing, testiamo prima di tutto la resilienza degli utenti. Una volta individuati gli eventuali punti deboli, viene costruito un percorso formativo ad hoc per fornire gli adeguati strumenti di difesa proattiva a tutti i dipendenti.
SOC as a Service
Non sempre essere utenti consapevoli è sufficiente, e un errore di distrazione potrebbe costare moltissimo ad un’azienda che tratta dati sensibili. Per questo, possiamo mettere in campo anche un servizio SOCaaS per la mitigazione del rischio e del danno in seguito ad un attacco.
In questo scenario, un sistema formato da SIEM di nuova generazione e protocolli UEBA implementati da una intelligenza artificiale, monitorano la rete in cerca di ogni anomalia. Ogni comportamento sospetto è individuato e analizzato da tecnici per verificare se possa diventare effettivamente una minaccia oppure no.
Se vuoi avere maggiori informazioni in merito a come SOD può aiutarti ad alzare il livello di sicurezza informatica della tua azienda, non esitare a contattarci.
Useful links:
Estimated reading time: 6 minuti
Dal nulla, qualcuno risponde a una conversazione email datata mesi fa. Si tratta di una conversazione vera che è realmente accaduta. Forse riguarda una riunione, un’opportunità di lavoro. Questa email sembra molto rilevante, ma attenzione, potrebbe essere zombie phishing.
Infatti, qualcosa non va, l’argomento discusso è passato da mesi e ora c’è uno strano messaggio di errore nel corpo della mail. Questa è una tattica subdola: far rivivere una conversazione via email morta da tempo.
Non il solito phishing
Il Cofense™ Phishing Defense Center™ (PDC) ha individuato nel 2018 una vasta campagna di Zombie Phishing. La truffa, come quasi ogni attacco di phishing, viene realizzata attraverso account di posta elettronica compromessi.
I truffatori si impadroniscono di un account email e rispondono a conversazioni già chiuse da tempo con un link di phishing o un allegato dannoso (per esempio malware o un keylogger). Dato che l’oggetto dell’email è solitamente rilevante per la vittima, è molto probabile che si verifichi un clic guidato dalla curiosità. Non scordiamoci, infatti, che la conversazione originale era già presente tra i messaggi ricevuti, è facile pensare che si tratti di un follow up o simili.
Questi attacchi di Zombie Phishing sembrano utilizzare URL di infezione generati automaticamente per eludere il rilevamento. Non ci sono due link uguali, inoltre, sono nascosti dietro messaggi di “errore” senza troppi fronzoli nel corpo del messaggio. Questo scenario fornendo uno schema di apparente legittimità per gli utenti che ne sono vittime.
Gli zombie in informatica
Nel settore informatico, uno zombie è un computer compromesso connesso alla rete. Lo stato di compromissione potrebbe essere dovuto a un hacker, un virus, un malware o un trojan horse.
La macchina infetta esegue compiti dannosi sotto una direzione remota. Le botnet di computer zombie sono spesso utilizzate per diffondere spam e-mail e lanciare attacchi di tipo denial-of-service (DoS).
Tipi di attacco
Ecco alcuni modelli osservati di Zombie Phishing che trasportano link dannosi. Un fattore distintivo era l’uso di due template grafici distinti contenenti messaggi di errore con pulsante o link.
Il messaggio recita qualcosa tipo “Messaggio incompleto” o “Impossibilità di mostrare tutto il messaggio”. Il link o pulsante invita a cliccare per vedere il messaggio originale. Ovviamente il click comporta solo l’installazione di un malware o altri eventi simili. Da notare che non sono stati individuati due link uguali, segno che probabilmente a generare gli indirizzi era un bot.
Un altro fattore comune è l’utilizzo di domini con TLD .icu. Questo è probabilmente un fattore che col tempo varia sensibilmente. Ecco alcuni dei domini riscontrati nella prima analisi del 2018:
Si è osservato che questi attacchi zombie phishing utilizzano loghi organizzativi ufficiali per aggiungere legittimità alle false pagine di login. Una pratica comune nelle tecniche di phishing che abbiamo già visto in altri articoli.
Le pagine di destinazione sono progettate per sembrare un portale online legittimo, compreso di logo dell’azienda e persino una favicon. In questi casi l’obiettivo finale è il furto di credenziali della vittima.
Inoltre, qualsiasi vittima che visita il sito web dannoso viene “marcata” utilizzando l’indirizzo IP dell’host come identificatore e, dopo aver inserito le credenziali, viene indirizzata allo stesso sito web di spam visto da altre vittime. Questo avviene spesso tramite link offuscati utilizzando accorciatori di URL (come hxxps://href[.]li/).
Se lo stesso host tenta di visitare di nuovo il link di phishing, la finta pagina di login viene saltata e si viene inoltrati direttamente alla pagina di spam. Questa marcatura e l’offuscamento dell’URL shortener aiuta gli aggressori a mantenere un basso profilo e a continuare la loro campagna senza sosta.
Conversation Hijacking
La tattica del conversation hijacking non è affatto nuova e sta ora vivendo una nuova vita grazie al zombie phishing . I truffatori hanno dirottato account di posta elettronica compromessi per distribuire malware ed email di phishing come risposte a conversazioni concluse da anni ormai.
Questa tecnica è ancora popolare perché rende le vittime molto più propense a cliccare su link e scaricare o aprire i file. La soglia di attenzione contro i classici attacchi di phishing è abbassata quando i messaggi sono portati all’interno di conversazioni già nella loro casella di posta.
Un esempio datato un paio d’anni di questo è stata la botnet Geodo. Sostanzialmente si tratta di inserimento in thread di posta elettronica esistenti (conversation hijacking) per consegnare documenti dannosi. Questi, a loro volta, scaricano un campione di Geodo o altri malware come Ursnif, che secondo il Key4Biz era il più diffuso in Italia a giugno 2020.
Tuttavia, l’efficacia di questa tattica può dipendere molto dal contenuto delle conversazioni. Una risposta a un’email pubblicitaria automatica ha meno probabilità di provocare un’infezione rispetto a una risposta a un thread di supporto help-desk.
Sono state diverse le campagne zombie phishing di Geodo consistenti in risposte a email pubblicitarie automatizzate. Questo è indice del fatto che, in alcuni casi, le campagne consistono in risposte indiscriminate a tutte le email in una casella di posta. Dato che il volume di queste campagne di conversation hijacking è ancora relativamente basso, la portata ridotta di queste email è probabilmente limitata dal numero di conversazioni in corso.
Alcuni tipi di account hanno quindi maggiori probabilità di attirare l’attenzione diretta degli attori delle minacce e di indurli a investire ulteriori sforzi e tempo nello sviluppo di campagne di phishing uniche per quegli account.
Difesa dal zombie phishing
Ecco alcuni suggerimenti veloci per evitare di perdere le credenziali per un attacco Zombie Phishing:
- Attenzione ai soggetti delle email che possono sembrare rilevanti ma che provengono da vecchie conversazioni
- Fate attenzione a un eventuale messaggio di errore nel corpo del messaggio
- Non fidatevi dei documenti allegati solo perché stanno rispondendo a una conversazione
- Passate il mouse sopra i pulsanti o i link nei messaggi sospetti per controllare che non contengano domini sospetti
È stato osservato che queste campagne sono diventate sempre più intelligenti. Per combattere questo e altre forme di phishing, la formazione dei dipendenti è fondamentale.
Una forza lavoro adeguatamente formata è ciò che serve per difendere la tua organizzazione contro gli attacchi di Zombie Phishing.
SOD offre un servizio completo a riguardo. Cominciamo attaccando in modo controllato l’azienda, testando eventuali debolezze nella sicurezza o nel comportamento dei dipendenti. Successivamente viene progettata una formazione specifica per rimediare alle lacune e formare in modo completo il personale.
Per mantenere alte le difese, inoltre, il nostro SOCaaS comprende l’analisi del comportamento degli utenti, dei log delle macchine collegate e della rete in modo da individuare immediatamente tentativi di phishing.
Useful links:
Estimated reading time: 10 minuti
Ingegneria sociale è il termine usato per una vasta gamma di attività dannose compiute attraverso le interazioni umane. Utilizza la manipolazione psicologica per indurre gli utenti a commettere errori di sicurezza o a fornire informazioni sensibili. In seguito, con quelle informazioni, l’hacker è in grado di portare a termine con successo attacchi mirati, come il furto di dati, un ransomware o un’interruzione di servizi.
Gli attacchi di ingegneria sociale avvengono solitamente in più fasi. L’esecutore prima indaga sulla vittima designata per raccogliere le informazioni di base necessarie, come i potenziali punti di ingresso e i protocolli di sicurezza deboli, necessari per procedere con l’attacco. Poi, l’attaccante si muove per guadagnare la fiducia della vittima e fornire stimoli per azioni successive che violano le pratiche di sicurezza, come rivelare informazioni sensibili o concedere l’accesso a risorse critiche.
Ciò che rende il social engineering particolarmente pericoloso è che si basa sull’errore umano, piuttosto che sulle vulnerabilità del software e dei sistemi operativi. Gli errori commessi dagli utenti legittimi sono molto meno prevedibili, il che li rende più difficili da identificare e contrastare rispetto a un’intrusione basata sul malware.
È da notare che il target di un ingegnere sociale non è per forza una rete o un software. Riuscire ad entrare in un edificio eludendo la sicurezza, per poi installare un dispositivo o rubare dei documenti, sono azioni che rientrano comunque sotto questa tipologia di attacchi.
Le tecniche dell’ingegneria sociale
Gli attacchi di ingegneria sociale si presentano in molte forme diverse e possono essere eseguiti ovunque sia coinvolta l’interazione umana. I seguenti sono cinque metodi più comuni di attacchi di ingegneria sociale digitale.
Baiting (dall’inglese bait, “esca”)
Come suggerisce il nome, gli attacchi di baiting utilizzano una falsa promessa (un esca, appunto) per stuzzicare l’avidità o la curiosità della vittima. Attirano gli utenti in una trappola che ruba le loro informazioni personali o installa sui loro sistemi un malware.
La forma più infame di baiting utilizza supporti fisici per disperdere il malware. Per esempio, gli aggressori lasciano l’esca (tipicamente chiavette infette) in aree appariscenti dove le potenziali vittime sono certe di vederle (ad esempio, bagni, ascensori, il parcheggio di un’azienda presa di mira). L’esca ha un aspetto legittimo, come un’etichetta che indica il contenuto, come la lista degli stipendi dell’azienda. L’indizio che rivela cosa dovrebbe contenere può cambiare, ovviamente, ma ha la prerogativa di essere potenzialmente molto interessante.
Le vittime raccolgono l’esca per curiosità e la inseriscono in un computer di lavoro o di casa, con conseguente installazione automatica di malware sul sistema.
Le truffe di adescamento non devono necessariamente essere eseguite nel mondo fisico. Le forme di baiting online consistono in annunci allettanti che portano a siti dannosi o che incoraggiano gli utenti a scaricare un’applicazione infetta da malware. Qui si sfocia nelle tecniche di phishing, che vedremo tra poco.
Note di difesa: per difendersi da questi attacchi di ingegneria sociale, oltre che prestare la massima attenzione a cosa si collega al proprio computer, non guasta avere un sistema di antivirus e anti-malware efficiente. Per l’azienda, un sistema SIEM di nuova generazione e UEBA aiutano nell’individuare comportamenti sospetti degli utenti e riducono moltissimo il rischio di infezione malware.
Scareware (dall’inglese to scare, “spaventare”)
Lo scareware consiste nel bombardare le vittime con falsi allarmi e minacce fittizie. Gli utenti sono ingannati a pensare che il loro sistema sia infettato da un malware, spingendoli a installare un software che non ha alcun beneficio reale (se non per l’esecutore) o è esso stesso un malware. Lo scareware viene anche chiamato software di inganno (deception software), rogue scanner software e fraudware.
Un esempio comune di scareware è il banner popup dall’aspetto legittimo che appare nel tuo browser mentre navighi sul web, mostrando un testo come “Il tuo computer potrebbe essere infettato da programmi spyware dannosi“. In altri casi il popup si offre di installare lo strumento (spesso infetto da malware) al posto vostro, o vi indirizza a un sito dannoso dove il vostro computer viene infettato.
Lo scareware è anche distribuito tramite email di spam che distribuisce avvisi fasulli, o fa offerte agli utenti per comprare servizi inutili/nocivi. L’ingegneria sociale è spesso molto fantasiosa e riesce a trovare modi sempre nuovi per ingannare. È necessario essere sempre all’erta.
Note di difesa: Nel caso si sospetti che il messaggio ricevuto sia davvero legittimo, la cosa migliore è cerca una soluzione attivamente, senza cioè usare i link suggeriti dal messaggio stesso. Per esempio, si è ricevuto un messaggio da un servizio che annuncia che il nostro account è stato compromesso. In caso di dubbio, si può contattare l’assistenza del servizio direttamente dal loro sito per chiedere chiarimenti. Evitare a tutti i costi di usare i link suggeriti dal messaggio sospetto.
Pretexting (dall’inglese to pretend, “fingere”)
In questo attacco di ingegneria sociale, un attaccante ottiene informazioni attraverso una serie di menzogne abilmente costruite. La truffa è spesso avviata da un esecutore che finge di aver bisogno di informazioni sensibili da una vittima in modo da eseguire un compito critico.
L’aggressore di solito inizia stabilendo la fiducia con la sua vittima impersonando colleghi, polizia, funzionari bancari e fiscali, o altre persone che hanno il diritto di conoscere l’autorità. L’hacker pone domande che sono apparentemente necessarie per confermare l’identità della vittima, attraverso le quali raccoglie importanti dati personali.
Molti tipi di informazioni vengono raccolte utilizzando questa tecnica, come numeri di carta d’identità, indirizzi personali e numeri di telefono, registri telefonici, date di ferie del personale, registri bancari e persino informazioni di sicurezza relative a un impianto fisico.
Ogni informazione, per quanto possa sembrare innocua, potrebbe successivamente essere usata per un secondo attacco. Anche il nome di una guardia giurata assunta dall’azienda potrebbe essere già sufficiente per instaurare fiducia e chiedere uno strappo alla regola quando si domanda il codice di accesso alle porte automatiche.
Phishing (dall’inglese to fish, “pescare”)
Essendo uno dei più popolari tipi di attacco di ingegneria sociale, le truffe di phishing sono campagne di e-mail e messaggi di testo che mirano a creare un senso di urgenza, curiosità o paura nelle vittime. Poi le spinge a rivelare informazioni sensibili, a cliccare su link a siti web dannosi o ad aprire allegati che contengono malware.
Un esempio è un’e-mail inviata agli utenti di un servizio online che li avvisa di una violazione della politica che richiede un’azione immediata da parte loro, come un cambio di password obbligatorio. Include un link a un sito web, quasi identico nell’aspetto alla sua versione legittima, che invita l’utente a inserire le sue credenziali attuali e la nuova password. Dopo aver inviato il modulo, le informazioni vengono inviate all’attaccante.
Dato che i messaggi identici, o quasi identici, vengono inviati a tutti gli utenti nelle campagne di phishing, individuarli e bloccarli è molto più facile per i server di posta che hanno accesso alle piattaforme di condivisione delle minacce.
Nota di difesa: Se è vero che in alcuni casi ci siamo abituati a non dare peso a questo tipo di messaggi, è anche vero che gli ingegneri sociali si sono fatti sempre più furbi. Non è il caso di abbassare la guardia. Invece è molto utile diffidare sempre di messaggi che richiedono inserimento di credenziali.
Questi attacchi fanno leva sul fatto che è facile imbrogliare alcuni utenti, vuoi per distrazione o ingenuità. La difesa migliore è la formazione dei dipendenti tramite un servizio di phishing etico e successivi training mirati.
Spear phishing (dall’inglese spear, “lancia”)
Questa è una versione più mirata del phishing in cui un aggressore sceglie specifici individui o imprese. Quindi adattano i loro messaggi in base alle caratteristiche, alle posizioni lavorative e ai contatti delle loro vittime per rendere il loro attacco meno evidente. Lo spear phishing richiede molto più sforzo da parte dell’autore e può richiedere settimane e mesi per essere portato a termine. Sono molto più difficili da rilevare e hanno migliori tassi di successo se fatti con abilità.
Uno scenario di spear phishing potrebbe coinvolgere un attaccante che, impersonando il consulente IT di un’organizzazione, invia un’e-mail a uno o più dipendenti. È formulata e firmata esattamente come il consulente fa normalmente, ingannando così i destinatari a pensare che sia un messaggio autentico. Il messaggio richiede ai destinatari di cambiare la loro password e fornisce loro un link che li reindirizza a una pagina dannosa dove l’attaccante ora cattura le loro credenziali.
Come difendersi dagli attacchi di ingegneria sociale
Gli ingegneri sociali manipolano i sentimenti umani, come la curiosità o la paura, per portare avanti gli schemi e attirare le vittime nelle loro trappole. Pertanto, è essenziale essere prudenti ogni volta che vi sentite allarmati da un’e-mail, attratti da un’offerta visualizzata su un sito web, o quando vi imbattete in media digitali vaganti in giro. Essere all’erta può aiutarvi a proteggervi dalla maggior parte degli attacchi di ingegneria sociale che avvengono online.
Inoltre, i seguenti consigli possono aiutare a migliorare la tua vigilanza in relazione agli attacchi di ingegneria sociale.
- Non aprire e-mail e allegati da fonti sospette. Se non si conosce il mittente in questione, non è necessario rispondere a un’e-mail. Anche se li conosci e sei sospettoso del loro messaggio, fai un controllo incrociato e conferma le notizie da altre fonti, come per telefono o direttamente dal sito di un fornitore di servizi. Anche un’e-mail che sembra provenire da una fonte affidabile potrebbe essere stata avviata da un aggressore.
- Usare l’autenticazione multi-fattore. Uno dei pezzi più preziosi di informazioni che gli aggressori cercano sono le credenziali dell’utente. Usando l’autenticazione a 2 fattori aiuti a garantire la protezione del tuo account in caso di compromissione del sistema. Esistono applicazioni gratuite per ogni tipo di dispositivo mobile che ti permettono di implementare questo tipo di autenticazione.
- Diffidare delle offerte allettanti. Se un’offerta sembra troppo allettante, pensaci due volte prima di accettarla come reale. Usa Google per verificare l’argomento e determinare rapidamente se hai a che fare con un’offerta legittima o con una trappola.
- Aggiornare il software antivirus/antimalware. Assicurati che gli aggiornamenti automatici siano attivati. Controlla periodicamente che gli aggiornamenti siano stati applicati e scansiona il tuo sistema per possibili infezioni.
Se l’azienda dispone di un reparto IT, questi consigli dovrebbero essere le misure standard di sicurezza.
Servizi di sicurezza per aziende
Quando si pensa ai dati che la propria azienda custodisce e gestisce, non si è mai troppo prudenti nella difesa. L’ingegneria sociale fa leva sul fatto che un dipendente si hackera più facilmente di un computer, cosa che molto spesso risulta veritiera.
Oltre alle misure di protezione informatica elencate qui sopra, è bene che i dipendenti siano tutti consapevoli dei rischi e delle potenziali minacce.
SOD propone una serie di servizi che vanno proprio in questa direzione. Il primo e forse più importante è quello di phishing etico in cui proviamo ad attaccare l’azienda con tecniche di phishing. Scopriamo quali sono i punti deboli e organizziamo training interni per fornire gli strumenti adeguati al personale.
Abbiamo anche i classici Vulnerability Assessment e Penetration Test per testare i sistemi di sicurezza informatica. A questo servizio sono applicabili degli addon per coprire un maggior numero di aree. È disponibile un addon specifico per l’analisi delle app e la revisione del codice, ma anche uno in cui proviamo a violare l’azienda con attacchi fisici. Testeremo la sicurezza fisica dell’azienda, la possibilità di entrare negli edifici, l’accesso alle centraline di rete e altro.
Infine, per mantenere controllate le reti, il servizio SOCaaS permette di monitorare tutta la rete, individuare azioni sospette (con analisi del comportamento tramite intelligenza artificiale), installazioni non autorizzate, tentativi di violazioni e molto altro.
La sicurezza dei dati in azienda è davvero importante, contattaci per sapere come possiamo aiutarti!
Useful links:
Tempo di lettura: 5 min
Uno Zero-Day attack (noto anche come 0-day) sfrutta una vulnerabilità software sconosciuta agli addetti alla sicurezza e al fornitore del software. Gli hacker possono sfruttare la debolezza, fintanto che non viene mitigata, tramite Zero-Day exploit o, appunto attack.
Il termine “zero-day” si riferiva originariamente al numero di giorni dal rilascio del software. Un software “zero-day”, quindi, indicava un programma ottenuto attraverso la forzatura del computer di uno sviluppatore prima del rilascio. Il termine è stato poi applicato alle vulnerabilità che questa pratica permette di sfruttare. Una volta che il venditore viene a conoscenza della vulnerabilità, solitamente crea delle patch o consiglia delle soluzioni per mitigarla.
Vulnerabilita’ del software
I software hanno spesso delle vulnerabilità. Queste sono difetti involontari, o problemi nei codici che potrebbero ipoteticamente essere sfruttati. Per esempio, ci può essere un difetto che permette a un cyber-criminale di accedere a dati altrimenti sicuri. I programmatori sono spesso alla ricerca di queste vulnerabilità e quando le scoprono, le analizzano, producono una patch per risolverle, poi distribuiscono quella patch in una nuova versione del software.
Tuttavia, questo è un processo che richiede tempo. Quando il difetto diventa noto, gli hacker di tutto il mondo possono iniziare a cercare di sfruttarlo.
Zero-Day Attack
Se un hacker riesce a sfruttare la vulnerabilità prima che gli sviluppatori riescano a trovare una soluzione, questo exploit diventa quindi noto come attacco Zero-Day attack.
Le vulnerabilità zero-day possono assumere quasi ogni forma, perché possono manifestarsi come qualsiasi tipo di vulnerabilità nel software. Per esempio, possono assumere la forma di crittografia dei dati mancanti, SQL injection, buffer overflow, autorizzazioni mancanti, bug o problemi con la sicurezza delle password.
Questo rende queste vulnerabilità difficili da trovare prima che siano sfruttate in zero-day attack. Questo, per certi versi, è una buona notizia: significa anche che gli hacker avranno difficoltà a trovarle. Ma anche che è difficile difendersi da queste vulnerabilità in modo efficace.
Come proteggersi
Abbiamo visto come sia difficile proteggersi dalla possibilità di un zero-day attack, perché può assumere molte forme. Quasi ogni tipo di vulnerabilità di sicurezza potrebbe essere sfruttata come uno zero-day se una patch non viene prodotta in tempo. Inoltre, molti sviluppatori di software cercano intenzionalmente di non rivelare pubblicamente la vulnerabilità nella speranza di poter distribuire una patch prima che qualsiasi hacker scopra la vulnerabilità presente.
Ci sono alcune strategie che possono aiutarti a difendere il tuo business contro gli attacchi del giorno zero:
Resta informato sugli Zero-Day attack
Gli exploit zero-day non sono sempre pubblicizzati, ma occasionalmente si sente parlare di una vulnerabilità che potrebbe essere potenzialmente sfruttata. Se rimani sintonizzato sulle notizie e presti attenzione ai rilasci dei tuoi fornitori di software, potresti avere il tempo di mettere in atto misure di sicurezza o di rispondere a una minaccia prima che venga sfruttata. Un buon metodo per farlo è seguire le newsletter dei tuoi fornitori. In fondo a questa pagina trovi il form per iscriverti a quella di SOD.
Tieni aggiornati i tuoi sistemi
Gli sviluppatori lavorano costantemente per mantenere il loro software aggiornato e sicuro per prevenire la possibilità di exploit. Quando una vulnerabilità viene scoperta, è solo una questione di tempo prima che producano una patch. Tuttavia, spetta a te e al tuo team assicurarsi che le tue piattaforme software siano sempre aggiornate. L’approccio migliore in questo caso è quello di abilitare gli aggiornamenti automatici, in modo che il software venga aggiornato di routine, e senza la necessità di un intervento manuale.
Impiegare misure di sicurezza aggiuntive
Assicurati di utilizzare soluzioni di sicurezza che ti proteggano da un zero-day attack. SOD, offre una soluzione che comprende un set di strumenti che permettono di alzare le difese in modo significativo. Il SOCaaS è un vero e proprio centro operativo di sicurezza per la tua azienda. Tramite strumenti all’avanguardia come SIEM e UEBA e grazie a un controllo granulare sulla rete monitorata, ogni tentativo di attacco viene individuato nel minor tempo possibile.
Ogni tipo di dati prodotto dai sistemi interconnessi nell’infrastruttura vengono raccolti, normalizzati e analizzati alla ricerca di anomalie. Ciò significa che non solo si verifica l’eventuale presenza di indicatori di compromissione noti (IOC), ma si monitorano anche operazioni e comportamenti sospetti degli utenti della struttura. In questo modo è possibile individuare anche tentativi di attacco normalmente molto difficili da individuare, come quelli che riguardano gli Zero-Day Attack, ma non solo. Infatti, tramite il servizio SOCaaS, è possibile individuare account compromessi, la violazione di dati protetti, attacchi lateral movement, phishing, etc.
La sicurezza del sistema IT di un’azienda è un argomento molto importante a cui noi teniamo molto. La compromissione o perdita di dati sensibili può costare parecchio sia da un punto di vista economico che di reputazione. Non trascurare questo aspetto importante per la sicurezza della tua impresa, contattaci per parlarci della tua situazione, saremo lieti di mostrarti come possiamo aiutarti.
Link utili:
Proteggere un sito in WordPress: pacchetto sicurezza
SIEM in informatica: la storia
SOAR: cos’e’ e come puo’ essere utile per le aziende
Shadow IT: una panoramica
Contattaci
Tempo di lettura: 5 min
Il mondo IT continua ad evolversi e lo stesso vale per gli acronimi di settore. Uno di questi e’ il termine MSSP che, in un certo senso, e’ l’evoluzione di MSP. Le due sigle significano: Managed Service Provider (MSP) e Managed Security Service Provider (MSSP). Quest’ultimo, in generale, potrebbe essere considerato come un’organizzazione che fornisce servizi di sicurezza in outsourcing ad altre organizzazioni. Questa definizione e’ molto vaga e alquanto ovvia. Ma allora, cos’e’ un MSSP?
Definizione: cos’e’ un MSSP?
Un MSSP offre Security-as-a-Service, garantendo alle organizzazioni, agli utenti finali e ai sistemi la sicurezza, la protezione e il rispetto dei requisiti di conformita’ necessari. In realta’ gli MSSP sono in circolazione da un pezzo, ma recentemente hanno acquisito maggiore attenzione e focalizzazione man mano che il panorama della cybersecurity continua ad evolversi rapidamente. Gli utenti finali sono piu’ consapevoli delle minacce e delle conseguenze che devono affrontare se non sono proattivi.
MSP
Facciamo un passo indietro, esaminiamo cos’e’ un MSP, per meglio distinguerlo da una MSSP. In termini semplici, un fornitore di servizi gestiti (MSP) e’ un’organizzazione incaricata da un cliente di eseguire vari servizi informatici. Gli MSP tipicamente collaborano con i loro clienti per periodi annuali o pluriennali, ricevendo un reddito ricorrente per servizi continuativi.
Un MSP puo’ aiutare un cliente in qualsiasi fase del suo ciclo IT, incluso:
– la creazione di politiche e programmi
– scoprire potenziali soluzioni
– implementazione di soluzioni
– monitoraggio delle prestazioni
Gli MSP possono anche gestire servizi IT in corso, ad esempio aggiornando i sistemi e apportando modifiche alla configurazione per adattarsi alle esigenze aziendali. Questi elementi della linea di servizi possono includere il supporto help desk, la gestione e il monitoraggio della rete e delle applicazioni, la riparazione dell’hardware e altro ancora. Questi servizi sono generalmente delineati e concordati in uno SLA (Service Level Agreement).
MSSP
Cos’e’ che distingue gli MSSP dagli MSP? La “S” in piu’ in MSSP indica che questi sono piu’ focalizzati sulla sicurezza rispetto a un tipico MSP. Mentre gli MSP offrono spesso altri servizi IT e qualcosa legato alla sicurezza, gli MSSP si concentrano esclusivamente sulla sicurezza. Tuttavia, anche in questo caso, potrebbero comprendere un insieme abbastanza ampio di servizi oltre alla sicurezza.
Ad esempio, l’offerta tecnologica degli MSSP puo’ comprendere l’implementazione, la configurazione e/o la gestione delle seguenti tecnologie:
– Sistemi di prevenzione delle intrusioni (IPS)
– Filtraggio dei contenuti web
– Anti-virus, anti-spam, firewall
– VPN
– Scansione delle vulnerabilita’
– Gestione delle patch
– Prevenzione della perdita di dati
– Informazioni sulle minacce
In aggiunta, i servizi MSSP possono includere:
– Valutazione dei rischi e analisi delle lacune
– Sviluppo di politiche e gestione del rischio
– Ricerca della soluzione
– Ricerca e requisizione di soluzioni e strumenti
– Implementazione della soluzione
– Gestione dei sistemi di sicurezza
– Gestione della configurazione
– Aggiornamenti di sicurezza
– Reporting, revisione e conformita’
– Formazione e istruzione
Un MSSP puo’ offrire una gamma ampia e generalizzata di capacita’ e servizi di sicurezza, oppure puo’ specializzarsi in una o poche aree di interesse. Un’altra cosa che differenzia tra MSP e MSSP sono i NOC e i SOC.
Gli MSP stabiliscono spesso la propria rete operativa di rete (NOC) dalla quale monitorano e amministrano le operazioni dei clienti, gli MSSP invece stabiliscono un centro operativo di sicurezza (SOC), che e’ responsabile della protezione dell’infrastruttura (reti, applicazioni, database, server, ecc.).
Perche’ scegliere un MSSP?
Ora che sappiamo cos’e’ un MSSP, dobbiamo capire perche’ bisognerebbe scegliere un servizio del genere.
La ragione e’ da cercare nella digitalizzazione del business, che e’ il piu’ grande motore di crescita aziendale degli ultimi anni. Man mano che le aziende diventano sempre piu’ interconnesse attraverso la tecnologia, le opportunita’ crescono, ma con loro anche le minacce alla sicurezza. In questo caso, dirigenti e consigli di amministrazione stanno cercando di trasformare le loro aziende in centri di potere dell’era digitale e stanno esaminando piu’ da vicino la loro posizione in materia di sicurezza.
Ma e’ qui che le cose diventano concrete: le soluzioni sono complicate, e costruire il proprio reparto di sicurezza informatica 24 ore su 24, 7 giorni su 7, richiede tempo, denaro e persone. D’altra parte, una singola violazione dei dati puo’ danneggiare gravemente il valore della vostra azienda e costare una perdita economica non indifferente.
Per questo l’esternalizzazione dell’intera soluzione di sicurezza informatica della vostra azienda a un Managed Security Service Provider (MSSP) e’ una decisione sempre piu’ diffusa. Questo modello di cybersecurity come servizio e’ popolare tra le aziende, indipendentemente dalle dimensioni. Questo perche’ la difesa informatica sta diventando cosi’ complessa e richiede cosi’ tanto tempo che le aziende non hanno altra scelta se non quella di esternalizzare i servizi di sicurezza per seguire le best practices.
Noi di SOD forniamo esattamente questo tipo di servizi per la sicurezza, attraverso varie modalita’. Oltre ai servizi tipici di un MSP, come VPS, Super Cloud, etc., siamo in grado di coprire ogni esigenza per la sicurezza aziendale tramite il nostro SOCaaS che implementa varie soluzioni tra cui UEBA, SIEM, Vulnerability Assessment & Penetration Test, Active Protection, Log Management, Servizio di Monitoraggio IT, Servizi Gestisti, GDPR e Privacy.
Se sei interessato a sapere come SOD puo’ aiutare la tua azienda nel migliorare la cybersecurity applicata, puoi metterti in contatto con noi, saremo lieti di rispondere alle domande e proporre una soluzione adatta alla situazione.
Link utili:
SOAR: cos’e’ e come puo’ essere utile per le aziende
SIEM in informatica: la storiaSOAR: coordinazione per la cyber security
Tempo di lettura: 4 min
Il ransomware viene comunemente portato a segno con una e-mail che inganna gli utenti a fidarsi di un file dannoso. Molte delle piu’ recenti violazioni dei dati sono state portate a termine perché un utente e’ stato vittima di un attacco di questo tipo nel periodo precedente. Minacce come il ransomware, che si concentrano sulla compromissione dell’utente, fanno si’ che sempre piu’ aziende adottino l’analisi comportamentale degli utenti e delle entita’ (UEBA) nel loro centro operativo di sicurezza (SOC). Le nuove funzioni del servizio SOC, tra cui la long-term search, sono orientate all’offerta sempre maggiore di strumenti aggiuntivi per la gestione ottimale della sicurezza aziendale.
Noi continuiamo nell’innovazione della nostra piattaforma per aumentare la potenza del SOC nel combattere ransomware e altre minacce. Nella nostra piu’ recente versione, abbiamo aggiunto un numero ancora maggiore di funzionalita’ di rilevamento basate sull’apprendimento automatico e context-aware che consentono agli analisti della sicurezza di affrontare le aggressioni piu’ sofisticate. Inoltre, gli ultimi aggiornamenti portano una sempre maggiore facilita’ d’uso per gli architetti della sicurezza.
Long-term search per l’analista della sicurezza
Il servizio introduce una serie di innovazioni per ridurre i tempi di rilevamento e di risposta degli analisti della sicurezza e dei cercatori di minacce.
Miglioramento del rilevamento di minacce sofisticate
– La long-term search aiuta gli analisti a scoprire le minacce nascoste fornendo una capacita’ di ricerca sui dati archiviati. La ricerca e’ scalabile e non influisce sulle prestazioni del SIEM.
– Analytics Sandbox aiuta ad abbattere i falsi positivi fornendo un ambiente di QA in linea per testare e convalidare i casi d’uso.
– Le catene di minacce Persona-based rilevano le minacce avanzate in modo piu’ accurato, comprendendo la relazione dinamica tra utenti, host, indirizzi IP e indirizzi e-mail. Gli analisti traggono vantaggio da una piu’ ampia visibilita’ sulla progressione di un attacco. Questa funzione combina le attivita’ sospette di un singolo utente in un unico avviso con priorita’, invece di avvisi separati e non correlati.
– Relative Rarity offre agli analisti un contesto piu’ ampio su quanto sia raro un evento rispetto a tutti gli altri eventi nel loro ambiente.
– La visualizzazione degli avvisi di sicurezza utilizzando il MITRE ATT&CK Threat Framework aiuta gli analisti a dare priorita’ al rischio e a ridurre i tempi di risposta.
Riduzione dei tempi di risposta
– Il miglioramento della gestione dei casi consente una migliore gestione, condivisione e investigazione degli allarmi, consentendo agli operatori di rispondere piu’ rapidamente.
– Le nuove integrazioni EDR migliorano la risposta agli incidenti fornendo ulteriori dati sugli endpoint da CarbonBlack Defense, Tanium, Symantec DLP e altri.
– Le migliori visualizzazioni delle ricerche migliorano l’esperienza dell’analista riducendo i tempi di rilevamento e di risposta. Aiutano gli analisti a identificare facilmente gli account compromessi, l’esfiltrazione dei dati e gli hotspot associati.
Perche’ la long-term search e’ cosi’ importante
Con un tempo di permanenza globale di circa 60 giorni in media, la caccia alle minacce continua ad essere una parte importante nella resilienza della sicurezza informatica. Tuttavia, la ricerca attraverso lo storico dei dati richiede solitamente molto tempo.
Molti fornitori non sono in grado di scalare dinamicamente una ricerca veloce attraverso i dati archiviati senza notevole sforzo. Le ultime funzionalita’ del nostro SOCaaS forniscono questa possibilita’ ai cacciatori di minacce con la long-term search su scala quasi illimitata. Con la ricerca a lungo termine, le organizzazioni possono ridurre il tempo necessario per indagare e trovare le minacce che sono gia’ nel loro ambiente.
Gli analisti hanno bisogno di interrogare continuamente i dati per capire se ci sono nuove minacce. Ad esempio, un analista potrebbe apprendere, da una fonte attendibile, che il loro settore e’ stato preso di mira. A questo punto c’e’ bisogno di indagare su un nuovo indicatore di compromesso che e’ stato appena scoperto per verificare se un aggressore e’ gia’ all’interno.
Attraverso la long-term search, il SIEM nativo del SOCaaS di SOD consente ai cacciatori di minacce di essere proattivi, rendendo la ricerca sui dati storici veloce e conveniente.
Conclusioni
Tramite l’introduzione di nuove tecnologie nel nostro servizio SOC, stiamo offrendo sempre piu’ sicurezza per i nostri clienti.
Ci prendiamo cura dei vostri dati verificando non solo che non siano al sicuro ora, ma anche che non abbiano subito violazioni in passato. Nel caso dovessimo avere il sospetto di una nuova minaccia, sappiamo come individuarla.
Nel caso avessi domande, contattaci, saremo lieti di rispondere a ogni tuo dubbio.
Link utili:
Tempo di lettura: 4 min
La pratica dello shadow IT e’ l’utilizzo di sistemi informatici, dispositivi, software, applicazioni e servizi senza l’approvazione esplicita del reparto IT. Negli ultimi anni e’ cresciuto in modo esponenziale con l’adozione di applicazioni e servizi basati sul cloud.
Se da un lato lo shadow IT potrebbe migliorare la produttivita’ dei dipendenti e guidare l’innovazione, dall’altro puo’ anche introdurre gravi rischi per la sicurezza dell’organizzazione a causa di data breach, potenziali violazioni della conformita’ e altro ancora.
Perche’ gli utenti praticano shadow IT
Uno dei motivi principali per cui i dipendenti applicano lo shadow IT e’ semplicemente quello di lavorare in modo piu’ efficiente. Uno studio RSA del 2012 ha riportato che il 35% dei dipendenti ritiene di dover aggirare le politiche di sicurezza della propria azienda solo per riuscire a svolgere il proprio lavoro a dovere. Ad esempio, un dipendente potrebbe scoprire un’applicazione di condivisione dei file migliore di quella ufficialmente consentita. Una volta che inizia a utilizzarla, l’uso potrebbe diffondersi ad altri membri del suo reparto.
La rapida crescita delle applicazioni consumer basate sul cloud ha anche aumentato l’adozione di pratiche shadow IT. Sono ormai lontani i tempi dei software confezionati; applicazioni comuni come Slack e Dropbox sono disponibili con un semplice clic, e i dati aziendali vengono facilmente copiati oltre le applicazioni di lavoro anche ai dispositivi personali dei dipendenti, come smartphone o laptop, soprattutto in condizioni di lavoro di tipo BYOD (Bring Your Own Device).
Shadow IT: rischi e sfide per la sicurezza
Il punto e’ che se il reparto IT non e’ a conoscenza dell’uso di un’applicazione, non puo’ supportare o garantire che sia sicura. L’azienda analista di settore Gartner prevedeva, nel 2018, che entro il 2020, un terzo degli attacchi di successo che le aziende sperimentano si concentrano sulle loro risorse soggette a shadow IT.
Anche se e’ chiaro che la pratica non scomparira’, le organizzazioni possono minimizzare i rischi educando gli utenti finali e prendendo misure preventive per monitorare e gestire le applicazioni non autorizzate.
Non tutto lo shadow IT e’ intrinsecamente pericoloso, ma alcune funzionalita’ come la condivisione dei file e l’archiviazione e la collaborazione (ad esempio, Google Docs) possono provocare fughe di dati sensibili. Questo rischio va oltre le sole applicazioni: lo studio RSA riferisce anche che il 63% dei dipendenti invia documenti di lavoro alla propria email personale per lavorare da casa, esponendo i dati a reti che non possono essere monitorate.
In tempi come quello che stiamo vivendo, in cui il telelavoro e’ incentivato e, in alcuni casi, l’unica soluzione possibile, e’ indispensabile avere un’occhio di riguardo per le applicazioni in uso nei computer dei dipendenti.
Vantaggi di Shadow IT
Nonostante i rischi, lo shadow IT ha i suoi vantaggi. Ottenere l’approvazione dell’IT puo’ richiedere tempo che i dipendenti non possono permettersi di perdere. Per molti dipendenti l’approvazione e’ un collo di bottiglia per la produttivita’, soprattutto quando possono ottenere la soluzione in pochi minuti.
Avere l’IT che si comporta come un “Grande Fratello” orwelliano non sempre favorisce la produttivita’. Discernere i casi di shadow IT positivo puo’ essere il miglior compromesso. Trovare una via di mezzo puo’ consentire agli utenti finali di ricercare soluzioni che funzionano meglio per loro. In questo modo si da tempo all’IT di controllare i dati e le autorizzazioni degli utenti per le applicazioni. Se gli utenti finali non hanno bisogno di richiedere nuove soluzioni, si da tempo al reparto IT di concentrarsi su attivita’ piu’ critiche.
Difesa proattiva
Qualunque sia il motivo per cui lo shadow IT avviene, se il reparto IT non ne e’ a conoscenza, il rischio di breach e’ elevato. Quello che i reparti addetti alla cyber security aziendale dovrebbero fare, e’ mettere in campo sistemi automatizzati di controllo del traffico e del comportamento.
La soluzione offerta da un SOC as a Service e’ la piu’ completa sotto questo aspetto. Consente di tenere sotto controllo tutti i dispositivi del sistema e monitorare anche i comportamenti degli utenti.
Grazie ai sistemi Nextgen SIEM e UEBA, infatti, la raccolta dei dati di utilizzo e’ facile e gestibile in tempo reale. I dati raccolti sono arricchiti e aggregati per dare agli analisti la visione piu’ completa possibile e permettere l’intervento rapido. Il sistema UEBA, intanto, verifica che non ci siano comportamenti anomali da parte degli utenti o traffico sospetto di dati in uscita.
Lo shadow IT, per quanto non sia solitamente un attacco malizioso, e’ una pratica che dovrebbe essere scoraggiata e, in quanto rischiosa, bloccata sul nascere.
Link utili:
Tempo di lettura: 6 min
I classici strumenti e sistemi di difesa contro gli le minacce informatiche stanno rapidamente diventando obsoleti e ci sono diversi modi per superarli. Cio’ che rimane comune con sicurezza tra i cyber criminali che tentano un attacco e’ l’intento dell’attacco stesso. Infatti, sapendo che esistono sistemi in grado di rilevare gli indicatori di compromesso (IOC), e’ naturale che gli hacker competenti cercheranno di non lasciare tracce riconducibili agli standard. L’analisi del comportamento degli utenti e delle entita’ (UEBA) offre un modo piu’ completo per assicurarsi che l’azienda disponga di una sicurezza IT di prim’ordine. Al tempo stesso, aiuta a rilevare gli utenti e le entita’ che potrebbero compromettere l’intero sistema.
Una definizione di User Entity Behaviour Analytics
L’analisi del comportamento degli utenti e delle entita’, o UEBA (User Entity Behaviour Analytics), e’ un tipo di processo di sicurezza informatica che prende atto del comportamento standard degli utenti. A loro volta, il sistema rileva ogni comportamento anomalo o i casi in cui ci sono deviazioni dagli schemi “normali” citati prima. Ad esempio, se un particolare utente scarica regolarmente 10 MB di file ogni giorno, e improvvisamente ne scarica 1 GB, il sistema sarebbe in grado di rilevare questa anomalia e di avvertire immediatamente gli operatori. Il comportamento potrebbe essere legittimo, ma vale la pena controllare.
Il sistema UEBA utilizza l’apprendimento automatico, gli algoritmi e le analisi statistiche per sapere quando c’e’ una deviazione dai modelli stabiliti. Successivamente, mostra quale di queste anomalie potrebbe risultare in una potenziale e reale minaccia. Inoltre, UEBA puo’ aggregare i dati dei report e dei log, cosi’ come analizzare le informazioni su file, flusso e pacchetti.
Con un UEBA si tracciano tutti gli utenti e le entita’ del sistema. In questo modo il sistema si concentra sulle minacce interne, come dipendenti disonesti, quelli compromessi e le persone che hanno accesso al sistema e quindi effettuano attacchi mirati e tentativi di frode, cosi’ come i server, le applicazioni e i dispositivi che lavorano all’interno del sistema.
Vantaggi
E’ la spiacevole verita’ che gli strumenti di sicurezza informatica di oggi stanno rapidamente diventando obsoleti. Ormai gli hacker e i cyber criminali piu’ abili sono in grado di aggirare le difese perimetrali utilizzate dalla maggior parte delle aziende. Qualche anno fa si era sicuri se si disponeva di gateway web, firewall e strumenti di prevenzione delle intrusioni. Questo non e’ piu’ il caso nel complesso panorama delle minacce, ed e’ particolarmente vero per le grandi aziende che hanno dimostrato di avere perimetri IT molto porosi che sono anche molto difficili da gestire e supervisionare.
Il punto fondamentale? Le misure preventive non sono piu’ sufficienti. I firewall non saranno infallibili al 100% e gli aggressori entreranno nel sistema in un punto o nell’altro. Ecco perche’ il rilevamento e’ altrettanto importante: quando gli hacker entrano con successo nel sistema, allora bisogna essere in grado di rilevare rapidamente la loro presenza per ridurre al minimo i danni.
Come funziona?
La premessa del sistema e’ in realta’ molto semplice. Si puo’ facilmente rubare il nome utente e la password di un dipendente, ma e’ molto piu’ difficile imitare il comportamento normale della persona una volta dentro la rete.
Per esempio, diciamo che si riesca a rubare la password e il nome utente di Mario Rossi. E’ quasi impossibile comunque agire esattamente come Mario Rossi una volta dentro al sistema, a meno che non venga fatta anche un’ampia ricerca e preparazione in questa direzione. Pertanto, quando il nome utente di Mario e’ collegato al sistema e il suo comportamento e’ diverso da quello tipico, e’ il momento in cui iniziano a suonare gli allarmi UEBA.
Un’altra analogia correlabile sarebbe il furto di una carta di credito. Un ladro puo’ rubare il portafoglio e andare in un negozio di articoli di lusso e iniziare a spendere migliaia di euro. Ma, se il modello di spesa su quella carta e’ diverso da quello del ladro, il reparto di rilevamento delle frodi riconoscera’ le spese anomale e blocchera’ gli acquisti sospetti, inviandovi un avviso o chiedendo di verificare l’autenticita’ di una transazione.
Cosa puo’ fare UEBA?
UEBA e’ una componente molto importante della sicurezza informatica moderna e permette di:
1. Rilevare le minacce interne: Non e’ troppo azzardato immaginare che un dipendente, o forse un gruppo di dipendenti, possa disobbedire, rubare dati e informazioni utilizzando il proprio accesso. UEBA puo’ aiutarvi a rilevare violazioni dei dati, sabotaggi, abusi di privilegi e violazioni di policy da parte del personale.
2. Rilevare gli account compromessi: A volte, gli account utente vengono compromessi. Puo’ essere che l’utente abbia involontariamente installato malware sulla sua macchina, o che a volte un account legittimo sia stato falsificato. UEBA puo’ aiutare ad eliminare gli utenti compromessi prima che possano fare danni.
3. Rilevare gli attacchi di forza bruta: Gli hacker a volte prendono di mira le entita’ basate sul cloud cosi’ come i sistemi di autenticazione di terze parti. Con UEBA, si e’ in grado di rilevare i tentativi di attacco brute force, permettendo di bloccare l’accesso a queste entita’.
4. Rilevare le modifiche dei permessi e la creazione di super utenti: Alcuni attacchi prevedono l’uso di super users. UEBA consente di rilevare quando i super utenti vengono creati, o se ci sono account a cui sono stati concessi permessi non necessari.
5. Rilevare la violazione di dati protetti: Se si dispone di dati protetti, non e’ sufficiente tenerli al sicuro. Bisogna sapere quando un utente accede a questi dati se non ha alcun motivo commerciale legittimo per farlo.
UEBA e SIEM
Security Information and Event Management, o SIEM, e’ l’utilizzo di un complesso insieme di strumenti e tecnologie che fornisce una visione completa della sicurezza del vostro sistema IT. Si avvale di dati e informazioni sugli eventi, consentendo di vedere modelli e tendenze normali e di avvertire in caso di anomalie. UEBA funziona allo stesso modo, solo che utilizza le informazioni sul comportamento dell’utente (e dell’entita’) per verificare cio’ che e’ normale e cio’ che non lo e’.
Il SIEM, tuttavia, e’ basato su regole, e gli hacker competenti possono facilmente aggirare o eludere queste regole. Inoltre, le regole del SIEM sono progettate per rilevare immediatamente le minacce che si verificano in tempo reale, mentre gli attacchi piu’ avanzati sono solitamente effettuati nell’arco di mesi o anni. L’UEBA, invece, non si basa su regole. Utilizza invece tecniche di risk scoring e algoritmi avanzati che gli consentono di rilevare le anomalie nel tempo.
Una delle migliori pratiche per la sicurezza informatica e’ quella di utilizzare sia SIEM che UEBA per avere migliori capacita’ di sicurezza e di rilevamento.
Come andrebbe usato un UEBA
L’UEBA e’ nato dalla necessita’ di individuare il comportamento dannoso degli utenti e di altre entita’. Gli strumenti e i processi UEBA non sono destinati a sostituire i sistemi di monitoraggio precedenti, ma dovrebbero invece essere utilizzati per integrarli e migliorare la sicurezza generale di un’azienda. Un’altra grande pratica e’ quella di sfruttare le capacita’ di memorizzazione e di calcolo dei grandi dati, utilizzando l’apprendimento automatico e l’analisi statistica per evitare di ricevere una valanga di allarmi inutili e di essere sopraffatti dal grande volume di dati generati.
Ed e’ esattamente quello che accade nel SOCaaS offerto da SOD, in cui il SOAR e’ garantito anche dalla collaborazione di questi sistemi.
UEBA utilizza l’apprendimento automatico e gli algoritmi per rafforzare la sicurezza monitorando gli utenti e altre entita’, rilevando anomalie nei modelli di comportamento che potrebbero essere indicative di una minaccia. Adottando un approccio proattivo alla sicurezza e acquisendo una maggiore visibilita’ sul comportamento degli utenti e delle entita’, le imprese di oggi sono in grado di costruire sistemi di sicurezza piu’ forti e di mitigare piu’ efficacemente le minacce e prevenire le violazioni.
Link utili:
Cos’e’ un Network Lateral Movement e come difendersi
Il SOCaaS è utile per la tua azienda?
SOAR: cos’e’ e come puo’ essere utile per le aziende
Sicurezza: pentest e verifica delle vulnerabilita’
SIEM in informatica: la storia
Tempo di lettura: 5 min
La tecnologia SOAR (Security Orchestration, Automation and Response) aiuta a coordinare, eseguire e automatizzare le attivita’ tra persone e strumenti, consentendo alle aziende di rispondere rapidamente agli attacchi alla sicurezza informatica. Lo scopo e’ quello di migliorare la loro posizione complessiva in materia di sicurezza. Gli strumenti SOAR utilizzano playbook (strategie e procedure) per automatizzare e coordinare i flussi di lavoro che possono includere strumenti di sicurezza e mansioni manuali.
In che modo SOAR aiuta nel campo della sicurezza?
1. Combinando in un’unica soluzione l’orchestrazione della sicurezza, l’automazione intelligente, la gestione degli incidenti e le indagini interattive.
2. Facilitando la collaborazione dei team e consentendo agli analisti della sicurezza di intraprendere azioni automatiche sugli strumenti in tutto il loro stack di sicurezza.
3. Fornendo ai team un’unica console centralizzata per gestire e coordinare tutti gli aspetti della sicurezza della loro azienda.
4. Ottimizzando la gestione dei casi, incrementando l’efficienza con l’apertura e la chiusura dei ticket per investigare e risolvere gli incidenti.
Perche’ le aziende necessitano di un SOAR?
Le compagnie moderne devono affrontare regolarmente molte sfide e ostacoli, quando di tratta di lotta contro i cyber threat.
Una prima sfida e’ rappresentata da un volume sempre crescente di minacce complesse per la sicurezza. Inoltre, gli strumenti di sicurezza coinvolti molto spesso faticano a parlare tra loro, il che e’ di per se’ un ostacolo fastidioso.
Un cosi’ grande numero di dati e software, non puo’ che significare un numero elevato di allarmi di sicurezza. Infatti, sono troppi i dati di intelligence sulle minacce per consentire ai team di classificare manualmente, assegnare priorita’, indagare e indirizzare le minacce. Inoltre, il lavoro degli addetti alla sicurezza comporta competenze molto specifiche e con l’aumentare della richiesta e’ sempre piu’ complicato trovare un numero sufficiente di addetti alla sicurezza per svolgere il lavoro.
Implementazione del sistema
SOAR aiuta le aziende ad affrontare e superare queste sfide consentendo loro di:
– Unificare i sistemi di sicurezza esistenti e centralizzare la raccolta dei dati per ottenere piena visibilita’.
– Automatizzare le attivita’ manuali ripetitive e gestire tutti gli aspetti del ciclo di vita degli incidenti.
– Definire l’analisi degli incidenti e le procedure di risposta, oltre a sfruttare i playbook di sicurezza per dare priorita’, standardizzare e scalare i processi di risposta in modo coerente, trasparente e documentato.
– Identificare e assegnare in modo rapido e preciso i livelli di gravita’ degli incidenti agli allarmi di sicurezza e supportare la riduzione degli allarmi.
– Identificare e gestire meglio le potenziali vulnerabilita’ in modo proattivo e reattivo.
– Indirizzare ogni incidente di sicurezza all’analista piu’ adatto a rispondere, fornendo al contempo funzioni che supportino una facile collaborazione e il monitoraggio tra i team e i loro membri.
Applicazioni pratiche
Qui di seguito ho voluto elencare qualche esempio pratico di come un SOAR entra in azione in determinate situazioni.
Gestione degli allarmi
Arricchimento e risposta del phishing: attivazione di un playbook. Automazione ed esecuzione di attivita’ ripetibili come il triage e il coinvolgimento degli utenti interessati. Applicare un’estrazione e il controllo degli indicatori per l’identificazione di falsi positivi, in seguito richiedere l’attivazione del SOC per una risposta standardizzata su scala.
Infezione da malware degli endpoint: estrazione dei dati di alimentazione delle minacce dagli strumenti degli endpoint e arricchimento di tali dati. Riferimenti incrociati tra i file recuperati e gli hash con una soluzione SIEM, notifica agli analisti, pulizia degli endpoint e aggiornamento del database degli strumenti.
Login utente non riuscito: dopo un numero predefinito di tentativi di login utente non riusciti, valutando se un login non riuscito e’ autentico o dannoso, un SOAR puo’ attivarsi in vari modi. Innanzi tutto mettendo in pratica un playbook, coinvolgendo gli utenti e in seguito analizzando le loro risposte, poi anche le password in scadenza e infine chiudendo il processo.
Caccia alle minacce
Indicatori di compromesso (IOC): prendere ed estrarre gli indicatori dai file, rintracciare gli indicatori attraverso gli strumenti di intelligence e aggiornare i database.
Analisi del malware: verifica di dati da fonti multiple, estrazione ed eliminazione dei file dannosi. Successivamente viene generato un rapporto e controllata la presenza di malizia.
Risposta agli incidenti cloud: questo avviene attraverso l’utilizzo di dati provenienti da strumenti di rilevamento delle minacce e di registrazione degli eventi focalizzati sul cloud. I dati vengono poi unificati tra le infrastrutture di sicurezza cloud e on-premises, messi in correlazione grazie a un SIEM. Gli indicatori sono poi estratti e arricchiti, per poi controllare la presenza di malizia. Un ultimo passaggio di controllo umano agli analisti che fanno una loro revisione delle informazioni aggiornano il database e chiudono il caso.
I benefici di un SOAR
In sostanza un SOAR implementa metodi di lavoro e protocolli di azione nel sistema di lotta alle minacce informatiche di un azienda. In questo modo migliora notevolmente l’efficienza operativa e accelera il rilevamento degli incidenti cosi’ come i tempi di risposta, che vengono, di fatto, standardizzati.
Un SOAR aumenta la produttivita’ degli analisti e consente loro di concentrarsi sul miglioramento della sicurezza invece che sull’esecuzione di attivita’ manuali.
Sfruttando e coordinando gli investimenti tecnologici di sicurezza esistenti in un’azienda e’ possibile davvero fare la differenza.
Link utili:
Cos’e’ un Network Lateral Movement e come difendersi
Il SOCaaS è utile per la tua azienda?
SOAR: cos’e’ e come puo’ essere utile per le aziende
Sicurezza: pentest e verifica delle vulnerabilita’
Tempo di lettura: 7 min
Il SIEM esiste gia’ da un bel po’ di tempo, ma non e’ ancora ben compreso. Inoltre, il fatto che la tecnologia si sia evoluta in modo significativo negli ultimi anni non aiuta a fare chiarezza. Oggi vediamo a che punto siamo, cercando di capire il Next Generation SIEM e i sistemi gestiti offerti come servizi che si avvalgono dell’uso di SIEM di ultima generazione (SOCaaS, per esempio). Vediamo cosa significa tutto questo per le aziende.
Essendo una parte fondamentale del SOCaaS offerto da SOD, mi sembra opportuno spiegare nel dettaglio cosa sia un Next Generation SIEM e quali le sue funzioni.
Breve storia del SIEM
Prima di esaminare che cos’e’ un Next Generation SIEM, e’ giusto ripercorrere brevemente la storia di questa tecnologia e del suo inizio.
Il termine Security Information and Event Management (SIEM) viene coniato nel 2005 da Mark Nicolett e Amrit T. Williams di Gartner. La parola e’ la fusione di Security Event Management (SEM) e di Security Information Management (SIM).
La sua definizione originale data dai creatori del termine e’: una tecnologia che supporta il rilevamento delle minacce e la risposta agli incidenti di sicurezza, attraverso la raccolta in tempo reale e l’analisi storica degli eventi da un’ampia varieta’ di fonti di dati contestuali.
Il SIEM e’ nato dalla necessita’ di affrontare l’enorme numero di allarmi emessi dai sistemi di prevenzione delle intrusioni (IPS) e dai sistemi di rilevamento delle intrusioni (IDS) che stavano travolgendo i reparti IT. Aiutando le organizzazioni ad aggregare gli eventi e ad analizzare meglio quelli all’interno della rete, SIEM ha aiutato le organizzazioni a migliorare il rilevamento delle minacce. Ha inoltre portato le organizzazioni ad adottare un approccio piu’ proattivo alla sicurezza. Le tecnologie di sicurezza preventive non sono piu’ sufficienti da sole.
Le difficolta’ dei SIEM nei primi anni
Desiderose di migliorare la loro situazione di sicurezza informatica, molte organizzazioni a livello aziendale hanno adottato rapidamente la tecnologia SIEM. Nel corso degli anni, tuttavia, sono emersi problemi ereditati dal passato:
1. I set di dati erano poco flessibili, quindi alcuni SIEM non erano in grado di elaborare i dati richiesti, il che significava che la loro efficacia era limitata
2. Erano difficili da mantenere e da gestire, il che aggiungeva complessita’ e prosciugava le risorse di personale
3. I SIEM producevano un elevato numero di falsi positivi, creando ancora piu’ lavoro per i team di sicurezza
4. Con l’avanzare della tecnologia, i SIEM hanno faticato a stare al passo con l’evoluzione delle minacce e quindi il rischio informatico per le aziende e’ cresciuto
Arriva il Next Generation SIEM
Molte minacce avanzate sono ora polimorfiche piuttosto che statiche. Sono in grado, cioe’, di modificare costantemente il loro comportamento per eludere il rilevamento. In quanto tali, i sistemi Next Generation SIEM devono, non solo elaborare un maggior numero di dati, ma anche diventare molto piu’ capaci nel riconoscere nuovi modelli al loro interno.
Date le difficolta’ e i limiti dei sistemi SIEM ereditati, molti pensavano che sarebbero scomparsi con il tempo. Ma questo non e’ accaduto, il SIEM rimane ancora una tecnologia chiave utilizzata dalle aziende. La tecnologia ha dovuto pero’ evolversi.
Mentre un tempo il SIEM si basava solo su una manciata di fonti di dati, la “Next Generation” dei sistemi SIEM e’ stata sviluppata per elaborare un volume e una varieta’ di dati maggiori, oltre a correlarli in modo tempestivo.
Gartner ha riferito che il mercato SIEM e’ in continua crescita. Una delle ragioni di questa crescita e’ che i sistemi Next Gen SIEM sono ora utilizzati da organizzazioni di medie dimensioni, non solo dalle grandi imprese.
Next Generation SIEM si avvale dell’uso del cloud per la raccolta dei dati
Quali sono le capacita’ del Next Gen SIEM?
I Next Gen SIEM, talvolta denominati SIEM di tipo analitico o SIEM 3.0, hanno portato nuove capacita’ alle organizzazioni e ai loro team di sicurezza.
– Permettono una piu’ rapida integrazione in un’infrastruttura aziendale attraverso un’architettura aperta per coprire le risorse cloud, on-premise e BYOD
– Includono strumenti di visualizzazione in tempo reale per comprendere le attivita’ piu’ importanti e ad alto rischio
– Utilizzano l’analisi degli scenari e del comportamento per “fotografare” scenari ben compresi ed evidenziare cambiamenti significativi nel comportamento
– Integrano e utilizzano le informazioni sulle minacce (Threat Intelligence) provenienti da fonti personalizzate, open source e commerciali
– Forniscono un quadro flessibile che consente l’implementazione di un flusso di lavoro su misura per i principali casi d’uso organizzativi
– Misurano lo stato rispetto ai quadri normativi (ad esempio PCI DSS) per la prioritizzazione e la gestione del rischio
Security Orchestration, Automation and Response
Security Orchestration, Automation and Response (SOAR) e’ un’area di sicurezza in crescita che i fornitori di Next Gen SIEM stanno sfruttando per contribuire e mettere a frutto le piu’ recenti funzionalita’. Nella sua essenza, SOAR ha due aspetti fondamentali:
1. Permette di portare piu’ dati in un Next Gen SIEM per l’analisi
SOAR sta aiutando la tecnologia SIEM a diventare piu’ intelligente e orientata ai Big Data, consentendo cosi’ ai team di sicurezza di prendere decisioni piu’ rapide e meglio informate. Un’intelligence piu’ ampia significa un’identificazione piu’ affidabile delle minacce e meno falsi positivi.
2. Aiuta ad automatizzare la risposta agli incidenti
Un altro modo importante in cui SOAR sta influenzando l’evoluzione dei SIEM Next Gen e’ quello di contribuire a standardizzare l’analisi degli incidenti e le procedure di risposta. L’obiettivo e’ quello di automatizzare parzialmente o completamente le attivita’ di risposta, al fine di ridurre i potenziali danni e i disagi che le violazioni possono causare. Tali attivita’ di risposta potrebbero includere il blocco degli account utente compromessi e il blocco degli indirizzi IP su un firewall.
Automatizzando le azioni di routine, SOAR aiuta i team di sicurezza a diventare piu’ efficienti e libera loro tempo per concentrarsi sulla caccia alle minacce e sulla gestione delle patch.
Analisi del comportamento degli utenti (UEBA)
Un’altra importante caratteristica dei Next Generation SIEM e’ l’uso della User and Entity Behaviour Analytics (UEBA). L’UEBA non tiene traccia degli eventi di sicurezza ne’ monitora i dispositivi, ma si concentra invece sul monitoraggio e sull’analisi del comportamento degli utenti di un’organizzazione.
UEBA puo’ essere estremamente utile per aiutare le organizzazioni ad identificare gli account compromessi, cosi’ come le minacce da parte di insider. Funziona utilizzando tecniche avanzate di machine learning e di profilazione comportamentale per identificare attivita’ anomale come compromissioni di account e abuso di privilegi. Non utilizzando un monitoraggio basato su regole, l’UEBA e’ piu’ efficace nel rilevare le anomalie nel tempo.
Le sfide per un SIEM moderno
Nonostante gli indiscutibili progressi nel rilevamento di complesse minacce informatiche, i SIEM Next Gen possono ancora, se non vengono impiegati e mantenuti correttamente, generare un gran numero di allarmi. Per le organizzazioni che non dispongono di risorse IT e di personale di sicurezza dedicato, la ricerca di questi allarmi per distinguere i veri problemi di sicurezza della rete dai falsi positivi puo’ essere estremamente complessa e richiedere molto tempo.
Anche quando vengono identificate minacce reali, sapere come rispondere ad esse puo’ essere altrettanto impegnativo.
Ottenere il massimo dal SIEM, per aiutare ad affrontare le crescenti sfide di sicurezza, dipendera’ anche da personale meglio addestrato che possa utilizzare i sistemi in modo piu’ efficace e convalidare gli allarmi. Per le organizzazioni che non dispongono di conoscenze o capacita’ interne, ha quindi senso lavorare con un fornitore esterno in grado di coprire o aumentare le capacita’ di sicurezza.
Un servizio completo di SOCaaS, comprendente Next Generation SIEM e UEBA per la caccia alle minacce, e’ la scelta ideale. Non solo si risparmia in termini di tempo per la convalida e controllo degli allarmi, ma anche in termini economici, non dovendo affrontare spese di installazione e formazione del personale.
Se fossi interessato a saperne di piu’, non esitare a contattarci, risponderemo alle tue domande.
Link utili:
Cos’e’ un Network Lateral Movement e come difendersi
Il SOCaaS è utile per la tua azienda?
SIEM software: cos’e’ e come funziona
SIEM in informatica: la storia
Tempo di lettura: 6 min
Una soluzione SIEM in informatica e’ uno dei componenti essenziali di un SOC (Security Operation Center). Il suo compito e’ quello di raccogliere informazioni e analizzarle alla ricerca di anomalie e possibili breach nel sistema. Ma non e’ sempre stato cosi’ semplice il processo di difesa. Quello che oggi chiamiamo SIEM, Security Information and Event Management, e’ l’unione di due differenti tipi di tool di cyber security.
SIM e SEM: le origini
Prima dell’arrivo di una soluzione completa SIEM in informatica, la sicurezza era fortemente incentrata sulla protezione del perimetro e non teneva adeguatamente controllata la rete interna. Le prime soluzioni sviluppate negli anni ’90 erano basilari e sostanzialmente si occupavano di gestione delle informazioni di sicurezza (SIM) oppure di gestione degli eventi di sicurezza (SEM). Erano soluzioni disponibili come strumenti che dovevano essere implementati in loco nel data center da proteggere. Questo limitava la scalabilita’, perché l’aggiunta di capacita’ richiedeva l’acquisto di ulteriore strumentazione.
Queste prime soluzioni erano anche costruite su database proprietari che obbligavano i clienti alla tecnologia di un unico fornitore. Se si voleva spostare i dati su un altro sistema, il processo era lungo e complicato. Da notare inoltre che l’archiviazione era piu’ costosa, quindi venivano raccolti solo i dati piu’ preziosi. Inoltre, sebbene le soluzioni SIM e SEM contenevano tutti i dati necessari alla difesa, la ricerca e l’allarme erano rudimentali. Inoltre, dipendevano da analisti della sicurezza esperti per ricercare, capire e interpretare cio’ che trovavano nei dati.
Le origini SIEM in informatica
Man mano che i dati diventavano piu’ sensibili e la tecnologia piu’ potente, i sistemi SIEM (SIM+SEM) diventavano capaci di ingerire, elaborare e memorizzare moltissimi dati. Le soluzioni SIEM in informatica di generazione successiva sono in grado di utilizzare gli avvisi signature-based per individuare le minacce nei dati raccolti. Tuttavia, in questo modo si possono individuare solo gli avvisi che abbiano individuato degli indicatori di compromesso (IOC) di una certa minaccia.
Per intenderci, se il tipo di attacco a cui viene sottoposto un sistema non e’ stato catalogato in una serie di IOC, un SIEM di prima generazione non e’ in grado di rilevarlo. Il principale svantaggio di quei sistemi era proprio la capacita’ molto limitata nello scoprire cyber threat sconosciuti.
Per fare un esempio pratico: era possibile usare una regola di questo tipo: “dare un avviso se un utente inserisce 10 password sbagliate consecutive”. In teoria questo potrebbe essere usato per rilevare attacchi con password di forza bruta. Ma cosa succederebbe se l’aggressore provasse solo 9 password di fila? O se l’allarme venisse dato per un utente molto smemorato?
Next Gen SIEM
Un SIEM di nuova generazione e’ costruito su una grande piattaforma di dati che fornisce una scalabilita’ illimitata ed e’ ospitato nel cloud. Un next gen SIEM include la gestione dei log, il rilevamento avanzato delle minacce basato sull’analisi del comportamento e la risposta automatica agli incidenti, il tutto su un’unica piattaforma.
Questo elimina i problemi a cui erano proni i vecchi sistemi on-premises. Non dovendo installare alcunché e potendo mandare i dati necessari nel cloud abbastanza semplicemente, la potenza di calcolo della macchina locale non e’ compromessa e il SIEM puo’ gestire tutti i dati tranquillamente.
Come procede un SIEM in analisi informatica delle minacce
1. Raccolta dati: una soluzione SIEM in informatica raccoglie dati da tutta l’organizzazione utilizzando agenti installati su vari dispositivi, tra cui endpoint, server, apparecchiature di rete e altre soluzioni di sicurezza. Il SIEM di nuova generazione include il supporto per applicazioni e infrastrutture cloud, applicazioni aziendali, dati di identita’ e feed di dati non tecnici.
2. Arricchimento dei dati: L’arricchimento aggiunge ulteriore contesto agli eventi. Il SIEM arricchira’ i dati con identita’, risorse, geolocalizzazione e informazioni sulle minacce.
3. Stoccaggio dei dati: I dati saranno poi memorizzati in una banca dati in modo da poterli ricercare durante le indagini. Il SIEM di nuova generazione sfrutta architetture open source e big data architectures, sfruttandone la scalabilita’.
4. Correlazione e analisi: Le soluzioni SIEM utilizzano diverse tecniche per trarre conclusioni utilizzabili dai dati del SIEM. Queste tecniche variano notevolmente.
5. Report: Un SIEM, in particolare un SIEM di nuova generazione, da’ la possibilita’ di cercare rapidamente i dati, permettendo di scavare negli avvisi e di cercare gli attori della minaccia e gli indicatori di compromesso. I dati visualizzati possono essere salvati o esportati. E’ inoltre possibile utilizzare report out-of-the-box o creare report ad hoc a seconda delle esigenze.
Per cosa e’ utilizzato un SIEM
Threat hunting e investigazione
La capacita’ di eseguire threat hunting su un SIEM e’ fondamentale per comprendere i veri modelli di attacchi basati sull’accesso, sull’attivita’ e sulle violazioni dei dati. Sviluppando una visione dettagliata e contestuale degli attacchi, gli analisti della sicurezza possono sviluppare piu’ facilmente politiche, contromisure e processi di risposta agli incidenti per contribuire a mitigare e rimuovere la minaccia.
Risposta in caso di incidente
Una risposta efficace agli incidenti e’ fondamentale per intervenire piu’ rapidamente e ridurre i tempi di permanenza della minaccia. Per questo, un SIEM fornisce un playbook per la risposta agli incidenti con azioni automatizzate configurabili. Un SIEM e’ in grado di integrarsi con soluzioni di terze parti per l’orchestrazione della sicurezza (SOAR) o la gestione dei singoli casi.
Difesa contro le minacce interne
Il motivo per cui le minacce interne sono un problema cosi’ grande perché non si tratta di entrare nel perimetro, ma di sfruttare posizioni interne. Possono essere i vostri dipendenti, appaltatori o soci in affari. Potrebbero essere loro stessi a voler sfruttare la loro posizione, oppure il loro account potrebbe essere stato violato.
Con ogni tipo di minaccia interna, l’aggressore cerca di rimanere nascosto, raccogliendo dati sensibili da sfruttare. Questo potrebbe causare notevoli danni alla compagnia, alla sua posizione nel settore e al suo rapporto con i consumatori o gli investitori. Con l’utilizzo di un SIEM, si evita questo rischio.
Individuazione di cyber threat
E’ probabile che la tua organizzazione disponga di almeno un archivio di dati sensibili. I cyber criminali prosperano sul saccheggio di questi dati per ottenere guadagni finanziari. Molte violazioni iniziano con una semplice e-mail phishing contro un obiettivo di un’organizzazione. Il semplice clic su un allegato puo’ lasciare codice dannoso dietro di sé. Un SIEM vi permettera’ di monitorare modelli avanzati di minacce informatiche come il phishing, il beaconing e il lateral movement.
Standard di conformita’
Per molti settori industriali, l’adesione agli standard di conformita’ e’ fondamentale. Un SIEM puo’ essere d’aiuto fornendo report incentrati sulle richieste per la conformita’ dei dati. I pacchetti integrati che coprono tutti i principali mandati, inclusi PCI DSS, SOX e ISO 27001, sono una caratteristica standard anche dei SIEM.
Next Generation SIEM
Un SIEM di nuova generazione non e’ solo un sistema ospitato nel cloud. Si avvale anche dell’implementazione di IA e Machine Learning per aumentare la difesa del sistema IT.
Lo vedremo in un prossimo articolo, ma e’ giusto specificare che il SOCaaS offerto da SOD si avvale della tecnologia di ultima generazione offerta da sistemi Next Gen. SIEM. Contattaci per saperne di piu’ a riguardo e parlare con esperti che possono fugare ogni tuo dubbio.
Link utili:
Cos’e’ un Network Lateral Movement e come difendersi
Tempo di lettura: 5 min
Durante un attacco informatico, gli hacker hanno un unico obiettivo in mente. Questo obiettivo potrebbe essere l’accesso alla macchina di uno sviluppatore e il furto del codice sorgente di un progetto, l’analisi delle e-mail di un particolare dirigente o l’estrazione di dati dei clienti da un server. Tutto cio’ che devono fare e’ entrare nella macchina o sistema che contiene i dati desiderati, giusto? Non proprio. In realta’, e’ un po’ piu’ complicato di cosi’. Per raggiungere il loro obiettivo, e’ probabile che gli hacker si introducano in un server web di basso livello, in un account di posta elettronica o un dispositivo per dipendenti, per fare qualche esempio. Da quel nodo, si muoveranno lateralmente (da cui il nome network lateral movement) per raggiungere il loro obiettivo.
In effetti, quando gli aggressori compromettono una risorsa in una rete, quel dispositivo non e’ quasi mai la loro destinazione finale. La compromissione iniziale, inoltre, raramente causa gravi danni e potrebbe passare inosservata. Solo se le squadre di sicurezza sono in grado di rilevare un lateral movement prima che gli aggressori raggiungano l’obiettivo previsto, e’ possibile prevenire la violazione dei dati.
In questo articolo esamineremo alcuni dei tipi piu’ comuni di network lateral movement e identificheremo i modi in cui possiamo rilevare l’attacco e difenderci.
Capire il network lateral movement
Il lateral movement avviene quando un aggressore si impossessa di una risorsa all’interno di una rete e poi estende la sua portata da quel dispositivo ad altri all’interno della stessa rete. Vediamolo con uno schema per aiutarci a capire meglio.
Il perimetro dell’infrastruttura da penetrare e’ rappresentato con una linea orizzontale. La meta’ superiore rappresenta cio’ che e’ al di fuori della rete, mentre cio’ che si trova al di sotto della linea rappresenta cio’ che e’ all’interno. Affinche’ un aggressore possa entrare nella rete, deve muoversi verticalmente, cioe’ dall’esterno verso l’interno (chiamato anche traffico Nord-Sud). Ma una volta che si e’ stabilito un punto d’appoggio, e’ possibile muoversi lateralmente o orizzontalmente, cioe’ all’interno della stessa rete (chiamato traffico Est-Ovest) per raggiungere l’obiettivo finale dell’attacco.
Possibile percorso di un lateral movement. La freccia indica i nodi della rete che vengono coinvolti nell’attacco.
Gli approcci al Lateral Movement
Nel complesso, ci sono due comuni metodi con cui un hacker applica il lateral movement.
Primo approccio: l’aggressore effettua una scansione interna per scoprire quali altre macchine si trovano all’interno della rete. In particolare, scansiona le porte aperte che sono in ascolto e le macchine che soffrono di vulnerabilita’. A quel punto, l’aggressore puo’ abusare di queste debolezze per spostarsi lateralmente verso un’altra risorsa.
Il secondo approccio al lateral movement sfrutta credenziali rubate, ed e’ il piu’ comune dei due. In questo tipo di attacco, l’hacker potrebbe utilizzare una tecnica di phishing via e-mail per infettare una macchina che si interfaccia con un particolare server. Dopo potra’ utilizzare il suo accesso per recuperare le password tramite un keylogger o altri strumenti simili. A questo punto, puo’ utilizzare qualsiasi credenziale sia stato in grado di ottenere per impersonare l’utente vittima del phishing e accedere a un’altra macchina. Una volta stabilito l’accesso su quel computer, si puo’ ripetere la tattica cercando ulteriori credenziali e/o privilegi da sfruttare. In questo modo, il malintenzionato puo’ farsi strada e creare connessioni remote al dispositivo target.
In entrambi i casi e’ complicato individuare l’attacco, perche’ non si presenta tramite malfunzionamenti di software o applicazioni.
Come difendersi
Un lateral movement si manifesta spesso tramite un’attivita’ di rete anomala. E’ sospettoso, ad esempio, che una macchina, che dialoga normalmente con poche altre, inizi a scansionare l’intera rete. Lo stesso vale se quella macchina tenta di connettersi a porte aperte, di interagire con servizi e credenziali con cui normalmente non ha contatti, o di utilizzare un nome utente che non e’ mai stato utilizzato prima.
La lista dei campanelli d’allarme va avanti all’infinito. La cosa fondamentale da capire e’ che un lateral movement implica macchine che fanno qualcosa fuori dalla loro routine, senza un’adeguata autorizzazione da parte dell’IT.
Questo e’ cio’ che da’ alle organizzazioni la possibilita’ di rilevare questo tipo di attacchi. Implementare una monitorizzazione dei log file e’ un primo passo per la difesa. Idealmente, i dati dovrebbero essere costantemente analizzati per individuare anomalie e possibili brecce.
Problematiche nella difesa
Queste difese non sono infallibili. I team di sicurezza che si affidano semplicemente ai log file limitano la portata della loro posizione difensiva, ad esempio, a causa di log file raccolti solo da particolari applicazioni. Si potrebbe decidere di monitorare un certo servizio per i furti di credenziali, ma gli aggressori potrebbero non sfruttare quel particolare servizio per effettuare un lateral movement. Cio’ significa che tutte le azioni dannose che non utilizzano i servizi monitorati non verranno rilevate tempestivamente.
Oltre a questo, gli hacker conoscono i tipi di protocolli che il personale di sicurezza tende a monitorare, rendendo il loro compito ulteriormente complesso. Gli attaccanti possono usare questa conoscenza per modellare le loro campagne di attacco in modo da avere maggiori possibilita’ di passare inosservati. E’ uno dei motivi per cui e’ stato creato il database MITRE ATT&CK, per raccogliere tecniche conosciute e alzare le difese.
Il vantaggio di un SOCaaS
Non e’ sufficiente che le organizzazioni cerchino il lateral movement utilizzando i log file o uno strumento EDR. E’ necessario rivolgere l’attenzione alla rete nel suo complesso. In questo modo e’ possibile vedere tutto il traffico di rete, stabilire una baseline della normale attivita’ di rete per ogni utente e dispositivo e in seguito monitorare le azioni insolite che potrebbero essere indicative di attacchi. E’ conosciuto come anomaly detection, ed e’ piu’ completo e spesso piu’ facile rispetto all’esame di ogni log file alla ricerca di eventi fuori dalla norma.
Il problema del anomaly detection e’ che molte di queste irregolarita’ sono benigne, e si perde quindi molto tempo ad analizzarle. Cio’ che serve per separare il lateral movement dannoso dalle anomalie di rete benigne e’ la comprensione dell’aspetto del comportamento dannoso.
E’ qui che entra in gioco un sistema completo che utilizza sia strumenti di analisi comportamentale che tecnici professionisti della sicurezza.
Il SOCaaS offerto da SOD comprende un Security Data Lake (SDL) per la raccolta dei dati e vari strumenti per l’analisi degli stessi. Uno di questi e’ lo UEBA, particolarmente indicato per la rilevazione di minacce sociali, in quanto analizza tramite IA i comportamenti degli utenti usando le loro azioni come fonte dei dati.
Con questi e altri strumenti che compongono il SOC, e’ possibile attivamente ridurre il rischio di attacchi ai propri dati aziendali. Se sei interessato a saperne di piu’ del SOCaaS di SOD, ti invito a visitare la pagina dedicata o a contattarci direttamente.
Link utili:
Il SOCaaS e’ utile per la tua azienda?
Tempo di lettura: 6 min
Mitre Att&ck e’ una knowledge base globale di tattiche e tecniche avversarie basate su osservazioni reali degli attacchi cibernetici. Queste sono visualizzate in matrici organizzate per tattiche di attacco, dall’accesso iniziale al sistema al furto di dati, fino al controllo della macchina. Esistono matrici per le comuni piattaforme desktop (Linux, macOS e Windows) e per quelle mobili.
Cos’e’ e cosa significa MITRE ATT&CK ™?
ATT&CK sta per “adversarial tactics, techniques, and common knowledge” e cioe’: tattiche, tecniche avversarie e conoscenze comuni. Cerchiamo di andare piu’ a fondo.
Tattiche e tecniche sono un modo moderno di pensare gli attacchi cibernetici. Piuttosto che guardare ai risultati di un attacco, cioe’ a un indicatore di compromissione (IoC), gli analisti della sicurezza dovrebbero guardare alle tattiche e alle tecniche che indicano che un attacco e’ in corso. Le tattiche rappresentano l’obiettivo che si vuole raggiungere, mentre le tecniche rappresentano il modo in cui un avversario conta di raggiungerlo.
La common knowledge o conoscenza comune e’ l’uso documentato di tattiche e tecniche utilizzate dagli avversari. Essenzialmente, la common knowledge e’ la documentazione delle procedure usate da chi sferra gli attacchi. Chi ha familiarita’ con la sicurezza informatica, potrebbe avere familiarita’ con il termine “tattiche, tecniche e procedure” o TTP. Questo stesso concetto e’ stato usato da ATT&CK ™, con la sostituzione del termine procedure con common knowledge.
Chi e’ MITRE e qual e’ l’obiettivo di ATT&CK ™?
MITRE e’ un’organizzazione di ricerca finanziata dal governo USA con sede a Bedford, MA, e McLean, VA. La societa’ e’ stata scorporata dal MIT nel 1958 ed e’ stata coinvolta in una serie di progetti commerciali e top secret per diverse agenzie. Questi includevano lo sviluppo del sistema di controllo del traffico aereo della FAA e del sistema radar AWACS. Il MITRE ha una sostanziale pratica di sicurezza informatica finanziata dal National Institute of Standards and Technology (NIST).
Una curiosita’: la parola Mitre non significa nulla. A quanto pare uno dei primi membri, James McCormack, voleva un nome che non significasse nulla ma che fosse evocativo. Alcuni pensano erroneamente che significhi Massachusetts Institute of Technology Research and Engineering.
L’obiettivo di ATT&CK e’ quello di creare un elenco completo delle tattiche e delle tecniche avversarie conosciute utilizzate durante un attacco cibernetico. Aperto alle organizzazioni governative, educative e commerciali, dovrebbe essere in grado di raccogliere un’ampia, e si spera esaustiva, gamma di fasi e sequenze di attacco. MITRE ATT&CK ha lo scopo di creare una tassonomia standard per rendere piu’ specifiche le comunicazioni tra le organizzazioni.
Come si usa la matrice ATT&CK ™?
La matrice organizza visivamente tutte le tattiche e le tecniche conosciute in un formato di facile comprensione. Le tattiche di attacco sono mostrate in alto e le singole tecniche sono elencate in basso in ogni colonna. Una sequenza di attacco comporterebbe almeno una tecnica per tattica, e una sequenza di attacco completa sarebbe costruita spostandosi da sinistra (Accesso iniziale) a destra (Comando e controllo). E’ possibile utilizzare piu’ tecniche per una sola tattica. Per esempio, un attaccante potrebbe provare sia uno Spearphishing Attachment che uno Spearphishing Link come tattiche di accesso iniziale.
Ecco un esempio di matrice:
In questa matrice sono presenti tutte le fasi di una sequenza di attacco. E’ organizzata in modo che le tattiche siano ordinate da destra a sinistra secondo la sequenza di attacco. Sotto ogni tattica le tecniche corrispondenti, alcune delle quali contengono delle sotto-tecniche. Le due tecniche citate prima, sono in effetti sotto-tecniche del phishing che fa parte del primo passaggio nella sequenza (prima colonna a sinistra).
Esempio
Non e’ necessario che un attaccante usi tutte e undici le tattiche nella parte superiore della matrice. Piuttosto, l’attaccante utilizzera’ il numero minimo di tattiche per raggiungere il suo obiettivo, in quanto e’ piu’ efficiente e fornisce meno possibilita’ di scoperta. In questo attacco (illustrato nello schema qui sotto), l’avversario esegue l’accesso iniziale alle credenziali dell’assistente amministrativo del CEO utilizzando uno Spearphishing link consegnato in una e-mail. Una volta in possesso delle credenziali dell’amministratore, l’aggressore cerca un Remote System Discovery della fase Discovery.
Esempio: le tattiche e le tecniche usate nella fasi di un attacco
Supponiamo che stiano cercando dati sensibili in una cartella Dropbox alla quale anche l’amministratore ha accesso, quindi non c’e’ bisogno di aumentare i privilegi. La raccolta, che e’ l’ultima fase, viene eseguita scaricando i file da Dropbox alla macchina dell’aggressore.
Si noti che se si utilizza l’analisi del comportamento, un analista della sicurezza potrebbe rilevare l’attacco in corso identificando il comportamento anomalo dell’utente.
Ed e’ proprio quello che un SOC dovrebbe fare, ecco, grossomodo, come potrebbe essere mitigato l’attacco: supponiamo che l’amministratore abbia cliccato un link che nessuno dell’azienda ha mai cliccato prima, poi l’amministratore e’ entrato in una particolare cartella di Dropbox in un momento insolito. Durante la fase finale dell’attacco, il computer dell’aggressore e’ entrato per la prima volta nella cartella Dropbox. Con l’analisi comportamentale, queste attivita’ verrebbero segnalate come comportamento sospetto dell’utente.
Consultare ATT&CK
Per consultare questa risorsa e’ sufficiente visitare il suo sito e ci si trovera’ davanti alla matrice di cui ho pubblicato uno screenshot poco fa. Supponiamo di voler consultare la tecnica Spearphishing Link. Cliccando su di essa, verra’ aperta la pagina corrispondente che contiene informazioni approfondite a riguardo, come una descrizione della tecnica, quali sotto-tecniche esistono, degli esempi di procedura che la includono e i suggerimenti per la mitigazione del rischio.
In sostanza sono disponibili tutte le informazioni necessarie per conoscere e difendersi in modo appropriato da ogni tecnica.
La parte iniziale della scheda della tecnica Spearphishing Link.
Conclusioni
I vantaggi di una risorsa come MITRE ATT&CK sono davvero notevoli. I team di sicurezza informatica hanno a disposizione un alleato prezioso, a cui possono aggiungere degli strumenti dedicati alla sua consultazione.
Se e’ quasi certo che gli aggressori si stanno adattando man mano che i difensori mettono in opera nuove competenze, e’ anche vero che ATT&CK fornisce un modo per descrivere le nuove tecniche che essi sviluppano.
Link utili:
Sicurezza: pentest e verifica delle vulnerabilita’
Tempo di lettura: 6 min
Nell’articolo di oggi, spiegheremo cos’e’ un Security Operations Center (SOC) e aiuteremo a determinare se una soluzione SOC-as-a-Service (SOCaaS) sia adatta alla vostra azienda. Solo perché dovete gestire la sicurezza informatica, non significa che la vostra azienda si debba occupare di sicurezza informatica. Di fatto il vostro core business potrebbe essere praticamente qualsiasi altra cosa.
Una gestione corretta della sicurezza informatica, pero’, e’ indispensabile per consentire alla vostra azienda di crescere e di ottenere le certificazioni al trattamento dei dati richieste per legge. Avere le giuste competenze in materia di sicurezza informatica disponibili al momento giusto e’ fondamentale per il vostro successo, ma non avete idea di quando sara’ quel momento.
Scegliere la tecnologia, le persone e i processi giusti per costruire una moderna sezione operativa di sicurezza e’ una delle sfide piu’ grandi per i responsabili della sicurezza informatica.
Cos’e’ un SOCaaS e cosa puo’ fare per te
Prima di capire quali siano le sfide per la gestione, e’ bene capire cosa sia un SOC. Esso svolge le seguenti funzioni:
Pianifica, configura e mantiene l’infrastruttura di sicurezza.
Con un SOC e’ possibile configurare lo stack tecnologico (endpoint, applicazioni SaaS, infrastruttura cloud, rete, etc.) per identificare l’attivita’ rilevante ed eliminare i dati non necessari. Monitorare le fonti di dati per garantire che l’ecosistema sia sempre connesso.
Rilevare e rispondere
Inoltre, e’ possibile monitorare l’attivita’ di allarme in arrivo. Indagare sugli allarmi per determinare se si tratta di un vero problema di sicurezza o di un falso allarme. Se qualcosa e’ una reale minaccia alla sicurezza, si puo’ valutare l’ampiezza della situazione ed eseguire azioni di risposta.
Caccia alle minacce
Si puo’ esaminare l’attivita’ di un certo evento per determinare se ci fossero dei segni di compromissione che possono aver eluso i controlli automatici. Lo scenario piu’ comune e’ quello di rivedere la cronologia di un indirizzo IP o di un file che e’ stato determinato essere dannoso.
Stoccaggio dei log file
Altra possibilita’ e’ raccogliere e archiviare in modo sicuro i log file, per un periodo fino a sette anni, per la conformita’ alle norme. Il team dovra’ fornire questi dati critici per un’analisi forense nel caso si verifichi una situazione di sicurezza.
Misurare gli indicatori di performance
Ovviamente e’ possibile monitorare le KPI (indicatori di performance). Nel dettaglio e’ possibile misurare e riportare le KPI per dimostrare al team esecutivo come stia funzionando il SOC.
Le sfide per implementare un proprio SOC
Trovare, formare e conservare i professionisti della sicurezza informatica e’ costoso
Le abilita’ necessarie per gestire le mansioni di sicurezza informatica sono molto richieste. Sfortunatamente, la carenza e’ destinata a peggiorare prima di migliorare. Secondo l’International Certification Organization (ISC), il numero di posizioni non occupate in tutto il mondo era di oltre 4 milioni di professionisti nel 2019, rispetto ai quasi tre milioni dell’anno precedente.
La formazione di personale con un ampio background IT nelle competenze di sicurezza informatica e’ un’opzione, ma mantenere queste persone e’ costoso. La loro sostituzione, quando eventualmente vengono assunte altrove, da’ inizio a un ciclo che di solito finisce per essere piu’ costoso del previsto, soprattutto rispetto al SOCaaS.
Inoltre, le persone che lavorano bene in questo settore di solito vogliono esplorare nuovi argomenti e affrontare nuove sfide. Dovrete trovare altri progetti o ruoli correlati per far ruotare il personale del SOC per tenerli impegnati. Questo aiuta anche a costruire le loro competenze, in modo che siano pronti a rispondere e ad agire prontamente quando necessario.
La sicurezza informatica e’ uno sport di squadra
E’ importante avere un insieme di competenze diverse e un team che lavori bene come squadra. Le minacce alla sicurezza si evolvono rapidamente, indagini e risposte adeguate richiedono persone che comprendano gli endpoint, le reti, le applicazioni cloud e altro ancora. Spesso si finisce per essere un manager SOC, un amministratore di sistema e un cacciatore di minacce, a seconda della giornata e da cio’ che accade nel proprio ambiente.
Questo significa che avrete bisogno di un team che impari in continuazione, in modo da avere le giuste competenze quando ne avrete bisogno. Le persone che vanno bene in questo settore prosperano in un ambiente di squadra in cui possono imparare e sfidarsi a vicenda. Per questo, avete bisogno di un workflow che riunisca regolarmente diversi analisti SOC.
Pensatela in questo modo: non mettereste sul campo una squadra di calcio che non si e’ allenata insieme. La vostra squadra SOC si scontra con un avversario che gioca di squadra ogni giorno. Per avere successo, avete bisogno di professionisti che abbiano molta esperienza di gioco per costruire le loro capacita’ sia nella posizione singola che come squadra.
Una squadra di analisti SOC che non faccia un allenamento regolare non sara’ pronta quando verra’ colpita da un avversario ben allenato. E’ difficile ottenere questa esperienza in una piccola organizzazione.
Un SOCaaS e’ la risposta immediata a questa esigenza. La squadra che si occupera’ della vostra sicurezza IT e’ allenata e stimolata ogni giorno da sfide sempre nuove, dovendo avere a che fare con infrastrutture diverse quotidianamente.
La copertura 24/7 e’ una necessita’
Lasciare che un avversario sia libero di lanciare esche per ore, giorni o settimane rende infinitamente piu’ difficile contenere e rimuovere le minacce. L’avversario sa di avere un tempo limitato per fare piu’ danni possibili, come nel caso del ransomware, o per mettere in secondo piano le porte, come nel caso dell’estrusione dei dati.
Avrete le migliori possibilita’ di recupero se potrete indagare e rispondere in pochi minuti. Una soluzione che fornisca una copertura 24×7 e’ quindi fondamentale.
Nella sicurezza informatica non esistono “orari di lavoro” per un motivo in particolare: un attacco potrebbe arrivare da un punto qualunque del globo, di conseguenza non si puo’ fare affidamento a orari convenzionali. Questo e’ frutto della diffusione della rete come strumento di connessione mondiale, possiamo solo farci i conti in modo adeguato. Un SOCaaS solleva l’azienda che lo utilizza dal mantenere una divisione aperta 24/7.
Gestire i fornitori e integrare gli strumenti e’ piuttosto costoso
La sicurezza informatica e’ complessa e la tecnologia si evolve rapidamente. Ci saranno sempre piu’ tecnologie che devono lavorare insieme, il che richiede il mantenimento delle competenze per implementare, aggiornare e configurare ogni componente e formare il vostro personale sulle nuove versioni e caratteristiche. Se avete il vostro SOC, dovete gestire anche queste relazioni tra i fornitori, le licenze e l’attivita’ di formazione.
La linea di fondo e’ che la creazione delle capacita’ di cui avete bisogno richiede un sacco di compiti di basso livello e un esteso lavoro quotidiano. Per le organizzazioni in grado di sostenerlo, lo sforzo ha senso. Per la maggior parte delle organizzazioni, il compito e’ meglio lasciarlo a un partner in grado di fornire questo servizio, consentendo di ottenere tutti i vantaggi di un SOC di alto livello senza la spesa e la distrazione di costruirlo voi stessi.
Conclusioni
Se il budget non e’ un problema e si dispone di abbastanza personale che si concentri sulla costruzione e manutenzione di un SOC 24×7, allora puo’ avere senso seguire questa strada. Se siete vincolati su uno di questi due fronti, allora il SOCaaS sara’ l’approccio migliore.
In sintesi, il SOCaaS vi permette di:
1. Passare il tempo a gestire la sicurezza, non la tecnologia e i fornitori
2. Avere una spesa prevedibile. Nessuna richiesta di budget a sorpresa
3. Ottenere informazioni sulla sicurezza da altre organizzazioni
4. Gestire gli allarmi in modo piu’ efficiente e con risultati piu’ prevedibili
5. Essere agili e stare al passo con le esigenze IT della vostra organizzazione in continua evoluzione
6. Rimanere al passo con le innovazioni degli strumenti di sicurezza di oggi.
Se la tua azienda vuole saperne di piu’ sulle soluzioni SOCaaS di Secure Online Desktop, contattateci per una consulenza non vincolante. Vi illustreremo tutti i vantaggi e chiariremo ogni dubbio riguardo a questa soluzione.
Link utili:
Sicurezza: pentest e verifica delle vulnerabilita’
Customers
Twitter FEED
Recent activity
-
SecureOnlineDesktop
Estimated reading time: 6 minutes L'impatto crescente delle minacce informatiche, su sistemi operativi privati op… https://t.co/FimxTS4o9G
-
SecureOnlineDesktop
Estimated reading time: 6 minutes The growing impact of cyber threats, on private or corporate operating systems… https://t.co/y6G6RYA9n1
-
SecureOnlineDesktop
Tempo di lettura stimato: 6 minuti Today we are talking about the CTI update of our services. Data security is… https://t.co/YAZkn7iFqa
-
SecureOnlineDesktop
Estimated reading time: 6 minutes Il tema della sicurezza delle informazioni è di grande attualità in questo peri… https://t.co/tfve5Kzr09
-
SecureOnlineDesktop
Estimated reading time: 6 minutes The issue of information security is very topical in this historical period ch… https://t.co/TP8gvdRcrF
Newsletter
{subscription_form_2}Prodotti e Soluzioni
Collaborazioni
Modelli Cloud
News
- Da Secure Online Desktop a Cyberfero: il rebranding dell’azienda leader nella cybersecurity Maggio 6, 2024
- NIS2 – Come il nuovo regolamento cyber potenzia la sicurezza dell’Europa Aprile 22, 2024
- Advanced persistent threat (APT): cosa sono e come difendersi Aprile 17, 2024
- Penetration Testing e MFA: Una Strategia Duplice per Massimizzare la Sicurezza Aprile 15, 2024
- SOAR e l’automazione della sicurezza informatica Marzo 27, 2024
Recensioni Google
Ottima azienda, servizi molto utili, staff qualificato e competente. Raccomandata!leggi di più
Ottimo supportoleggi di più
E' un piacere poter collaborare con realtà di questo tipoleggi di più
Un ottimo fornitore.
Io personalmente ho parlato con l' Ing. Venuti, valore aggiunto indubbiamente.leggi di più
Contatti
© 2024 Cyberfero s.r.l. All Rights Reserved. Sede Legale: via Statuto 3 - 42121 Reggio Emilia (RE) – PEC [email protected] Cod. fiscale e P.IVA 03058120357 – R.E.A. 356650 Informativa Privacy - Certificazioni ISO