Il panorama dei cyber attack è sempre più complesso e minaccioso, mentre digitalizzazione, cloud computing e lavoro ibrido estendono le vulnerabilità aziendali. Come è possibile attivare una strategia di difesa efficace, in ambienti IT distribuiti, senza perimetro e difficili da controllare?
Horizon Security, società del gruppo Horizon Consulting e specializzata in ambito cyber security, ha le idee chiare, come raccontano Ruggero Strabla e Calogero Mazzarella, rispettivamente leader delle business unit Offensive e Defensive Security.
Indice degli argomenti
Cyber attack, un quadro preoccupante per la sicurezza aziendale
La strategia di Horizon Security parte ovviamente da un’attenta osservazione dell’attuale panorama dei cyber attack.
«Oggi – spiega Strabla – il primo rischio per le aziende sono gli attacchi ransomware, che si sono evoluti perpetrando una tripla estorsione: i cyber criminali, infatti, chiedono un riscatto per ripristinare l’accesso ai dati, per non divulgare le informazioni rubate e per non bloccare i servizi aziendali o avvisare clienti, fornitori e media della compromissione. Gli attaccanti studiano l’impresa, sanno dove colpire, quali sono i dati critici. Quindi contattano la vittima e la minacciano, dimostrando di essere entrati in possesso di informazioni riservate».
Come spiega Strabla, un altro rischio di cyber attack è rappresentato dal cosiddetto business e-mail compromise (BEC), una tecnica per cui l’attaccante si inserisce nelle comunicazioni aziendali relative all’amministrazione e chiede di effettuare un pagamento verso un nuovo Iban o destinatario. «Spesso – prosegue Strabla – le aziende colpite non si accorgono tempestivamente dell’accaduto e gli attaccanti sono abili a eliminare le tracce. Sono attacchi che richiedono tempo per essere preparati, perché vanno studiati i profili delle vittime e le operazioni in corso. Ad esempio, bisogna capire quali pagamenti devono essere eseguiti e verso quale fornitore, per inserirsi opportunamente nelle conversazioni e-mail».
Tra i principali punti di ingresso nelle fasi iniziale di una compromissione, Strabla ricorda lo sfruttamento di vulnerabilità sulla superficie d’attacco pubblica aziendale (anche attraverso zero-day, che fanno leva su vulnerabilità non note, nel caso di target di alto profilo con elevati livelli di protezione), e lo spear-phishing, falsificando il mittente e sfruttando infrastrutture di fiducia, quali quelle dei colossi IT come Microsoft e Google, per l’invio di email malevole o per ospitare pagine di phishing e malware.
I pilastri per costruire una strategia efficace contro i cyber attack
Come difendersi allora in uno scenario dei cyber attack sempre più tetro?
«Il primo passo – suggerisce Mazzarella – è avere una strategia che non sia puramente reattiva, ma piuttosto sia in grado di adattarsi costantemente all’evoluzione delle minacce e alle nuove esigenze dell’organizzazione. Perché la strategia contro i cyber attack sia efficace, deve essere recepita a tutti i livelli aziendali, non solo dal dipartimento IT o dal team della sicurezza. Innanzitutto, deve essere il business a guadagnare consapevolezza. La sicurezza abilita l’IT che abilita il business, quindi deve essere considerata un investimento per la sopravvivenza aziendale e non meramente un centro di costo. Secondo alcuni studi, le spese in security hanno un ritorno superiore al 90%, perché di fatto scongiurano i danni economici e reputazionali di un potenziale attacco».
Mazzarella ricorda inoltre che il fattore umano è la più grande incognita nel costruire la linea di difesa contro i cyber attack: indispensabile quindi ingaggiare e formare gli utenti per essere efficaci.
«Un altro fattore critico – sottolinea Mazzarella – è la capacità di ridurre la superficie di attacco, per minimizzare gli incidenti. Bisogna inoltre seguire due direttrici strategiche, basate rispettivamente sull’automazione e sulle competenze, secondo un giusto mix». Esistono infatti due tipologie di attacchi: automatizzati, per colpire indiscriminatamente il maggiore numero di vittime, e mirati, perpetrati da hacker specializzati con tecniche sofisticate. La strategia di difesa deve quindi seguire le metodologie di attacco: all’automazione si risponde con tecnologie analoghe, mentre per contrastare il genio dell’hacker serve un professionista.
«Le tecnologie di automazione – spiega Mazzarella -, codificando le competenze umane, riducono drasticamente i tempi di risposta e si rivelano efficaci contro la maggioranza delle minacce. Tuttavia, per contrastare gli attacchi non convenzionali e più complessi, occorre l’intervento degli analisti della sicurezza».
La chiave per costruire una strategia efficace contro i cyber attack passa anche attraverso un presupposto culturale: «Le aziende – suggerisce Mazzarella – devono essere consapevoli che non sono invulnerabili e che la compromissione dei sistemi è inevitabile. Bisogna partire da queste premesse, considerando possibili piani B in caso di incidente e pianificando una strategia di backup per garantire la continuità operativa».
La scelta di tecnologie in cloud può rivelarsi strategica per concretizzare gli obiettivi di sicurezza: sottoscrivendo un contratto as-a-service, le aziende, anche di piccole dimensioni, possono infatti beneficiare di tutte le funzionalità di protezione enterprise che il provider mette a disposizione all’interno del proprio datacenter.
L’approccio zero-trust per contrastare i cyber attack
Mazzarella spiega quindi come si declina la security strategy dal punto di vista metodologico e tecnologico. Al centro viene messo l’approccio zero-trust, che agisce sostanzialmente su tre principi:
- verificare sempre esplicitamente l’identità, anche dei sistemi o degli applicativi;
- ridurre i privilegi in modalità just in time e just enough, garantendo l’accesso alle risorse con le autorizzazioni minime e per il tempo necessario a eseguire le operazioni;
- implementare la micro-segmentazione per identificare e contrastare i movimenti laterali, organizzando la rete, i sistemi, le applicazioni a compartimenti stagni.
«Le moderne tecnologie di monitoraggio – prosegue Mazzarella -, che sfruttano gli algoritmi di intelligenza artificiale e machine learning per ottenere una vista olistica sugli eventi di sicurezza, sono una componente fondamentale dell’approccio zero-trust. Tali strumenti permettono infatti di riconoscere, correlare e correggere pattern di attacco anche molto complessi, che spesso partono dalla periferia, quindi dai laptop, dai dispositivi BYOD e così via».
Secondo le statistiche riportate da Mazzarella, un host compromesso permette agli attaccanti di ottenere l’accesso al domain controller, quindi al cuore dell’azienda, in circa 48 ore; le aziende però si accorgono della violazione in media dopo circa 160-200 giorni.
In un contesto ad alto rischio, il paradigma zero-trust diventa fondamentale per minimizzare l’eventualità di compromissione. Più la superficie di attacco è ampia e complessa, più aumenta la possibilità che un cyber attack vada a buon fine e pertanto, come ammonisce Mazzarella, la scansione delle vulnerabilità deve rientrare nella normale operatività dell’azienda, non essere eseguita una tantum.
«Inoltre – si inserisce Strabla – l’ingaggio degli utenti, ai fini di una strategia di sicurezza efficace, diventa fondamentale innanzitutto per contrastare il phishing e prevenire incidenti frequenti, come ad esempio la violazione delle password».
La strategia Horizon Security a supporto delle aziende
Basandosi sul valore dell’approccio zero-trust e sulle tecnologie a corollario, Horizon Security ha sviluppato la propria metodologia per aiutare le aziende nello sviluppare correttamente una strategia di sicurezza efficace contro i cyber-attack.
«Bisogna partire da una fase di assessment – argomenta Strabla – per testare la linea di difesa aziendale. Abbiamo quindi sviluppato un portafoglio di servizi modulari per la simulazione degli attacchi, che permette di verificare sia lo stato di sicurezza generale sia un preciso ambito, come ad esempio la vulnerabilità ai tentativi di phishing».
Così Horizon Security è in grado di rilevare il livello di rischio in caso di attacco, quindi quale potrebbe essere il raggio di azione di un criminale all’interno dei sistemi aziendali.
«I cyber criminali – prosegue Strabla – cercano di penetrare i sistemi aziendali sfruttando diverse tecniche, per poi effettuare movimenti laterali e perpetrare il vero obiettivo, ad esempio l’installazione di un ransomware. I metodi per ottenere il primo accesso sono diversi e noi simuliamo le numerose tecniche di intrusione e attacco, per capire quanto l’azienda sia matura e preparata dal punto di vista del monitoraggio delle minacce e della prevenzione degli incidenti. Consegniamo e condividiamo al cliente i risultati attraverso una presentazione executive e un report dettagliato che permettono di acquisire consapevolezza sui rischi e sulle possibilità di manovra degli attaccanti».
Una volta definito lo stato di sicurezza dell’azienda, Horizon Security costruisce una strategia personalizzata contro i cyber attack per ottenere ritorni rapidamente.
«Proponiamo – chiarisce Mazzarella – un approccio incrementale, che parte dalla consapevolezza rispetto alle vulnerabilità e si basa sul concetto di quick-win. In sostanza, suggeriamo le azioni di remediation che si possono apportare immediatamente, ad esempio la correzione di misconfiguration o integrazioni non necessarie, e che richiedono un effort limitato, restituendo tuttavia risultati importanti nel breve termine».
Il passo successivo invece richiede un ragionamento strutturato, per individuare le iniziative che possono contribuire a migliorare significativamente la postura di sicurezza dell’azienda, riducendo la superficie di attacco e implementando le best practice più consolidate.
«Soprattutto in un contesto di lavoro ibrido – evidenzia Mazzarella – le aree di focalizzazione dei progetti sono le identità e gli endpoint, oltre ad applicazioni, infrastrutture, reti e dati».
Le tecnologie vincenti per concretizzare gli obiettivi di cyber security
Dal punto di vista tecnologico, secondo Horizon Security, un tassello fondamentale della strategia contro i cyber attack è rappresentata dall’autenticazione multi-fattore, che consente di ottenere accessi sicuri e può ridurre l’efficacia degli attacchi basati su password del 99,9%, come riporta Mazzarella.
Tra gli strumenti di sicurezza oggi indispensabili, vengono citate le soluzioni EDR (Endpoint Detection and Response) e XDR (Extended Detection and Response) che monitorano in tempo reale gli eventi all’interno dei dispositivi oppure su superfici più ampie che includono anche le reti, gli utenti, i carichi di lavoro in cloud. «Oggi il perimetro aziendale tradizionale – sottolinea Mazzarella – non esiste più, ma è rappresentato dall’insieme di dispositivi, reti e servizi in senso esteso. Diventa quindi indispensabile dotarsi di strumenti che permettono, attraverso un’orchestrazione centralizzata, di rilevare pattern d’attacco molto complessi e distribuiti, garantendo una protezione dei sistemi e dei dati end-to-end».
La strategia contro i cyber attack deve includere anche tecniche di cifratura del dato, per garantire protezione ovunque, indipendentemente dal sistema in cui è collocato, anche in caso di esfiltrazione.
Un altro elemento vincente in tema di cyber security riguarda i sistemi SOAR (Security Orchestration, Automation and Response), che, nella forma più evoluta e grazie all’intelligenza artificiale, garantiscono non solo il riconoscimento dei pattern di attacco, ma avviano automaticamente una serie di azioni di risposta, oltre a inviare messaggi di alert agli specialisti.
«Horizon Security – puntualizza Strabla – offre anche servizi gestiti di Threat Intelligence, per cui si forniscono alle aziende informazioni aggiuntive rispetto a quanto vedono nei loro sistemi. Così possono ottenere visibilità sull’identità degli attaccanti oppure conoscere fenomeni che riguardano ad esempio le attività illecite sul dark web, come la vendita di credenziali rubate».
Insomma, il tema della sicurezza oggi va davvero affrontato a 360 gradi, non solo per l’estensione del perimetro e la proliferazione delle minacce, ma anche alla luce dei cambiamenti organizzativi lungo la supply chain. «Le aziende – conclude Strabla – non sono più isole, ma piuttosto sempre più interconnesse. La sicurezza dei dati, quindi, dipende anche dai partner e non solo dalle difese aziendali. la superficie di attacco e il rischio dei movimenti laterali si estendono quindi ai collaboratori, fornitori e clienti, rimanendo fuori dal controllo. Per questo è importante richiedere dei requisiti minimi di sicurezza ai partner e impegnarsi nel costruire una strategia di protezione efficace contro i cyber attack».
Contributo editoriale sviluppato in collaborazione con Horizon
