Gli approcci alla Cyber Defence per aumentarne l’efficacia

Le buone prassi di security sono solitamente considerate sufficienti per avere e mantenere una solida postura di sicurezza. Tuttavia, alcuni recenti attacchi ai sistemi critici, aumentati in numero e sofisticazione a seguito del conflitto russo-ucraino, hanno dimostrato che l’implementazione di prassi base di security non azzera completamente il rischio di attacco ai sistemi critici, dalla serie di nuove minacce che si palesano.

L’aumentata originalità delle tecniche e mezzi di attacco, infatti, suggerisce una rinnovata mentalità alla sicurezza informatica e l’esigenza di pensare a diversi livelli di intervento. Ne abbiamo parlato con Giannandrea Amatobene, Head of Operations di Cyber Partners, con cui abbiamo volute approfondire il concetto di Cyber Defence e i diversi approcci che si possono perseguire per aumentare la capacità di difesa in ogni organizzazione.

Introduzione alla Cyber Defence 

La Cyber Defence, o difesa informatica, rappresenta l’insieme di strategie, tecniche e tecnologie utilizzate per proteggere i sistemi informatici e le reti di computer da attacchi informatici. Il Glossario ufficiale del CSIRT Italia lo definisce come “dottrina dell’organizzazione e delle attività volte a prevenire, rilevare, limitare e contrastare gli effetti degli attacchi condotti nel e tramite il cyberspace ovvero in danno di uno o più dei suoi elementi costitutivi”.

Con l’avvento della trasformazione digitale e l’aumento esponenziale della quantità di dati e informazioni memorizzati in rete, la necessità di garantire la sicurezza informatica è diventata una priorità per individui, aziende e governi di tutto il mondo.

La Cyber Defense è quindi diventata una disciplina fondamentale per prevenire e contrastare le minacce informatiche, garantendo la protezione dei dati e la continuità delle attività critica delle organizzazioni.

Un’azienda dovrebbe occuparsi delle tecniche di difesa cyber per diverse ragioni:

1. Protezione dei dati: Le aziende sono sempre più dipendenti dalla tecnologia e dai sistemi informatici per gestire i loro dati e informazioni. La Cyber Defence aiuta le aziende a proteggere queste informazioni da accessi non autorizzati o da furto di dati.
2. Continuità operativa: Una violazione della sicurezza informatica può avere conseguenze disastrose sulla continuità operativa di un’azienda. La Cyber Defence aiuta a mitigare i rischi di interruzioni delle attività aziendali e a garantire la continuità delle operazioni.
3. Protezione della reputazione: Una violazione della sicurezza informatica può causare danni irreparabili alla reputazione di un’azienda. La Cyber Defence aiuta a prevenire questo tipo di problemi e a mantenere una reputazione positiva presso i clienti, i partner e gli investitori.
4. Rispetto delle normative: Molte aziende sono soggette a normative riguardanti la gestione dei dati sensibili. La Cyber Defence aiuta le aziende a conformarsi a queste normative e a evitare sanzioni e multe.

Giannandrea Amatobene chiarisce: “la conoscenza della Cyber Defence è essenziale per le aziende, perché aiuta a proteggere i dati, a garantire la continuità operativa, a tutelare la reputazione e a rispettare le normative”.

L’esperto aggiunge: “in una strategia di Cyber Defence, non dovrebbe mai mancare una certa attenzione all’attività di “offensive security” spesso sottovalutate; è fondamentale, infatti, identificare bene come condurre questo tipo di attività definendo l’ambito (scope n.d.r.) ovvero il perimetro preciso dell’attività” oltre che gli scenari simulati. Si tratta in sostanza di definire regole di ingaggio che specifichino il “dove si testa cosa si testa e in che condizioni si testa” per chiarire potremmo dire, le “regole di ingaggio” (tipicamente si distingue genericamente fra interventi in white box o black box, su infrastrutture e/o applicazioni e se è necessario testare la componente fisica/sociale).

Ad esempio, le app web necessitano test sulla gestione accessi e per farlo in profondità è necessario conoscere gli accessi con credenziali per testare ogni singola funzionalità riservata allo specifico ruolo applicativo.

Le tecniche di Cyber Defence

Fra le diverse tecniche di difesa possibili, le metodologie e gli approcci possono cambiare in funzione del contesto della minaccia di fronte alla quale ci si trova. In sostanza molto dipende dal livello di rischio, dal tipo e tecniche degli attaccanti, dalla condizione della propria organizzazione e dai budget disponibili. L’equazione per la risoluzione è sempre condizionata da un delicato bilanciamento delle “condizioni al contorno” e per questo motivo non esiste una soluzione unica che vada bene “per tutte le stagioni”.

È necessario chiarire come primo passo, due approcci di base: la protezione preventiva/proattiva e la protezione consuntiva/reattiva.

La protezione preventiva/proattiva prevede l’adozione di misure di sicurezza in anticipo per prevenire eventuali attacchi informatici. Questo tipo di protezione include la configurazione dei sistemi di sicurezza, l’implementazione di politiche di sicurezza, l’aggiornamento del software e la formazione degli utenti. In sostanza, l’obiettivo principale della protezione preventiva è quello di impedire che gli attacchi informatici si verifichino.

La protezione consuntiva/reattiva, d’altra parte, si concentra sulla gestione degli attacchi informatici che sono già avvenuti. Questo tipo di protezione include l’identificazione delle vulnerabilità del sistema, la risposta immediata agli incidenti di sicurezza, la mitigazione degli effetti dell’attacco e la ricostruzione del sistema dopo l’attacco. In sostanza, l’obiettivo principale della protezione consuntiva è quello di minimizzare i danni causati dagli attacchi informatici. 

Entrambi gli approcci sono importanti nel cyber defense e devono essere implementati in modo integrato per fornire una protezione completa contro gli attacchi informatici. La protezione preventiva/proattiva aiuta a prevenire la maggior parte degli attacchi informatici, ma non è in grado di garantire al 100% la sicurezza. La protezione consuntiva/reattiva, invece, aiuta a gestire gli attacchi informatici che riescono a superare le misure preventive/proattive, minimizzando i danni e ripristinando i sistemi. Un mix delle due garantisce una maggiore copertura sempre commisurata al rischio.

Un approccio ulteriore e possibile alla Cyber Defence è quello fornito dalla cosiddetta “Active Cyber Defence” (ACD), ovvero la “difesa informatica attiva”. Questa definizione è basata su una serie di caratteristiche identificate nell’attuale letteratura accademica e politica (Fonte paper CCDCOE Tallin). L’ACD è il rilevamento proattivo, l’analisi e la mitigazione delle violazioni della sicurezza della rete in tempo reale, combinato con l’uso di contromisure aggressive dispiegate al di fuori della rete della potenziale vittima.

Una volta definito, ACD viene contestualizzato insieme a due ulteriori approcci che sono rappresentati da difesa e sicurezza. Si tratta di una difesa informatica fortificata e resiliente, basata sulla difesa del perimetro garantendo rispettivamente e contestualmente la continuità dei servizi.

Questa contestualizzazione si contrappone alla difesa informatica non attiva, ovvero la tipica “difesa informatica passiva”, ma in generale i tre approcci alla difesa e alla sicurezza informatica non si escludono a vicenda né si applicano indipendentemente l’una dall’altra un altro. Piuttosto, operano in un trittico complementare di approcci politici al conseguimento della piena sicurezza informatica.

Un ultimo e importante modello è la “difesa a strati o multilivello” che parte dal presupposto che se un certo livello fallisce, subito dietro se ne presenta un altro e così via, fino a “sfinire l’attaccante” che, come sempre, vede nel “fattore tempo” la sua maggiore criticità ,unitamente agli sforzi in termini di soldi e competenze che deve investire in un attacco.

L’approccio multilivello elimina le possibilità che gli aggressori trovino un singolo punto di errore che possono sfruttare e crea un obiettivo molto più solido che è meno allettante da perseguire per gli aggressori, una sorta di “deterrenza da sfinimento”.

Giannandrea Amatobene precisa che per una Cyber Defence efficace sono molto importanti lanche e politiche di backup (backup recovery funzionale ed efficace) che devono essere identificate con precisione perché siano funzionali al ripristino ma soprattutto per aumentarne efficacia e velocità devono essere oggetto di esercitazione e verifica periodica.

Da non sottovalutare, a detta dell’esperto, anche la prevenzione e a mezzo formazione (awareness) mediante l’esecuzione di esercitazioni, sia di tipo “table top” (esercitazioni cosiddette procedurali in cui si verificano le procedure e i processi da seguire per la risoluzione n.d.r.), sia mediante addestramento operativo in uno scenario appositamente disegnato.

Priorità dell’approccio alla Cyber Defence

Sapendo che le aziende e le organizzazioni possono avere problemi di budget è molto importante saper prioritizzare gli interventi di sicurezza e pianificarli in modo strutturato e coerente alla strategia ma anche la core business.

In questo contesto la Cyber Defence è una importante leva a tutela del business e, come tale, dovrebbe essere un’area prioritizzata per ogni organizzazione che utilizzi sistemi informatici.

Un approccio integrato, che comprenda protezione preventiva, rilevamento delle minacce e ripristino, può aiutare a garantire la sicurezza informatica e la continuità operativa dell’organizzazione. La prima priorità della Cyber Defence dovrebbe essere quella di identificare e proteggere le informazioni e le risorse più critiche dell’organizzazione.

Questo può essere fatto attraverso l’implementazione di politiche di sicurezza informatica, la formazione del personale e l’utilizzo di tecnologie di sicurezza avanzate. In secondo luogo, l’organizzazione dovrebbe implementare una solida strategia di rilevamento delle minacce, che consenta di individuare e rispondere rapidamente agli attacchi informatici. In questo caso si passa per un monitoraggio costante delle attività di rete, l’utilizzo di strumenti di analisi delle minacce e l’implementazione di sistemi di allarme automatici.

Infine, l’organizzazione dovrebbe sviluppare una solida strategia di ripristino in caso di violazione della sicurezza informatica realizzato attraverso l’implementazione di un piano di risposta agli incidenti informatici, la creazione di backup regolari dei dati e la formazione del personale sulla gestione degli incidenti. Giannandrea Amatobene spiega che i primi investimenti in Cyber Defence dovrebbero essere concentrati su una serie di aree chiave, tra cui:

1. Formazione e sensibilizzazione: educare il personale su come identificare e rispondere alle minacce informatiche è un investimento importante. Questo può includere la formazione su come creare password robuste, evitare phishing e altre tecniche di ingegneria sociale, nonché la creazione di esercitazioni specifiche “Table Top” per verificare la capacità di reazione delle strutture cyber ad un incidente informatico.
2. Protezione dei sistemi: gli investimenti dovrebbero essere effettuati per implementare soluzioni di sicurezza come firewall, EDR e sistemi di rilevamento delle intrusioni. Inoltre, dovrebbe essere attuata una politica di aggiornamento regolare di questi strumenti, così come l’aggiornamento del software e del sistema operativo per evitare vulnerabilità.
3. Protezione dei dati: è importante garantire che i dati sensibili siano protetti e crittografati adeguatamente, sia in transito che a riposo. Gli investimenti in tecnologie di crittografia e soluzioni di gestione delle chiavi sono necessari per garantire che i dati non cadano in mani sbagliate.
4. Gestione e identificazione delle vulnerabilità: gli investimenti in programmi di gestione delle vulnerabilità consentono di identificare le vulnerabilità dei sistemi e delle applicazioni, nonché di risolverle prima che possano essere sfruttate dagli attaccanti. L’ identificazione può inoltre avvenire attraverso specifiche campagne di Penetration Testing/Red Teaming oltre che attraverso l’utilizzo di strumenti automatici.
5. Gestione ed identificazione degli incidenti: è importante disporre di un piano di risposta agli incidenti che descriva come affrontare e rispondere alle minacce informatiche. Ciò può includere la creazione di un team di risposta agli incidenti, l’implementazione di soluzioni di monitoraggio come e la creazione di backup e piani di ripristino. Tra le soluzioni di monitoraggio è esternamente importante l’utilizzo di tecnologie come l’XDR che integrano dati e attività di sicurezza da più fonti (endpoint, reti, cloud e applicazioni) ed utilizzano sia l’apprendimento automatico e l’intelligenza artificiale per correlarle oltre che informazioni di threat intelligence per arricchirle.

Infine, è cruciale avere un sistema di valutazione degli interventi di difes: implementati per poter valutare la qualità a vari livelli: personale, organizzazione, tecniche, tecnologie, certificazioni, metodologie e via dicendo.

Molto spesso le organizzazioni pensano di risolvere le problematiche si sicurezza informatica attivando un presidio presso la loro sede con uno o due figure preposte, ma su questa casistica Gianandrea Amatobene chiarisce: “Sarebbe uno sbaglio perché la cyber security è un tema complesso e pensare di coprire le esigenze con un presidio di poche persone si rivela sbagliato e insufficiente, perché le professionalità di due o tre figure, pur specializzate, non bastano a coprire tutte le potenziali casistiche di problemi da attacchi informatici. È preferibile affrontare le esigenze di sicurezza informatica in una “modalità di servizio” per garantire che diverse e molteplici professionalità siano applicabili alle diverse tecnologie che sono core in quella azienda cliente e si possano adattare alle diverse situazioni e scenari di emergenza che si possono verificare. Le persone devono poter collaborare in tema per raggiungere la soluzione”

Contributo editoriale sviluppato in collaborazione con Cyber Partners