Minacce cyber emergenti per gli MSP: una guida per proteggere clienti e infrastrutture

In un mondo sempre più interconnesso e per questo esposto a minacce cyber di ogni tipo, il ruolo degli MSP, Managed Service Provider, diventa ancora più importante: spesso, infatti, sono proprio gli MSP che hanno in gestione il parco informatico delle PMI e che diventano i principali referenti in ambito IT.

Proprio per questo motivo è molto importante che questi professionisti siano a conoscenza delle minacce esistenti e di come poter far fronte ad esse.

D’altronde, dai tempi di Creeper, il primo malware scritto nel 1971 da Bob Thomas, le minacce cyber si sono evolute fino ad arrivare al panorama attuale. E se all’epoca il valore di un’azienda era dato prevalentemente dagli asset fisici in suo possesso, un capannone, un macchinario, i contanti, l’inventario, oggi non è più così.

Uno studio prodotto da Ocean Tomo mostra come negli anni il valore di un’azienda sia passato dai beni tangibili a quelli intangibili. Tra questi ultimi ci sono ad esempio i brevetti, i dati dei clienti, i software e via dicendo.

Questo trend non si applica solo alle aziende ma anche agli attori criminali che si sono a loro volta evoluti per attaccare le infrastrutture digitali prendendo di mira i nostri dati.

Le difese delle grandi aziende si sono evolute di conseguenza assumendo professionisti in ambito cyber security e acquistando i prodotti necessari per far fronte al rischio di un blocco delle attività o di un furto di dati.

Le PMI, invece, non hanno sufficienti risorse per costituire un blue-team interno o assumere un CISO, Chief Information Security Officer.

Mancano spesso due cose:

1. le risorse;
2. le competenze per comprenderne l’utilità.

Vediamo, quindi, le principali minacce informatiche che prendono di mira le aziende del nostro Paese.

Attacchi ransomware in evoluzione

La minaccia dei ransomware sta crescendo in modo continuo sia in termini di sofisticazione che di aggressività. Nel corso della prima metà del 2022, sono stati scoperti più di 10.000 nuovi ceppi ransomware unici, un numero quasi due volte superiore rispetto al semestre precedente come mostrato dai dati del FortiGuard Labs Threat Report.

I ransomware continuano a evolversi e a rappresentare una minaccia significativa per le aziende. Secondo il report del CLUSIT l’Italia è al quarto posto tra i Paesi più colpiti. Non molto distante dalla Francia, attualmente il terzo Paese più colpito.

Gli attaccanti utilizzano tecniche sofisticate, come la crittografia avanzata e la distribuzione mirata, per massimizzare l’impatto dei loro attacchi.

Gli MSP devono adottare un approccio olistico alla protezione dai ransomware, comprendendo l’importanza del backup regolare dei dati, l’implementazione di soluzioni di protezione degli endpoint e l’aggiornamento costante dei software per rimuovere le vulnerabilità conosciute.

Come proteggere i propri clienti dal rischio ransomware

Prima di vedere quali strategie adottare per proteggere i propri clienti dal rischio ransomware è importante capire come questi malware vengono diffusi, quali siano le tecniche d’attacco più efficaci.

Come per qualunque altro genere di attacco, anche quando si parla di sicurezza informatica è importante conoscere il punto debole del bersaglio.

Bene, ma allora quali sono le tecniche di attacco maggiormente utilizzate dai criminali informatici?

Si tratta principalmente di due tecniche, il phishing e il clickjacking.

Il phishing è probabilmente la tecnica d’attacco più conosciuta, in breve si tratta di inviare una mail in modo che sembri arrivare da un mittente legittimo nella quale si induce il target a fornire informazioni personali, dati finanziari o credenziali.

Il clickjacking, invece, mira a ingannare il target facendogli credere di cliccare su di un link legittimo salvo poi reindirizzare su di un’altra risorsa che può portare a diverse conseguenze come, ad esempio, il download di un file infetto.

Prevenzione, protezione e riparazione

Come MSP è necessario prendersi cura di tutte e tre queste fasi, momenti diversi con strumenti e metodologie differenti.

Vediamoli assieme partendo dalla prevenzione.

La fase di prevenzione delle minacce

Come abbiamo visto, le principali tecniche d’attacco sono il phishing e il clickjacking. Entrambe queste tecniche prendono di mira essenzialmente gli utenti, ovvero l’anello più debole della catena di sicurezza.

Come fare prevenzione? Dato che l’elemento più fragile del sistema di sicurezza aziendale è l’utente, sarà necessario fare formazione insegnando agli utenti come identificare messaggi di phishing e cosa fare in caso di dubbi.

Questo, però, può non bastare: alla lunga anche il miglior corso di sicurezza viene dimenticato perdendo quindi di efficacia.

Proprio per evitare di abbassare la guardia è necessario mantenere alto il livello di attenzione del personale con messaggi periodici, simulazione di attacchi di phishing e con l’installazione di software anti-phishing.

La fase di protezione dalle minacce

Potrà però capitare che ci sarà almeno una persona in azienda che andrà comunque ad aprire quella mail di phishing o a cliccare su di un link malevolo. Ecco allora che diventa necessario spostarsi alla fase successiva, la protezione.

Come ci si protegge?

Mettiamo il caso malaugurato che nonostante la formazione somministrata, le protezioni software, le campagne di phishing simulato, un vostro cliente clicchi un link malevolo o apra un file infetto. A questo punto il momento della prevenzione è ormai passato, ora dobbiamo contenere il danno.

Per raggiungere lo scopo di limitare il danno subito dal nostro cliente sarà necessario aver installato preventivamente un software EDR, endpoint detection and response, o XDR, extended detection and response, unitamente al supporto di un SOC, security operation center.

Si tratta quindi di fornire una soluzione MDR, managed detection and response. Sul mercato ci sono diversi servizi del genere con costi che variano da pochi euro/mese per endpoint in su.

Il servizio MDR è una soluzione di sicurezza gestita che aiuta le aziende a rilevare, rispondere e mitigare le minacce alla sicurezza informatica in modo rapido ed efficace.

Il servizio MDR combina diverse tecnologie e competenze per garantire una copertura completa della sicurezza. Queste includono:

1. Rilevazione avanzata delle minacce: il servizio MDR utilizza strumenti e tecnologie avanzate per monitorare e analizzare costantemente l’ambiente IT dell’azienda. Ciò include la scansione dei log, l’analisi del traffico di rete e l’utilizzo di intelligenza artificiale per individuare segnali di attività sospette o anomale.
2. Risposta alle minacce: una volta che una minaccia viene rilevata, il servizio MDR attiva un processo di risposta immediata. Ad esempio, isolando il dispositivo sotto attacco dal resto della rete impedendo che il malware si diffonda nel resto dell’azienda.
3. Monitoraggio 24/7: il servizio MDR fornisce un monitoraggio continuo delle attività di sicurezza informatica dell’azienda. Questo monitoraggio costante consente una rilevazione tempestiva delle minacce e una risposta immediata, riducendo al minimo il tempo di inattività e l’impatto sugli utenti e sulle operazioni aziendali.
4. Analisi forense: in caso di violazione di sicurezza, il servizio MDR può fornire un’analisi forense completa per comprendere l’entità dell’attacco, le sue origini e l’estensione dei danni causati. Questo tipo di analisi è fondamentale per mitigare le minacce future e per adottare misure preventive per proteggere ulteriormente l’azienda.

Tuttavia, il sistema di protezione sicuro al 100% semplicemente non esiste. Pertanto, è comunque possibile che un attacco, prima o poi, vada a buon fine. In questo caso è di fondamentale importanza farsi trovare preparati.

La fase di remediation

Il nostro cliente ha subito un attacco ransomware, la rete è completamente bloccata e i criminali chiedono un riscatto per decriptare i dati. Iniziamo col dire che in ogni caso, non bisogna suggerire al proprio cliente di pagare.

Qualora avesse in essere una polizza contro il rischio cyber, sarà eventualmente la compagnia assicurativa a trattare con i criminali. A prescindere dalla presenza o meno di una polizza cyber, sarà comunque necessario seguire il recovery plan che dovrà essere pronto all’uso.

In generale, possiamo identificare le seguenti fasi:

1. Isolamento e contenimento: la prima cosa da fare è isolare e contenere l’attacco ransomware per evitare che si diffonda ulteriormente all’interno del sistema. Ciò potrebbe comportare l’isolamento dei sistemi infetti dalla rete, lo spegnimento dei dispositivi compromessi e la disattivazione delle connessioni di rete.
2. Identificazione dell’origine e del tipo di ransomware: è importante identificare l’origine e il tipo specifico di ransomware che ha colpito i sistemi. Queste informazioni possono essere utili per comprendere meglio le caratteristiche dell’attacco e per cercare soluzioni specifiche o strumenti per decrittare i dati, se disponibili.
3. Rimozione del ransomware: il passo successivo consiste nell’eliminare completamente il ransomware dai sistemi infetti. È importante assicurarsi di eliminare completamente il malware e di effettuare una scansione completa per individuare eventuali file o tracce residue.
4. Valutazione dei danni: una volta che il ransomware è stato rimosso, è necessario valutare i danni causati dall’attacco. Questa fase può includere la verifica dei file crittografati, la valutazione dell’impatto sull’infrastruttura IT, l’identificazione dei dati persi o compromessi, la valutazione dei potenziali rischi per la sicurezza futura, l’eventuale danno d’immagine ed eventuali sanzioni finanziarie.
5. Ripristino dei dati: se si dispone di backup regolari e affidabili, il ripristino dei dati può essere relativamente semplice. I dati e i sistemi possono essere ripristinati dalle copie di backup precedentemente create. È importante assicurarsi che i backup siano sani e che non siano stati compromessi dall’attacco ransomware.
6. Implementazione delle misure di sicurezza aggiuntive: dopo il ripristino dei dati e dei sistemi, è fondamentale implementare misure di sicurezza aggiuntive per proteggere l’ambiente IT da futuri attacchi ransomware. Ciò può includere l’aggiornamento dei software con le patch di sicurezza più recenti, e l’implementazione di soluzioni di sicurezza avanzate.
7. Formazione e consapevolezza: infine, è importante fornire formazione ai dipendenti. La consapevolezza degli utenti è un fattore fondamentale per evitare futuri incidenti di sicurezza.

In tutte queste tre fasi: prevenzione, protezione e ripristino, gli MSP giocano un ruolo essenziale per migliorare la postura di sicurezza delle PMI andando così a ridurre anche il rischio di attacchi tramite supply chain.