Con gli attacchi che impazzano, definire un piano di difesa efficace è una priorità per qualsiasi organizzazione. La Threat Intelligence è una componente fondamentale della strategia, ma per generare effettivo valore deve essere declinata sulle necessità aziendali e traducibile in azioni concrete.
Così la proposta di Karsperky per la Threat Intelligence include una serie diversificata di strumenti e servizi che punta a trovare un immediato risvolto pratico per i clienti, migliorando la postura di sicurezza e la capacità di risposta.
Indice degli argomenti
Criminalità IT, un minaccia crescente per il business
“Come osservano anche gli analisti – esordisce Fabio Sammartino, Head of Pre-Sales della filiale italiana – oggi si assiste a un inasprimento delle attività malevole. Gli attacchi crescono in numero e impatto, mentre i gruppi criminali si evolvono, motivati da ragioni economiche. Aumentano in particolare le minacce come ransomware e infostealer che rappresentano un business decisamente remunerativo. Basti pensare che secondo le recenti statistiche, oltre il 70% delle aziende è disposta a pagare il riscatto agli attaccanti, che tuttavia guadagnano anche attraverso la rivendita delle informazioni rubate”. Insomma, a causa del cybercrime, le aziende perdono soldi e capacità di impresa. “Un report pubblicato recentemente da Kaspersky – prosegue il direttore prevendita – rivela che, nel segmento delle Pmi, gli attacchi informatici sono considerati il secondo rischio più temuto dopo la perdita dei ricavi e il calo delle vendite. Dunque, nonostante una certa immaturità del mercato sui temi della cybersecurity, la consapevolezza aumenta e le aziende si stanno attrezzando per correre ai ripari”.
Come nota Sammartino, oggi qualsiasi azienda, indipendentemente dalla dimensione e dal settore, è un potenziale bersaglio. “I criminali sono aggressivi – dichiara – e stanno spostando l’attenzione anche verso le piccole e medie imprese. Da qui l’esigenza di una strategia di difesa proattiva, in grado di studiare l’avversario, anticiparne le mosse e migliore complessivamente la postura di sicurezza aziendale”.
La Threat Intelligence deve essere azionabile
La Threat Intelligence è tra gli elementi chiave per abilitare un piano di difesa realmente efficace, soprattutto se concepita come ‘azionabile’ ovvero secondo una visione tecnica e un approccio pratico.
“Offriamo ai nostri clienti – afferma Sammartino – informazioni che possono essere effettivamente applicate per aumentare la capacità di detection, migliorare la postura di cybersecurity, ridurre l’esposizione al rischio. Sostanzialmente, forniamo indicazioni utili su come si muovono gli hacker affinché i tecnici della cybersecurity, interni o esterni all’azienda utente, possano ‘orientare gli scudi’ verso le minacce più probabili, rendendo l’infrastruttura IT resiliente e pronta a sopportare l’urto”.
Ecco quindi che sotto il cappello Threath Intelligence, si raggruppano strumenti di diversa natura: dalla reportistica degli eventi di sicurezza agli indicatori di compromissione fino all’analisi delle vulnerabilità.
L’intelligence delle minacce declinata su misura
“Perché un approccio basato sulla Threath Intelligence sia efficace – dichiara Sammartino – deve essere tarato sull’infrastruttura del cliente e sul livello di maturità rispetto alla cybersecurity. Non tutte le aziende hanno la stessa consapevolezza e soprattutto uguale visibilità sui sistemi IT e sugli eventi di sicurezza. Alcune organizzazioni utilizzano già strumenti avanzati come EDR (Endpoint Detection & Response) e XDR (Extended Detection & Response) che permettono la raccolta dei log, offrendo una fonte dati affidabile per le attività di intelligence. Tuttavia, altre organizzazioni non sono così avanti”.
Il suggerimento allora è partire cercando di comprendere come la propria infrastruttura viene vista dall’esterno, analizzando quali sono le vulnerabilità principali, i potenziali punti di accesso e così via. “Le informazioni e le tecnologie – sottolinea Sammartino – non mancano, vista anche l’opportunità di utilizzare gli strumenti di Open Source Intelligence (Osint). Come Kaspersky, aiutiamo i clienti a ottenere visibilità sull’infrastruttura, fornendo valutazioni del rischio e suggerimenti su eventuali interventi migliorativi, in un’ottica consulenziale”.
Dall’analisi delle vulnerabilità allo studio delle APT
Nello specifico, l’offerta di Kaspersky relativa alla Threath Intelligence si articola in strumenti differenti a seconda della specificità aziendale e degli obiettivi.
Ad esempio, il servizio Digital Footprint Intelligence permette di ottenere un quadro completo sulle vulnerabilità dell’infrastruttura, sui punti di miglioramento e su eventuali attacchi in corso, avvenuti o prevedibili.
“Per le aziende più strutturate – spiega Sammartino -, tra gli altri servizi, mettiamo a disposizione la reportistica del nostro team di esperti adibito alle analisi delle Advanced Persistent Threat. Grazie alle informazioni condivise, è possibile conoscere le modalità di azione dei criminali e quindi prevenire i prossimi attacchi”.
Sammartino cita infine il servizio Threat Data Feeds, che permette di integrare gli indicatori di compromissione condivisi da Kaspersky con i sistemi di sicurezza esistenti come firewall, SIEM (Security Information and Event Management) e SOAR (Security Orchestration, Automation and Response). Così, correlando gli indicatori con le sorgenti interne monitorate, è possibile intercettare e risolvere più velocemente eventuali problematiche. “Poiché abbiamo – aggiunge Sammartino – una visibilità sulle minacce molto importante, dettata dalle nostre soluzioni installate e dagli studi dei nostri ricercatori, possiamo estendere e ampliare notevolmente la capacità di rilevamento delle soluzioni di sicurezza in essere, anche se di terze parti”.
Insomma, la cybersecurity è un’attività da costruire su misura, anche se ci sono degli elementi comuni, come ricorda Sammartino: dalla corretta configurazione dei sistemi alla necessità di costruire un Incident Response Plan, che definisce le azioni e i soggetti da mobilitare in caso di attacco.
L’importante, secondo Karspersky, è adottare strumenti allineati alle specificità aziendali, ma soprattutto ‘azionabili’, ovvero in grado di essere applicati e generare velocemente valore per l’azienda.
Contributo editoriale sviluppato in collaborazione con Karspersky
