Abbiamo voluto dedicare ampio spazio all’argomento “Web Exploit”, un tema che ogni responsabile IT dovrebbe governare internamente; pertanto, pubblicheremo due articoli complementari.
» Parte 1: Primo articolo
» Parte 2: l’articolo presente!
1. Exploit hardware
Sebbene gli exploit software siano i più comuni, non sono gli unici tipi di exploit in circolazione. A volte gli attaccanti riescono a sfruttare difetti nell’hardware fisico (e nel firmware correlato) di un dispositivo.
Il caso più noto è quello di Meltdown e Spectre, che sono due vulnerabilità hardware del processore che hanno acquisito notorietà a causa della loro natura potenzialmente pericolosa.
Sono state scoperte (ritenute risalire a giugno 2017) dal Project Zero di Google (GPZ), un gruppo di lavoro che ricerca vulnerabilità, simultaneamente con ricercatori di numerose università e poi divulgate all’inizio del 2018.
Meltdown è tecnicamente designato come vulnerabilità CVE-2017-5754 (“rogue data cache load”) e colpisce solo i processori costruiti da Intel, mentre Spectre è in realtà due vulnerabilità: CVE-2017-5753 (“bounds check bypass”) e CVE-2017-5715 (“branch target injection”). Colpisce tutti i processori: Intel, AMD, e persino quelli realizzati con architettura ARM.
Fortunati, non sono segnalati exploit che siano mai stati creati per sfruttare queste vulnerabilità (perché sono difficilmente “sfruttabili” in pratica). Intel e altri produttori di chip hanno rilasciato patch (prima patch software e poi patch hardware) per mitigare i rischi.
>> Ne parliamo in questo articolo
2. Come difendersi dai web exploit
Disattivare i web exploit richiede l’eliminazione delle vulnerabilità. Questa misura di sicurezza informatica è ovvia ma, sfortunatamente, non sempre applicata con la dovuta attenzione. Le vulnerabilità zero-day sono le più temute, ma non le più utilizzate dagli exploit. Un interessante rapporto di Verizon ci dice che l’85% degli exploit eseguiti con successo è dovuto a solo dieci vulnerabilità, sei delle quali hanno più di dieci anni e, quindi, hanno già avuto una patch che le ha corrette.
In altre parole, il rimedio per questi difetti (responsabili della maggior parte degli attacchi) esiste da dieci anni, ma, evidentemente, coloro che dovrebbero aggiornare i sistemi non lo stanno facendo con la velocità che dovrebbero.
Pertanto, possiamo decisamente dire che la maggior parte degli exploit agisce dopo la pubblicazione della patch; quindi il momento di maggior rischio è la cosiddetta “finestra di vulnerabilità.” Questo termine è usato per definire l’intervallo di tempo tra la pubblicazione della patch e la sua installazione per chiudere la vulnerabilità.
Infatti, nel momento in cui la patch viene rilasciata, la vulnerabilità diventa nota a chiunque. Analizzando la patch stessa, un attaccante può capire come sfruttare la vulnerabilità e, con tecniche di “reverse engineering”, può costruire l’exploit web per attaccare sistemi che non sono ancora stati patchati.
È importante formare, informare e rendere consapevoli gli utenti dei sistemi informatici (siano essi PC, server o reti aziendali) dei rischi dei sistemi non patchati.
>> FlashStart ti protegge da una vasta gamma di minacce e blocca l’accesso a siti dannosi? Richiedi un preventivo o tprova adesso
Pertanto, è necessario lavorare sul fattore umano, che, come sempre, è la causa principale di attacchi informatici.
La spiegazione di cui sopra ha trovato conferma clamorosa proprio in questi ultimi giorni, quando si è verificato un attacco massicciouù che ha colpito organizzazioni in molte nazioni.
Secondo CERT-FR e l’Agenzia nazionale per la cibersicurezza (ACN), questa campagna di attacco ha sfruttato la vulnerabilità CVE-2021-21974, relativa al ben noto software di virtualizzazione VMware ESXi per il quale è disponibile una patch dal 23 febbraio 2021. Quindi, ancora una volta, l’errore umano è confermato come la causa numero uno degli attacchi informatici: in questo caso, non aver reso disponibile l’aggiornamento di sicurezza per quasi due anni!
In conclusione, c’è solo una cosa da fare: aggiornare sempre i sistemi e il software con le patch, privando efficacemente gli exploit della loro efficacia.
Se chiudi tutte le vulnerabilità, gli exploit non troveranno più un terreno utile su cui operare.
3. E se un aggiornamento non è possibile?
L’aggiornamento costante dovrebbe essere il principio per qualsiasi responsabile IT…purtroppo, ci sono situazioni in cui l’aggiornamento è impossibile o molto complicato e/o costoso.
Ciò è particolarmente vero nei sistemi di controllo industriale (ICS), dove un aggiornamento potrebbe compromettere il funzionamento di sistemi industriali obsoleti incapaci di supportare software più recenti.
In tali casi, è pericoloso limitarsi a “non aggiornare, perché potrebbe non funzionare”, che è un modo troppo superficiale di affrontare i rischi informatici odierni.
Invece, dovrebbero essere adottate soluzioni difensive “palliative”, come l’installazione di patch virtuali, se possibile. In alternativa, i sistemi che non possono essere aggiornati dovrebbero essere segregati in reti separate e non esposti direttamente sul Web.
4. L’autore
Giorgio Sbaraglia, ingegnere, fornisce consulenza e formazione in sicurezza informatica e privacy.
Insegna corsi su questi argomenti per molte aziende di formazione italiane leader, tra cui ABIFormazione e 24Ore Business School.
È il coordinatore scientifico del master “Cybersecurity and Data Protection” presso 24Ore Business School.
È membro del Comitato Scientifico CLUSIT (Associazione Italiana per la Sicurezza dell’Informazione) e “Innovation Manager” certificato da RINA.
Ricopre posizioni di DPO (Data Protection Officer) presso varie aziende e associazioni professionali.
È autore dei libri:
» “GDPR kit di sopravvivenza” (Editore goWare),
» “Cybersecurity kit di sopravvivenza. Il web è un luogo pericoloso. Dobbiamo difenderci!” (2a edizione 2022, Editore goWare),
» “iPhone. Come usarlo al meglio. Scopriamo insieme tutte le funzioni e le app migliori” (Editore goWare).
È collaboratore di CYBERSECURITY360 , la pubblicazione specializzata del gruppo Cybersecurity.
Scrive anche per ICT Security Magazine, per AGENDA DIGITALE e per la rivista CLASS.
Puoi attivare la protezione FlashStart® Cloud su qualsiasi tipo di Router e Firewall per proteggere i dispositivi desktop e mobile e i dispositivi IoT sulle reti locali.
