Per essere in grado di respingere un attacco informatico che oggi è sempre più aggressivo e sofisticato, dobbiamo essere capaci – ancora prima di scegliere soluzioni tecnologiche – di adottare l’approccio corretto, di avere la giusta postura difensiva che tenga in considerazione come opera l’aggressore. L’aggressore, che dovrebbe essere correttamente definito come ‘cyber-criminale’ piuttosto che hacker, ha il vantaggio dei suoi primi movimenti: attacchi a sorpresa.
Non sappiamo quando attaccheranno e – soprattutto – dove e come attaccheranno. Nella mia attività di consulente, mi piace rappresentare questa condizione usando un esempio semplice: per un aggressore sarebbe sufficiente che un utente clicchi su un’email, per un IT manager sarebbe sufficiente che nessun utente clicchi su un’email.
Da questo esempio molto semplice è evidente che per scopi difensivi è determinante ‘pensare come penserebbe l’aggressore‘.
Questo concetto – fondamentale per il corretto approccio nella cyber security – è espresso in modo molto efficiente nel celebre manuale ‘L’arte della guerra’, scritto dal generale e filosofo cinese Sun Tzu 2500 anni fa, con la frase: ‘Coloro che conoscono il loro nemico così come conoscono se stessi non dovrebbero avere paura di combattere cento battaglie’ che abbiamo citato in un articolo precedente.
>> FlashStart ti protegge da una vasta gamma di minacce e blocca l’accesso ai siti dannosi ? Richiedi un preventivo oppure tprova ora
1. I principi fondamentali della cybersecurity
Diamo un’occhiata a quali siano le procedure corrette su cui dobbiamo basare un’efficiente architettura e soluzione di cybersecurity.
Abbiamo parlato di – non a caso – ‘architettura’ perché la cyber security non può essere costruita con misure e tecnologie isolate, bensì con l’adozione di azioni tra loro strettamente coordinate e interdipendenti. Il primo concetto da tenere a mente è quello di ‘sicurezza stratificata ‘, sicurezza realizzata su più livelli.
Lo spiegherò, in modo semplice ma molto efficiente, il celebre Kevin Mitnick con l’immagine dei celebri dolcetti M&M che sono duri fuori… ma morbidi dentro!
Che cosa significa questa immagine? Semplicemente, che una volta rotto il guscio che è stato costruito fuori, non ci sono altri gusci, quello che rimane è la parte morbida. Nella cyber security non dobbiamo commettere questo errore, bensì adottare una difesa su più livelli: l’aggressore potrebbe riuscire a sfondare uno strato di difesa, ma poi troverebbe un altro, poi un altro ancora!
Un altro principio essenziale da applicare è quello della Zero Trust Architecture (ZTA) che abbiamo affrontato in 
questo articolo.
Le tecniche tradizionali di protezione – adottate fino ad ora dalle aziende – sono ormai obsolete e non sufficientemente efficienti per difendersi dalle nuove minacce che provengono dalla rete.
È giunto il momento di cambiare l’approccio difensivo dei sistemi informatici aziendali, con un cambio radicale di paradigma e un modello di difesa che sia in effetti un’architettura completa, senza escludere alcuna area dalla protezione.
Negli ultimi anni – e purtroppo ancora oggi per molte aziende! – l’attenzione si è concentrata principalmente sulla PREVENZIONE, su misure protettive.
Tentando di impedire all’aggressore di entrare e violare il sistema informatico.
Tuttavia, lo scenario odierno delle minacce e TTP (tecniche, tattiche e procedure) richiede che si considerino attacchi aggressivi che potrebbero abbattere le nostre difese e dovrebbero essere identificati e affrontati il prima possibile: questo è il concetto di DETECTION, qualcosa che dovremmo mettere in atto utilizzando strumenti molto forti.
Per rappresentare questa situazione, citeremo la frase di JohnT. Chambers , ex CEO di Cisco System: ‘Esistono due tipi di aziende: quelle che sono state hackerate e quelle che non sanno di essere state hackerate’.
L’attenzione deve essere posta anche sull’individuazione degli incidenti, per essere in grado di affrontarli il prima possibile, riducendo al minimo i danni. Oggi gli attacchi più terribili sono conosciuti come 
APT (Advanced Persistent Threat): sono attacchi sofisticati che sono anche estremamente mirati, iniziano con l’intrusione di cyber criminali nella rete aziendale che è stata messa nel mirino.
Sono avanzati perché utilizzano tecniche di hacking molto avanzate con molteplici vettori di attacco.
Sono persistenti perché il loro elevato livello di sofisticazione li rende difficili da rilevare, potrebbero passare mesi tra l’attacco iniziale e il rilevamento con eventuale neutralizzazione.
Questo intervallo temporale è definito ‘window of compromise’ o ‘dwell time’ ed è solitamente superiore a 220 giorni. Una volta rilevato l’attacco, ci vogliono all’incirca 75 giorni per il ‘rimedio’, per affrontare i danni causati dall’attacco.
Gli attacchi APT sono tipicamente sviluppati in sette fasi:
Ricognizione» Ricognizione (Informazioni Raccolta): questa è la fase in cui l’attaccante investe la maggior parte del tempo e delle risorse, proprio perché è esattamente questa che determinerà il successo o il fallimento dell’attacco. Vengono utilizzate anche tecniche OSINT (Open-Source INTelligence) per raccogliere informazioni sul bersaglio;
» Intrusione nella rete (Adpesecuzione): generalmente, entra in gioco il fattore umano, utilizzando tecniche di ingegneria sociale come phishing, baiting, spear phishing, watering hole (queste sono le stesse tecniche utilizzate anche su bersagli più piccoli, affidandosi anche al fattore umano, cosa che non può essere sottolineata abbastanza!). Possono anche utilizzare exploit kit, tecniche di SQL Injection, XSS o attacchi ‘a forza bruta’;
» Furto di identità (Estrazione delle credenziali): una volta ottenuto l’accesso al sistema sotto attacco, gli attaccanti cercheranno di penetrare il più profondamente possibile. Eseguono l’escalation di privilegi: con movimenti laterali cercano di ottenere le credenziali amministrative più importanti. Per fare questo utilizzano strumenti specifici come: Mimikatz (https://github.com/ParrotSec/mimikatz) e molti altri, facilmente reperibili nell’infinito mondo del web;
» Installazione di malware: una volta entrati, gli attaccanti si connettono al loro server C&C (Command&Control) per scaricare il malware con cui otterranno il controllo del sistema e finalizzeranno l’attacco. Questo tipo di software è definito RAT (Remote Administration Tool, vedi Glossario) e viene utilizzato per prendere il controllo dei sistemi bersaglio;
» Mantenimento dell’accesso: creazione di una backdoor: questa è una tecnica di soluzione che mantiene aperto l’accesso di un sistema evitando i soliti meccanismi di protezione. RAT viene quindi utilizzato per installare una backdoor, che consente agli attaccanti di accedere al sistema quando vogliono;
» Esfiltrazione dei dati: il furto di dati è il vero obiettivo dell’attacco, quindi l’attaccante cercherà di identificare e rubare i CVD (Critical Value Data), utilizzando anche script per una ricerca automatica. Una volta identificati, hanno bisogno di estrarre questi dati che deve essere fatto nel modo più ‘silenzioso’ possibile, così da non essere notato dal sistema di ‘rilevamento’ della vittima;
» Persistenza (Copertura delle tracce): infine, l’attaccante cercherà di rimanere dentro il sistema il più a lungo possibile (anche per mesi, come abbiamo visto), senza essere individuato dai sistemi di difesa. Utilizzeranno quindi tecniche di manipolazione e cancellazione nei log di sistema, cancellando dati e software che sono stati utilizzati nell’attacco.
I TTP (tecnica, tattica e procedura) utilizzati durante le varie fasi dell’attacco vengono generalmente annotati e ripetuti: ogni attaccante ha il proprio modus operandi. Pertanto, quando ci si protegge dagli hacker è necessario conoscere questi TTP (‘Conosci il tuo nemico’ cit. Sun Tzu).
Una fonte utile di conoscenza degli attacchi è il progetto Adversarial Tactics, Techniques and Common Knowledge (ATT&CK) di MITRE, un gruppo di ricercatori non profit che lavorano con il governo americano. ATT&CK è una base di conoscenze costruita sulla base dello studio di milioni di attacchi informatici nel mondo reale.
Mitre ATT&CK categorizza le minacce informatiche in base a vari fattori, come le tattiche utilizzate per infiltrarsi nel sistema IT, il tipo di vulnerabilità del sistema sfruttato, gli strumenti di malware utilizzati e il gruppo criminale associato all’attacco. Consultando questo possiamo vedere e conoscere le diverse tattiche utilizzate per ogni fase dell’attacco, dal Reconnaissance (fase uno) fino all’Escalation di privilegi e alla Persistenza e molte altre.
Sullo stesso sito troveremo anche i collegamenti tra i TTP (classificati con la lettera T e un codice numerico) e gli attori minaccia che vengono utilizzati (classificati con la lettera G e un codice numerico): come abbiamo menzionato, ogni attaccante ha il proprio tipico modus operandi che è spesso riconoscibile.
Mitre ATT&CK offre anche altre informazioni: per ogni TTP c’è un elenco di ‘Mitigazioni’ (classificate con la lettera M e un codice numerico) nonché gli strumenti di Rilevamento (classificati con le lettere DS e un codice numerico).
2. Le misure di protezione e rilevamento
Grazie a questa conoscenza, possiamo scegliere di adottare la soluzione di cyber security di protezione, rilevamento e mitigazione degli attacchi.
La prima fase indispensabile è quella della valutazione dei rischi cyber cybervalutazione dei rischivalutazione dei rischi: dobbiamo analizzare i rischi che stiamo correndo quando il nostro sistema cyber è esposto, valutando ogni aspetto dell’architettura adottata.
In altre parole, prendendo esempi dalle misurazioni che adottiamo quando ci prendiamo cura della nostra salute: non ha senso assumere medicine se prima non ci siamo sottoposti ad analisi e diagnosi medica.
Analizzando e identificando i rischi, dobbiamo quindi definire le misure di mitigazione utilizzando i criteri di priorità (innanzitutto i rischi classificati come più importanti).
È anche bene sapere che il tradizionale software antivirus basato su ‘firma’ non è più sufficiente, e ciò è perché gli attaccanti odierni adottano la cosiddetta tecnica del ‘polimorfismo’: per ingannare l’antimalware tutto quello che devono fare è creare un codice sconosciuto ad esso. Tutto questo può essere fatto in modo decisamente semplice: non c’è bisogno di costruire un malware completamente nuovo, basta modificare la firma di uno esistente e l’antivirus non sarà più in grado di rilevarlo.
Pertanto, dobbiamo adottare sistemi di rilevamento avanzati come EDR (Endpoint Detection and Response) o – ancora meglio – XDR (Extended Detection and Response): la differenza è che mentre l’EDR opera sull’endpoint, gli strumenti XDR controllano la sicurezza dell’intera infrastruttura aziendale.
L’utilità di questi sistemi EDR/XDR deriva da un fatto: qualsiasi attacco crea rumore.
Sapere come riconoscere questo rumore, che è un sintomo dell’attacco in atto, ti permette di intervenire rapidamente con una reazione dal sistema di difesa dell’infrastruttura aziendale.
La chiave per aumentare il livello di sicurezza della tua difesa è capire cosa si nasconde dietro il rumore che, prima o poi, ogni hacker produrrà con le sue azioni.
Questo può essere fatto utilizzando i sistemi EDR/XDR ma non è ancora sufficiente. Una volta che il rumore dell’attacco è stato rilevato, dobbiamo filtrarlo e pulirlo da qualsiasi rumore insignificante (ad esempio il rumore di fondo) in modo da poterci concentrare su ciò che potrebbe rappresentare un attacco reale.
Le informazioni rilevate da EDR/XDR devono essere correlate e analizzate. Oggi questo è possibile utilizzando Machine Learning (ML) insieme all’Intelligenza Artificiale (AI) dal motore di threat intelligence che è stato realizzato dai produttori di EDR che è in grado di catalogare e raggruppare milioni di eventi insieme ai loro comportamenti tipici, grazie anche a ‘User Behaviour Analytics’.
La correlazione e l’analisi degli eventi rilevati da EDR/XDR può essere effettuata da un sistema SIEM (Security Information and Event Management) che – oltre agli eventi provenienti da EDR – raccoglie e correla anche gli eventi provenienti da altre fonti come firewall, server DNS, IDS (Intrusion Detection System), IPS (Intrusion Prevention System), WAF (Web Application Firewall).
Ma chi analizza la grande quantità di dati che SIEM raccoglie e correla?
Chi decide come intervenire in caso di un attacco sospetto?
Non ha senso avere molte informazioni – generate dagli strumenti di cui abbiamo parlato – se non siamo in grado di gestirle.
Per completare questa architettura aziendale possiamo utilizzare le nostre risorse IT interne, oppure ottenere aiuto esterno, come un SOC (Security Operations Centre).
Il SOC è un’unità di analisti di sicurezza che gestisce e valuta tutti i dati raccolti da strumenti come EDR, XDR, SIEM ecc.
Un’azienda può anche avere il proprio SOC interno, tuttavia questo è molto costoso quindi di solito viene fatto solo da organizzazioni molto grandi.
Più frequentemente le aziende si rivolgono a SOC esterni che sono collegati a MSSP (Managed Security Service Provider).
Questa soluzione offre i vantaggi di avere risorse e competenze avanzate, strumenti di controllo sempre aggiornati e un servizio 24/7. Non dovremmo mai dimenticare che gli attaccanti spesso cercano di colpire i loro bersagli nel momento in cui un’azienda ha carenze di personale o è persino chiusa, ad esempio di notte o durante il fine settimana.
Pertanto, la protezione dovrebbe essere sempre attiva!
L’architettura che è stata descritta rappresenta le soluzioni di cyber securityche oggi ogni azienda dovrebbe adottare, andando oltre i soliti e semplicissimi programmi antivirus che ormai sono superati.
3. Altre misure importanti
Noteremo – in conclusione – le altre misurazioni necessarie per costruire un’architettura di sicurezza completa e aggiornata.
Piano di Disaster Recovery (DRP), il piano che ogni azienda dovrebbe avere pronto per affrontare qualsiasi tipo di incidente cyber. Alla base di tutto dovrebbe esserci un’analisi, iniziando con queste domande:
» Quanto sono importanti i miei dati?
» Quanti dati potenzialmente potrei perdere senza creare un danno alla mia azienda?
» Quanto tempo posso perdere nel sostituire i miei dati prima di subire danni?
Da queste valutazioni (Risk Assessment) saremo in grado di comprendere:
» Quali dati dovrebbero essere sottoposti a backup?
» Con quale frequenza dovremmo eseguire i backup (ogni ora, giorno, settimana…)
» Che tipo di backup dovremmo scegliere (NAS, cloud, nastri ecc)
» Ovviamente basato su valutazioni costo/beneficio
Adozione di sistemi antispam avanzati: si osserva che le email rappresentano, ancora oggi, il principale vettore di attacco.
Quindi un antispam efficiente rappresenta una misura di protezione indispensabile. Tuttavia, un antispam potrebbe risultare essere piuttosto inefficiente se non è configurato correttamente. Dovremmo impostare correttamente i parametri e le relative impostazioni dei protocolli di controllo che l’antispam utilizza in particolare:
» Sender Policy Framework (SPF): questo ti consente di verificare se un’email che ti è stata inviata da un dominio è effettivamente dagli host del dominio in questione. Come definito dallo standard RFC 7208.
» DomainKeys IdentifiedMail (DKIM): consente ai proprietari di un dominio di aggiungere una firma digitale attraverso una chiave privata alla posta elettronica. Questo è stato standardizzato nel 2011 con l’RFC 6376.
» Basato su dominio Messaggio Autenticazione, Rapporto e Conformità (DMARC): questo è un sistema di convalida dei messaggi per la posta elettronica. È stato sviluppato principalmente per controllare le email di spoofing. Le caratteristiche di DMARC sono state definite come RFC 7489 nel marzo 2015.
4. Cosa ci siamo dimenticati?
‘Il fattore umano è davvero l’anello più debole della sicurezza‘ (cit. ‘The Art of Deception’ Kevin Mitnick – 2022).
Sappiamo che oltre il 90% degli attacchi informatici è causato da ERRORE UMANO, pertanto è indispensabile FORMARE gli utenti che utilizzeranno i dispositivi informatici.
La formazione è richiesta anche dal GDPR Art. 39 – Compiti del Responsabile della protezione dei dati (DPO):
Il responsabile della protezione dei dati è responsabile dei seguenti compiti:
b) … la sensibilizzazione e la formazione del personale che parteciperà al trattamento connesso alle attività di controllo;
Pertanto, qualsiasi azienda – grande o piccola – dovrebbe fornire programmi di formazione periodici sulla sicurezza informatica, per trasformare l’utente da ‘anello più debole della catena di sicurezza’ a ‘prima linea di difesa’.
5. L’autore
Giorgio Sbaraglia, ingegnere, fornisce consulenza e formazione in materia di sicurezza informatica e privacy.
Insegna corsi su questi argomenti per molte importanti aziende di formazione italiane, tra cui ABIFormazione e 24Ore Business School.
È il coordinatore scientifico del programma master “Cybersecurity and Data Protection” presso la 24Ore Business School.
È membro del Comitato Scientifico di CLUSIT (Associazione italiana per la sicurezza informatica) e “Innovation Manager” certificato da RINA.
Ricopre posizioni di DPO (Responsabile della protezione dei dati) presso varie aziende e associazioni professionali.
È autore dei libri:
» “GDPR kit di sopravvivenza” (Editore goWare),
» “Cybersecurity kit di sopravvivenza. Il web è un luogo pericoloso. Dobbiamo difenderci!” (2a edizione 2022, Editore goWare),
» “iPhone. Come usarlo al meglio. Scopriamo insieme tutte le funzioni e le app migliori” (Editore goWare).
È un collaboratore di CYBERSECURITY360 , pubblicazione specializzata del gruppo Cybersecurity.
Scrive anche per ICT Security Magazine, per AGENDA DIGITALE, e per la rivista CLASS.
Puoi attivare la protezione FlashStart® Cloud su qualsiasi tipo di Router e Firewall per proteggere dispositivi desktop e mobili e dispositivi IoT sulle reti locali.
