Cosa significa soluzione di protezione avanzata dalle minacce e quando un’azienda ne ha bisogno

Cosa intendiamo per “soluzione di protezione avanzata dalle minacce (ATP)”? E perché oggi aziende e organizzazioni hanno bisogno di soluzioni avanzate per la protezione delle loro reti e dispositivi? Lo spieghiamo in questo articolo.

Cosa intendiamo per “soluzione di protezione avanzata dalle minacce”

Le soluzioni di protezione avanzata dalle minacce (ATP) sono piattaforme di applicazioni che forniscono una protezione avanzata contro gli attacchi moderni alle reti di aziende, organizzazioni e istituzioni educative. Per combattere i criminali informatici a un livello simile, non è più sufficiente ricorrere ad applicazioni obsolete. Piuttosto, è necessaria una protezione molto più sofisticata.

L’approccio prende il nome di “Detection & Response”, quindi affrontare il pericolo potenziale con un monitoraggio costante dei dispositivi (end-points) e della rete aziendale, fornendo una risposta immediata. È anche descritto come un passaggio da una modalità di protezione passiva, in cui prima si subisce il danno e poi si cerca di ripararlo, a una modalità attiva, in cui l’obiettivo è prevenire gli attacchi.

Tutti i produttori di soluzioni per la sicurezza aziendale hanno aggiornato la loro offerta e ora includono soluzioni di protezione avanzata dalle minacce con piattaforme che contengono un nucleo centrale e due moduli aggiuntivi. La maggior parte di essi viene fornita come servizio, quindi in modalità SaaS (Software as a Service). Questo significa che l’azienda paga una tariffa fissa mensile per utilizzare la piattaforma di sicurezza, spesso composta da hardware e software e integrata nella sua architettura IT. Ma il servizio può anche essere fornito da remoto e basato su cloud, una volta che sia stabilita una connessione continua alla rete aziendale.

In questo caso, potrebbe non essere necessario implementare un’appliance di sicurezza e la piattaforma applicativa connessa nel data center aziendale. I partner IT monitoreranno la rete dei loro clienti 24/7 attraverso il loro SOC (Security Operation Center), seguendo gli accessi e il traffico sospetto di dati e documenti. Ma, soprattutto, saranno continuamente aggiornati sul numero e la natura degli attacchi in tutto il mondo, grazie alla connessione con i diversi centri di monitoraggio. In questo modo, saranno sempre consapevoli della situazione e rapidi nell’implementare misure di contromisura.

Perché oggi abbiamo bisogno di soluzioni di protezione avanzata?

Gli attuali attacchi dei criminali informatici sono molto diversi da quelli di alcuni anni fa. Sono più complessi, più mirati e spesso esplodono dopo mesi di attesa. Gli attacchi più frequenti alle reti aziendali vengono effettuati attraverso malware. Sono piccoli programmi che vengono introdotti in rete con scopi diversi. Il più comune, il ransomware, ha l’obiettivo di bloccare l’accesso ai dati, alle informazioni e ai documenti o di rubarli. Lo sblocco avviene solo dopo che l’azienda vittima paga un riscatto, richiesto in bitcoin. Altro malware include i trojan, inclusi in un programma che l’utente ritiene innocuo, e che sono in grado di prendere il controllo dell’end-point. Inoltre, ci sono le backdoor utilizzate per penetrare la rete aziendale, il phishing e il cracking delle credenziali di accesso aziendale.

Nella maggior parte dei casi l’attaccante prende il controllo della rete aziendale entrando da un end-point, un computer o uno smartphone di un dipendente o un dispositivo IoT. Lo fa acquisendo le credenziali di accesso per il dispositivo, la rete, un’applicazione come Microsoft 365. Per fare ciò, può utilizzare tecniche di social engineering, tracciando un nome utente e una password grazie a uno studio delle tracce lasciate sul web dall’utente o attraverso un’email falsa, e quindi utilizzando tecniche di phishing e applicazioni per il cracking della password.

Attualmente, i criminali informatici hanno idee e obiettivi molto chiari. L’obiettivo principale di un attacco a una rete aziendale è l’estorsione. Pertanto, mirano a trovare documenti riservati, progetti o, più in generale, dati che possono avere un valore per la vittima o, in un paese estero, per un concorrente. E lo fanno mascherandosi da dipendenti, entrando nella rete da un punto di accesso autorizzato. Inoltre, diversamente da quanto accadeva anni fa, normalmente il malware viene installato mesi, in alcuni casi anni, prima dell’attacco e rimane dormiente, in attesa di effettuare un attacco quando iniziano a transitare dati interessanti.

La discussione fino ad ora rende chiaro che contro questi attacchi le soluzioni di protezione tradizionali non sono sufficienti, ma piuttosto sono necessarie soluzioni di protezione avanzata dalle minacce. In particolare, è fondamentale puntare l’attenzione su due contesti: l’accesso dai punti finali e il monitoraggio costante del traffico sulla rete. Inoltre, sottolineiamo che nessun’azienda, indipendentemente dalle sue dimensioni o dal suo settore verticale, può ritenere di essere immune da un attacco.

Ciò avviene perché sempre più spesso l’architettura IT di un fornitore di un produttore di automobili è, ad esempio, collegata a quella del produttore stesso. Questo significa che l’attaccante può sfruttare le vulnerabilità del fornitore per accedere alla rete del produttore. E vi ricordiamo anche questo: il GDPR può ritenere direttamente responsabile dell’attacco anche il fornitore, a meno che non dimostri di avere un livello di protezione avanzato.

Come funzionano le moderne soluzioni di protezione

Innanzi tutto, le soluzioni avanzate di protezione dalle minacce (ATP) eseguono un monitoraggio costante del traffico di rete. Coloro che accedono alla rete vengono controllati, così come le loro attività. Questo controllo è supportato da algoritmi di intelligenza artificiale, in particolare machine learning e automazione. Questo nucleo della piattaforma è descritto come XDR (extended detection & response). Raccoglie e correla automaticamente i dati a diversi livelli di sicurezza: email, dispositivi remoti, server e applicazioni in cloud e in rete.

Il machine learning aiuta le soluzioni avanzate di protezione dalle minacce a comprendere le abitudini degli utenti, in modo da notare immediatamente comportamenti strani. Ad esempio: perché un dipendente che finora aveva sempre effettuato l’accesso da Milano all’improvviso si connette da Saigon? Gli algoritmi di automazione, invece, eseguono alcune attività automatiche per garantire una protezione immediata. Questi includono l’invio di un avviso, ad esempio, ma anche il blocco dell’IP da cui ha origine il traffico imprevisto e altre attività più sofisticate.

Inoltre, le piattaforme ATP controllano attentamente le porte di una rete aziendale, di solito attraverso un’appliance installata nel data center aziendale. Infine, un altro componente di una piattaforma ATP è la sandbox. Questo è un luogo virtuale, nascosto e protetto, dove tutti i file sospetti devono transitare. Non appena un file viene identificato, diventa “ostaggio” e viene controllato da cima a fondo. Nel caso in cui un dipendente riceva un allegato in un’email, il file viene analizzato in tempo reale e non sarà possibile aprirlo fino a quando la piattaforma non lo avrà verificato.

Un altro argomento rilevante è la gestione degli accessi. È fondamentale, ad esempio, attivare l’autenticazione a più fattori, quindi l’accesso tramite doppia autenticazione, ad esempio tramite smartphone. Ancora di più, gestire con precisione i privilegi di accesso: cosa può fare un utente all’interno della rete aziendale, quali documenti può accedere e se è davvero necessario che abbia piena libertà d’azione. Tutto questo è possibile se usi gli strumenti dedicati di una piattaforma ATP.

Che tipo di soluzione dovresti scegliere

Quindi, che tipo di soluzioni avanzate di protezione dalle minacce dovresti scegliere? Considerando la nostra discussione fino ad ora, la criminalità informatica non comporta alcun carcere. Tutte le aziende, di tutte le dimensioni e in tutti i mercati, tutte le Organizzazioni, le Scuole e le Istituzioni, sono potenzialmente a rischio. E in realtà, sono soprattutto le più piccole e deboli che fungono da cavalli di Troia per accedere a strutture più ampie. E se non cercano un posto sicuro, rischiano non solo danni diretti ma anche indiretti, sulle aziende, partner e fornitori dei clienti, e sanzioni in linea con il loro fatturato, come indicato dal GDPR.

Pertanto, non c’è dubbio che una piattaforma per ATP deve essere scelta tra quelle messe a disposizione dai leader di mercato. Se consideri che le soluzioni più diffuse sono abbastanza simili e che la stessa tecnologia è disponibile come servizio sia per i “più grandi” che per i “più piccoli” attori, ti consigliamo fortemente di scegliere un partner IT specializzato in sicurezza.

Sarà il partner a scegliere la soluzione per il cliente, sarà lui a definire il prezzo del servizio in base alle funzioni che ha bisogno di attivare, al numero di utenti connessi alla rete, al tipo di documenti da proteggere. E sarà ancora il partner a fornire tutto il supporto durante le fasi di installazione e configurazione. I più organizzati, infine, forniranno un servizio completo attraverso il loro proprio SOC, sollevando l’azienda da tutte le preoccupazioni.

Puoi attivare la protezione FlashStart® Cloud su qualsiasi tipo di Router e Firewall per proteggere dispositivi desktop e mobili e dispositivi IoT sulle reti locali.