L’uso sempre più diffuso da parte delle aziende di applicazioni basate sul Web per attività di business comporta anche una crescita esponenziale dei rischi per la privacy e la sicurezza informatica: il recente attacco di cyber crime a Microsoft Exchange è il secondo in pochi mesi dopo quello noto come SolarWinds che, a dicembre, aveva colpito numerose società e settori strategici del governo degli Stati Uniti.
L’attacco a Microsoft Exchange ha avuto un elevato grado di pericolosità a causa della semplicità di utilizzo delle quattro vulnerabilità Microsoft critiche legate a un exploit 0-day di Microsoft Exchange Server. Il gruppo APT (Advanced Persistent Threat) HAFNIUM, facente riferimento alla Cina, ha effettuando attacchi su larga scala al di fuori del proprio territorio, principalmente negli Stati Uniti, impattando anche il territorio italiano ed europeo. HAFNIUM ha sfruttato le vulnerabilità “in catena” ottenendo accessi illegittimi a diversi server Exchange on-premise esposti su Internet.
L’attacco poteva essere previsto? Non proprio, ma le aziende italiane avrebbero potuto contenere i danni attraverso delle policy di aggiornamento dei server che spesso non sono impostate o vengono disattese e attraverso un adeguato processo di incident response.
Indice degli argomenti
Incident response: rispondere tempestivamente per limitare il danno
L’incident response è la soluzione che si rivela elemento chiave per ridurre l’impatto dell’attacco. I primi minuti, infatti, sono fondamentali e solo avendo procedure chiare, testate e orientate alla protezione dei propri asset digitali, è possibile arginare le conseguenze di un attacco.
Occorre agire in modo tempestivo prima che la vulnerabilità diventi di dominio pubblico – con il rischio che ulteriori gruppi criminali ne approfittino.
Per questo è anche importante monitorare costantemente il Deep Web, il Dark Web, i social media e ulteriori blog verticali del settore sicurezza per riscontrare vulnerabilità avvenute in altre parti del globo prima che vengano sfruttate per un attacco anche nel nostro Paese.
La fase di detection delle minacce
La prima fase da avviare è quella di detection e deve essere supportata da un’attività di Threat Intelligence: il riconoscimento delle vulnerabilità e delle minacce in corso per poter ricorrere alle patch e agli aggiornamenti o per adottare provvedimenti alternativi.
Il monitoraggio continuo sulle macchine è necessario per verificare cambiamenti eventuali nel comportamento, tuttavia gli strumenti da soli potrebbero non essere in grado di rilevare tutto e subito. È solo con l’analisi dell’anomalia, effettuata da un Security Operations Center (SOC), che si comprende l’azione necessaria da intraprendere in una eventuale fase di Response.
Nel caso specifico di Microsoft Exchange Server, avendo analizzato la vulnerabilità e avendo compreso che gli attaccanti la stanno sfruttando largamente, si può intervenire con una Remediation proporzionale al rischio potenziale.
Le anomalie riscontrate ci consentono di ragionare sul comportamento e non solo sulla firma.
Strumenti avanzati e competenze per la detection continua delle minacce sono le risorse che un SOC può garantire a un’azienda, tuttavia è altrettanto importante che questi servizi siano affiancati in azienda da processi strutturati e pronti per essere attivati al primo sorgere di una minaccia.
Non sottovalutare l’importanza della patch
Mettendo a confronto il caso Exchange con altre due vulnerabilità simili per impatto, EternalBlue (2017) e BlueKeep (2019), emerge una differenza rilevante: la percentuale di tecnologie vulnerabili di Exchange è decisamente maggiore rispetto alle altre due. Su 8.352 dispositivi server Exchange in Italia, 2.058, vale a dire il 25%, sono risultati effettivamente vulnerabili per motivi di configurazione o di versione. Si tratta di una percentuale importante anche se confrontata a livello europeo (con il 15% di server vulnerabili) e a livello mondiale (con il 18% di server vulnerabili).
Più nel dettaglio, sappiamo che BlueKeep richiede di conoscere un dato ben preciso riguardo alla macchina bersaglio, in assenza del quale il codice arbitrario non viene eseguito e la macchina bersaglio va in crash. Le aziende, presumendo che non sia ancora stato sviluppato un programma affidabile che sfrutti questa vulnerabilità per prendere il controllo di un bersaglio vulnerabile, hanno sottovalutato l’importanza di applicare la patch prontamente rilasciata da Microsoft.
Quanto accaduto ha messo in luce la necessità di mantenere aggiornato un sistema di manutenzione preventiva – in gergo “patchare” – per ridurre significativamente i rischi operativi in termini di diminuzione di fault e tempi di ripristino, e mantenere sotto controllo lo stato di oggetti hardware/firmware/software che costituiscono l’infrastruttura ICT per garantire la loro piena efficienza.
I dati esportati dalla piattaforma Shodan mettono, infatti, in evidenza come negli altri Paesi europei sia più diffusa la pratica della manutenzione preventiva: solo il 15% dei server sono vulnerabili in Europa. Si tratta di una media nettamente inferiore a quella mondo, pari al 25%.
Le percentuali appaiono estremamente ridotte nei casi dell’attacco EternalBlue perché, essendo la vulnerabilità apparsa nel 2017, ci si aspetta che i sistemi siano stati aggiornati o che ci sia stato ricambio tecnologico.
Ma oggi più che mai risuona un campanello d’allarme per un rapido cambiamento delle policy di gestione delle patch.
Soluzioni di mitigazione
Suggeriamo, in particolare, di verificare il prima possibile la compromissione tramite script e nel caso in cui il server non sia stato ancora compromesso, occorre installare le seguenti patch per ogni versione di Microsoft Exchange Server:
- Exchange 2019 CU8
- Exchange 2019 CU7
- Exchange 2016 CU19
- Exchange 2016 CU18
- Exchange 2013 CU23
- Exchange 2010 SP3 RU32
La cultura della cyber security in azienda
È indispensabile diffondere in ogni azienda una cultura della cyber security che possa eliminare alla radice alcune cattive abitudini.
La prima può essere eliminata con la giusta sensibilizzazione: oltre la metà degli utenti riutilizza password precedentemente oggetto di un data breach.
Altre abitudini attengono all’organizzazione aziendale: poche realtà hanno strutturato dei processi di monitoraggio delle vulnerabilità e di aggiornamento dei sistemi, oltre ad aver fissato finestre di manutenzioni ordinarie e di emergenza. Al tempo stesso credenziali come Administrator, admin, SAPadmin, ExchangeAdmin e via dicendo devono essere bannati dalle organizzazioni: ogni persona deve essere responsabile delle proprie credenziali e dei livelli di accesso concessi.
Diverse realtà adottano ancora la pratica di “scalpellare” nome utente e relativa password all’interno del codice applicativo e pochi hanno una mappa di quelle in funzione.
I log, poi, devono essere storicizzati per permettere agli specialisti di capire cosa è successo in caso di attacco. Ovviamente in caso di compromissione di una macchina, l’intruso per prima cosa li cancellerà, quindi devono essere salvati altrove.
Queste sono solo alcune delle criticità che possono essere ovviate adottando delle policy di cyber security a cui occorre aggiungere soluzioni di backup a prova di ransomware e lo sviluppo di un’adeguata procedura di incident response.
