Sophos Active Adversary Report ha analizzato cyber attacchi privi di log telemetrici. In circa 8 casi su dieci i cyber criminali hanno disabilitato o cancellato la telemetria, ostacolano la capacità di una reazione rapida, soprattutto negli attacchi ransomware.
“Il rapporto conferma”, commenta Pierluigi Paganini, analista di cyber security e CEO Cybhorus, “qualora ve ne fosse ancora bisogno, l’importanza di un sistema di log telemetrici“.
“La tendenza a disabilitare la telemetria o di cancellarne i relativi dati”, aggiunge Enrico Morisi, ICT Security Manager, “se confermata, rappresenterebbe una variante nelle TTP (Tactics, Techniques and Procedures) degli attaccanti”. Ecco come mitigsre i rischi.
Indice degli argomenti
Attacchi informatici privi di log telemetrici: impossibile una reazione rapida
Lo studio ha rilevato come il 42% circa degli attacchi informatici analizzati sia privo di telemetria. Infatti Sophos ha scoperto che i cyber criminali hanno disabilitato o cancellato i log di sistema nell’82% degli attacchi informatici. Tuttavia, “proprio attraverso l’analisi di log è possibile individuare e rispondere tempestivamente ad una minaccia”, mette in guardia Paganini, “per questo motivo, obiettivo degli attaccanti è la loro cancellazione/disabilitazione”.
L’Active Adversary Report for Security Practitioners copre i casi di Incident Response (IR) che Sophos ha messo sotto la lente da gennaio 2022 alla prima metà del 2023.
“L’indisponibilità dei log telemetrici”, continua Paganini, “equivale ad ‘accecare’ i team di risposta agli incidenti e comporta di conseguenza l’allungamento dei tempi di risposta ad un attacco”.
“La variante nelle TTP (Tactics, Techniques and Procedures) degli attaccanti è tanto interessante quanto curiosa”, evidenzia Morisi, “si tratta infatti di operazioni piuttosto complesse, se si considerano, per esempio, le autorizzazioni che si renderebbero necessarie, la distribuzione dei dati su più sistemi ed eventualmente anche off-site, e, non da ultimo, il fatto che la linea di difesa dovrebbe intercettare qualsivoglia tentativo di compromissione dei dati e delle funzioni di telemetria, trattandosi di eventi certamente sospetti”.
La presenza di vulnerabilità nella telemetria ostacola la visibilità sulle reti e sui sistemi delle aziende. Ma oggi il tempo di permanenza (fra l’accesso iniziale e il rilevamento) continua a diminuire. La contrazione dell’intervallo a disposizione dei difensori impedisce o limita di reagire efficacemente a un incidente.
“Elemento preoccupante che emerge dal rapporto, e confutato dalle evidenze emerse dai recenti attacchi”, spiega Paganini, “è la riduzione dell’intervallo temporale che intercorre dall’intrusione iniziale sino all’esfiltrazione delle informazioni. Molto spesso questi attacchi sono human-operated, gli attaccanti utilizzano software legittimi per evitare di essere scoperti e cercano di cancellare o disabilitare i log telemetrici”.
Invece, “il tempo è essenziale quando si risponde a una minaccia: l’intervallo che separa l’evento di accesso iniziale dalla completa mitigazione della minaccia dovrebbe essere il più breve possibile”, secondo John Shier, field CTO di Sophos.
“Più in profondità il cyber criminale riesce ad arrivare nella catena di attacco, più complicati diventano i problemi per chi si deve difendere. La mancanza di telemetria allunga i tempi di risposta, cosa che la maggior parte delle aziende non può permettersi. Ecco perché log completi e precisi sono essenziali, anche se troppo spesso vediamo che le aziende non possiedono i dati di cui hanno bisogno”, avverte John Shier.
Come mitigare il rischio dei log telemetrici disattivati o cancellati
“Il rischio si attenua disponendo di una protezione che genera la telemetria necessaria e di avvisi che vengono generati quando la telemetria viene a mancare“, ha spiegato John Shier a CyberSecurity360: oltre a “persone che monitorano l’ambiente alla ricerca di attività sospette e backup affidabili e immutabili di tutti i log”.
“Le tecnologie di sicurezza informatica devono includere funzioni di protezione contro le manomissioni che rendano difficile per gli aggressori disattivarle e qualora ciò avvenga devono essere in grado di fornire alert chiari e tempestivi. Tali alert devono essere costantemente monitorati da professionisti della sicurezza che conoscono l’ambiente e che sanno come reagire nei momenti di crisi. Inoltre, come nel caso dei backup dei dati, è necessario avere a disposizione anche un backup dei log altrettanto affidabile nel caso in cui si renda necessario indagare su un attacco”, entra nei dettagli il field CTO di Sophos, intervistato da Cybersecurity360.
Sophos definisce “attacchi veloci” quelli con un tempo di permanenza del ransomware uguale o inferiore ai cinque giorni (38%); attacchi ransomware “lenti”, quelli con un tempo di permanenza superiore (62%). I difensori non devono reinventare le loro strategie difensive al ridursi dei tempi di permanenza. Ma devono essere consapevoli del fatto che gli attacchi rapidi potrebbero causare un rallentamento i tempi di risposta, intensificando quindi i danni.
Per mitigare il rischio, solo “la conoscenza e la condivisione delle tattiche, tecniche e procedure associate alle principali categorie di attaccanti”, conclude Paganini, “è essenziale per cercare di prevenire o individuare tempestivamente una intrusione, che si tratti di attacchi ‘veloci’ o ‘lenti'”.
“L’eventualità di non poter fruire pienamente della telemetria, unitamente a un dwell time che sembra attestarsi a meno di 5 giorni nel 38% degli attacchi”, mette in guardia Enrico Morisi, “rende quanto mai decisivo puntare da un lato ad un approccio di difesa orientato sempre più ad anticipare e contenere le minacce in tempo reale, impedendo la penetrazione dell’attaccante all’interno del ‘perimetro’, e, dall’altro, ad un layer proattivo sempre più efficace e reattivo sia in termini di operation sia di incident response, cercando anche di sfruttare al massimo il fondamentale supporto della threat intelligence, in particolare con riferimento alle informazioni di contesto e attribuzione, e alla definizione delle priorità“.
Inoltre, “il fatto che gli attaccanti non modifichino le TTP e non introducano innovazioni se non strettamente necessario, è in linea con la nota strategia dell’ottenimento del massimo risultato con il minimo sforzo“, osserva Morisi, “nell’ambito del cyber crime, un attacco che non massimizzi il profitto o addirittura non economico, difficilmente sarà perpetrato.
Infatti, “chi sferra l’attacco non cambia ciò che funziona, anche se questo comprime il tempo che trascorre dall’accesso al rilevamento. Si tratta di una buona notizia per le aziende perché così non devono modificare radicalmente le strategie difensive anche se gli attaccanti velocizzano le loro incursioni. Le stesse difese che intercettano gli attacchi veloci si applicano a ogni altro attacco, indipendentemente dalla sua rapidità. Sono difese che comprendono telemetria completa, robuste protezioni intorno a ogni elemento e monitoraggio diffuso ovunque”, conferma Shier.
Questione di frizione
Ma “il segreto è quello di aumentare la frizione ogni volta che è possibile: se rendi più difficile il lavoro dell’attaccante, allora puoi ottenere più tempo prezioso per rispondere allungando ogni fase di un attacco”.
Infatti, “la chiave per vincere la guerra del tempo è aumentare il fattore di ‘frizione’”, spiega Shier a CyberSecurity360: dunque, “è necessario rendere il più complesso possibile per gli aggressori sovvertire o manipolare i sistemi IT aziendali. Più livelli di difesa si implementano, maggiore è l’abilità necessaria per aggirarli. Tutto questo lavoro extra da parte degli aggressori genererà segnali sospetti e aumenterà il ‘rumore’ del loro attacco. Se i responsabili della protezione dei sistemi sapranno ascoltano attentamente, questi segnali potranno essere intercettati efficacemente”.
Il caso di attacco ransomware
Per esempio, “nel caso di un attacco ransomware, se c’è una maggior frizione in campo è possibile ritardare il momento dell’esfiltrazione, evento che avviene subito prima del rilevamento e che risulta spesso la parte più costosa di un attacco”, avverte Shier.
Nel caso di un attacco ransomware, “è necessario rendere difficile agli aggressori l’esfiltrazione dei dati ed è fondamentale che vengano generati degli alert qualora essi ci provino”, mette in guardia Shier, intervistato da CyberSecurity360.
“Troppe organizzazioni permettono a una quantità e a un tipo di traffico illimitato di uscire dalla rete senza ostacoli. Spesso gli aggressori creano archivi su server di staging che vengono poi utilizzati per esfiltrare i dati. Con il monitoraggio proattivo è possibile rilevare questa attività e lanciare avvisi. Bloccando gli strumenti di esfiltrazione noti, sarà più facile monitorare il modo in cui i dati si muovono attraverso la rete. È inoltre possibile impedire agli host non approvati di comunicare con servizi sconosciuti o con provider di archiviazione cloud non approvati. Conoscere i modelli di traffico normali vi aiuterà a individuare attività insolite se i primi due livelli falliscono. Questo non fermerà tutti i tentativi di esfiltrazione, ma almeno aggiungerà attrito ai percorsi comuni degli aggressori”, sottolinea ancora John Shier, field CTO di Sophos, a CyberSecurity360.
Il caso ransomware Cuba
Per il ransomware Cuba, “una società (Azienda A) disponeva di monitoraggio continuativo con MDR, il che ci ha permesso di intercettare l’attività anomala e di bloccare l’attacco nell’arco di qualche ora evitando la sottrazione di qualunque dato. Una seconda società (Azienda B) non possedeva questa frizione e quindi non si è accorta dell’attacco se non dopo svariate settimane dall’accesso iniziale dopo che Cuba aveva già esfiltrato 75 gigabyte di dati sensibili. A questo punto l’azienda ha chiamato il nostro team IR e, dopo un mese, stava ancora cercando di tornare regolarmente in attività”, conclude l’intervista Shier.
Approcci difensivi
In quest’ottica, “rendere la vita difficile all’attaccante, adottando per esempio un approccio basato sulla defense in depth e sulla strategia zero trust“, conclude Morisi, “proteggendo efficacemente ogni singolo elemento DAAS (Data, Application, Asset, Service), potrebbe da un lato indurlo a cambiare target e, dall’altro, dare ‘fiato’ prezioso ai team preposti alle security operation e all’incident response”.
