A fronte di attacchi informatici in continua crescita ed evoluzione, le aziende faticano a costruire una linea di difesa efficace per mitigare i rischi e garantire la sicurezza degli endpoint. Cosa serve davvero per prevenire gli incidenti, reagire tempestivamente e ridurre i downtime?
Domenico Schiavone, Responsabile del Competence Center Cybersecurity di Metisoft, spiega come gettare le basi per una strategia di sicurezza olistica e condivide il decalogo delle buone pratiche contro la minaccia ransomware.
Indice degli argomenti
La cyber security è una passeggiata in montagna
“I dati – esordisce – non sono incoraggianti. Nel primo trimestre del 2023 si sono verificati attacchi importanti verso enti governativi o similari. Gli hacker si stanno evolvendo dal punto di vista dell’efficacia e del tecnicismo. Sempre più spesso, infatti, eludono le barriere difensive sfruttando nuovi metodi per minacciare l’endpoint security. Ad esempio, il ransomware Cactus, tra gli ultimi osservati, era in grado di crittografare se stesso. Ecco perché serve una protezione a più livelli”.
Come ricorda Schiavone, l’impatto del ransomware è duplice. Innanzitutto, la vittima subisce un danno all’immagine, per via della fuga di dati. Inoltre, il blocco dell’operatività, spesso protratto nel tempo, causa ingenti perdite economiche.
“Insomma – asserisce il manager – il panorama non è roseo, ma l’orizzonte è peggio. Le aziende sottovalutano l’urgenza di cambiare approccio in una strategia di endpoint security. Prima si rafforzavano le linee difensive solo in vista di particolari eventi o in seguito a un incidente. Oggi la cyber security è come una passeggiata in montagna: sempre in salita, con tante asperità e imprevisti continui. Bisogna rimanere vigili, in ogni singolo istante”.
Secondo Schiavone, i nuovi pericoli sono in aumento. L’intelligenza artificiale è una complicazione importante, perché permette di perpetrare attacchi più efficaci, reperire velocemente indirizzi email, accelerare le campagne di phishing, riducendo gli sforzi necessari.
Il quantum computing fornisce ai criminali la potenza di calcolo per rompere facilmente gli schemi e gli algoritmi crittografici. L’Internet of Things è un’ulteriore fonte di rischio, se i dispositivi non vengono correttamente protetti. Infine, le reti 5G, più efficienti e veloci, permetteranno di eseguire attacchi ad ampio spettro.
“In assenza di un’adeguata cultura – suggerisce Schiavone – i rischi per aziende e cittadini vengono addirittura decuplicati. Non siamo a una cena tra amici, ma ci troviamo sul ring. La guardia deve rimanere sempre alta”.
Endpoint security: come proteggersi dalle minacce?
In questo quadro a tinte fosche, cosa possono fare le aziende per mettersi al riparo?
“Innanzitutto – spiega Schiavone – bisogna aggiornare continuamente il parco software aziendale: sistemi operativi, applicazioni, firmware, firewall e così via. Inoltre, occorre implementare un sistema di backup efficace e verificarne la validità. Senza eseguire test di restore periodici, il backup potrebbe essere una falsa sicurezza”.
Le altre ‘parole magiche’ sono training, consapevolezza e cultura a 360 gradi all’interno dell’organizzazione.
“Molti incidenti – commenta Schiavone – sono la conseguenza dell’ignoranza diffusa che interessa gli utenti finali come gli amministratori di sistema e gli sviluppatori. Fortunatamente, tra i professionisti dell’IT, si sta diffondendo un approccio di security by design: i prodotti vengono progettati e implementati con riferimento ai principali framework di sicurezza, quindi sono intrinsecamente sicuri, configurati correttamente e sottoposti ad hardening”.
Per accrescere l’awareness tra gli utenti finali e ridurre i rischi di violazione dell’endpoint security connessi al fattore umano, Schiavone consiglia simulazioni di phishing, corsi in aula, video pills e webinar.
Tra gli altri must-have della sicurezza, oltre alle tecnologie di autenticazione multifattore, non devono mancare le soluzioni avanzate per la correlazione dei logs, il rilevamento continuo delle minacce e l’automazione delle risposte. Schiavone cita in particolare, gli Intrusion Detection System (IDS), gli strumenti di Security Information and Event Management (SIEM) e le piattaforme di Extended Detection and Response (XDR).
“Infine – prosegue Schiavone -, ultimo ma non meno importante, per costruire una linea di difesa efficace occorrono partner esperti e qualificati. Qui entra in gioco Metisoft, che propone un approccio olistico alla sicurezza. Non ci occupiamo soltanto della vendita del prodotto, ma offriamo tutta una serie di attività consulenziali che permettono di ridisegnare i processi di sicurezza del cliente e organizzare un percorso formativo efficace per l’utente finale. Tra le nostre caratteristiche metodologiche, investiamo tantissimo in attività di formazione interna e proviamo direttamente sui nostri ambienti qualsiasi soluzione, approccio o servizio che proponiamo al cliente”.
Il decalogo per bloccare gli attacchi ransomware
Se il vademecum stilato si riferisce all’implementazione di un piano generale per la cyber security, Schiavone scende a un livello più pratico, definendo le 10 mosse fondamentali nell’endpoint security per bloccare gli attacchi ransomware.
Il primo suggerimento è ampliare la vista e la conoscenza sul parco software e hardware per identificare e delimitare la superficie d’attacco. Infatti, “non è assolutamente possibile proteggere ciò di cui non si ha visibilità”.
Il secondo punto prevede il patching per tutti i sistemi aziendali. Le tecnologie vanno continuamente aggiornate e non bisogna mantenere in casa soluzioni non più supportate dai vendor. Gli updates software andrebbero recepiti immediatamente dopo il rilascio del fornitore, ma prima della messa in produzione bisognerebbe effettuare dei test di controllo in ambiente dedicato.
“Come terza raccomandazione – prosegue Schiavone – bisogna proteggere i sistemi di sicurezza, quindi tutte le tecnologie che contribuiscono alla difesa aziendale, perimetrale e non: firewall, web application firewall, strumenti CASB (Cloud Access Security Broker), apparati Wi-Fi e così via. Tutte le tecnologie che permettono l’accesso alla rete e alle risorse IT dell’azienda vanno monitorate, aggiornate e messe in sicurezza”.
La quarta buona pratica concerne il concetto di segmentazione della rete. Come afferma Schiavone, un network, anche poco esteso, andrebbe sempre segmentato perché così è possibile proteggere puntualmente i servizi core, definendo le regole per ogni segmento e contenendo eventuali infezioni nel punto di origine (ad esempio, una filiale o uno stabilimento produttivo).
La protezione degli ambienti cloud è la quinta mossa fondamentale. Erroneamente, infatti, le aziende tendono a credere che alla sicurezza delle risorse sulla nuvola penserà direttamente il provider. Dimenticano tuttavia il principio di responsabilità condivisa: nel caso in cui il provider avesse in carico l’onere di difendere il perimetro, le attività di configurazione e protezione applicativa ricadrebbero sul cliente.
Al punto 6 viene ribadita l’importanza di definire una strategia di backup che, nel caso delle medie e grandi realtà, si accompagna spesso con un piano di Disaster Recovery. “Il DR – aggiunge Schiavone – potrebbe essere davvero la nostra unica ancora di salvezza contro il ransomware. Così, in caso di compromissione totale dei sistemi, l’azienda è pronta a ripartire in un’altra sede”.
Chiaramente, per garantire l’efficacia del ripristino a incidente avvenuto, è indispensabile programmare ed eseguire su base regolare i test di restore (o di DR), che rappresentano pertanto la mossa numero 7.
“Come ottava regola – afferma Schiavone – bisogna rimanere continuamente informati, sfruttando una pluralità di fonti come le mailing list, i forum specializzati oppure le riviste di settore. Ciò è valido soprattutto per i professionisti dell’IT, che si trovano quotidianamente in trincea. L’informazione oggi è l’oro del futuro, pertanto è necessario aggiornarsi sulle nuove minacce e tecniche di attacco, ma anche sulle vulnerabilità note e sulle patch distribuite dai vendor”.
Il continuous training, esteso all’intera compagine aziendale, dalla receptionist al Ceo, è la nona pratica citata da Schiavone, che suggerisce percorsi formativi su misura, declinati per ruolo professionale e tipologia di informazione che l’individuo tratta o gestisce.
Un punto importante è sensibilizzare sui rischi dell’ingegneria sociale, un insieme di tecniche che i criminali usano sempre più frequentemente per estorcere alla vittima informazioni riservate come le credenziali di accesso o i codici delle carte di credito.
Il decalogo termina riportando l’accento sul ruolo dei partner, che secondo Schiavone giocano un ruolo importante nel processo di scolarizzazione delle aziende. “I clienti – conclude – sono spesso totalmente impegnati su attività interne, routinarie o straordinarie da non riuscire ad occuparsi accuratamente dell’endpoint security. Il partner invece è continuamente sulla cresta dell’onda, perché la sua natura consulenziale impone un aggiornamento e ampliamento delle conoscenze, giorno dopo giorno. Le società come Metisoft impiegano molte risorse e investimenti per tenere fede all’obiettivo di un aggiornamento costante, mentre un cliente difficilmente può spendere tanto tempo e denaro in attività di formazione. Credendo fermamente nel continuous learning, Metisoft è così in grado di affiancare le aziende durante la difficile camminata in montagna, restituendo il know-how appreso dall’esperienza su centinaia di casi”.
Contributo editoriale sviluppato in collaborazione con Metisoft
