Oggi, la dipendenza dai sistemi IT è tale che un attacco informatico può avere un impatto catastrofico, esponendo informazioni personali, bloccando le operazioni aziendali e paralizzando strutture critiche. Può persino arrivare a ferire fisicamente le persone. Per non parlare poi del danno di immagine che può arrecare, da cui può essere ancor più difficile riprendersi rispetto quello economico.
Come fare, allora, per prendere più precauzioni possibili per cercare di prevenire un attacco? Uno dei modi più efficaci è quello di vestire i panni di un hacker e simulare un vero attacco così da individuare i punti deboli del sistema di difesa.
Indice degli argomenti
Il cyber crimine è la terza economia mondiale
Se il cyber crime potesse essere considerato un’economia, occuperebbe il terzo posto a livello mondiale, dopo Stati Uniti e Cina. Infatti, secondo i dati rilevati da Statista, nel 2023 ha realizzato un “giro d’affari” globale di 8.150 miliardi di dollari. E da qui al 2029 è previsto registri una crescita che sfiorerà il 70%, raggiungendo 15.360 miliardi di dollari.
Il cybercrime oggi è molto più redditizio e molto meno rischioso di parecchie attività tipiche della criminalità organizzata, come per esempio lo spaccio di droga che nel 2023 ha fatturato “solo” 23 miliardi di dollari.
Il rapporto Clusit evidenzia che a livello globale c’è una netta prevalenza di attacchi con finalità di cybercrime, ovvero con l’obiettivo di estorcere denaro: lo scorso anno hanno superato l’83% del totale, in crescita del 13% rispetto al 2022.
Questo andamento, commentano gli autori del rapporto Clusit, sostanzia le indicazioni degli analisti che vedono una commistione tra criminalità “off-line” e criminalità “on-line” volta a reinvestire i proventi delle attività malevole, producendo così maggiori risorse a disposizione di chi attacca, in una sorta di circolo vizioso.
Tecniche sempre più sofisticate
Risulta perciò chiaro come mai il numero dei cybercriminali sia in aumento così come il livello di sofisticazione dei loro attacchi e degli strumenti e delle tecnologie per aiutarli a lanciare tali attacchi.
D’altro canto, la crescente disponibilità di ransomware e di altri malware as a service, e anche l’avvento dell’intelligenza artificiale, stanno molto facilitando le tecniche di attacco dei cyber criminali, che possono essere più veloci e più difficili da rilevare.
Nel dark web si trovano addirittura gli initial access broker, figure la cui attività è vendere accessi iniziali alle reti.
A fronte di questo panorama, per limitare la possibilità di essere vittima di un attacco, un’azienda dovrebbe attivare un efficace sistema di protezione che blocchi le potenziali vie di accesso.
Per riuscire in tale obiettivo, un modo è quello di anticipare i cyber criminali usando i loro stessi sistemi.
Le sette fasi di un attacco
Per meglio strutturare le attività per proteggersi dai cyber attacchi, la società aerospaziale Locked Martin ha messo a punto una ventina di anni fa un sistema chiamato Cyber Kill Chain. Nel tempo tale sistema si è raffinato ed è diventato una sorta di prontuario per chi si occupa di sicurezza. Cyber Kill Chain schematizza in sette fasi le tecniche di attacco:
- Ricognizione (reconnaissance)
- Armamento (weaponization)
- Consegna (delivery)
- Sfruttamento(exploitation)
- Installazione (installation)
- Comando e controllo (command and control)
- Azioni sull’obiettivo (Actions on objective)
Identificare i punti di accesso
Durante la prima fase, il cyber criminale individua l’obiettivo e cerca di identificare i suoi punti deboli per poi poter sferrare l’attacco. In pratica, può eseguire diverse azioni, come per esempio:
- analizzare la superficie di attacco per identificare punti vulnerabili;
- esaminare tutte le parti accessibili di una rete per scoprire possibili punti di ingresso;
- verificare le configurazioni dei servizi esposti per trovare impostazioni errate sfruttabili, come un server mail che permetta l’invio di email da parte di utenti non autorizzati;
- individuare, con l’aiuto di strumenti di scansione automatica, server o software di terze parti che presentano vulnerabilità note e non corrette;
- cercare data leak e credenziali esfiltrate nel dark e nel deep web.
Una volta aggregate tutte le informazioni ottenute, le testa per portare a compimento l’attacco. Per evitare che l’attacco sia lanciato, si possono eseguire le medesime indagini così da individuare le possibili vie di accesso e bloccarle. In pratica, si effettua quello che si chiama un ethical hacking.
Questo risultato può essere raggiunto avvalendosi di soluzioni di Attack Surface Management (ASM) e Cyber Threat Intelligence (CTI).
Difendersi simulando l’hacker
Grazie all’ASM la superficie di attacco prende forma. Possono essere così ottenuti dati dettagliati di tutti gli asset esposti online e a ciascun asset vengono associate le eventuali vulnerabilità e tutte le informazioni che la caratterizzano.
Così facendo, viene delineata in modo particolareggiato la superficie di attacco e si ha consapevolezza di quali possono essere le criticità, definendo le priorità per l’allocamento delle risorse necessarie a gestire il rischio.
Questo modo di agire, oltre a individuare i punti critici della rete, ha un indubbio vantaggio: siccome la scansione è eseguita dall’esterno, non di rado succede di trovare asset di cui il team che si occupa della sicurezza IT non è a conoscenza.
“Quando lanciamo una scansione di CyberSonar su un’azienda succede spesso di trovare risorse attive dimenticate e non aggiornate e quindi vulnerabili che lasciano interdetti i nostri clienti. Un esempio? Abbiamo addirittura individuato perfino un server di staging con dati sensibili. La superficie informatica delle organizzazioni cresce continuamente e un responsabile IT ha centinaia di asset da monitorare. Peccato però che ad un attaccante basta una piccola distrazione per causare gravi danni”, commenta Massimo di Bernardo, CEO di DefSoc.
Attraverso, invece, la CTI un’azienda può raccogliere e analizzare una serie di informazioni sulle minacce alla sicurezza informatica potenziali.
Tali informazioni forniscono dati preziosi sui metodi per anticipare le minacce, potenziare i programmi di difesa, diminuire la vulnerabilità e anche ridurre i potenziali danni causati da un cyber attacco.
Considerato che le informazioni ottenute tramite la CTI si basano sull’analisi di numerosi dati provenienti da molteplici fonti, si può avere un importante aiuto dall’intelligenza artificiale.
Infatti, per eseguire analisi che agli specialisti richiederebbero giorni, l’IA può rilevare in tempo reale comportamenti anomali o indicatori di compromissione all’interno della rete aziendale. E poter ridurre al minimo il tempo necessario a contrastare un attacco è un aspetto fondamentale nel combattere i cyber criminali, che spesso riescono ad avere la meglio sui sistemi difesa proprio perché sono più rapidi.
Dal monitoraggio del dark e deep web al vulnerability assessment: bisogna saper pensare come gli hacker per proteggersi dagli hacker.
Contributo editoriale sviluppato in collaborazione con Defsoc
