Molte organizzazioni dispongono di strumenti avanzati di cybersecurity, ma non riescono comunque a individuare tempestivamente le compromissioni. È quanto emerge dall’ultimo report Compromise Assessment di Kaspersky, secondo cui oltre la metà (52%) degli incidenti di sicurezza più gravi rimane inosservata per più di 90 giorni, mentre nel 31% dei casi le attività malevole risultavano attive da almeno tre mesi prima di essere rilevate.
Il dato più significativo riguarda però la permanenza degli attaccanti nelle infrastrutture aziendali: il caso più estremo individuato dai ricercatori è rimasto nascosto addirittura per quattro anni.
Gli strumenti di sicurezza non bastano
Il report mette in discussione un approccio ancora molto diffuso nelle aziende, basato principalmente sull’automazione.
Secondo Kaspersky, il 60% degli incidenti analizzati non è stato intercettato nonostante fossero già presenti alert ad alta affidabilità generati dagli strumenti di sicurezza installati.
Solo il 20% delle compromissioni è stato individuato attraverso attività di analisi manuale.
Per i ricercatori il problema non riguarda tanto la mancanza di tecnologie quanto la loro gestione: regole non aggiornate, monitoraggio insufficiente e scarsa capacità di analizzare gli alert fanno sì che segnali importanti vengano ignorati.
Il report evidenzia inoltre come anche gli avvisi classificati a bassa priorità possano rappresentare indicatori precoci di compromissione e dovrebbero quindi rientrare nei processi di analisi dei Security Operation Center (SOC).
Anche i backup possono diventare un rischio
Tra le criticità evidenziate emerge anche il ruolo dei backup.
Secondo Kaspersky, il 40% delle web shell individuate durante le attività di compromise assessment era presente anche nelle copie di backup.
Ciò significa che un’organizzazione potrebbe ripristinare involontariamente componenti malevoli dopo aver concluso le attività di risposta a un incidente.
Per questo motivo il report suggerisce di verificare non solo l’integrità dei backup, ma anche il loro contenuto, adottando procedure di scansione prima del ripristino.
La comunicazione resta un punto debole
Oltre agli aspetti tecnologici, il report richiama l’attenzione sulle criticità organizzative.
Nel 32% delle valutazioni effettuate sono emersi problemi di comunicazione interna, conferme incomplete delle attività svolte o perdita di conoscenze dovuta al turnover del personale.
Secondo Kaspersky, questi elementi possono rallentare la risposta agli incidenti tanto quanto una vulnerabilità tecnica.
Per questo motivo vengono raccomandate esercitazioni periodiche che coinvolgano non soltanto i team di sicurezza, ma anche i processi organizzativi, la documentazione operativa e i flussi di comunicazione tra le diverse funzioni aziendali.
Incident response: i playbook devono evolvere
Un’altra indicazione del report riguarda la necessità di aggiornare costantemente i playbook di incident response.
Le procedure non possono essere considerate documenti statici, ma devono evolvere seguendo le nuove tecniche utilizzate dagli attaccanti e le evidenze raccolte durante gli incidenti.
Secondo Kaspersky, mantenere playbook non aggiornati aumenta il rischio di non riconoscere tempestivamente nuove modalità di attacco e di compromettere l’efficacia delle attività di risposta.
Più analisi proattiva e verifica continua
Tra le raccomandazioni rivolte alle organizzazioni figurano il controllo periodico dello stato dei sistemi di rilevamento, la validazione degli alert a bassa affidabilità, il monitoraggio continuo supportato da attività di threat hunting, una gestione più rigorosa delle vulnerabilità e delle patch, oltre a programmi di formazione dedicati anche ai rischi legati ai dispositivi personali e alle politiche BYOD.
Per Kaspersky, integrare periodicamente attività di compromise assessment condotte da soggetti indipendenti può aumentare la probabilità di individuare compromissioni già presenti nell’infrastruttura e ridurre il rischio di incidenti gravi non rilevati.
Il report completo è disponibile sul Securelist.com.
