Per le aziende di oggi, la disponibilità di reti, applicazioni e servizi online è un aspetto ormai imprescindibile e indispensabile quanto la corrente elettrica. L’interruzione della disponibilità ha ripercussioni immediate sulle attività: i siti e i servizi online scompaiono e i clienti, i partner e i dipendenti sono costretti a interrompere il proprio lavoro. Se l’interruzione persiste, sorgono problemi anche per il brand e i suoi rapporti con i clienti, con mancate vendite, clienti persi e maggiori costi di marketing per riconquistarli.

Il primo passo per difendersi è identificare con chiarezza la minaccia esistente, la sua frequenza e la sua complessità. Senza questa indagine iniziale, non è possibile misurare o valutare chiaramente i rischi associati agli attacchi DDoS a cui va incontro un’organizzazione.

L’infrastruttura ATLAS di Arbor Networks raccoglie dati sul traffico anonimo da 400 service provider su scala globale, offrendoci la possibilità di osservare circa un terzo dell’intero traffico Internet.  Tra i dati più significativi relativi all’ultimo mee:

• Sono stati registrati 9.000 attacchi informatici in Italia a novembre, con una media di circa 300 attacchi al giorno. Nel mondo, gli attacchi registrati a novembre sono stati – invece – 710.000, con una media di 23.666 al giorno.
• Più del 35% di questi è stato sferrato dagli Stati Uniti e quasi il 30% dall’Italia, seguita da Olanda e Regno Unito.
• Il più grande attacco, registrato in Italia, a fine mese, è stato di 35.6 Gbps. Nel mondo, invece, la dimensione massima registrata nel corso di novembre è stata di ben 616 Gbps.

L’incremento dell’attività DDoS è riconducibile alla comparsa dei servizi di noleggio che permettono di lanciare attacchi DDoS a costi esigui. Questi servizi, detti booter/stresser, guadagnano sui grandi volumi, lanciando migliaia di attacchi con l’ausilio delle infrastrutture botnet costituite da computer e, sempre più spesso, dispositivi IoT controllati a distanza. Con un’infrastruttura di questo tipo, un botmaster riesce ad aggregare 10.000, 50.000 o talvolta centinaia di migliaia di dispositivi per lanciare gli attacchi.

Principi chiave della protezione contro gli attacchi DDoS

Rilevazione: la velocità di individuazione degli attacchi DDoS è la prima e più importante abilità necessaria per avviare un rapido programma di mitigazione. La scelta della soluzione da utilizzare su questo fronte incide sensibilmente sul profilo di rischio. È preferibile affidarsi all’approccio su cloud offerto dall’attuale fornitore di CDN? O è meglio aggiungere una nuova funzione al firewall esistente? O è invece opportuno scegliere una protezione DDoS appositamente concepita e realizzata per questo scopo?

Nell’ultimo anno, abbiamo assistito a una crescente sofisticazione delle botnet, che oltre a lanciare attacchi di grande impatto che conquistano i titoli dei giornali riescono anche a sferrare milioni di attacchi rivolti alle applicazioni Layer 7. Oggi, gli attacchi DDoS colpiscono più bersagli contemporaneamente, dalla larghezza di banda alle applicazioni fino all’infrastruttura esistente, inclusi firewall di rete, firewall di applicazioni web (WAF) e sistemi anti-intrusione (IPS). Gli attacchi stanno inoltre diventando sempre più stratificati e spezzano le difese facendo leva su molteplici metodologie di attacco e tattiche diversive. La capacità di difendere la propria azienda e preservare la disponibilità dei servizi è direttamente correlata alla velocità di risposta a queste minacce multiple e prolungate.

Quando si parla di attacchi DDoS, si pensa generalmente ad attacchi di grande volume che mirano a saturare la banda disponibile. Questi attacchi sono certamente reali, ma rappresentano soltanto un aspetto del problema. In realtà, si verificano anche milioni di attacchi complessi, più contenuti e furtivi e spesso simultanei, rivolti contro le applicazioni Layer 7 e l’infrastruttura esistente. La tecnica migliore per mitigare questi attacchi multivettore poco visibili è l’azione on-premise. Questo perché il cloud offre soltanto una soluzione parziale, ideale per gli attacchi di grandi dimensioni, mentre per una reale difesa contro gli attacchi DDoS è necessario intervenire localmente.

I dispositivi IPS, i firewall e gli altri prodotti di sicurezza sono elementi essenziali di una strategia di difesa stratificata, ma sono concepiti per risolvere problemi di sicurezza fondamentalmente diversi da quelli affrontati dai prodotti specifici per la rilevazione e mitigazione degli attacchi DDoS. I dispositivi IPS, ad esempio, bloccano i tentativi di assalto all’origine dei furti di dati. Nel mentre, i firewall svolgono un’azione di controllo per impedire l’accesso non autorizzato ai dati. Tuttavia, pur riuscendo a tutelare efficacemente l’integrità e la riservatezza della rete, questi prodotti di sicurezza non affrontano uno dei principali bersagli degli attacchi DDoS, ovvero la disponibilità della rete.

Le limitazioni dei firewall e dei dispositivi IPS mettono in luce i fondamentali benefici offerti dalle soluzioni IDMS (Intelligent DDoS Mitigation Solution).

• Le soluzioni IDMS sono stateless, ovvero non tracciano lo stato di tutte le connessioni. I dispositivi stateful, come i firewall e gli IPS, sono invece vulnerabili agli attacchi DDoS e non fanno altro che accrescere il problema.
• Le soluzioni IDMS non dipendono dalle firme create dopo che l’attacco ha colpito gli obiettivi e supportano invece molteplici contromisure, offrendo una protezione immediata contro la maggior parte delle tipologie di attacco.
• Le soluzioni IDMS consentono diverse configurazioni, ma soprattutto permettono l’implementazione fuori banda, ove necessaria. Questa flessibilità espande la scalabilità della soluzione, un aspetto indispensabile a fronte di attacchi DDoS di dimensioni sempre maggiori.
• Per gestire realmente gli attacchi DDoS “distribuiti”, è necessario affidarsi a una soluzione IDMS totalmente integrata che supporti un metodo di rilevazione distribuito. I dispositivi IPS che sfruttano tecniche di rilevazione basate su singoli segmenti non riescono a individuare molti attacchi di grandi dimensioni.

Automazione: l’automazione è ormai divenuta il Sacro Graal della sicurezza perché riduce il personale necessario e incide sensibilmente sulla velocità di risposta. Una buona soluzione IDMS riesce infatti a rilevare gli attacchi e avviare l’azione di mitigazione in modo automatico, spesso prima che gli operatori di sicurezza si accorgano dell’attacco. Le soluzioni IDMS possono essere arricchite con decine di contromisure integrate e automatizzate, ognuna mirata a una specifica tipologia di attacco.

In una configurazione di difesa DDoS ibrida, che abbina la protezione con mitigazione on-premise alla protezione basata su cloud, la soluzione IDMS può inviare un segnale per attivare le contromisure basate su cloud istantaneamente e automaticamente non appena il volume di attacco raggiunge una determinata soglia. Questa è una tecnica ottimale, soprattutto in considerazione delle dimensioni sempre più consistenti degli attacchi e della crescente stratificazione delle metodologie impiegate.

Risposta: il primo passo per una gestione efficace degli attacchi DDoS è certamente l’implementazione di valide soluzioni tecnologiche. Tuttavia, anche nelle organizzazioni che si avvalgono di molteplici meccanismi di difesa DDoS automatici, dalle contromisure preinstallate alla connessione con mitigazione basata su cloud, il fattore umano ha ancora un ruolo determinante nella risposta e nella difesa globale. I team di sicurezza devono essere preparati a riconoscere e contrastare le minacce senza alcuna esitazione. La preparazione è un fattore chiave per lo sviluppo dei “riflessi organizzativi” che permettono di accelerare la risposta agli incidenti anche nelle situazioni di maggiore pressione associate agli attacchi.

È difficile affrontare al meglio un attacco se non si è ben preparati. La pratica della risposta agli incidenti è uno strumento essenziale per una rapida ed efficace mitigazione delle minacce. Ignorare il fondamentale aspetto umano della difesa DDoS nuoce all’azienda quanto scegliere la soluzione sbagliata.

L'articolo Come garantire la disponibilità della rete in caso di attacchi DDoS proviene da Data Manager Online.

Il numero di dispositivi IoT abilitati IP è aumentato sensibilmente negli ultimi anni e, secondo le previsioni di Gartner, raggiungerà la strabiliante quota di quasi 21 miliardi di unità nel 2020. Quasi tutti i dispositivi prodotti attualmente, inclusi gli apparecchi per uso domestico, gli impianti di illuminazione stradale, i parchimetri, i giocattoli e addirittura le automobili, includono qualche tipo di funzionalità IoT che ne consente il monitoraggio e/o la gestione tramite Internet.

Sfortunatamente, a causa della capienza e funzionalità limitate di questi apparecchi e della sempre più diffusa tendenza a ridurre i costi, questi dispositivi sono generalmente poco sicuri e costituiscono un facile bersaglio per i criminali, che riescono a individuarli e inglobarli nelle loro botnet senza alcuna difficoltà. Per i pirati informatici, i dispositivi IoT connessi a Internet, come ad esempio le webcam e i videoregistratori digitali, rappresentano ormai uno strumento di prima scelta per sferrare gli attacchi DDoS, come dimostrano gli attacchi di alto profilo lanciati contro DYN, OVH e altre organizzazioni nel 2016/17.

I produttori stanno lentamente iniziando a incrementare il livello di sicurezza dei dispositivi IoT connessi direttamente a Internet (il 5% circa della popolazione IoT, secondo le stime), ma il restante 95% degli apparecchi non sta ricevendo la stessa attenzione, trattandosi di dispositivi protetti dai firewall aziendali e quindi considerati al riparo dagli attacchi informatici. La sicurezza di questi dispositivi si è tuttavia rivelata fallace nel febbraio 2017.

A febbraio 2017, ASERT e altri ricercatori di malware hanno individuato in circolazione un nuovo trojan basato su Windows contenente un codice di attacco IoT. La peculiarità di questo trojan è che, oltre a infettare i computer con sistema operativo Windows, riesce anche a identificare i dispositivi IoT vulnerabili e a infettarli con il codice botnet IoT Mirai.

Ciò significa che, se collegati in rete all’interno dei firewall aziendali, i computer Windows infettati da questo trojan iniziano a cercare e infettare tutti i dispositivi IoT vulnerabili, aggirando barriere precedentemente ritenute sicure.

Lavorando in questa maniera, i criminali informatici riescono a raggiungere il 95% dei dispositivi IoT precedentemente inaccessibili e possono sfruttarli per lanciare attacchi DDoS in uscita o devastanti attacchi DDoS interni contro le risorse interne vulnerabili, tra cui i data center e le infrastrutture delle reti WAN/LAN. Nella grande maggioranza dei casi, queste risorse NON sono protette contro gli attacchi DDoS originati dall’interno e sono quindi estremamente vulnerabili a questo tipo di minaccia.

Nel 2017, è inoltre iniziato un processo di impollinazione incrociata tra i malware botnet DDoS e i ransomware di tipo tradizionale; i criminali informatici hanno infatti capito che gli attacchi DDoS sferrati contro le infrastrutture di rete possono avere conseguenze ben peggiori del contagio dei computer degli utenti finali.

Affiancando questi due trend, risulta evidente che i pirati informatici potrebbero lanciare attacchi multi-fase di tipo ransom contro le grandi aziende, facendo leva su una miscela di attacchi DDoS esterni e attacchi DDoS originati internamente dai dispositivi IoT già presenti nelle reti colpite.

Il trend della connettività, che ha condotto alla creazione di numerosi dispositivi collegati a Internet, ha indubbiamente apportato molti benefici alla società moderna a discapito però della sicurezza. Oggi i criminali informatici riescono infatti a impadronirsi facilmente di questi dispositivi per utilizzarli contro i rispettivi proprietari a scopo di lucro.

Lo spreader basato su Windows per la diffusione del malware Mirai ha rivoluzionato lo scenario, offrendo la possibilità di infettare i dispositivi IoT delle grandi aziende e sfruttarli per attaccare le risorse vulnerabili ubicate all’interno dei perimetri aziendali.

Ciononostante, le reti progettate e protette nel rispetto delle buone pratiche di sicurezza di rete, attraverso la segmentazione, il monitoraggio, la mitigazione DDoS e i dispositivi di sicurezza di tipo stateless, riescono comunque a rilevare e mitigare questi attacchi.

Va però ricordato che è purtroppo quasi impossibile mettere in sicurezza una rete durante un attacco. Occorre quindi introdurre le misure di sicurezza preventivamente, prima che i dispositivi IoT si rivoltino contro i loro stessi proprietari.

L'articolo Arbor: IoT e attacchi informatici, il caso dello spreader Windows per la diffusione di Mirai proviene da Data Manager Online.

Dal 2015 l’ASERT (Arbor’s Security Engineering and Response Team) osserva e monitora una botnet DDoS denominata Flusihoc. Ad oggi sono poche le pubblicazioni che trattano di questa famiglia, nonostante l’elevato numero di anti-virus e di firme per il rilevamento delle intrusioni create dai diversi vendor. Flusihoc è costantemente presente con una serie di varianti, oltre 500 specie uniche nel nostro zoo di malware, e viene costantemente aggiornato. Flusihoc è un malware C++ versatile capace di sferrare una serie di attacchi DDoS sotto la direzione di un server di comando e controllo. Abbiamo deciso di occuparci di questa famiglia di malware in seguito al recente incremento delle attività osservate. In questo testo descriviamo questa famiglia, le relative caratteristiche e le attività rilevate nel corso degli anni.

Attività DDoS rilevata

L’infrastruttura Arbor ATLAS raccoglie anonimamente i dati degli attacchi DDoS provenienti da quasi 400 service provider sparsi in tutto il mondo che si avvalgono della piattaforma Arbor SP/TMS. Grazie ad ATLAS è possibile misurare una parte degli attacchi della botnet Flusihoc. Da luglio 2017 siamo in grado di correlare i comandi di attacco Flusihoc rilevati con 909 eventi DDoS segnalati in ATLAS. La dimensione di attacco massima, di 45,08 Gbps, è stata registrata il 6 luglio 2017.  Gran parte degli attacchi DDoS coinvolge TCP SYN sulle porte 80, 1-1023 e 443. Tali eventi si presentano con una dimensione media di attacco di 603,24 Mbps, solitamente con una frequenza di circa 14 diversi attacchi al giorno.

Possibile origine cinese

La geolocalizzazione degli indirizzi C2 (Comando e Controllo) e gli attributi statici del malware individuati suggeriscono che Flusihoc possa essere di origine cinese. Osservando esemplari di Flusihoc si ottengono stringhe di debug come “C:\Users\chengzhen\Desktop\svchost\Release\svchost.pdb” in cui compare il termine cinese Chengzhen, che può essere tradotto in italiano con “avverarsi”. Inoltre, altri campioni contengono stringhe di debug e valori in cui sono presenti caratteri cinesi e gran parte di essi si basa sulla lingua “Cinese_semplificato”. È bene tenere presente che quanto appena illustrato potrebbe però far parte della deliberata strategia di attacco volta a fuorviare coloro che si occupano delle ricerche.

Flusihoc comunica con il C2  mediante HTTP non cifrato. Il C2 utilizza una struttura di comando basata su numeri; il bot riceve un numero e risponde in base al comando associato a tale valore numerico. ASERT ha individuato i comandi numerati indicati di seguito:

1 – Richiede al bot di inviare informazioni sul sistema infettato; questo comando richiede al bot di rispondere inviando informazioni come nome del sistema operativo, informazioni sulla CPU, dimensioni della RAM e velocità della rete.

22 – Richiede al bot di verificare i payload dell’attacco e se necessario di riceverli dal C2.

333 – Passa allo stato di attacco e richiede al bot di inviare un messaggio di “Busy”, se si trova in fase di attacco attivo a un target o “Idle”, in caso contrario.

4444 – Comanda al bot di interrompere l’attacco in corso

Flusihoc è in grado di sferrare nove tipi di attacchi DDoS: SYN_Flood (1), UDP_Flood (2), ICMP_Flood (3), TCP_Flood (4), HTTP_Flood (5), DNS_Flood (6), CON_Flood (7), CC_Flood (8) e CC_Flood2 (9)

Tali attacchi vengono inviati dal C2 in formato stringa, che il bot sfrutta per eseguire analisi e lanciare gli attacchi stessi.

Persistenza rimossa e poi nuovamente aggiunta

Le prime varianti di Flusihoc, come l’esemplare preso in esame disponibile su VirusTotal, impiegavano una voce del registro di persistenza in ‘Software\Microsoft\Windows\CurrentVersion\Run’. Tuttavia, nella maggior parte degli esemplari più recenti tale meccanismo di persistenza è assente. Potrebbe trattarsi di una soluzione per ovviare al rilevamento; tuttavia, rende più difficile la riattivazione del bot dopo un riavvio del sistema. In questi ultimi esemplari si nota che gli autori di Flusihoc reintroducono questo meccanismo di persistenza, presumibilmente per via delle difficoltà di mantenere la persistenza dopo la rimozione della voce di esecuzione.

Funzionalità di download ed esecuzione

Nello stesso esemplare di aprile 2017 è stata osservata una nuova funzionalità in cui il bot effettua il download ed esegue un file utilizzando le funzioni API di Windows Questa caratteristica permette a chi controlla la botnet di aggiornare il malware Flusihoc oppure di eseguire il download da remoto di altri file dannosi.

C2 rilevati

Infiltrandosi nella botnet, da luglio 2015 ASERT ha tracciato 154 diversi C2 associati a Flusihoc, che hanno emesso di 24.137 comandi di attacco. 48 C2 erano ancora attivi a settembre 2017. Di seguito sono elencati i C2 che generano gran parte dei comandi di attacco: wm[.]sshtdk[.]com, 1211[.]sshtdk[.]com, 121[.]sshtdk[.]com, pp[.]sshtdk[.]com e qq[.]sshtdk[.]com

La maggioranza dei C2 osservati sono geo localizzati in Cina e generano per lo più comandi di attacco diretti verso obiettivi di URL in quel Paese. Da un’analisi sommaria delle URL target non emerge alcuna correlazione evidente tra gli obiettivi stessi, il che fa presupporre che questa famiglia possa essere inserita in un servizio di attacchi a pagamento in Cina.

Conclusione

Flusihoc è probabilmente una botnet DDoS cinese che colpisce prevalentemente obiettivi in Cina. Le analisi suggeriscono che tale botnet sia inserita in un servizio DDoS regionale, vista la distribuzione dei target. Questa famiglia di malware è attiva almeno dal 2015 ed è associata a oltre 154 C2. Sebbene non sia la botnet DDoS più grande conosciuta, Flusihoc è comunque in grado di provocare problemi sfruttando la fragilità di così tanti siti, server, servizi e applicazioni. È possibile mitigare gli attacchi DDoS con soluzioni Arbor come Arbor SP/TMS.

TJ Nelson è Research Analyst del Team ASERT di Arbor. Tra i suoi compiti si annoverano l’analisi delle minacce emergenti alla sicurezza Internet, il reverse engineering dei protocolli di comunicazione e dei codici dannosi, lo sviluppo di politiche per la mitigazione degli attacchi e il contributo al miglioramento continuo e all’automatizzazione dell’infrastruttura software interna di Arbor per l’analisi delle minacce.

L'articolo La dinastia Flusihoc, una botnet DDoS di lunga data proviene da Data Manager Online.

Arbor ha – inoltre – condiviso un’interessante infografica legata agli attacchi informatici registrati in Italia nel corso del mese di Settembre, attraverso i dati messi a disposizione da Atlas (Active Threat Level Analysis System), il progetto collaborativo sviluppato dall’azienda insieme a 400 service provider clienti che hanno accettato di condividere anonimamente dati anonimi di traffico. Tra i dati più significativi:

• Nel solo mese di Settembre ci sono stati 7.900 attacchi informatici in Italia, con una media di circa 263 attacchi al giorno.
• Il 31% di questi è stato sferrato direttamente dall’Italia, stessa percentuale dagli Stati Uniti, il 19% dalla Francia e stesso dato anche dal Regno Unito.
• Il più grande attacco, registrato a fine mese, è stato di 28.7 Gbps

A pochi giorni dal primo anniversario del grande attacco contro il provider Dyn, sembra che le acque si siano calmate sul fronte degli attacchi DDoS. Del resto, quest’anno non abbiamo assistito a gravi interruzioni della rete di portata intercontinentale con ripercussioni sui più diffusi servizi e le più popolari applicazioni online. Questa è una buona notizia, ma ce n’è anche una cattiva: l’assenza di attacchi non è dovuta a un’assenza di tentativi.

Gli attacchi DDoS sono ormai divenuti alla portata di tutti grazie ai servizi low-cost (booter/stresser) che permettono di lanciare attacchi al costo di un caffè. Esistono inoltre centinaia di strumenti che permettono a qualunque malintenzionato che disponga di una connessione Internet di sferrare un attacco. Questi strumenti hanno rivoluzionato il panorama delle minacce informatiche e hanno anche modificato nettamente le tipologie di aziende che rappresentano i potenziali bersagli degli aggressori informatici. In passato, gli attacchi DDoS si concentravano su determinati settori, tra cui soprattutto quello finanziario, sui siti di gaming e sull’e-commerce. Oggi invece qualsiasi attività, per qualsiasi ragione e qualsiasi offesa o affiliazione reale o percepita, può diventare un bersaglio da colpire.

A fronte di attacchi sempre più frequenti, estesi e complessi, la scelta delle misure di protezione da adottare contro le minacce DDoS è più importante che mai.

I grandi attacchi DDoS non accennano a fermarsi

Mentre la frequenza degli attacchi può essere ricondotta al fiorente mercato di servizi e strumenti DDoS, la crescente grandezza degli attacchi è favorita dalle tecniche di reflection/amplification e dalla comparsa delle botnet IoT.

Queste tecniche incrementano la quantità di traffico a disposizione degli aggressori. Un esempio sono i resolver DNS utilizzati spesso dagli aggressori per effettuare lo spoofing degli indirizzi IP delle vittime. L’invio di una query DNS ai resolver aperti determina infatti la trasmissione al server della vittima di una risposta anche 50 volte più grande della query originale.

I dispositivi IoT integrati sono estremamente vulnerabili e generalmente vengono lasciati sempre accesi; inoltre le reti in cui risiedono offrono connessioni ad alta velocità che consentono un volume di traffico relativamente elevato per gli attacchi DDoS su ogni dispositivo compromesso. Di fronte a uno scenario di questo tipo, è facile capire perché le imponenti dimensioni degli attacchi DDoS rappresentino ormai un tema di scottante attualità.

I principali bersagli degli attacchi DDoS

Ulteriori informazioni sul dinamico panorama delle minacce DDoS, inclusa una sezione speciale sulle botnet IoT, sono contenute nel dodicesimo rapporto annuale di Arbor: Worldwide Infrastructure Security Report.

L'articolo L’attività DDoS nel 2017 analizzata da Arbor Networks proviene da Data Manager Online.

Il 2016 sembra essere stato l’anno delle botnet IoT. Al momento, si stima che ci siano in circolazione tra i 6 e i 12 miliardi di dispositivi IoT e questo numero è destinato a superare i 20 miliardi entro il 2020.

I dispositivi IoT, per loro natura, devono essere di facile utilizzo e questa caratterista purtroppo si traduce spesso in scarsa considerazione in termini di sicurezza. Fondamentalmente, i dispositivi IoT sono piccoli computer che in alcuni casi sono connessi direttamente a Internet senza firewall. Quanti di noi collegherebbero il proprio portatile a Internet senza alcun tipo di protezione o senza patch installate sul sistema operativo? Non molti, ma chissà perché non si fa lo stesso discorso con i dispositivi IoT.

Il numero dei dispositivi IoT in circolazione rende questi apparati l’obiettivo ideale di aggressori che cercano di creare botnet. Le botnet IoT non sono una novità, le conosciamo da tempo, ma l’anno scorso abbiamo assistito a un netto incremento di compromissioni di dispositivi IoT da parte di malintenzionati da tutto il mondo. E sappiamo tutti cosa ne è conseguito; le botnet sono state usate come armi per lanciare attacchi DDoS su vasta scala.

Gli attacchi Distributed Denial of Service (DDoS) attentano alla disponibilità di servizi, applicazioni o aziende connessi a Internet. L’anno scorso le botnet IoT sono state responsabili di prolungati attacchi da 540 Gbit/s contro organizzazioni affiliate ad un evento sportivo internazionale tenutosi in Brasile (ad agosto), contro il giornalista Brian Krebs attraverso un attacco con picchi da 620 Gbit/s (a settembre) e ancora contro il prestigioso provider DNS Dyn (a novembre).

Gli attacchi DDoS di botnet IoT hanno contribuito alla forte crescita delle dimensioni, della frequenza e della complessità degli attacchi DDoS durante lo scorso anno. Secondo l’ultimo Worldwide Infrastructure Security Report  di Arbor Networks, i picchi di ogni attacco DDoS sono cresciuti esponenzialmente, con un tasso di crescita annuale del 68% sugli ultimi cinque anni.  Le dimensioni medie degli attacchi sono aumentate del 23% solo nel 2016 e dati tanto allarmanti hanno fatto crescere la consapevolezza delle aziende rispetto a tali minacce, basti pensare che il 66% delle imprese tiene in considerazione il rischio DDoS nei processi di gestione aziendali.

Anche se tutti i fornitori IoT improvvisamente decidessero di rafforzare i dispositivi e di implementare adeguate misure di sicurezza, molti dispositivi non verrebbero mai aggiornati.  Per tale ragione, la prima cosa da fare – oggi – è impedire che i nostri dispositivi vengano sfruttati dagli aggressori.

Individui e aziende devono implementare le best practice, segmentando le reti e mettendo in atto le corrette limitazioni all’accesso in modo che i dispositivi IoT possano comunicare solo con servizi e utenti autorizzati.  Le password predefinite devono essere sempre modificate e gli aggiornamenti dei firmware vanno sempre installati, per rimuovere eventuali vulnerabilità.

Quanto detto assicurerà che i nostri dispositivi non siano il mezzo per sferrare un attacco, ma non basta: dobbiamo essere certi di avere a disposizione i servizi e le soluzioni in grado di proteggere la disponibilità della nostra connettività Internet dagli attacchi DDoS. Una protezione a livelli, che incorpora una componente situata sul perimetro della rete e servizi basati su cloud è una best-practice e può sconfiggere gli attacchi DDoS, mantenendo la connettività e la disponibilità del servizio e proteggendo la continuità del business aziendale.

L'articolo Quando l’IoT diventa un’arma proviene da Data Manager Online.

Arbor Networks ha comunicato la nomina di James Cater al ruolo di Vicepresidente e General Manager EMEA (Europa, Medio Oriente e Africa). Arbor realizza più della metà dei propri guadagni nei mercati internazionali ed è attiva nella regione EMEA da oltre quindici anni. James Cater avrà il compito di potenziare il fatturato di Arbor e le sue iniziative di canale man mano che l’azienda si introdurrà nei mercati dei service provider e delle aziende con la sua linea di soluzioni per la visibilità, la difesa contro gli attacchi DDoS e la protezione dalle minacce avanzate.

James vanta oltre 25 anni di esperienza in diversi settori, tra cui quelli rivolti a service provider, aziende internazionali, servizi sanitari e finanziari. Prima di unirsi al team di Arbor ha lavorato per Tata Communications, dove si è occupato di sviluppare ed espandere le partnership globali, fornendo le conoscenze, le abilità e gli investimenti necessari per ampliare il business e accedere a nuovi mercati.

“Arbor Networks è un’azienda channel-focused che opera nel settore della sicurezza informatica e si impegna ad assicurare il successo dei suoi partner,” ha dichiarato Tony King, Vicepresidente senior per le vendite internazionali di Arbor Networks. “L’abilità dimostrata da James nello sviluppo di partnership strategiche e reciprocamente vantaggiose e la sua esperienza nella gestione delle vendite mirata all’espansione, maturata presso un importante leader di mercato, lo rendono la figura ideale per Arbor Networks.”

“Sono fiero di guidare il nostro team e di promuovere l’espansione delle attività di Arbor Networks nella regione EMEA. Il nostro ruolo di leader di mercato è una garanzia ulteriore per i nostri partner di canale, OEM e service provider e consente loro di fornire servizi di sicurezza e protezione a organizzazioni di qualsiasi dimensione,” ha aggiunto James Cater.

Arbor propone un vasto portfolio di soluzioni specificamente mirate alle esigenze di aziende, service provider e operatori di data center e cloud:

• Arbor Cloud offre un servizio di difesa contro gli attacchi DDoS fully-managed e fondato sulle best practice, che integra in una singola soluzione servizi di mitigazione on-premise e su cloud.
• Arbor Networks SP fornisce funzioni complete di visibilità e reporting della rete, facilitando il rilevamento e l’identificazione delle minacce alla disponibilità della rete e migliorando i rapporti di peering e la performance del servizio. Le nuove funzioni dedicate ai big data creano una memoria fotografica dei dati sul traffico di rete e offrono nuovi strumenti visivi per esplorarli con la massima rapidità.
• Arbor Networks TMS elimina con precisione chirurgica il traffico associato agli attacchi DDoS, senza interrompere i principali servizi di rete. Fornisce inoltre la visibilità completa in tempo reale delle applicazioni di rete, monitorando attivamente gli attacchi denial-of-service a tutela della performance del servizio.
• Arbor Networks APS fornisce una protezione DDoS comprovata on-premise contro le minacce alla disponibilità note ed emergenti per garantire la continuità delle attività.
• Arbor Spectrum è una soluzione ad alte prestazioni per la sicurezza del traffico di rete interno. Associando alle attività di rete delle singole aziende e alle relative minacce i dati sul traffico e gli indicatori comportamentali validati da Arbor, Arbor Spectrum permette ai team di sicurezza di identificare le minacce più pericolose con livelli di accuratezza e velocità mai visti prima.

L'articolo Nuova nomina in Arbor Networks proviene da Data Manager Online.

Arbor Networks, la divisione sicurezza di NETSCOUT, ha comunicato che Quadrant Knowledge Solutions, società internazionale di consulenza e ricerche di mercato, le ha assegnato il titolo di Leader tecnologico e di mercato 2017 nel settore della mitigazione DDoS globale.

La relazione di Quadrant riguarda i servizi gestiti e le soluzioni on-premise per la mitigazione degli attacchi DDoS e include un’analisi dettagliata del panorama e del posizionamento competitivo dei principali fornitori di servizi di mitigazione DDoS, tra cui A10 Networks, Akamai, Arbor Networks, CloudFlare, Corero, Fortinet, Huawei, Imperva, Nexusguard, NSFOCUS, Radware e Verisign.

La linea di prodotti e servizi on-premise e su cloud offerta da Arbor per la protezione dagli attacchi DDoS è pensata per soddisfare le esigenze multidimensionali di svariate aziende, dalle piccole imprese in crescita alle grandi società e agli operatori di rete dei service provider.

Servizi gestiti: servizi completi di protezione DDoS ibridi, on-premise e in cloud a costi contenuti.

Flessibilità di impiego: da SDN e soluzioni virtuali alla sicurezza embedded, grazie ai router di aggregazione della serie Cisco ASR 9000, a sistemi ad alta densità e al cloud globale.

Scalabilità: si parte da soluzioni virtuali al di sotto dei 100 Mbps scalando a dispositivi da 160 Gbps e 2 Tbps nel cloud.

Protezioni: attacchi esclusivamente volumetrici, attacchi a livello di applicazione, attacchi multivettore, minacce avanzate; aggiornamento continuo con le informazioni sulle minacce globali provenienti da ATLAS e ASERT.

Prezzo: abbonamenti a servizi gestiti, appliance con durata illimitata e pacchetti di licenze virtuali.

L'articolo Arbor Networks è Leader tecnologico e di mercato 2017 nel settore della mitigazione DDoS globale proviene da Data Manager Online.

Viviamo in un mondo sempre più connesso, in cui l’Internet of Things (IoT) promette un enorme potenziale: servizi più personalizzati e automatici, utilizzo ottimizzato delle risorse e praticità. Stando alle stime attuali, il numero dei dispositivi connessi è cresciuto rapidamente raggiungendo una quota che si attesta tra i 6 e i 12 miliardi di unità. Il numero in effetti sembra enorme, ma se nutrite dubbi in merito vi suggerisco di collegarvi al router di casa e verificare quanti dispositivi sono registrati: rimarrete sorpresi nel trovare anche TV, amplificatori e termostati.

Per la loro natura intrinseca, i dispositivi destinati alle tecnologie IoT devono essere facili da implementare e utilizzare; tuttavia non va dimenticato che si tratta in fondo di piccoli computer. Chi di voi si collegherebbe direttamente a Internet con un computer su cui è installata la versione originale, senza patch, del sistema operativo e sprovvisto di firewall o altri dispositivi di sicurezza, utilizzando il nome utente e la password di default? Non molti, ma in effetti è ciò che avviene in numerosi casi con i dispositivi connessi all’IoT.

Nel 2016, il proliferare delle botnet e degli attacchi informatici DDoS basati sui dispositivi connessi all’IoT ha messo a fuoco con maggiore chiarezza il lato più oscuro del mondo connesso. I cybercriminali si sono resi conto che i dispositivi connessi all’IoT offrono un enorme potenziale, pronto per essere utilizzato. Abbiamo tutti avuto modo di vedere, infatti, come migliaia di telecamere a circuito chiuso (CCTV) e DVR relativamente piccoli e innocui possano essere sfruttati per generare attacchi di tipo Distributed Denial of Service (DDoS) da 500Gbps o superiori, intaccando la disponibilità dei servizi web di un gran numero di rinomati brand.

Molti dispositivi connessi all’IoT dispongono di una buona connettività a segmenti di rete non monitorati, oltre a capacità di elaborazione sufficienti per trasportare un volume significativo del traffico degli attacchi. Gli attacchi provenienti da questi dispositivi sono responsabili dell’incremento della portata e della frequenza dell’attività DDoS di cui riferisce il rapporto annuale di Arbor Networks Worldwide Infrastructure Security Report (WISR). Ma gli attacchi DDoS solo sono uno dei casi di compromissione dei dispositivi connessi all’IoT.

Anche se i dispositivi IoT compromessi offrono agli aggressori una nuova modalità per minacciare la disponibilità dei servizi Internet, il modo migliore per proteggere le nostre aziende non è cambiato. Molte imprese oggi dipendono dai dati e dai servizi applicativi che utilizzano tramite Internet e gli eventuali problemi di disponibilità potrebbero risultare economicamente molto onerosi. Per contrastare la minaccia di attacchi DDoS, aziende e governi indistintamente devono implementare una strategia di protezione multistrato.

I sistemi di difesa multistrato comprendono sia una componente locale che una basata su cloud o ISP. La componente locale permette alle aziende di rilevare e limitare immediatamente gli attacchi prima che vi siano ripercussioni sul servizio. Questo tuttavia non è in grado di gestire i grandi attacchi, sempre più diffusi, che possono saturare la connettività a Internet; per gestire attacchi di maggiore entità deve entrare quindi in gioco il servizio basato su cloud o ISP. La buona notizia è che un numero in costante aumento di aziende sta adottando le strategie di difesa stratificata. Il rapporto WISR di Arbor ha evidenziato che nel 2016 le aziende che adottavano questo modello rappresentavano il 30%, rispetto al 23% del 2015.

Implementare il giusto sistema di difesa richiede tuttavia un investimento e le priorità delle aziende in termini di budget per l’IT e la sicurezza spesso entrano in competizione tra loro. Poiché, tuttavia, la connettività è imprescindibile per l’interazione con clienti, partner e fornitori, questi tipi di difese diventano ormai indispensabili per gran parte delle aziende. Integrare processi di valutazione dei rischi in ambito IT e delle minacce alla disponibilità può aiutare a quantificare il potenziale impatto di un attacco per definire le priorità di investimento: un approccio adottato da circa i due terzi delle aziende, stando ai dati del rapporto WISR.

Un problema più ampio

L’abbinata DDos e dispositivi IoT continuerà senza dubbio ad alimentare i titoli dei giornali nel corso del 2017, visto il manifestarsi di attacchi sempre più vasti che causano problemi ai service provider e alle aziende di ogni tipo. Ma gli attacchi di tipo DDoS rappresentano solo uno dei modi con cui i dispositivi IoT possono essere sfruttati. Arbor ha già individuato casi di dispositivi IoT utilizzati come proxy per nascondere la sorgente originale del traffico. E se pensate che il rischio per la tecnologia IoT sia esclusivamente limitato ai dispositivi Internet, è bene che riflettiate a fondo. I malware di Windows che tentano di eseguire scansioni delle reti locali alla ricerca di dispositivi IoT sono già una realtà e forniscono ai dispositivi IoT compromessi la capacità di prendere di mira altre risorse all’interno o all’esterno delle nostre reti.

Il mondo connesso porta con sé un enorme potenziale, a tratti positivo e a tratti negativo. I dispositivi IoT si possono utilizzare per amplificare le minacce esistenti e crearne di nuove. Potenziare la sicurezza dei dispositivi IoT e prevenire la loro compromissione sono obiettivi chiave dell’industria della sicurezza, ma prima che ciò avvenga (e potrebbe volerci del tempo) ciascuno deve proteggersi dalle minacce già presenti nel mondo, di cui gli attacchi DDoS rappresentano un aspetto significativo e in continua espansione.

L'articolo Difesa stratificata per un mondo sempre più connesso proviene da Data Manager Online.

In tutto il mondo, aziende di ogni settore e grandezza si appoggiano quotidianamente a Internet nell’ambito delle proprie attività. Molte imprese utilizzano la rete per promuovere o commercializzare prodotti e servizi, mentre altre la sfruttano per interagire con clienti, fornitori e partner tramite la posta elettronica e altri meccanismi digitali. La maggior parte delle aziende utilizza inoltre Internet per inviare e ricevere denaro tramite l’online banking e altre piattaforme di pagamento. Le nostre aziende fanno ormai parte di un’intricata rete di dati e servizi applicativi la cui costante disponibilità ha assunto un ruolo sempre più determinante.

Le minacce alla disponibilità dei servizi Internet, come ad esempio gli attacchi DDoS (Distributed Denial of Service), non rappresentano certo una novità, ma nel 2016 i pirati informatici sono riusciti a renderle ancora più efferate trasformando in armi di attacco molti comuni dispositivi IoT. Gli attacchi DDoS prendono di mira una rete, un servizio o un’applicazione e tentano di renderla inaccessibile bombardandola di traffico fittizio e false richieste in modo da impedire ai reali utenti di accedervi. Le conseguenze economiche sono talvolta molto significative.

Vediamo dunque in che modo l’avvento dei dispositivi IoT ha cambiato le regole del gioco. Abbiamo tutti sentito parlare delle botnet e ce le immaginiamo come reti di computer compromessi dislocati in diversi paesi del mondo. Oggi però questa immagine va ampliata, inserendo anche le telecamere per videosorveglianza e altri dispositivi connessi in rete. Gli oltre sei miliardi di dispositivi IoT di cui si stima la presenza a livello mondiale offrono abbondanti possibilità di attacco ai pirati informatici, possibilità che i criminali intendono indubbiamente sfruttare al meglio.

I rischi associati ai dispositivi IoT

La trasformazione dei dispositivi domestici in armi informatiche è il vero problema da considerare di fronte a minacce informatiche quali gli attacchi DDoS e il ransomware. È ormai tramontata l’epoca in cui soltanto gli hacker più astuti riuscivano a colpire le grandi organizzazioni: oggi la piccola criminalità informatica rappresenta una sotto-economia del terziario e chiunque può lanciare facilmente un attacco con una spesa molto contenuta (alcuni servizi offrono addirittura un periodo di prova gratuito). Ciò significa che qualsiasi soggetto può diventare il bersaglio di un attacco informatico, incappando in costi molto elevati in termini finanziari ma anche di reputazione.

Le piccole e medie imprese sono esposte a rischi concreti perché tendono a non investire nelle più moderne tecnologie di sicurezza e generalmente non dispongono di team interni di esperti in sicurezza informatica. Esistono tuttavia alcune misure che anche le aziende più piccole possono adottare per difendersi dalle minacce informatiche attualmente esistenti.

Mitigazione delle minacce IoT nelle piccole imprese

Sono quattro le tecniche chiave che le piccole imprese possono utilizzare per proteggersi dagli attacchi informatici.

1. Implementazione di un’adeguata igiene informatica nell’intera azienda – In rete è possibile accedere gratuitamente a numerose informazioni sulla sicurezza informatica relativamente ad aspetti quali l’utilizzo di password efficaci, l’aggiornamento e l’installazione delle patch dei sistemi operativi, l’isolamento delle guest network e la limitazione dell’accesso agli apparati più importanti. Si tratta di semplici misure di buon senso, la cui importanza continua tuttavia a essere sottostimata da molti fino a quando non è troppo tardi.

2. Collaborazione con i Managed Service Security Provider (MSSP) – Gli MSSP aiutano le piccole imprese a gestire i rischi informatici offrendo servizi di sicurezza esterni. Appoggiandosi agli MSSP, le piccole aziende possono accedere a tecnologie avanzate e personale competente a fronte di una modica spesa, riuscendo così a implementare un sistema di difesa adeguato e sempre attivo.

3. Formazione del personale – Le piccole imprese devono informare e addestrare il personale in merito ai rischi esistenti, ad esempio realizzando corsi online che aiutino a identificare link e comunicazioni sospette. Il personale deve capire che la tutela della proprietà intellettuale e dei dati dei clienti, senza limitarsi alla parte informatica, è compito di ciascun dipendente e che le conseguenze di un attacco o una violazione dei dati si ripercuotono sull’intera azienda.

4. Limitazione dei rischi esistenti – Le imprese devono garantire l’installazione delle versioni più aggiornate dei software su tutti i dispositivi IoT impiegati in azienda, la sostituzione delle password predefinite, l’isolamento dei dispositivi da Internet (ove possibile) e la disabilitazione di tutti i servizi non indispensabili. In futuro, i dispositivi IoT saranno auspicabilmente concepiti in maniera diversa attribuendo maggiore importanza alla sicurezza, ma per il momento l’unica soluzione disponibile è limitare al massimo le possibilità di attacco.

Il futuro dei dispositivi IoT

I dispositivi IoT vengono attivamente presi di mira dai criminali informatici dal 2010, ma nel 2016 sono diventati oggetto di attacchi molto più diffusi, che rappresentano purtroppo soltanto la punta dell’iceberg. Al momento i dispositivi IoT vengono sfruttati per gli attacchi DDoS e le truffe con clic fraudolenti, ma con ogni probabilità inizieranno a essere utilizzati anche per tentativi di estorsione e altre forme di criminalità informatica.

Le piccole e medie imprese che si affidano in misura crescente ai servizi Internet non devono sottovalutare i rischi informatici associati alla rete. L’implementazione di buone misure di igiene informatica, la formazione del personale in merito ai rischi esistenti e la collaborazione con gli MSSP sono strategie importanti ai fini della tutela dell’azienda nell’ambiente odierno.

L'articolo Tecniche di difesa contro gli attacchi IoT per le piccole imprese proviene da Data Manager Online.

Arbor Networks, la divisione sicurezza di NETSCOUT, ha comunicato il rafforzamento della sua rete honeypot globale tramite l’introduzione di un’ulteriore infrastruttura basata su cloud che monitora le attività di scansione che potrebbero compromettere i dispositivi IoT (Internet of Things). L’infrastruttura sarà presente nelle seguenti regioni: Asia Pacifico nord-orientale, Asia Pacifico sud-orientale, Europa centrale, Europa occidentale, Sud America orientale, Stati Uniti orientali e Stati Uniti occidentali.

I dispositivi IoT rappresentano un bersaglio ideale per i criminali informatici intenzionati a sviluppare le botnet DDoS in quanto presentano meccanismi di sicurezza scarsi o inesistenti. Alcuni dispositivi IoT utilizzano password predefinite a codifica fissa, molti sono dotati di servizi superflui sempre attivi e sfruttabili dagli attaccanti e altri contengono interfacce di gestione non protette. Tuttavia, ciò che conta di più per gli aggressori DDoS è soprattutto il fatto che i dispositivi IoT offrano connessioni ad alta velocità e che siano sempre accesi: ogni dispositivo compromesso causa infatti un ampio e prevedibile volume di traffico di attacco.

Osservando i dati relativi all’honeypot nell’arco di un periodo di due settimane, Arbor ha riscontrato in totale 1.027.543 tentativi di login, di cui 819.198 falliti, provenienti da 92.317 singoli indirizzi IP sorgente.

• Nel complesso, Arbor ha assistito a 18.054 tentativi di login all’ora durante il periodo monitorato.
• Il protocollo Telnet è stato bersagliato con maggiore frequenza rispetto a quello SSH. Le percentuali medie evidenziano chiaramente il trend globale: 756 tentativi all’ora per SSH contro 2762 tentativi all’ora per Telnet.

Differenze regionali

L’hardware e il software utilizzati nella maggior parte dei dispositivi IoT attualmente in commercio provengono da un numero molto ristretto di produttori con sede in Asia. Nel 2014, uno dei principali produttori ha rilasciato una nuova release del software che ha risolto alcuni problemi di sicurezza. La soluzione è stata però resa disponibile per la sola versione inglese del software. Dividendo i dati su base regionale, si osserva in modo chiaro una variazione della percentuale di tentativi di login a seconda delle regioni di riferimento e si evidenzia come i tassi di tentativi medi e massimi più elevati siano concentrati in Asia Pacifica e in Sud America, dove in alcuni casi è stato registrato più di un tentativo al minuto.

“Il Report di Arbor conferma, su un’ampia base regionale, buona parte di quanto abbiamo appreso nel corso dell’ultimo anno sul previsto incremento degli attacchi DDoS di grandi dimensioni. È ormai indispensabile che i produttori di dispositivi IoT introducano dei meccanismi di sicurezza integrati e aggiornabili nei loro prodotti in modo da ridurre il rischio di inglobamento nelle botnet” ha dichiarato Ari Schwartz, Direttore dei servizi di sicurezza informatica di Venable e precedente Assistente speciale del Presidente degli Stati Uniti e Direttore della sicurezza informatica nell’amministrazione Obama.

L'articolo I dispositivi IoT? Potrebbero essere compromessi in pochi secondi proviene da Data Manager Online.