Max Heinemeyer, Director of Threat Hunting di Darktrace, la principale azienda di Cyber AI al mondo, ha commentato così la notizia: Chi attacca sfrutta sempre le ultime tendenze del momento e sa che gli sviluppatori delle app spesso devono trovare un compromesso quando devono cercare di bilanciare l’ingresso rapido sul mercato e la sicurezza. Ne è un esempio quanto vediamo accadere sempre più con i fornitori di dispositivi IoT che tendono a considerare la sicurezza come qualcosa a cui pensare in un secondo momento alla luce degli attacchi, senza considerare che il danno collaterale che questo approccio comporta per gli utenti finali non può più essere sottovalutato.

Inoltre, l’Audio Intelligence è un’arma estremamente sensibile e potente per chi promuove un attacco. Per evitare che questi file finiscano nelle loro mani dobbiamo, in primo luogo, prendere sul serio la sicurezza fin dal principio, come stanno facendo un numero crescente di provider di tecnologia, che hanno iniziato a protegge i propri dispositivi con soluzioni di difesa all’avanguardia al pari dei prodotti stessi che stanno introducendo sul mercato. Con attacchi ormai condotti da tutte le direzioni, molte aziende si sono affidate all’intelligenza artificiale per individuare e bloccare le violazioni o l’uso improprio dei dati in qualsiasi punto queste minacce possano colpire.

L'articolo Hacker nelle chat di Clubhouse proviene da Data Manager Online.

“Non sorprende che le organizzazioni che possiedono siti web ben consolidati e utilizzati da numerosi utenti rappresentino obiettivi privilegiati per cyber attacchi sofisticati, in grado di causare loro un significativo danno in termini di reputazione.

Le aziende non possono affrontare l’evoluzione del business moderno, sempre più interconnesso, e adottare servizi tecnologici che lo supportino, senza innovare anche le misure di sicurezza in grado di proteggerlo.

L’intelligenza artificiale è fondamentale per il futuro della cyber security perché si adatta autonomamente a nuove situazioni e attività e ha la capacità di identificare le minacce in una fase iniziale, prima che si traducano in una vera e propria crisi.

Questo nuovo modello deve diventare un mantra per la cyber difesa, perché rappresenta l’unico modo per sopperire all’impossibilità dell’essere umano di stare al passo con la velocità e la preparazione sempre maggiore di chi oggi promuove gli attacchi” ha commentato Emily Orton, Co-founder and Director di Darktrace, azienda leader nella cyber-difesa basata sull’intelligenza artificiale.

L'articolo Attacco a British Airways: a rischio 380.000 carte di credito proviene da Data Manager Online.

Dato che il mercato si sposta sempre di più verso modelli di computing di nuova generazione, entro il 2020 oltre il 90% delle organizzazioni adotterà infrastrutture ibride. Questo passaggio al cloud implica vantaggi innegabili per la maggior parte delle organizzazioni: dalle start-up che vogliono sfruttare costi iniziali ridotti alle grandi organizzazioni che cercano di aumentare l’efficienza, scalare la domanda e beneficiare della costante disponibilità di servizi e di una maggiore agilità.

Con questa crescita, la sfida di proteggere i dati critici nel cloud assume una nuova dimensione.
Poiché i server sono spesso colpiti da malware o minacce interne, molti sono portati a pensare che i dati archiviati nel cloud siano in qualche modo più sicuri di quelli che risiedono sui server aziendali. Questo non è necessariamente vero: le informazioni memorizzate sull’infrastruttura cloud possono essere altrettanto (non) sicure quanto quelle di qualsiasi altro archivio di dati aziendali.

Gran parte del rischio nasce dal malinteso su come i server cloud siano posizionati nella rete. Sebbene vengano affittati dall’azienda come spazio dedicato e utilizzati per obiettivi di business fondamentali, le connessioni a questi server cloud (se non facilitate da una VPN o da altri canali fortemente crittografati) attraversano il perimetro della rete e l’internet pubblico. Ciò significa che i dati caricati da e verso il cloud sono un obiettivo primario degli attacchi man-in-the-middle, realizzati da attori opportunisti che sperano di captare username, password e altri dettagli sensibili da poter sfruttare per il furto diretto di dati aziendali.

La realtà è che mentre le organizzazioni possono esternalizzare i servizi IT, non possono fare altrettanto con tutte le funzioni di sicurezza. Infatti, la protezione del cloud resta in carico all’azienda che detiene i dati e ha le sue sfide specifiche, rispetto alle quali la maggior parte degli attuali controlli di sicurezza nativi e le soluzioni di sicurezza di terze parti presentano limiti significativi.

Visibilità totale sui servizi cloud: un fattore imprescindibile

L’amministrazione locale di una metropoli negli Stati Uniti aveva esternalizzato lo storage dei database SQL a un provider di storage cloud. Tuttavia, non si erano interrogati sui protocolli utilizzati di default dal server per caricare e scaricare le informazioni – indirizzi, numeri di telefono, numeri di targa dei veicoli registrati – una grande moltitudine di informazioni che l’amministrazione stava caricando sul database esterno tramite connessioni non criptate.

Questi dati altamente sensibili erano destinati a un accesso limitato da parte di dipendenti selezionati all’interno dell’amministrazione cittadina, ma il controllo di sicurezza aveva reso i dati disponibili a qualsiasi aggressore abbastanza vicino da posizionarsi sul perimetro della rete e raccogliere i pacchetti MySQL che venivano trasferiti.

Darktrace Cloud ha rilevato una connessione SQL insolita a un raro IP esterno da un dispositivo desktop all’interno dell’azienda. Questa comunicazione è stata verificata come legata all’SQL tramite l’acquisizione di pacchetti, che ha quindi rivelato il rischio per i dati pubblici sensibili.

Il cliente non era a conoscenza della vulnerabilità, che era rimasta celata ai controlli da parte di tutto il suo stack di sicurezza.  Un utente malintenzionato avrebbe potuto sfruttarla facilmente per raccogliere materiale per attacchi di spear phishing o potenzialmente anche per frodi sull’identità.

Questo caso mostra concretamente come l’hosting di dati su server esterni possa creare pericolosi punti ciechi e introdurre minacce sottili che eludono gli strumenti tradizionali basati su firme. Per questo motivo la visibilità completa di tutti i servizi cloud è fondamentale per ridurre i rischi e identificare comportamenti atipici o sospetti.

Oltre 500 clienti nel mondo utilizzano Darktrace Cloud per difendere gli ambienti cloud e le applicazioni SaaS, inclusi AWS, Microsoft Azure, Salesforce e Google Cloud Platform. Darktrace offre alle aziende una visibilità fondamentale e il rilevamento delle minacce in tempo reale su tutte le infrastrutture distribuite.
Il machine learning senza supervisione si rivela oggi uno strumento potente, che rende possibile alle aziende affrontare con fiducia i rischi di perdita di dati e attacchi man-in-the-middle che possono colpire gli utenti del cloud.

L'articolo È possibile avere fiducia nel cloud? Un caso concreto: il caricamento dei dati non criptati proviene da Data Manager Online.

All’inizio di quest’anno, Darktrace ha rilevato una nuova botnet sfruttata per un attacco di tipo reflection e amplification su vasta scala contro alcune organizzazioni a livello mondiale, compresi diversi organismi governativi. Anche se già analizzata nel nostro 2017 Threat Report, questa tipologia di attacco è più pertinente che mai alla luce di nuovi hacks più estesi e sofisticati ai dispositivi IoT. È il caso della Botnet Reaper, identificata il mese scorso, che sicuramente farà parlare ancora di sé il prossimo anno.

Questa nuova tipologia di botnet non stava utilizzando computer desktop per sostenere l’attacco,come faceva Srizbi quando inviava 60 miliardi di mail di spam al giorno. In più, stava impiegando tecniche ben distinte anche da quelle di Mirai, che utilizzava DRV e router per generare attacchi DNS DDoS con velocità fino a 1Tbps.

Invece, questa botnet stava controllando una grande varietà di dispositivi IoT, persino i pad da disegno. Anche se, complessivamente, i dispositivi coinvolti erano meno rispetto ad altre botnet, attraverso attacchi reflection e amplification usando SNMP, Reaper stava tentando di lanciare un potente attacco denial-of-service.

Tutto è iniziato in modo familiare; uno studio di architettura ha introdotto una funzionalità aggiuntiva di smart drawing nei propri network pad senza avvisare il team IT, e i loro controlli di sicurezza interni non hanno avuto modo di identificare i dispositivi vulnerabili. Come tale, le credenziali dell’utente di questi dispositivi non sono mai state modificate rispetto a quelle preimpostate di fabbrica. Credenziali che quindi, insieme alla loro stringa pubblica per l’autenticazione SNMP, erano disponibili al pubblico su Shodan, che mostrava anche come i dispositivi avessero delle porte aperte per HTTP, HTTPS, Telnet e SIP.

Darktrace ha rilevato la vulnerabilità quando centinaia di indirizzi IP esterni da tutto il mondo hanno iniziato ad effettuare migliaia di connessioni SNMP ai dispositivi usando la porta UDP 161. Oltre il 99 per cento di queste connessioni conteneva almeno una “GetBulkRequest”, un’operazione SNMP utilizzata per il recupero di grandi quantità di dati.

In risposta a queste richieste, i dispositivi hanno emesso un numero esponenzialmente maggiore di messaggi “GetResponse”, alcuni dei quali contenevano fino a 397.000 oggetti “GetResponse”. In 64 casi, i dispositivi caricavano oltre 1 MB di dati.

La normale attività di rete di questi dispositivi comportava l’uso occasionale di “GetBulkRequests” e “GetResponses”. Pertanto, questi picchi di attività sono stati considerati altamente anomali dagli algoritmi AI di Darktrace, i quali avevano ormai una profonda comprensione dei comportamenti abituali dei dispositivi.

La minaccia è stata rilevata in tempo reale e il team di sicurezza dell’azienda l’ha potuta identificare fin dalle fasi iniziali, durante le quali la visibilità sulla rete di Darktrace ha fornito analisi dettagliate sull’incidente.

L’uso di SNMP versione 2c e “GetBulkRequests” sono segnali rivelatori di un attacco di tipo reflection and amplification, che utilizza risorse minime per generare attacchi di grandi dimensioni. Alla fine, 273.2 MiB di dati avevano lasciato i dispositivi sfruttando la porta 161.

I trasferimenti di dati esterni sulla porta 80 indicavano che l’attacco stava andando oltre, e numerosi dispositivi esterni stavano tentando di accedere alle risorse HTTP dei dispositivi, molte delle quali erano file PHP amministrativi.

A seguire trovate un esempio delle risorse alle quali i dispositivi esterni stavano tentando di accedere tramite HTTP:

/phpMyAdmin-2.11.1.0/scripts/setup.php
/a_remotecontrol.htm
/phpMyAdmin-3.1.2.0-all-languages/scripts/setup.php
/mysqladmin/scripts.setup.php

Infine, Shodan ha anche rivelato che i dispositivi stavano eseguendo un server SIP accessibile sulla porta 5060. L’analisi dei pacchetti ha mostrato che i dispositivi esterni “dialogavano” con gli altri dispositivi e tentavano di effettuare chiamate VoIP – un comportamento anomalo dell’attaccante che rimane, al momento, inspiegabile.

Gli indirizzi IP di destinazione sono stati probabilmente falsificati. L’invio di centinaia di “GetBulkRequests” dagli IP falsificati delle reti target ha costretto i pad da disegno a rimandare un numero oltre 100 volte superiore di “GetResponses”. Gli IP target appartenevano a siti internet gestiti da società di intrattenimento e design, e persino da enti governativi.

Segnalando le richieste anomale di SNMP non appena sono iniziate, il team di sicurezza dell’azienda è stato in grado di scollegare dalla rete i pad grafici prima che il danno diventasse irreparabile. Se gli attaccanti fossero riusciti a sabotare le reti, l’azienda avrebbe potuto essere soggetta ad azioni legali. A seguito dell’accaduto, l’azienda ha rivisto le proprie policy di sicurezza facendo passi da gigante per proteggere tutti i dispositivi IoT sulla propria rete e ridurre al minimo il rischio di incidenti futuri.

Questo esempio testimonia la potenza degli attacchi di tipo reflection and amplification. Non è chiaro quanti e quali altri dispositivi siano stati utilizzati in questo attacco, ma è interessante notare che un numero esiguo di dispositivi IoT in uno studio di architettura abbiano generato una quantità allarmante di traffico.

Visto l’aumento della diffusione dei device IoT, che in molti casi sono distribuiti con preimpostazioni non sicure, l’utilizzo di questa tipologia di botnet è destinato ad aumentare, rendendo la capacità di identificare e rispondere in tempo reale a queste minacce un elemento sempre più fondamentale per le aziende.

L'articolo L’ascesa delle botnet IoT: quando una semplice tavoletta da disegno si trasforma in veicolo di attacco proviene da Data Manager Online.

Darktrace annuncia che Campari Group leader mondiale nel settore premium spirit , ha scelto l’Enterprise Immune System di Darktrace per rilevare e rispondere autonomamente alle minacce informatiche in corso.

Con un portafoglio di oltre 50 brand premium e super premium, Campari Group è il sesto maggiore player del settore con una rete di distribuzione su scala globale che raggiunge oltre 190 Paesi nel mondo e impiega circa 4.000 persone. Con il proliferare di minacce informatiche subdole e sofisticate, Campari Group voleva garantire che il proprio team di sicurezza potesse rispondere rapidamente al rischio di una violazione della propria rete.

“Darktrace ha completamente cambiato il nostro approccio alla cyber security”, ha dichiarato Luca Scolaro, IT Security & Technology Manager, Campari Group. “La tecnologia di risposta autonoma consente al mio team di dedicare tempo e risorse a ciò che è veramente necessario, prendendo decisioni strategiche e di alto livello, mentre l’AI si occupa dei task ripetitivi per individuare e intraprendere azioni immediate contro le minacce. Posso fare affidamento su Darktrace per sapere quando agire e quale azione esatta intraprendere in risposta alle minacce che si manifestano, bloccandole e guadagnando tempo vitale per indagare”.

L’Enterprise Immune System impara i normali “pattern of life” per ogni utente e dispositivo della rete di Campari Group. I potenti algoritmi di AI rilevano qualsiasi deviazione anomala rispetto alla “normalità”, che potrebbe indicare una cyber minaccia emergente. La tecnologia reagisce in modo intelligente agli attacchi in corso all’interno della rete, rallentando o bloccando le attività minacciose in tempo reale.

“Come grande azienda del settore FMCG, Campari Group ha un’ampia e complessa supply chain che introduce molteplici vulnerabilità nella rete”, ha dichiarato Corrado Broli, Country Manager di Darktrace Italia. “Inoltre, Campari Group si basa molto sulla propria reputazione, quindi il potenziale danno che un cyber-attacco potrebbe causare è enorme Campari Group è all’avanguardia nello sfruttare i più recenti progressi nel machine learning per aiutare a difendere i propri marchi dalle conseguenze delle minacce informatiche”.

L'articolo Campari Group sceglie l’AI di Darktrace per combattere i cyber-attacchi proviene da Data Manager Online.

Darktrace annuncia che il proprio fatturato è cresciuto del 600% nell’ultimo anno fiscale, con richieste fino al 240%, un dato che riflette l’enorme domanda a questo approccio unico alla cyber defense. L’azienda ha un totale di 300 dipendenti con uffici in oltre 20 paesi in tutto il mondo. Darktrace ha recentemente ricevuto 65 milioni di dollari da un gruppo di investitori, tra cui KKR, Summit Partners, Softbank e Samsung, ed è attualmente valutata ad oltre 400 milioni di dollari.

Basato su sistemi matematici avanzati e sul machine learning sviluppato da specialisti dell’Università di Cambridge, l’Enterprise Immune System di Darktrace ha sino ad oggi rilevato oltre 16.000 incidenti informatici gravi all’interno delle reti dei propri clienti, permettendo loro di superare i potenziali rischi.

La realtà della sicurezza informatica è che i prodotti tradizionali si focalizzano troppo su nozioni di comportamento predefinite e di conseguenza non riescono ad individuare tutti gli attacchi moderni”, spiega Eric Ogren, esperto analista di sicurezza di 451 Research. “Ciò che rende l’Enterprise Immune System così interessante è la sua abilità nel applicare l’apprendimento automatico senza supervisione e nel riuscire a perfezionare continuamente la sua interpretazione di comportamento normale o pericoloso”.

“Siamo lieti di questi risultati di crescita straordinari a distanza di appena tre anni dal lancio di Darktrace” ha commentato Nicole Eagan, CEO di Darktrace. “Quest’anno Darktrace ha acquisito nuovi clienti in tutto il mondo e in una vasta gamma di settori, dall’energia nucleare ai servizi legali e finanziari, e in molti altri. L’adozione rapida della nostra tecnologia evidenzia il fatto che le difese tradizionali non sono più sufficienti per individuare nuove tipologie di attacchi sempre più sofisticati. Siamo sicuri che il nostro pionieristico machine learning rappresenti il futuro per le aziende moderne che sono sempre alla ricerca di metodi innovativi per proteggere i propri asset critici, indipendentemente dalle dimensioni o dal settore”.

Fino ad oggi, ci sono state oltre 1.200 implementazioni della nostra tecnologia e tra i clienti recenti possiamo citare una banca FTSE 100, tre importanti retailer statunitensi e un aeroporto internazionale. Oltre 200 partner hanno firmato per lavorare con Darktrace in tutto il mondo, inclusi i colossi delle telecomunicazioni Telstra e BT.

Durante l’annuncio della partnership con Darktrace nel febbraio 2016, Mike Burgess, CISO di Telstra, ha commentato: “ La tecnologia di Darktrace è unica con la sua capacità di individuare rapidamente un’attività anomala, indipendentemente dal fatto che i comportamenti siano “conosciuti” o “sconosciuti”, così come è in grado di visualizzare tutta l’attività del network. Riducendo il tempo necessario per individuare le potenziali minacce, Darktrace sta rafforzando il sistema di sicurezza interno di Telstra e di Samsung”.

Come riconoscimento del proprio successo, Darktrace ha ricevuto 36 premi, compreso il prestigioso ‘Queen’s Award for Enterprise’ nell’Innovazione, massima onorificenza nel Regno Unito per i business di successo. Darktrace è stata nominata ‘Best Security Company’ per il secondo anno consecutivo da Info Security Products Guide, oltre ad aver vinto il Frost & Sullivan APAC ICT Awards 2016.

L'articolo Darktrace annuncia una crescita di fatturato del 600% nell’ultimo anno fiscale proviene da Data Manager Online.

Nella nuova era degli attacchi “machine-on-machine” arrivano gli anticorpi digitali

Darkatrace presenta Darktrace Antigena, un prodotto innovativo che utilizza il machine learning per permettere alle imprese di autodifendersi automaticamente. 

Nella nuova era digitale in cui nuovi sofisticati attacchi sono alle porte, Darktrace è la prima azienda al mondo a fornire tecnologie che si avvalgono di tecniche di apprendimento e formule matematiche e permettono di agire anche senza nessuna conoscenza della natura degli attacchi informatici, delle regole o delle signature. Con Antigena, Darktrace oggi individua in tempo reale i rischi sconosciuti appena si presentano e permette alle aziende di attivarsi per reagire agli stessi.

Oggi parlare di protezione dei confini della rete aziendale non ha più senso: la vera lotta è all’interno delle nostre imprese.

“Il campo di battaglia è la rete aziendale e non possiamo più concentrarci solo sui rischi esterni. Stiamo vivendo una nuova era di minacce che insidiano l’interno delle nostre reti e oggi siamo arrivati a un nuovo livello di rilevamento dei rischi che permette una reazione più veloce e immediata, che nessun team di sicurezza potrebbe garantire” commenta Nicole Eagan, CEO di Darktrace.

Con più di 200 clienti e 20 sedi nel mondo, Darktrace è la società di cyber security a più rapida crescita nel mondo riconosciuta al World Economic Forum per la sua innovativa tecnologia Enterprise Immune System:

• La soluzione de facto pensata per fornire risposte alle minacce interne ed esterne in tutte le tipologie di aziende
• Individua gli attacchi anche senza conoscerne la natura in precedenza
• Potenziato da tecniche di machine learning mai utilizzate prima, sviluppato da studiosi matematici dell’Università di Cambridge
• Non ha bisogno di ricevere istruzioni né di avere regole preventivamente definite

Darktrace Antigena è un prodotto innovativo, che riproduce le funzioni degli anticorpi del sistema immunitario umano. Appena l’Enterprise Immune System riconosce una minaccia nel suo sistema, i moduli di Antigena agiscono come un’ulteriore capacità di difesa che neutralizza automaticamente le minacce attive, senza richiedere alcun intervento umano.

Con Antigena, le imprese si muniscono di sistemi di autodifesa unici, che affrontano qualsiasi tipo di minaccia si possa presentare.

Ecco le caratteristiche esclusive di Darktrace Antigena:

• Suggerisce le reazioni contro un ampio spettro di potenziali rischi – senza necessità di ricevere istruzioni o definire preventivamente delle regole.
• Previene o interrompe attività rischiose in tempo reale – blocca le minacce prima che si diffondano
• Nessuna interruzione dell’attività quotidiana – nessun falso allarme

“Abbiamo a che fare con un problema enorme da risolvere e Darktrace possiede l’unica tecnologia disponibile al mondo per affrontarlo – attraverso il machine learning e soluzioni matematiche sviluppate dagli studiosi dell’Università di Cambridge,” continua Nicole Eagan, CEO Darktrace. “Antigena rappresenta un ulteriore passo in avanti nell’ambito dell’ ‘immune system’ defense offrendo più automazione, liberando molte persone e offrendo loro una autoimmunizzazione che effettivamente funziona – in questa nuova era di continue minacce interne”.

I moduli di Darktrace Antigena includono:

• Antigena Internet – regola l’accesso a Internet di utenti e macchine e oltre
• Antigena Communication – disciplina chat, e-mail e altri protocolli di messaging
• Antigena Network – regola la connettività di pc e rete e i permessi di accesso alla rete

L'articolo Il cyber “Immune System” di Darktrace previene e risolve le minacce aziendali proviene da Data Manager Online.

StarLink, l’apprezzato distributore a valore aggiunto specializzato nella sicurezza che opera nell’area del Medio Oriente e della Turchia, ha annunciato di aver firmato un accordo di distribuzione con Darktrace, leader nella tecnologia Enterprise Immune System per la cyber security. StarLink venderà, installerà e supporterà quindi i prodotti di Darktrace attraverso il suo ampio network di partner di canale alle aziende e alle organizzazioni governative presenti nella regione.

Nominata “Best Security Company of the Year” nella Info Security Products Guide 2015, Darktrace è una delle aziende impegnate nella difesa dalle minacce cibernetiche a essere caratterizzata dai più elevati livelli di crescita. Il suo esclusivo Enterprise Immune System, grazie alle sue evolute soluzioni matematiche e al machine learning sviluppati all’università di Cambridge, rappresenta una nuova era nella cyber defense basata sull’autoapprendimento grazie al riconoscimento avanzato e in tempo reale delle minacce interne ed esterne all’interno delle reti. L’Enterprise Immune System di Darktrace apprende proattivamente il comportamento “normale” di ogni dispositivo, utente e rete, in modo da poter identificare anche minimi cambiamenti all’interno di tutta l’organizzazione, senza necessità di ricevere istruzioni o definire preventivamente delle regole.

“L’Enterprise Immune System si sta rapidamente affermando come la soluzione leader per il rilevamento proattivo delle cyber-minacce e per la visibilità del network in tutto il mondo”, spiega Nicole Eagan, CEO, Darktrace. “Siamo felici di lavorare con StarLink per accelerare l’adozione della nostra tecnologia di autoapprendimento in Medio Oriente e in Turchia”.

“L’Enterprise Immune System di Darktrace è una piattaforma unica per la cyber intelligence e siamo entusiasti all’idea di poterla portare ai nostri partner e clienti nella regione. La capacità di auto-apprendere il comportamento di ogni dispositivo, utente e rete per mantenere un vantaggio rispetto agli attacchi interni ed esterni è davvero all’avanguardia”, aggiunge Avinash Advani, VP Business Strategy di StarLink. “Crediamo che l’utilizzo del machine learning per il rilevamento delle anomalie rappresenti il futuro della protezione dalle minacce di nuova generazione, e Darktrace si trova in prima linea in questa rivoluzione”.

L'articolo StarLink diventa distributore per Darktrace in Medio Oriente e in Turchia proviene da Data Manager Online.

Le minacce informatiche stanno diventando sempre più parte integrante del tessuto digitale aziendale e gli attacchi mirati diventano sempre più subdoli e dinamici. Questa evoluzione nelle metodologie di attacco ha fatto emergere i limiti degli approcci tradizionali di sicurezza. Chi subisce un attacco deve potenziare le proprie capacità nell’individuare e riconoscere le minacce nei propri sistemi aziendali per ritornare ad essere in vantaggio sull’attaccante e agire per tempo in modo preciso ed efficace. La Cyber Intelligence è fondamentale per questa sfida in quanto fornisce una visione totale, personalizzata e in tempo reale delle anomalie emergenti – contrariamente al precedente approccio basato su firme e regole che diventano obsolete dato che si riferiscono a minacce già individuate. L’approccio basato sull’Intelligence è il cuore della Cyber Defense di nuova generazione; vengono impiegati personale qualificato e tecnologie all’avanguardia di tipo ‘sistema immunitario’ in un processo costante di apprendimento e comprensione delle problematiche in evoluzione per poterle contrastare prima che diventino critiche.

Restare aperti per lavorare

Oggi la violazione del perimetro della rete aziendale viene considerata inevitabile dagli operatori di sicurezza. Questa è la nuova realtà: le tecnologie operanti sul perimetro aziendale pur ricoprendo un ruolo cruciale in un sistema stratificato di difesa, sono insufficienti per sconfiggere un attacco mirato. È ormai accettato che le violazioni siano inevitabili e il loro verificarsi sia più un discorso di ‘quando’ che di ‘se’. In questo nuovo mondo la sfida è cambiata. Oltre a difendere il proprio perimetro aziendale si devono affrontare anche le minacce interne utilizzando un approccio basato sull’Intelligence per indirizzare pericoli reali all’interno di una rete complessa.

Le aziende moderne devono essere in grado di operare in un mercato aperto e connesso. La linfa vitale di un’azienda sono i dati e per crescere un’azienda ha bisogno che questi possano circolare sia fuori che dentro i tradizionali perimetri di rete. I dati vengono scambiati costantemente fra l’azienda e i suoi clienti, i fornitori, il personale, i soci e così via. La sfida del CISO oggi è quella di proteggere i suoi dati che sono alla mercé di chiunque. In effetti tutti i progressi tecnologici che hanno consentito alle aziende di prosperare negli ultimi dieci anni – la connettività, la digitalizzazione, l’innovazione – sono quelli che le espongono ai rischi maggiori. Chi opera nella sicurezza oggi sa come gestire i comportamenti del personale di un’azienda. Pur considerando i lavoratori come risorse di valore e meritevoli di fiducia, questi rappresentano una minaccia significativa per l’integrità dei dati aziendali e il loro comportamento, doloso o colposo, aumenta il rischio per l’azienda.

Anche se c’è la tentazione di aumentare i controlli e introdurre norme operative più stringenti la necessità di lavorare fa sì che le persone trovino il modo di aggirarle. Chiunque vi dirà che è possibile curare qualsiasi malattia ammazzando il paziente. Un’azienda non può essere soffocata da controlli di sicurezza laboriosi e poco pratici pensando di rimanere più sicura a spese dell’efficienza, dell’agilità e della competitività. Oggi la sfida per gli operatori della sicurezza consiste nel difendere il patrimonio aziendale più prezioso, i dati, consentendo a essi di facilitare la crescita.

In questo scenario dove le minacce sono in continua evoluzione continuare a lavorare richiede un equilibrio fra i rischi e i benefici. L’equilibrio necessario non è mai totalmente statico, ma viene riadattato continuamente per mantenere uguali i pesi sui due piatti della bilancia. Questa sfida richiede un approccio sottile, orientato all’Intelligence più che alla sicurezza. Mentre la sicurezza informatica presuppone che le misure di difesa debbano funzionare il 100% delle volte, la Cyber Intelligence fornisce suggerimenti, basati su prove, che indirizzano il processo decisionale, fa emergere le problematiche di alto livello rispetto a quelle meno importanti e consente alle aziende un miglior controllo e una migliore consapevolezza sul proprio stato di salute per poter definire la migliore strategia per la cura.

Passare sotto ai radar

Ogni settimana le notizie di attacchi informatici vengono riportate sulle prime pagine dei giornali con riferimento a numeri vertiginosi di conti compromessi e impatti reputazionali non indifferenti.

Le intrusioni più eclatanti richiedono azioni di risoluzione immediate con impiego di risorse economiche, temporali e umane per ripristinare ciò che è stato compromesso.

Il concetto di operazione di ripristino a seguito di un attacco informatico è però incompleto. Le aziende non sono mai completamente esenti da minacce o da elementi potenzialmente pericolosi o malevoli. C’è una forte pressione affinché le aziende corrano ai ripari dopo un attacco per mitigare il danno d’immagine e per recuperare la credibilità nei confronti dei clienti e degli azionisti; questo però è classificato come ‘troppo poco e troppo tardi’. Troppo tardi perché il danno è stato fatto, troppo poco perché l’avversario è riuscito comunque a controllare e infiltrarsi nell’azienda evidenziandone a posteriori la limitata capacità di difesa.

La sfida degli ultimi anni si è acuita a causa dell’industrializzazione dell’economia che ruota intorno ai crimini informatici e alla sempre più raffinata abilità degli esecutori. Su internet si trovano avanzati strumenti di attacco pronti all’uso – è possibile provare, scambiare e vendere nuove forme di attacco e malware configurabili – e questo a riprova di come sia banale infiltrarsi in un’azienda. Una volta infiltratisi, gli attacchi hanno luogo in forma anonima rendendoli difficili da individuare perché in incognito e effettuati con cautela.

Per prima cosa, dall’esterno, l’aggressore userà le credenziali di accesso di un dipendente per non far scattare gli allarmi ubicati sul perimetro. Questo approccio rende estremamente difficile distinguere fra un’attività lecita e quella di un malintenzionato intento a fare danni. Gli aggressori utilizzano questo velo di legittimità per portare a termine i loro attacchi mimetizzandosi fra le normali azioni di quell’utente nel corso delle sue attività quotidiane sulla rete. Essere riconosciuti come utenti regolari offre un vantaggio agli aggressori. Essendo considerati ‘fidati’ il compito di muoversi nella rete aziendale ed estrarne dati o manipolarne i sistemi diventa più facile.

Per di più gli aggressori non usano solo campagne di email mirate e sfruttano credenziali legittime per passare sotto ai radar, ma possono anche sfruttare gli zero-day e i malware appositamente sviluppati per raggiungere i propri obiettivi. Sempre di più vengono perpetrati attacchi, portati avanti astutamente e ben mimetizzati, per lunghi periodi di tempo a riprova della pazienza e perseveranza dell’aggressore.

Un attacco di tipo avanzato può restare nascosto nella rete per giorni, settimane o mesi di fila rimanendo pazientemente inattivo nella rete aziendale in modo da renderne l’individuazione più difficile. Mediamente il tempo necessario a individuare un attacco informatico si aggira sui 170 giorni. Se perpetrato anche con aggressori dall’interno questo valore arriva a 259 giorni.

Durante questo lasso di tempo l’aggressore si fa un’idea dell’architettura della rete e stabilisce come muoversi su di essa per portare a termine l’attacco mirato. Mentre chi si deve difendere è costantemente distratto dalla gestione delle attività giornaliere, l’aggressore ha dalla sua parte il tempo e le risorse con cui effettuare ricognizioni sui sistemi, portare a termine le sue azioni e muoversi evitando di essere scoperto, con relativa tranquillità.

Solitamente un aggressore evoluto cerca di rimanere nascosto a lungo dentro un computer o la rete. Per porsi al riparo da eventuali intercettazioni l’aggressore cercherà di compromettere più dispositivi e server presenti sulla rete. Chi attacca è spesso capace di muoversi su una rete per capire quali siano gli strumenti usati per intercettarlo; questo gli permette di muoversi in modo sufficientemente invisibile per evitare di essere scoperto dai tipici sistemi che basano il loro funzionamento su un insieme di regole. Il traffico della rete e l’elevato volume di dati inviati a sistemi di ‘log-management’ rendono spesso impossibile rilevare i movimenti invisibili di un aggressore. Nonostante che nella fase di analisi forensica post-attacco sia evidente la prova dell’infiltrazione, salta anche all’occhio come questa possa essere invisibile nel rumore del traffico della rete.

Il tempo è prezioso

Il tempo è una risorsa preziosa che manca spesso a chi viene attaccato. L’aggressore determinato ha tempo in abbondanza, finanziamenti sufficienti e risorse umane per sviluppare attacchi che eludano i vari livelli di sicurezza presenti in un’azienda. Le aziende lottano costantemente per rilevare le fasi iniziali di una infiltrazione, prima che vengano fatti danni quali il furto di dati su grande scala o l’interruzione di un servizio essenziale. Invece le aziende si trovano coinvolte in una lotta contro il tempo per rimuovere e ridurre velocemente i danni finanziari e d’immagine, al contrario dei mesi di preparazione e ricognizione che l’aggressore ha a disposizione prima di sferrare il suo attacco. Fintanto che il vantaggio rimane in mano all’aggressore le aziende attaccate saranno sempre sulla difensiva.

Le aziende devono ripensare al modo in cui affrontano gli attacchi informatici e la sicurezza informatica. Tanto per cominciare questo vuol dire non considerare questi concetti come assoluti; la sicurezza informatica totale non è possibile in pratica e gli attacchi non hanno perimetri ben definiti: non hanno un inizio preciso e nemmeno una fine. Ogni attacco inizia con una infiltrazione che a sua volta inizia con un cambiamento impercettibile nel normale ordine delle cose e s’ingrandisce fino a diventare una catena di eventi che messi insieme possono esercitare il controllo di un sistema remoto e metterne in pericolo i contenuti.

In un’epoca in cui le minacce sono innumerevoli e in continua evoluzione analizzare i problemi di ieri non garantisce la difesa da quelli di domani. Gli aggressori di oggi utilizzano tecniche e strategie in continua evoluzione per rimanere nascosti a lungo nei vostri sistemi. Il riferimento a ciò che è normale è in continua evoluzione.

Occorre quindi iniziare a considerare il tempo in modo diverso, tentare di cogliere attività sospette nella finestra temporale compresa fra l’infiltrazione iniziale e i primi segnali di anomalia. Invece d’investire in analisi post-mortem su intrusioni e compromissioni passate ci si deve sforzare di trovare i problemi di domani, indirizzando le attenzioni verso attività che si mimetizzano nel rumore delle attività quotidiane di un’organizzazione. All’interno dell’IT aziendale ci sono due fattori da tener presente:

Visibilità e comprensione

Le aziende devono fare un passo indietro quando prendono in considerazione le strategie per la difesa informatica, chiedendosi per prima cosa quanto bene conoscano la loro azienda. Le infrastrutture di rete e le intranet sono cresciute e si sono estese aggiungendo sempre più dispositivi, funzionalità e tecnologie; l’architettura digitale di un’azienda di una certa dimensione è solitamente molto complessa. Gli addetti IT alla sicurezza e dell’architettura spesso non hanno visibilità di tutti i sistemi sotto il loro controllo e si concentrano solo su quelli su cui ci sono problemi noti che richiedono soluzione.

La visibilità totale su tutte le interazioni e comunicazioni digitali, non solo su una parte, è critica perché consente agli addetti della sicurezza di prendere le decisioni migliori basandosi sulla conoscenza dell’intero sistema. Avendo visibilità totale sull’andamento e il tipo di traffico gestito giornalmente nell’azienda, gli addetti della sicurezza sono in condizione di configurare al meglio la protezione della rete, identificare le vulnerabilità o i dipendenti infedeli e tenere effettivamente a freno in tempo reale le minacce informatiche. Vedere e capire cosa sta accadendo in tempo reale è il primo passo per conoscere cosa non debba accadere, indipendentemente da quanto sia minimo lo scostamento dalla normalità.

Analisi intelligente e rilevamento anomalie

Avendo la conoscenza delle attività aziendali è possibile usare nuove tecnologie per analizzarle ed avere una chiara visione di quale sia la normalità. I fondamentali progressi nella matematica probabilistica e nell’ambito del ‘machine learning’ hanno reso possibile questo approccio, usando una tecnologia che impara su base continua ciò che è normale e anomalo nell’ambito aziendale ed evidenzia anomalie su base probabilistica in tempo reale.

Le anomalie o le deviazioni da ciò che è stato identificato come normale sui sistemi, le reti e gli utenti devono essere autentiche e basate sulla comprensione dinamica dell’ambiente circostante. Un comportamento difforme spesso può essere affrontato in modo appropriato, ma solo se rilevato nelle sue fasi iniziali. Le aziende devono abbandonare l’approccio che consiste nel dover passare al setaccio l’enorme quantità di allarmi generati da sistemi basati su regole preconfigurate per identificare le minacce e orientarsi verso sistemi d’intelligence, fatti su misura, che aiutano a conoscere l’ambiente digitale aziendale così com’è per prendere le corrette decisioni. Concludendo, si può dire che per ridurre il rischio occorre un esercizio continuo portato avanti da professionisti capaci di prendere le corrette decisioni, la capacità di fare le scelte giuste e di concentrarsi sulle aree d’interesse richiede una nuova generazione di prodotti che sia adattativa, probabilistica e in grado di auto apprendere.

Migliorare la concentrazione, per un’azione migliore

È quasi impossibile predire le metodologie e le tecniche di attacco; gli attacchi di ieri sono diversi da quelli di domani o dopodomani. Le vulnerabilità interne sono fonte di problemi che richiedono una valutazione continua. In questo contesto, dove innumerevoli minacce sono presenti in qualsiasi momento all’interno di un’azienda, è richiesta una visione completa degli eventi per capire dove concentrare l’attenzione e stabilire in tempo reale le priorità per la Cyber Defense. Di contro, il sovraccarico degli allarmi che vengono generati costantemente dalla pletora di prodotti convenzionali per la sicurezza ottiene come risultato l’abbassamento del livello di guardia da parte del personale addetto alla sicurezza o dell’IT, causato da questo elevato numero di anomalie proposte o dalla inutile natura delle informazioni ricevute.

Gli addetti della sicurezza devono essere in grado di affinare la conoscenza delle minacce in modo che abbiano senso in un contesto aziendale invece di perdere tempo ad analizzare migliaia di allarmi fuori contesto. Avvalersi delle configurazioni proprie di ogni azienda – l’orario in cui i dipendenti arrivano al lavoro, i tipi di dispositivi che utilizzano e come, le risorse a cui hanno accesso ecc. – è fondamentale poiché nessun attaccante conosce questi dettagli quando pianifica un attacco. Questo livello di granularità deve essere sfruttato utilizzando tecnologie di tipo ‘sistema immunitario’ che siano ‘self-learning’ e che possano vedere e analizzare scientemente questi dati, capendone in maniera implicita il livello di normalità o meno e facendo emergere in tempo reale le anomalie che devono essere gestite in modo tempestivo.

‘Cyber Intelligence’ contro ‘Threat Intelligence’

Il termine ‘Threat Intelligence’ viene usato per la raccolta e la condivisione di informazioni su minacce note. In altre parole si fa riferimento ad un database o insieme di dati da confrontare con gli allarmi di sicurezza rilevati in un’azienda, i log e altri dati forensici per capire se quanto rilevato è una minaccia oppure no. Se quanto rilevato è riconducibile alle informazioni contenute nella ‘Threat intelligence’ ciò può essere usato per proteggere l’azienda da attacchi simili ancora in circolazione.

Il difetto principale nel condividere informazioni riconducibili ad attacchi già avvenuti è che questo approccio ‘a posteriori’ non aiuta le aziende a difendersi dai nuovi attacchi di domani. Affinché questo funzioni è necessario che almeno un’azienda venga violata da ogni nuovo attacco per poterlo identificare, limitandosi a segnalare gli attacchi già subiti con la speranza che lo stesso si possa ripresentare. Solitamente occorrono alcuni mesi prima che una nuova tipologia di attacco venga inclusa nella ‘Threat Intelligence’; nel frattempo la vostra azienda è vulnerabile a quegli attacchi che devono ancora essere scoperti e condivisi dalle loro vittime. Nella peggiore delle ipotesi è un flusso di dati inutili che distoglie dall’obiettivo principale dell’azienda che è quello di difendersi dai nuovi attacchi, non da quelli già avvenuti. È di scarso sollievo sapere che la vostra azienda è stata la prima a scoprire, e subire, un nuovo tipo di attacco e la prima ad averla aggiunta alla ‘Threat Intelligence’ affinché gli altri si possano proteggere.

La ‘Threat Intelligence’ deve essere adattata ad ogni singola azienda per essere utile e ad un certo punto deve essere vagliata da un essere umano per poter prendere le appropriate decisioni nei momenti critici. L’intelligence migliore è quella che aiuta un essere umano nel processo decisionale, che gli dà la miglior sicurezza nel prendere decisioni corrette, appropriate e soprattutto in tempi sufficientemente brevi da evitare l’intrusione su vasta scala, un’interruzione dei servizi o un colpo alla reputazione.

Quindi la vera ‘Cyber Intelligence’ non è quella che identifica le minacce e i metodi di attacco già noti, ma si concentra sulla corretta comprensione di ciò che sta avvenendo in azienda con un livello di granularità tale da far emergere anche le azioni più subdole. L’intelligence migliore è quella che analizza in tempo reale anomalie ricche d’informazioni e che è in grado di correlare molteplici indicatori deboli per avere un quadro chiaro della situazione.

Effettivamente, nell’ambito della sicurezza nazionale e delle forze dell’ordine, il termine ‘intelligence’ si riferisce ad azioni d’indagine che forniscono informazioni per affrontare rischi e minacce specifiche prima che l’avversario prenda l’iniziativa e vi spinga sulla difensiva. Fornisce una conoscenza, suffragata da prove, che indicano ad un essere umano quando e come passare all’azione e a sua volta confermano l’efficacia delle decisioni su base continuativa dato che il contesto cambia inevitabilmente.

Per le aziende che vogliono essere proattive nei riguardi degli attacchi informatici queste domande sono critiche e richiedono azioni d’intelligence di elevata qualità e i riscontri di un’analisi avanzata e sensibile al contesto di un ampio spettro di fattori che contribuiscono all’eventuale attacco. La ‘Cyber Intelligence’ deve guidare nel prendere decisioni quando le infiltrazioni sono nella loro fase iniziale e gestibile, in una finestra temporale che consenta di verificarne l’efficacia ed evitare che la situazione diventi critica.

L'articolo Cyber Intelligence: un passo avanti alle minacce proviene da Data Manager Online.