L’attività osservata comprendeva la creazione di web shell per un accesso persistente, l’esecuzione di codice da remoto e l’enumerazione delle soluzioni di sicurezza degli endpoint.

L’indagine condotta da Mandiant ha rivelato che i file creati sui server Exchange erano creati con privilegi NT AUTHORITY\SYSTEM, un account locale privilegiato sul sistema operativo Windows. Il processo che aveva creato la web shell, inoltre, era UMWorkerProcess.exe, responsabile del servizio di Unified Messaging di Exchange. Nelle indagini condotte, sono stati inoltre osservati file malevoli creati da w3wp.exe, il processo che è responsabile del front-end web di Exchange Server.

“In risposta a questa attività, abbiamo dato il via a campagne di threat hunting progettate per identificare l’avvenire di ulteriori abusi di Exchange Server”, dichiara Gabriele Zanoni, Senior Strategic Consultant di Mandiant. “Inoltre, abbiamo utilizzato questi dati per effettuare dei monitoraggi dettagliati sulla componente di web server di Exchange”.

Il 2 marzo 2021, Microsoft ha pubblicato un post sul suo blog con i dettagli di molteplici vulnerabilità zero-day utilizzate per compromettere le versioni on-premise di Microsoft Exchange Server, e ha rilasciato delle patch di emergenza per le vulnerabilità di Exchange Server.

Quanto riportato da Microsoft si allinea con le indagini condotte da FireEye che traccia l’attività in tre cluster: UNC2639, UNC2640 e UNC2643.

“Prevediamo di rilevare ulteriori cluster mano a mano che rispondiamo alle intrusioni. Per cercare di mitigare l’attacco raccomandiamo di seguire la guida di Microsoft e di applicare immediatamente le patch di Exchange Server”, aggiunge Zanoni.

Sulla base della telemetria, FireEye ha identificato una serie di vittime colpite tra cui: retailer con sede negli Stati Uniti, enti locali, Università e società di ingegneria. Sono state osservate anche attività malevole verso un Governo del sud est asiatico e verso un’azienda di telecomunicazioni dell’Asia centrale. Microsoft ha riferito inoltre che lo sfruttamento della vulnerabilità è legato a un unico gruppo di aggressori, denominato “HAFNIUM”, un gruppo che ha precedentemente preso di mira diverse società nell’ambito della difesa e con sede negli Stati Uniti, studi legali, enti di ricerca sulle malattie infettive e think tank.

Dall’exploit alla web shell

A partire da gennaio 2021, Mandiant Managed Defense ha osservato la creazione di web shell sul file system di un server Microsoft Exchange all’interno dell’ambiente di un cliente. La web shell, denominata help.aspx (MD5: 4b3039cf227c611c45d2242d1228a121), includeva funzioni in grado di eseguire comandi arbitrari e caricare, cancellare e visualizzare il contenuto dei file.

L’utilizzo delle web shell è comune tra gli aggressori, tuttavia controllando i processi di partenza, i tempi e le vittime di questi file indicano chiaramente che l’attività è iniziata con lo sfruttamento di Microsoft Exchange.

Anche a marzo 2021, in un ambiente diverso, FireEye ha osservato un aggressore utilizzare una o più vulnerabilità per posizionare delle web shell su un Exchange Server vulnerabile. Questo viene effettuato dagli aggressori per stabilire una persistenza e anche per avere accesso secondario, come avvenuto in altri casi.

“L’attività che abbiamo rilevato indica che questi aggressori stanno utilizzando le vulnerabilità di Exchange Server per ottenere un punto di appoggio in diversi ambienti”, conclude Zanoni. “A questa attività fanno poi seguito ulteriori meccanismi per ottenere persistenza e accessi”.

Nel blogpost pubblicato sul sito web, FireEye raccomanda di seguire alcuni consigli di investigazione per trovare evidenza di potenziali prove di compromissione.

“Anche se lo sfruttamento delle vulnerabilità di Microsoft Exchange è già in corso, nuove aziende verranno colpite a stretto giro quando queste vulnerabilità entreranno nell’arsenale a disposizione di aggressori motivati finanziariamente che spesso compromettono le aziende per ricattarle mettendo fuori uso i loro sistemi”, dichiara Ben Read, Director of Analysis, Mandiant Threat Intelligence. “Abbiamo visto colpire realtà in tutto il mondo, tra cui alcune anche in Europa. Qualsiasi organizzazione che abbia un server exchange on-premise dovrebbe supporre di essere compromessa. Non abbiamo rilevato un focus su nessuna specifica attività e la nostra valutazione è che gli attaccanti siano impegnati in una scansione per poi scegliere in un secondo momento gli obiettivi di maggior interesse”.

Per chi ritiene che il proprio Exchange Server sia stato compromesso, FireEye consiglia di indagare per determinare la portata dell’attacco e il tempo di permanenza dell’aggressore.

L'articolo Rilevare e rispondere allo sfruttamento della vulnerabilità Zero-Day di Microsoft proviene da Data Manager Online.

FireEye ha pubblicato, con il Ponemon Institute, la ricerca intitolata “Second Annual Study on the Economics of Security Operations Centers: What is the True Cost for Effective Results?”. Lo studio ha rilevato che le organizzazioni stanno spendendo di più per affrontare le sfide inerenti il SOC, tra cui la crescente complessità nella gestione della sicurezza, l’aumento degli stipendi degli analisti, i sistemi di sicurezza e i costi della gestione in outsourcing, senza però raggiungere dei risultati soddisfacenti. Tuttavia, le aziende stanno anche incrementando gli investimenti in nuovi strumenti SOC come l’Extended Detection and Response (XDR) e l’automazione della sicurezza per risolvere questi problemi.

“I risultati del report Economics of the SOC di Ponemon mostrano che le organizzazioni stanno affrontando un rilevante aumento dei costi derivanti dalle loro divisioni di “security operations” e nonostante siano stati effettuati maggiori investimenti, sono ancora insoddisfatte della loro capacità di combattere le crescenti minacce informatiche”, dichiara Chris Triolo, Vice President of Customer Success di FireEye. “Molti team di sicurezza sono ora alla ricerca di nuove tecnologie in grado di fornire maggiore efficienza e visibilità, riducendo il numero degli allarmi ed eliminando le attività più banali così da migliorare anche la qualità del lavoro degli analisti ed di conseguenza il loro stato d’animo”.

Il ROI percepito del SOC è in calo, i costi invece crescono

Il ROI degli investimenti del SOC sta peggiorando a causa della crescente complessità e dei costi dei sistemi di sicurezza e di gestione dell’outsourcing.

• Il ROI percepito del SOC è in calo a causa della complessità di gestione: più della metà (51%) degli intervistati afferma che il ROI del SOC sta peggiorando, rispetto al 44% del 2019. Oltre l’80% ritiene che la complessità del SOC sia molto elevata, rispetto al 74% del 2019.
• L’aumento dei costi di outsourcing riduce l’attrattiva: Anche i costi per pagare gli MSSP per il monitoraggio della sicurezza sono aumentati e possono avere un impatto sul ROI. Per gli intervistati il costo medio è di 5.307.205 dollari all’anno con un aumento di circa il 20% su base annua (4.441.500 dollari nel 2019).
• Gli alti costi dei sistemi di sicurezza non risolvono le esigenze: Le organizzazioni intervistate spendono in media 2.716.514 dollari all’anno per i diversi sistemi di sicurezza. Tuttavia, solo il 51% degli intervistati valuta i propri sforzi efficaci o molto efficaci.

Lavoratori del SOC insoddisfatti nonostante l’aumento dei salari

Anche con l’aumento degli stipendi, le organizzazioni spesso non sono in grado di migliorare lo stato d’animo dei dipendenti.

• Lo stato d’animo degli analisti di sicurezza è influenzato da lunghe e impegnative giornate di lavoro: l’85% degli intervistati afferma che lavorare nel SOC è gravoso o molto difficile e questo dato è aumentato dal 72% del 2019. L’aumento del carico di lavoro e l’essere sempre disponibili pesa sulle spalle degli analisti di sicurezza, il 75% di loro afferma che questi fattori causano esaurimenti, in crescita rispetto al 70% del 2019.
• I SOC non sono in grado di soddisfare il turnover degli analisti di sicurezza: Nonostante le organizzazioni intervistate prevedano di assumere una media di cinque analisti nel 2021, tre si dimetteranno o non saranno confermati nel giro di un anno. Le organizzazioni stanno aumentando gli stipendi degli analisti, con una media che passa da 102.000 dollari nel 2019 a 111.000 dollari nel 2020. Tuttavia, solo il 38% crede ancora di poter assumere il talento giusto.

Gli investimenti in nuove tecnologie sembrano promettenti

Tuttavia, l’aumento degli investimenti in nuovi strumenti di XDR e automazione delle operazioni di sicurezza permettono di ridurre i costi dei sistemi di sicurezza, incrementare le prestazioni del SOC e il morale dei dipendenti.

• I budget per XDR e automazione della sicurezza sono in aumento: Le organizzazioni stanno investendo nell’XDR come categoria emergente per migliorare le prestazioni del SOC. Le organizzazioni intervistate intendono spendere in media 333.150 dollari per l’XDR, 345.150 dollari per il SOAR, 285.150 dollari per l’MDR e 183.150 dollari per il SIEM.

Il SOC è la chiave per mantenere la propria “security posture”

Nonostante l’attuale percezione del ROI, gli intervistati hanno osservato che il SOC è più importante che mai per avere una forte “security posture”.

• Il SOC è essenziale: Il numero di intervistati che hanno affermato che il loro SOC è essenziale o molto importante è aumentato dal 73% dello scorso anno all’80% di oggi. Le attività SOC più importanti sono: minimizzare le segnalazioni di falsi positivi (88%), possedere funzioni DevOps agili (in crescita dal 73 all’85%), automatizzare con strumenti di machine learning (in aumento dal 72 all’80%).

L'articolo Le crescenti sfide nei Security Operation Center proviene da Data Manager Online.

I cyber aggressori spesso ricorrono a quelle che sono chiamate tecniche di evasione per minimizzare la possibilità di essere scoperti e nascondere più a lungo possibile le loro attività malevole e, il più delle volte, tali tecniche si dimostrano piuttosto efficaci. Dai dati presenti nel Mandiant Security Effectiveness Report 2020, si riscontra che il 65% delle volte in cui vengono utilizzate tecniche di evasione per bypassare le policy o gli strumenti di sicurezza aziendali, tali eventi non vengono rilevati e notificati.

Inoltre, solamente nel 15% dei casi viene generato un allarme (e.g. nel SIEM) mentre nel 25% dei casi vi è solo una rilevazione (e.g. generazione di un log) e nel 31% dei casi invece non avviene proprio nulla.

“Questi dati significano che le organizzazioni stanno performando molto al di sotto dei livelli di efficacia previsti per il proprio livello di cyber security e questo dato è piuttosto allarmante”, dichiara Gabriele Zanoni, EMEA Solutions Architect di FireEye.

Nel mondo odierno la sicurezza deve essere sempre messa al primo posto all’interno di un’azienda e questo significa che essere aderenti a certi standard di sicurezza informatica è essenziale per prevenire attacchi e compromissioni.

Prevenire gli attacchi significa pensare come un cyber attaccante.

Quando si osserva il panorama mondiale delle minacce, FireEye grazie alla sua attività, ha modo di rilevare un vastissimo numero di aggressori che utilizzano le più differenti tipologie di tecniche di evasione, le tre più comunemente usate ci sono:

• Uso di crittografia e tunneling: i sistemi IPS monitorano la rete e catturano i dati mentre passano sulla rete, ma questi sensori network fanno affidamento sul fatto che i dati siano  trasmessi  in chiaro. Un modo per evitarli è quello di usare connessioni cifrate;
• Tempistica degli attacchi: gli aggressori possono eludere i sistemi di rilevamento eseguendo le loro azioni più lentamente del solito. Questa tipologia di “evasione” può essere effettuata verso tecnologie che utilizzano una finestra temporale di osservazione fissa e un livello di soglia per la classificazione degli eventi malevoli.
• Errata interpretazione dei protocolli: l’attaccante gioca sul fatto che un sensore sia portato ad ignorare o meno un certo traffico, ottenendo come risultato che l’azienda veda quel traffico in maniera differente rispetto alla vittima.

Le tre cause più comuni che portano a una scarsa prevenzione e rilevazione di queste fasi di un attacco sono le seguenti:

• Uso di categorie e motori di classificazione obsoleti;
• Uso di un monitoraggio di rete limitato ai soli protocolli in uso;
• Mancanza di una efficace comunicazione e tracciamento delle modifiche e delle richieste di eccezioni alle policy.

“Un esempio di errata interpretazione a livello di protocollo lo abbiamo rilevato quando stavamo lavorando con uno dei nostri clienti, un’azienda che fa parte delle Fortune 500”, aggiunge Zanoni. “L’azienda si era dotata di un sistema di validazione della sicurezza per monitorare in maniera continua i possibili cambiamenti che potessero causare un abbassamento del proprio livello di sicurezza e il team che seguiva questa tematica di validazione, durante le proprie indagini, ha rilevato che in molti casi i dati e i log degli allarmi non venivano più consegnati al SIEM. Per via di questo problema le regole di correlazione sul SIEM non potevano generare gli allarmi che avrebbero poi potuto avviare un processo di gestione dell’incidente, dando così all’attaccante campo libero”.

La possibilità di poter testare queste situazioni scatenando quindi attacchi reali all’interno dell’azienda al fine di verificare se e come vengono generati allarmi, ha permesso al team di sicurezza dell’azienda di rimuovere questo fattore di rischio.

Le organizzazioni sono molto più esposte di quanto non credano ed è imperativo, per loro, validare l’efficacia dei sistemi di sicurezza al fine di ridurre al minimo i rischi. Solo in questo modo le aziende hanno la possibilità di proteggere al meglio gli asset più critici per il business, la brand reputation e il relativo valore economico.

L'articolo Le tecniche di evasione da conoscere per prevenire gli attacchi e le compromissioni proviene da Data Manager Online.

Solo qualche mese fa, la maggior parte delle organizzazioni non riusciva nemmeno a concepire un’attività lavorativa svolta totalmente da remoto, ma all’inizio di quest’anno ci si è trovati ad affrontare una circostanza imprevedibile, che ha costretto ad adottare una nuova forma di business.

Le riunioni virtuali e gli strumenti di collaborazione aziendale sono diventati improvvisamente la forma primaria di comunicazione. Questa transizione, dall’ufficio fisico al lavoro da casa, è stata istantanea e particolarmente difficile per i team di sicurezza che hanno dovuto bilanciare le necessità di abilitare al lavoro da remoto con i relativi rischi informatici.

A questo proposito Mandiant sta quotidianamente supportando diverse aziende nella sfida a mettere in sicurezza le nuove tecnologie adottate durante l’inaspettato passaggio al lavoro da remoto.

Problemi di cyber sicurezza causati dal lavoro da remoto

Oggigiorno i team di sicurezza devono mantenere un’infrastruttura che spesso è in rapida evoluzione e permettere concessioni a sistemi, che un tempo erano vietate pur di mantenere la continuità operativa. Da questo cambiamento derivano rischi significativi per la sicurezza, la maggior parte dei quali rientra nelle seguenti problematiche che consentono l’accesso ai cyber avversari:

• Tecnologie di accesso remoto e di collaborazione non correttamente configurate;
• Mancato hardening delle postazioni di lavoro degli utenti o eccessiva dipendenza dai controlli degli endpoint;
• Esposizione di interfacce amministrative;
• Ridotta visibilità o monitoraggio del traffico internet.

I consulenti di Mandiant sono in prima linea nelle violazioni più pericolose, studiano in prima persona le lacune presenti nelle infrastrutture delle organizzazioni e i rischi a cui sono esposte. In particolare, gli strumenti di accesso remoto e di collaborazione aziendale vengono spesso presi di mira per effettuare poi attacchi mirati di social engineering verso i dipendenti e ottenere un accesso alla rete interna, e questo potrebbe portare poi alla compromissione di altre risorse aziendali come le VDI o il Cloud.

“Per rispondere a queste preoccupazioni imminenti, abbiamo sviluppato il Mandiant Remote Security Assessment, così da valutare l’infrastruttura remota, le policy, le procedure e la posizioni di sicurezza generali di un cliente”, dichiara Gabriele Zanoni, EMEA Solutions Architect di FireEye.

La valutazione può essere personalizzata in base alle esigenze di una specifica azienda e, a differenza di molte altre attività, non richiede molto tempo, né grandi risorse e coordinamento. I consulenti di Mandiant iniziano la valutazione partendo dai potenziali punti critici per la sicurezza come tutti quelli che coinvolgono operazioni che il cliente svolge da remoto. Successivamente vengono eseguiti test specifici sull’infrastruttura del cliente emulando le tattiche, le tecniche e le procedure utilizzate dagli attaccanti reali per determinare quali siano le lacune esistenti.

Mandiant Remote Security Assessment si concentra esclusivamente sugli aspetti relativi all’infrastruttura remota, minimizzando così i rischi di impatto sulla continuità aziendale e fornendo un riscontro immediato che consente per tempo a un’organizzazione di identificare e risolvere potenziali problemi di sicurezza associati al lavoro da remoto.

“Le circostanze globali hanno spinto molte aziende, sia di grandi che di piccole dimensioni, a implementare rapidamente soluzioni di lavoro da remoto e ci aspettiamo che tali cambiamenti continuino”, conclude Zanoni. “Adottare soluzioni di lavoro da remoto con rapidità è stata una necessità per mantenere la continuità del business, ma ora che le operazioni si stanno stabilizzando, è possibile vedere come questi cambiamenti abbiano introdotto vulnerabilità inaspettate, e potenzialmente sconosciute, negli ambienti aziendali”.

Mandiant Remote Security Assessment è un servizio molto mirato, che si occupa esclusivamente di valutare la sicurezza delle soluzioni adottate per il lavoro e l’accesso da remoto degli utenti. La valutazione è personalizzata e molto veloce, per questo motivo i clienti ottengono risultati rapidi e comprensivi di raccomandazioni per il miglioramento della sicurezza dei sistemi di lavoro da remoto dell’organizzazione, mitigando così la possibilità che un aggressore possa interrompere la continuità del business.

L'articolo Lavoro da remoto: l’importanza di un’infrastruttura sicura proviene da Data Manager Online.

È chiaro che il “vecchio modo” di condurre il business, al momento, non è più possibile. Le aziende di ogni dimensione si sono adoperate per consentire il lavoro da remoto e ridurre così le interazioni fisiche, stanno inoltre prendendo in considerazione variazioni a lungo termine per questa nuova modalità di lavoro. Purtroppo, la connettività da remoto introduce anche nuovi rischi informatici sia per le organizzazioni sia per i lavoratori. Per i team di sicurezza comprendere e valutare la presenza di questo rischio è oggi più importante che mai.

Per capirlo veramente, i team di sicurezza necessitano di visibilità e di dati empirici sulle prestazioni del loro programma i sicurezza, che possono essere ottenuti solamente attraverso tecnologie di validazione della sicurezza.

Perchè le organizzazioni hanno bisogno di una validazione della sicurezza?

Senza evidenze basate su  dati reali che dimostrino il livello di sicurezza aziendale, le organizzazioni sono costrette ad operare basandosi su “supposizioni”, e questo è davvero pericoloso in quanto prestano il fianco agli aggressori, come ampiamente dimostrano i report riguardo ai successi degli attacchi effettuati in questo periodo sfruttando proprio il tema Covid-19. Attraverso continui test che facciano leva su set di attacchi reali visti sul campo, le organizzazioni possono acquisire prove certe per validare come i propri controlli di sicurezza presenti in azienda si comportino rispetto alle campagne di attacco emergenti.

Lavoro da remoto e validazione della sicurezza: comprendere l’esposizione al rischio

Dato che le organizzazioni continueranno a dipendere da una forza lavoro da remoto, l’esposizione al rischio di attacchi è in aumento a causa della crescente adozione di infrastrutture cloud, dell’utilizzo di reti domestiche da parte dei dipendenti e del passaggio all’utilizzo di dispositivi personali per scopi lavorativi e della a volte troppo rapida adozione di nuovi strumenti software di terze parti senza opportune valutazioni di sicurezza.

“Ora più che mai le organizzazioni devono prendere le giuste misure per proteggere una superficie di attacco che è molto estesa”, dichiara Gabriele Zanoni, EMEA Solutions Architect di FireEye. “Basta un solo click sbagliato su un dispositivo collegato all’ambiente aziendale per consentire l’accesso remoto a un aggressore”.

La validazione della sicurezza è diventato quindi una componente critica della protezione, in quanto consente alle organizzazioni di comprendere il rischio aziendale e di adattare le proprie difese in due aree primarie:

• Estendere le funzionalità di sicurezza ai dipendenti che lavorano da remoto

Le persone che lavorano da un ambiente domestico sono l’area più a rischio per qualsiasi organizzazione. Attraverso la validazione della sicurezza le aziende possono valutare e ridurre il loro grado di esposizione al rischio.

• Come aumenta il rischio aziendale se le persone che lavorano da remoto sono esposte ad attacchi
  

Avere dipendenti che lavorano da casa, vuol dire anche che ogni loro dispositivo personale è connesso alla connessione wireless domestica e tutti questi device rappresentano un nuovo punto di ingresso per un hacker. Le tecnologie di validazione della sicurezza forniscono una visione proattiva e permettono di comprendere le funzionalità che le aziende necessitano per identificare i rischi e migliorare le difese, in modo da proteggere le loro risorse critiche per il business.

“La validazione della sicurezza fornisce la prova che un’organizzazione è preparata in modo proattivo per affrontare i recenti attacchi e attaccanti, indipendentemente dal modello operativo odierno”, conclude Zanoni.

Implementando la validazione della sicurezza come componente chiave della strategia di sicurezza aziendale, le organizzazioni hanno la possibilità di ottenere dati misurabili per comprendere i rischi aziendali e ottimizzare i controlli di sicurezza, migliorando proattivamente le difese.

L'articolo Lavoro da remoto: perché le organizzazioni necessitano di validare la loro sicurezza ora più che mai proviene da Data Manager Online.

Il Cloud non è sicuro

Il 94% delle piccole imprese ha dichiarato di aver ottenuto vantaggi in termini di sicurezza dopo il passaggio al cloud

Se utilizzato correttamente, il cloud è sicuro quanto un tipico data center. Tra gli interventi Incident Response effettuati da Mandiant e condotti nei cloud pubblici, non sono stati ancora rilevati casi in cui l’infrastruttura cloud di per sè stessa sia stata sfruttata. Sono state rilevati configurazioni cloud non corrette e vulnerabilità nel codice utilizzato dai clienti, ma non sono state riscontrate falle nel codice o nell’infrastruttura del provider del cloud stesso. Infatti, il 94% delle piccole imprese ha dichiarato di aver ottenuto vantaggi in termini di sicurezza dopo il passaggio al cloud.

Per molte organizzazioni, la creazione di nuove credenziali cloud e la gestione delle autorizzazioni per la personalizzazione questi ambienti può creare vulnerabilità, che spesso poi sono la causa dei problemi di sicurezza.

La mia organizzazione non usa il cloud

Entro la fine di quest’anno, si prevede che l’83% delle imprese statunitensi lavorerà in cloud.

Sebbene un’organizzazione non stia attualmente usando il cloud per archiviare i dati, è molto probabile invece che stia utilizzando tecnologie cloud. Il termine “cloud” infatti comprende la categoria di software as a service, e virtualmente ogni organizzazione utilizza qualche forma di servizio web – sia per le risorse umane, la banca, le spedizioni, la gestione dei contenuti, il web hosting o qualsiasi altra attività che si svolge nel mondo del business moderno.

Il mio provider di servizi cloud mi terrà al sicuro

Fino al 2022 almeno il 95% dei problemi di sicurezza del cloud saranno imputabili al cliente

Secondo il modello di responsabilità condivisa, l’inquilino del cloud è il custode finale dei propri dati ed è responsabile della loro salvaguardia. Un fornitore di servizi cloud assicura che le risorse del data center siano sicure, che l’hardware non sia compromesso e che il software e i sistemi operativi dei servizi offerti siano protetti. È responsabilità invece del cliente garantire che le macchine virtuali siano dotate di patch, che le applicazioni non siano vulnerabili alle minacce e che i privilegi siano appropriati.

Il Cloud è solo il computer di qualcun altro

Proteggere il cloud non è come proteggere un computer nel data center di qualcun altro. Centinaia o migliaia di computer possono essere utilizzati in un ambiente multi-cloud, consentendo a semplici richieste di eseguire – o completare – funzioni da svolgere in frazioni di secondo.

L’analisi forense tradizionale dei dati deve poter avvenire anche in questi ambienti, ma dovrà avvenire in un modo molto diverso rispetto al solito. Gli strumenti on-premise utilizzati per proteggere gli utenti non saranno così utili in questi casi. Saranno infatti necessari ulteriori sistemi che diano visibilità di quello che succedere in Cloud e un’ulteriore sforzo per fornire controlli di sicurezza e strumentazioni adeguate.

Gli attaccanti avanzati non stanno attaccando il Cloud

Circa 1/4 degli interventi di Incident Response effettuati da Mandiant riguarda risorse ospitate su un cloud pubblico

“Gli aggressori andranno ovunque i loro obiettivi li condurranno, quindi più il cloud viene utilizzato, più sarà preso di mira”, dichiara Gabriele Zanoni, EMEA Solutions Architect di FireEye. “Circa un quarto dei nostri interventi di Incident Response di Mandiant coinvolgono risorse ospitate in un cloud pubblico e quasi tutti coinvolgono in qualche modo il cloud in genere. Il cloud non ostacola gli aggressori, anzi, modificheranno le loro tattiche, tecniche e procedure per compromettere gli account  cloud dei clienti per i più diversi motivi, tra cui l’accesso ai dati riservati, il furto di risorse informatiche e lo spionaggio”.

Un’organizzazione può operare più velocemente e a costi più bassi migrando al cloud, ma dovrebbe capire che qualsiasi informazione di valore venga messa nel cloud sarà un bersaglio, e quindi la sua salvaguardarla è vitale.

Le organizzazioni non devono solo implementare le best practice per la sicurezza del cloud, ma devono anche prevedere attività di sicurezza dedicate a dare attivamente la caccia agli aggressori anche nel cloud.

L'articolo La sicurezza del Cloud: distinguere la realtà dalla finzione proviene da Data Manager Online.

Le tattiche, le tecniche e le procedure degli attaccanti non sono cambiate di molto nel corso dell’ultimo anno, ma le tendenze globali continuano a evolversi, ed il rischio per le organizzazioni rimane alto. Fortunatamente, come mostrato dall’ultimo M-Trends Report, le organizzazioni stanno rilevando gli incidenti più rapidamente rispetto al passato. Eppure c’è ancora molto lavoro da fare: in un recente studio di FireEye Mandiant, condotto su oltre 100 organizzazioni aziendali, ha rivelato che gli strumenti e i processi di sicurezza in uso non hanno rilevato o prevenuto il 53% degli attacchi effettuati. È quindi davvero una questione di “quando” e non di “se” gli attaccanti passeranno inosservati e questo può portare a tipologie anche molto diversi di pericoli: dalla compromissione dei dati, all’interruzione dell’attività o peggio.

Il doversi fermare per affrontare un piano di rimessa in funzione dei sistemi e dei dati a seguito di una violazione ritarda certamente il business aziendale. Senza un piano efficace di incident response fermare un attacco informatico e gestirne le conseguenze, diventa piuttosto complicato.

Essere preparati: pianificare le vostre risposte all’attacco

Comprendere quanto sia sicura oggi un’azienda dalle diverse tipologie di attacchi è fondamentale per validare l’efficacia complessiva di ogni programma di sicurezza informatica. Le organizzazioni dovrebbero in primo luogo utilizzare una sorgente di cyber threat intelligence per comprendere le caratteristiche degli attacchi informatici nel loro settore industriale, compresi i comportamenti degli attaccanti, le loro tecniche e le loro motivazioni. I team di difesa possono utilizzare queste informazioni per sviluppare scenari volti a verificare le modalità in cui le proprie tecnologie di difesa si comporteranno contro degli attacchi reali. Il risultato di questi test fornisce molti dettagli su come si potrebbe svolgere un attacco o una violazione, aprendo quindi la strada ad un piano di risposta efficace e ragionato.

Il team di risposta agli incidenti di Mandiant è stato in prima linea durante le più complesse violazioni avvenute in tutto il mondo, aiutando i propri clienti a indagare e porre rimedio alle aggressioni, in modo da poter permettere loro di riprendere le attività di business velocemente.

Un tipico piano di risposta è articolato in sei fasi:

1. Implementare una tecnologia per l’investigazione facendo leva sugli indicatori di compromissione per poter identificare le attività dell’aggressore;
2. Pianificare la gestione della crisi coinvolgendo i dirigenti, il team legale e il personale di sicurezza senior;
3. Monitorare in tempo reale le attività dell’attaccante e andare alla ricerca delle azioni che ha compiuto in precedenza;
4. Analizzare tutte le azioni intraprese dall’attaccante per stabilire l’entità della compromissione;
5. Valutare i danni subiti da tutti i sistemi, impianti, applicazioni e dati;
6. Sviluppare una strategia personalizzata di contenimento dell’incidente e di rimedio per estromettere l’attaccante e portarsi in più sicura situazione.

Sviluppare un piano di risposta globale

Per meglio supportare questo piano e garantirsi un rapido recupero dagli incidenti, le organizzazioni dovrebbero prendere in considerazione modalità e processi di lavoro alternativi pensati per quando l’IT si troverà in situazione di crisi, così come efficaci processi di gestione e comunicazione delle crisi per i servizi interni ed esterni.

I piani di risposta aiutano l’organizzazione a sviluppare le migliori pratiche che possono poi essere implementate rapidamente quando necessario. Sono più efficaci se i team di risposta agli incidenti di sicurezza informatica (CSIRT) e il personale che si occupa della gestione della continuità operativa (BCM) uniscono gli sforzi per riprendere le normali operazioni e ridurre gli impatti economici di un attacco informatico.

“Questi due gruppi, il CSIRT e BCM hanno la possibilità di imparare l’uno dall’altro, allineare gli sforzi e valutare la capacità della propria organizzazione nel rispondere efficacemente agli attacchi avanzati attraverso un ciclo di revisione continuo”, dichiara Gabriele Zanoni, EMEA Solutions Architect di FireEye. “Questo non solo è necessario, ma contribuirà a garantire che l’organizzazione subisca una interruzione minima dell’attività”.

Se un attacco ha successo, il team di gestione di gestione crisi dovrebbe riceverne notifica immediatamente. Anche se la violazione non può classificarsi come un “disastro”, il team di gestione della crisi deve sempre guidare le procedure di recupero e registrare le attività. Tenere registri e monitorare gli avvenimenti è essenziale per consentire l’attivazione di piani di emergenza, permettendo al team di rivedere e nel caso aumentare il livello di severità della violazione secondo necessità a seconda dell’impatto dell’incidente.

Recupero

Dopo le attività di risposta ad un qualsiasi attacco informatico, avviene una fase di stand-down. Dopo che la crisi è stata dichiarata conclusa, ci sono tre best-practice da applicare:

1. Operazioni di “pulizia”: gestione o migrazione dei nuovi dati e dei nuovi aggiornamenti di sicurezza all’interno di un nuovo ambiente sicuro, nonché gestione delle diverse segnalazioni, reclami assicurativi in aggiunta alle comunicazione continue con fornitori, partner e clienti;
2. Operazioni a seguito della violazione: revisione dei processi di risposta affinché siano volti all’identificazione e la documentazione di quanto appreso per migliorare il livello di sicurezza;
3. Aggiornamento delle strategie di risposta e gestione agli incidenti.

Possono essere necessari mesi per completare la fase di stand-down e riprendere le normali operazioni, e ogni procedimento legale probabilmente prolungherà il processo.

“Una strategia di risposta e di recupero è vitale per salvaguardare un’organizzazione dai consistenti danni causati dagli attacchi informatici che hanno successo. Ogni organizzazione spera che questi piani non debbano mai essere utilizzati, il ritmo e la portata degli incidenti di sicurezza, che rileviamo giornalmente, mettono a rischio tutte le organizzazioni”, aggiunge Zanoni.

L’utilizzo di una sorgente aggiornata di threat intelligence che si basi su informazioni di prima mano date dalle attività di Incident Response svolte in prima persona, l’uso di sistemi di difesa moderni e strategie olistiche contribuiscono sensibilmente ad incrementare le possibilità di superare una violazione della sicurezza con successo e con un impatto minimo. Queste strategie, tuttavia, devono essere continuamente convalidate e testate per garantire che siano pertinenti, robuste e rilevanti.

L'articolo Il potere di un buon piano di sicurezza informatica proviene da Data Manager Online.

FireEye annuncia la nomina di Brad Maiorino a Chief Strategy Officer, con riporto diretto a Kevin Mandia, CEO di FireEye. Maiorino vanta oltre 25 anni di esperienza e una comprovata competenza nella realizzazione ed esecuzione di programmi per la gestione globale dei rischi informatici per organizzazioni di grandi dimensioni. In qualità di Chief Strategy Officer di FireEye, Maiorino avrà un ruolo chiave nello sviluppo della strategia dei prodotti e delle soluzioni FireEye e Mandiant, basata sulle esigenze dei clienti. Maiorino lavorerà, inoltre, con i clienti di FireEye per implementare soluzioni di cyber security e di gestione del rischio con l’obiettivo di far fronte all’attuale scenario delle minacce in continua evoluzione.

“Brad ha realizzato e gestito programmi di sicurezza per alcune delle più grandi organizzazioni a livello mondiale; conosce le esigenze e i vincoli dei clienti, così come la pressione quando si devono affrontare gli avversari più sofisticati al mondo”, dichiara Mandia. “In FireEye, Brad metterà a disposizione la sua esperienza per fornire soluzioni e tecnologie che permettano alle organizzazioni di essere realmente sicure”.

Prima di entrare in FireEye, Maiorino ha ricoperto il ruolo di Chief Information Security Officer (CISO) per Thomson Reuters e prima ancora per Target, General Motors e General Electric. In Thomson Reuters è stato responsabile della strategia globale dell’azienda e della trasformazione della sicurezza delle informazioni. In Target, invece, in qualità di Chief Information Security Officer ha guidato la risposta del gigante del retail dopo il data breach, contribuendo alla trasformazione dell’azienda e preparando l’organizzazione a difendersi dalle minacce odierne. Maiorino è stato anche executive vice president dell’attività commerciale di Booz Allen, supportando i clienti dell’azienda a implementare soluzioni per la sicurezza informatica e la gestione del rischio.

“Nel panorama dei fornitori di security, FireEye è un’azienda unica, grazie alla nostra intelligence sulle minacce di tipo militare e alla nostra capacità di fornire soluzioni di alto livello attraverso la tecnologia”, dichiara Maiorino. “Sono entusiasta perché facendo leva sulla mia esperienza potremo migliorare la nostra offerta di intelligence e servizi attraverso la tecnologia e trasformare i programmi di sicurezza per i clienti da “la migliore ipotesi” a programmi verificabili e basati sul rischio”.

Maiorino è una figura attiva in molti aspetti della sicurezza cyber. Fa parte del Board of Directors di NETGEAR, con ruolo di Chairman of the Cybersecurity Committee e membro dell’Audit Committee. Inoltre, fa parte dell’Aspen Cyber Strategy Group e membro di facoltà per il World 50 NEXT Leader Program.

L'articolo Brad Maiorino nuovo Chief Strategy Officer di FireEye proviene da Data Manager Online.

FireEye annuncia la disponibilità di FireEye Cloudvisory, un centro di controllo per la gestione della sicurezza cloud in ogni ambiente di sicurezza – privato, pubblico e ibrido.

FireEye ha acquisito Cloudvisory a gennaio 2020 con l’obiettivo di combinare visibilità cloud con una visione senza eguali del panorama delle minacce. Completamente integrato nel più ampio portfolio di sicurezza cloud di FireEye, Cloudvisory ora offre ai clienti una distribuzione istantanea sulle loro infrastrutture cloud e ulteriori funzionalità di analisi della sicurezza attraverso FireEye Helix e il rilevamento avanzato delle minacce attraverso FireEye Detection On Demand.

“Gestire ambienti complessi e multi-cloud è una realtà per la maggior parte delle aziende. Tuttavia, gli strumenti di sicurezza legacy che si agganciano alle implementazioni esistenti rallentano le operazioni cloud e possono creare punti ciechi e lasciare aperte porte d’ingresso a discapito della sicurezza”, ha dichiarato Martin Holste, CTO Cloud di FireEye. “Consolidando questi ambienti in un’unica interfaccia coerente, la nostra soluzione Cloudvisory offre una visibilità centralizzata ai team di sicurezza, continua compliance ed enforcement delle policy di sicurezza dell’organizzazione. Questo elimina la complessità della gestione multi-cloud, riducendo al minimo l’impatto di un potenziale incidente”.

Basandosi sul portfolio di soluzioni cloud di FireEye, Cloudvisory è una soluzione di sicurezza nativa cloud che offre ai team di sicurezza un controllo unificato sull’espansione del cloud e sulla cattiva configurazione dell’infrastruttura. A differenza degli strumenti legacy e singoli che introducono complessità di implementazione e non riescono a scalare nel cloud senza prevedere maggiori investimenti in figure professionali, la soluzione Cloudvisory è progettata per:

• Fornire un single-pane of glass per massimizzare la visibilità su risorse, livello di carico e relativi controlli di sicurezza oltre che eventi presenti nell’infrastruttura cloud di un’organizzazione;
• Rimediare alle carenze di compliance, senza la necessità di ulteriori componenti da implementare come agenti, appliance e funzionalità;
• Bloccare e mettere in quarantena gli attacchi utilizzando la microsegmentazione nativa cloud.

Contesto multi cloud amplificato da una threat intelligence senza rivali

Mentre molte organizzazioni si stanno spostando verso il cloud, gli attaccanti stanno esplorando questa nuova superficie di attacco. I clienti di Cloudvisory possono facilmente implementare policy di sicurezza e governance per le proprie piattaforme cloud e container basate sulla conoscenza degli strumenti e delle tecniche utilizzate dagli attaccanti, derivante da attività in prima linea di Mandiant. Queste intuizioni vengono continuamente alimentate nella soluzione Cloudvisory per permettere un miglior rilevamento delle minacce emergenti.

Cloudvisory si integra, inoltre, con FireEye Helix per consentire risposte intelligenti e orchestrate agli incidenti rilevati. Grazie alla possibilità di collegare FireEye Detection On Demand e FireEye Messaging Security, gli analisti hanno la capacità di individuare le minacce attraverso strumenti di collaborazione e popolari soluzioni di cloud storage. Unendo l’analisi intelligence della sicurezza con la risposta orchestrata agli incidenti, le organizzazioni possono beneficiare di un’architettura di sicurezza unificata che si estende su datacenter legacy, ambienti cloud privati e pubblici.

L'articolo FireEye Cloudvisory: un centro di controllo per la sicurezza multi-cloud proviene da Data Manager Online.

A cura di David Grout, EMEA CTO e Richard Weaver, Data Protection Officer di FireEye

I ricercatori di tutto il mondo si stanno affrettando per arrivare a creare vaccini e farmaci che possano fermare la pandemia di COVID-19, o quantomeno arrestarne la diffusione. Unitamente a questi sforzi anche la tecnologia ha dimostrato di possedere un ruolo utile per mitigare la crisi, fornendo un contributo prezioso in questa sfida globale.

L’utilizzo di dispositivi mobili, come strumenti utili per raggiungere questo obiettivo ha sollevato diverse questioni importanti relative alla privacy e alla sicurezza.

In primo luogo è importante chiarire di quali tipologie di dati e applicazioni si stia parlando. Queste rientrano in tre categorie principali, che sono relative ai loro obiettivi: comprendere il movimento generale della popolazione, verificare la potenziale vicinanza con gli individui positivi al COVID-19 e consigliare misure per l’auto quarantena, raccogliere informazioni dei pazienti per l’analisi statistica.

1. Tracciamento mobile per comprendere i movimenti della popolazione e l’impatto dell’isolamento.

Gli operatori di telefonia mobile in Germania, Italia e Francia hanno condiviso i dati relativi alla localizzazione mobile con i funzionari sanitari sotto forma di informazioni aggregate e anonime, tutto in linea con la legge e le normative locali. Poiché i Paesi membri dell’Unione Europea hanno regole molto specifiche su come gli utenti di app e dei dispositivi mobili devono acconsentire all’utilizzo dei dati personali, gli sviluppatori devono prendere in considerazione altre forme di dati utili a meno che non ottengano il consenso individuale degli utenti. L’approccio aggregato e anonimo è legato ai gruppi all’interno di una popolazione e non ai singoli individui, ma fornisce una visione chiara delle tendenze di spostamento della popolazione e quindi del possibile livello di rischio di ogni singola area.

2. Determinare la potenziale vicinanza a individui positivi al COVID-19:

Questo approccio è stato testato in Paesi come Germania e Francia. L’obiettivo è quello di limitare la diffusione del virus identificando le persone che sono potenzialmente entrate in contatto con un individuo risultato positivo e consigliando poi a queste persone l’auto quarantena. In Germania, il governo si basa sulle regole definite dal Pan-European Privacy-Preserving Proximity Tracing (PEPP-PT), mentre la Francia esplora questo argomento con l’INRIA sotto il progetto denominato: ROBERT-ROBust and privacy-presERving proximity Tracing protocol.

Queste tipologie di applicazioni sono state utilizzate in diversi Paesi dall’inizio della pandemia, tra cui Singapore (TraceTogether), Cina (Alipay Health Code) e Israele (Hamagen).

3. Raccolta delle informazioni degli utenti per l’analisi statistica:

Questo approccio è stato utilizzato dal governo britannico attraverso l’applicazione ‘C-19 Covid Symptom Tracker’, sviluppata dalla startup ZOE in associazione con il King’s College di Londra.

I dati necessari per soddisfare tutti e tre gli obiettivi vengono poi memorizzati dai provider di telefonia mobile in differenti luoghi che devono essere protetti, sia per garantire la privacy degli utenti che utilizzano l’applicazione sia per evitare manipolazioni/danneggiamenti dei dati da parte di terzi. Visto che i dati provengono da differenti luoghi, come i repository di GPS, Bluetooth e altre applicazioni presenti sul dispositivo, potrebbe essere necessario prendere in considerazione diverse disposizioni di sicurezza per ogni fonte. Gli enti regolatori stanno riconoscendo che gli sviluppatori di app hanno bisogno di una guida tempestiva per bilanciare la raccolta di dati con la salvaguardia della privacy, con strumenti appropriati per il controllo dei dati da parte del pubblico. Nell’Unione Europea la dichiarazione del Presidente dell’EDPB sul trattamento dei dati personali nel contesto della pandemia, pubblicata nel marzo 2020, fa progredire questo obiettivo.

Principi chiave per l’utilizzo responsabile dei dati di localizzazione delle app COVID-19

1. Raccolta del consenso per il tracciamento dei dati a livello individuale

Oggi la maggior parte delle applicazioni viene scaricata e avviata volontariamente dagli utenti. La sfida è che spesso queste applicazioni devono essere utilizzate da una certa percentuale della popolazione per essere veramente utili nella lotta contro il virus. Questo fatto può indurre gli sviluppatori a non rivelare il verso scopo dell’app. Una recente indagine in Europa ha evidenziato che circa l’80% della popolazione in Francia, Italia e Germania era disposta ad adottare un’applicazione di tracciamento durante la pandemia di COVID-19. Tuttavia, se questa app nascondesse una qualsiasi raccolta e condivisione dei dati, il consenso fornito da un individuo non potrebbe essere più valido.

Le applicazioni devono spiegare quali tipologie di dati vengono raccolti, in che modo e qual è l’obiettivo della raccolta. A titolo di esempio, il team pan europeo per il tracciamento della prossimità per la tutela della privacy ha spiegato chiaramente sul proprio sito internet che non raccoglie informazioni personali come indirizzi, numeri di telefono o geo-localizzazione. FireEye sta anche incoraggiando gli sviluppatori a garantire che le applicazioni rispettino i privilegi che gli utenti hanno concesso loro e non ne abusino operando al di fuori dei compiti necessari.

Gli sviluppatori delle app devono indicare a quali condizioni i dati collezionati possono essere condivisi o venduti a terzi. La condivisione a terzi limitata agli enti sanitari, ad esempio, può essere più interessante per l’utente finale rispetto alla vendita di dati a terzi che non sono correlati.

2. Restrizioni di tempo

Gli sviluppatori delle applicazioni dovrebbero inserire la funzionalità di interrompere il loro utilizzo se le autorità sanitarie nazionali stabiliscono che i dati che collezionano non sono più necessari per affrontare la pandemia. Anche la conservazione e l’archiviazione dei dati dovrebbero essere guidate da decisioni prese dalle autorità sanitarie nazionali.

3. Utilizzare la giusta tecnologia

La comprensione della tecnologia su cui si basano gli utenti e i fornitori per lo scambio di informazioni è la chiave per un’adozione di successo. Fornitori e responsabili delle policy dovranno definire le regole specifiche per ogni tecnologia e il suo utilizzo associato. Il modo in cui le tecnologie stanno collezionando le informazioni è importante quando viene definito il come, il quando e il perché dell’utilizzo di una tecnologia rispetto a un’altra.

4. Proteggere in modo adeguato i dati collezionati

I fornitori di applicazioni devono garantire un adeguato livello di sicurezza, possibilmente attraverso l’utilizzo della crittografia, per evitare fughe di dati e qualsiasi manipolazione di questi da parte di enti terzi non di fiducia. I fornitori devono inoltre essere trasparenti sulle loro scelte per quanto riguarda l’implementazione tecnologica delle loro applicazioni e la loro sicurezza. Si dovrebbe seguire una guida relativa al processo di implementazione e le regole di compliance già messe in atto dalle organizzazioni internazionali e dai governi.

5. Essere disponibili a semplificare l’esercizio dei diritti di protezione dei dati, compresi i diritti di cancellazione

A seconda della giurisdizione, gli utenti finali possono avere il diritto di richiedere l’accesso ai dati personali che sono stati raccolti e chiederne la cancellazione. Gli sviluppatori devono studiare a come riceveranno queste richieste, le convalideranno e ne daranno seguito.

FireEye consiglia agli sviluppatori di applicazioni di lavorare con i loro consulenti legali per comprendere l’evoluzione delle linee guida delle autorità di regolamentazione.

Raggiungere un equilibrio tra una rapida release di una nuova applicazione e massimizzare il suo impatto nell’aiutare ad arrestare la diffusione del virus, garantendo allo stesso tempo una rigorosa e collaudata strategia di sicurezza e privacy è una sfida. Tuttavia se si eseguono i procedimenti corretti gli utenti avranno un problema in meno di cui preoccuparsi in un periodo già per di sé complicato.

L'articolo Sicurezza e privacy dei dati di localizzazione per le applicazioni relative al Covid-19 proviene da Data Manager Online.