Sophos, leader mondiale e innovatore nelle soluzioni di sicurezza avanzate per neutralizzare i cyberattacchi, annuncia l’ingresso di Torjus Gylstorff in qualità di Chief Revenue Officer (CRO). La nomina di Gylstorff rientra nella strategia volta ad accelerare ulteriormente le vendite del portafoglio di servizi e prodotti di cybersecurity di Sophos, tra cui i servizi di Managed Detection and Response (MDR) e le soluzioni per sicurezza di endpoint, rete, email e cloud.

La consolidata esperienza maturata da Gylstorff contribuirà alla crescita del fatturato, ottimizzando l’organizzazione della struttura di vendita globale di Sophos e della sua rete di partner e clienti. Ciò include l’espansione della presenza di Sophos al di là della sua già solida base di clienti, oltre 600.000 organizzazioni in tutto il mondo, nel mercato delle piccole e medie imprese. Gylstorff sfrutterà inoltre le sue competenze nel Canale per sviluppare strategie che rafforzino e portino avanti ulteriori attività con i Managed Service Provider (MSP) esistenti e nuovi.

Gylstorff vanta oltre 25 anni di esperienza nelle vendite, nel canale e nello sviluppo del business nei settori della tecnologia e della cybersicurezza, guidando team di vendita a livello mondiale e costruendo ecosistemi di canale globali. Prima di entrare a far parte di Sophos, Gylstorff è stato leader delle vendite a livello mondiale per l’Application and Data Security Business di Thales e in precedenza ha ricoperto il ruolo di VP Worldwide Channels and Alliances presso Symantec. Gylstorff ha inoltre guidato iniziative commerciali emergenti presso Blue Coat Systems e ha gestito importanti ristrutturazioni in Giappone e Corea del Sud. La sua carriera comprende importanti incarichi presso Norman Shark, IBM e Lotus Software, dove ha ricoperto diversi ruoli di responsabilità.

“Sophos è già un fornitore leader nei servizi e nelle tecnologie di sicurezza, sia per il midmarket sia per le organizzazioni più piccole che hanno bisogno di supporto nel contrastare i cyberattacchi a causa di vincoli di risorse come lacune nelle competenze, budget limitati e altri problemi che le rendono poco protette. La visione di Sophos è quella di un mondo in cui le aziende di qualsiasi dimensione abbiano un percorso chiaro per ottenere risultati superiori in termini di cybersecurity. Il lavoro che svolgiamo ogni giorno mira proprio a colmare il divario in termini di sicurezza informatica e a proteggere un maggior numero di organizzazioni nei segmenti di mercato più a rischio. Il modo migliore e più efficiente per farlo è la collaborazione con i partner di Canale e gli MSP”, ha dichiarato Joe Levy, CEO di Sophos. “Con Torjus, che vanta un’esperienza decennale nella guida delle vendite di canale, nella gestione delle operazioni di vendita e nello sviluppo di relazioni con i clienti, possiamo ad accelerare la crescita dei partner, degli MSP e della presenza sul mercato d Sophos. Sono entusiasta di avere Torjus a bordo che contribuirà a guidare la prossima fase dell’evoluzione di Sophos verso il mercato”.

L'articolo Sophos nomina Torjus Gylstorff nuovo Chief Revenue Officer proviene da Data Manager Online.

Veeam Software ha siglato una partnership strategica con Sophos. Grazie a questa intesa, la Veeam Data Platform integrerà Sophos Managed Detection and Response (MDR), servizio di threat hunting, rilevamento e risposta alle minacce completamente gestito, che conta su un team di sicurezza dedicato 24 ore su 24, 7 giorni su 7, in grado di identificare e neutralizzare rapidamente gli attacchi complessi, tra cui ransomware, violazioni della rete, hands-on keyboard e molto altro. Questa integrazione consentirà a Veeam di aggiungere un livello critico di rilevamento e risposta alle minacce per migliorare la sicurezza dei backup business-critical in difesa dagli attacchi ransomware che tentano di manipolare, eliminare o modificare l’ambiente di backup dei clienti come tattica nella catena di attacco complessiva per aumentare la pressione sulle vittime affinché paghino il riscatto.

Gli attacchi cyber sono in costante aumento; la domanda non è più se o quando, ma quanto spesso un’organizzazione sarà colpita, rendendo fondamentale, per le aziende, il poter disporre delle giuste capacità di protezione e ripristino. Insieme, le tecnologie di Veeam e Sophos rilevano le minacce alla sicurezza informatica, determinano la risposta necessaria e recuperano rapidamente i dati danneggiati.

«Attacchi cyber sempre più frequenti possono essere affrontati solo se le aziende uniscono le loro forze per garantire ai clienti una protezione più completa e integrata», afferma Danny Allan, CTO di Veeam. «Questa partnership ci consente di rendere disponibili ai clienti un livello di protezione e ripristino elevato. Mantenere le aziende operative, qualunque cosa accada, è fondamentale per la missione di Veeam. Collaborando con Sophos creiamo un approccio end-to-end, compiendo un altro passo avanti nel proteggere i clienti dai criminali informatici, rafforzando la loro posizione di sicurezza complessiva e accrescendo la  resilienza».

Veeam Data Platform monitora i sistemi di un’organizzazione per rilevare potenziali rischi che coinvolgono i carichi di lavoro di produzione dei clienti e il loro ambiente di backup. Se è identificata una minaccia, come  un tentativo di manomissione dei backup, Veeam invia un alert a Sophos MDR. Il team operativo di sicurezza di Sophos MDR è in grado di determinare se è in corso un attacco e di intraprendere azioni per interrompere, contenere ed eliminare completamente la minaccia.

«I criminali informatici sono molto abili nel fare evolvere le loro tattiche, tecniche e procedure, spesso superando le capacità di rilevamento di molte organizzazioni. La necessità di backup sicuri è fondamentale e le operazioni di sicurezza sempre attive sono indispensabili per proteggere i dati critici per l’azienda», ha dichiara Marty Ward, vice president of technology operations di Sophos. «Sophos MDR vanta oltre 19 mila clienti in tutto il mondo. Estendendo questa offerta alle organizzazioni che hanno scelto Veeam, contribuiremo alla sicurezza delle loro attività operative».

VEEAM DATA PLATFORM, AGGIORNAMENTO

Veeam Software ha annunciato, inoltre, l’aggiornamento H2 23 di Veeam Data Platform, che include la nuova release Veeam Backup & Replication v12.1. Basato sui principi di Data Security, Data Recovery e Data Freedom, l’aggiornamento H2 23 di Veeam Data Platform include una sicurezza dei dati più avanzata, il rilevamento di malware, il ripristino automatico e le funzionalità di cloud ibrido per mantenere le aziende in funzione anche di fronte all’aumento di ransomware e cyberattacchi.

«I criminali informatici stanno diventando sempre più evoluti e si concentrano, in particolare, sui backup», dichiara Danny Allan, CTO di Veeam. «Il Veeam 2023 Ransomware Trends report 2023 evidenzia che il 93% degli attacchi ransomware ha come obiettivo i backup, con il 75% di questi attacchi che hanno avuto un successo almeno parziale. Gli attori delle minacce prendono in considerazione i backup perché le aziende sono più propense a pagare il riscatto se gli hacker riescono a cancellare o criptare i dati di backup. Gli esperti IT e di Cybersecurity sanno bene che un componente fondamentale di una strategia cyber-resiliency deve essere un backup affidabile e pulito a cui si possa accedere in qualsiasi momento e da qualsiasi luogo. Il nuovo aggiornamento H2 23 di Veeam Data Platform consente una resilienza radicale, non solo per riprendersi da un’interruzione o da una perdita di dati, ma anche per andare avanti. Fornendo il più breve intervallo possibile tra l’incidente e il ripristino, i nostri clienti possono continuare a mantenere operativa la loro azienda, facendola crescere e progredire».

L'articolo Veeam e Sophos in partnership proviene da Data Manager Online.

Sophos ha presentato oggi Sophos ZTNA, l’unica proposta Zero Trust Network Access (ZTNA) che si integra completamente con una delle principali soluzioni di nuova generazione per la protezione degli endpoint come Sophos Intercept X implementando protezione avanzata degli endpoint e accesso zero trust con un unico agent. Sophos ZTNA introduce un modello di sicurezza trasparente e scalabile per mettere in connessione utenti e dispositivi con applicazioni e dati, migliorando e semplificando la protezione contro ransomware e altre minacce informatiche avanzate.

Sophos ha inoltre pubblicato una nuova ricerca dal titolo “Windows Services Lay the Groundwork for a Midas Ransomware Attack” che evidenzia l’importanza della tecnologia ZTNA. Lo studio dimostra come alcuni cybercriminali siano riusciti a eludere i sistemi di rilevamento per quasi due mesi, sfruttando proprio la presenza di controlli limitati sugli accessi e un’insufficiente segregazione applicativa e di rete, punti deboli che sarebbero risultati maggiormente protetti con ZTNA. Gli autori degli attacchi hanno quindi approfittato di tool “fantasma” per l’accesso remoto ormai inutilizzati per eseguire movimenti laterali, colpire e compromettere altre macchine, creare nuovi account, installare backdoor ed esfiltrare dati prima di installare il ransomware Midas.

Grazie alla particolare integrazione con Sophos Intercept X, che include Sophos Extended Detection and Response (XDR), Sophos Managed Threat Response e altre soluzioni che usano la sua tecnologia, Sophos ZTNA elimina la complessità derivante dalla gestione di molteplici prodotti e agent di vendor differenti offrendo protezione end-to-end per gli endpoint, gli utenti e le relative identità, oltre che per le applicazioni e le reti a cui essi si connettono. Come parte di Sophos Adaptive Cybersecurity Ecosystem, Sophos ZTNA condivide con altre soluzioni i dati di intelligence in tempo reale sulle minacce rispondendo automaticamente ai pericoli. Funzionando insieme, le soluzioni possono identificare più efficacemente le minacce attive e valutare lo stato di salute dei dispositivi in modo da poter isolare rapidamente quelli che si rivelino compromessi o non conformi.

“Molte soluzioni tradizionali per l’accesso remoto come desktop remoti, IPsec e SSL-VPN sono dotate di solide capacità crittografiche ma offrono ben poco per difendersi dalle minacce moderne. Osserviamo come i malintenzionati sfruttino sempre più spesso queste limitazioni attaccando RDP e VPN con tecniche di credential stuffing per poter accedere alle reti delle loro vittime e muoversi poi liberamente al loro interno provocando costosi furti di dati e incidenti di ransomware”, ha dichiarato Joe Levy, chief technology and product officer di Sophos. “Persone, applicazioni, dispositivi e dati non sono più vincolati a restare dentro il perimetro di un ufficio: oggi si possono infatti trovare ovunque, e quindi abbiamo bisogno di metodi più moderni per assicurarne la protezione. Zero trust è un principio di cybersicurezza assai efficace e ZTNA lo implementa in modo semplice e pratico facendo in modo che gli utenti possano accedere in tranquillità alle sole risorse di cui hanno bisogno”.

Sophos ZTNA micro-segmenta le reti per proteggerle da intrusioni, movimenti laterali e sottrazioni di dati; autentica costantemente le identità degli utenti attraverso molteplici fattori e convalida lo stato di salute dei dispositivi, implementando controlli più rigidi sugli accessi utente per offrire minori occasioni di appiglio ai cybercriminali. A differenza delle VPN che forniscono un ampio accesso generico alla rete, Sophos ZTNA elimina la fiducia implicita autorizzando l’accesso utente esclusivamente ad applicazioni e sistemi specifici presenti sulla rete. Non fidandosi di niente e verificando tutto, Sophos ZTNA aumenta la protezione, semplifica la gestione della sicurezza da parte dei responsabili IT e dà vita a un’esperienza intuitiva per gli utenti remoti.

“Il futuro del lavoro sarà ibrido, il che rende necessario che le aziende siano in grado di proteggere chi lavora da remoto così come i dati remoti e le applicazioni remote”, ha commentato Christopher Rodriguez, research director, Network Security Products di IDC. “Integrando ZTNA con la protezione degli endpoint, Sophos ZTNA rende accessibili – con un rischio appropriato – le risorse da qualsiasi dispositivo, sempre e ovunque. La fiducia è un fattore chiave nel business odierno, un fattore che richiede controlli di sicurezza in grado di proteggere da eventi che possono avere un impatto negativo sull’attività, come il ransomware e la violazione dei dati”.

L'articolo Sophos integra la tecnologia ZTNA nel suo ecosistema adattivo di cybersicurezza proviene da Data Manager Online.

Sophos ha pubblicato i dettagli relativi al funzionamento di Memento, un nuovo ransomware scritto in linguaggio Python.0

Nella nuova ricerca “New Ransomware Actor Uses Password Protected Archives to Bypass Encryption Protection”, vengono descritte le caratteristiche di questo attacco che rinchiude i file all’interno di un archivio protetto da password quando non riesce a crittografare i dati che intende colpire.

“Gli attacchi ransomware effettuati con intervento umano sono raramente chiari e definiti nel mondo reale”, ha dichiarato Sean Gallagher, senior threat researcher di Sophos. “I cybercriminali sfruttano le opportunità quando si presentano e procedendo modificando tempestivamente le proprie tattiche e procedure di attacco.Se riescono a penetrare nella rete di una loro vittima, di certo non sono disposti a uscirne a mani vuote. L’attacco Memento costituisce un buon esempio di ciò, e serve a ricordarci di adottare soluzioni di sicurezza che attivino difese in profondità. Essere in grado di rilevare la presenza di ransomware e i tentativi di cifratura è essenziale, ma è altrettanto importante disporre di tecnologie di sicurezza capaci di allertare i responsabili IT in caso di altre attività inaspettate come il movimento laterale”.

Cronologia dell’attacco

I ricercatori Sophos sono convinti che i responsabili di Memento siano riusciti a entrare nella rete obiettivo dell’attacco a metà aprile 2021. Per far questo hanno sfruttato una vulnerabilità di VMware vSphere, un tool per la virtualizzazione del cloud computing rivolto a Internet, che ha permesso loro di penetrare all’interno di un server. Le prove forensi trovate dai ricercatori Sophos indicano che gli attaccanti hanno avviato l’intrusione principale agli inizi di maggio 2021.

Gli autori dell’attacco hanno usato i primi mesi a scopo di ricognizione e movimento laterale sfruttando Remote Desktop Protocol (RDP), lo scanner di rete NMAP, Advanced Port Scanner e il tool di tunneling Secure Shell (SSH) Plink per creare una connessione interattiva con il server violato. Gli attaccanti si sono avvalsi anche di mimikatz per raccogliere le credenziali degli account da utilizzare nelle fasi successive dell’attacco.

Secondo i ricercatori Sophos, il 20 ottobre 2021 gli autori di questo attacco hanno quindi usato un tool legittimo come WinRAR per effettuare la compressione di una serie di file esfiltrandoli quindi via RDP.

L’installazione del ransomware

Il deployment del ransomware è avvenuto il 23 ottobre 2021. I ricercatori Sophos hanno scoperto che chi attaccava ha provato inizialmente a crittografare i file, ma le misure di sicurezza in atto hanno impedito tale tentativo. I cybercriminali hanno quindi cambiato tattica, modificando e reinstallando il ransomware. Hanno copiato i file non cifrati in archivi protetti da password avvalendosi di una versione gratuita di WinRAR, prima di crittografarne la password e cancellare i file originali.

In seguito, hanno richiesto il versamento di un riscatto da 1 milione di dollari in Bitcoin per ripristinare i file. L’azienda colpita è stata fortunatamente in grado di recuperare i dati senza doversi rivolgere agli attaccanti.

Punti d’ingresso aperti hanno lasciato entrare ulteriori attaccanti

Mentre gli autori di Memento si trovavano all’interno della rete colpita, altri cybercriminali sono entrati attraverso la medesima vulnerabilità sfruttando exploit simili. Ciascuno di essi ha installato sullo stesso server violato software per il mining di cryptovalute.. Un attaccante ha installato un cryptominer XMR il 18 maggio, mentre un altro ha installato un cryptominer XMRig l’8 settembre e, di nuovo, il 3 ottobre.

“Lo vediamo continuamente: quando le vulnerabilità accessibili da Internet diventano pubbliche e non vengono neutralizzate con le apposite patch, numerosi attaccanti corrono ad approfittarne. Più a lungo si aspetta per mitigarle, più attaccanti ne saranno attirati”, ha commentato Gallagher. “I cybercriminali eseguono costantemente la scansione di Internet alla ricerca di punti di ingresso vulnerabili, e di certo non si mettono in fila ad aspettare quando ne trovano una. Essere violati da più attaccanti non fa che moltiplicare i danni e i tempi di ripristino per le vittime, e rende anche più complicato per gli investigatori riuscire a far chiarezza e capire chi abbia fatto cosa, informazioni importanti per chi deve affrontare le minacce per aiutare le aziende a evitare ulteriori attacchi dello stesso genere”.

Consigli per la sicurezza

Sophos ritiene che questo incidente, nel quale più cybercriminali hanno violato un medesimo server privo di patch collegato a Internet, sottolinei l’importanza di applicare velocemente le patch e verificare la sicurezza del software di integratori, sviluppatori a contratto e service provider con cui si lavora.

Sophos consiglia inoltre le seguenti best practice generali per aiutare a difendersi da ransomware e relativi cyberattacchi:

A livello strategico

• Dispiegare una protezione a strati. Poiché gli attacchi ransomware iniziano sempre più spesso a comportare estorsioni, i backup rimangono necessari ma sono insufficienti. È più importante che mai tenere alla larga gli avversari o intercettarli rapidamente prima che possano provocare danni. Una protezione stratificata blocca e rileva gli attaccanti su più punti possibili all’interno di un ambiente
• Combinare esperti in carne e ossa con tecnologia anti-ransomware. Il segreto per fermare il ransomware risiede in una difesa in profondità che combini tecnologia anti-ransomware dedicata con attività specifiche condotte da esperti. La tecnologia fornisce la scala e l’automazione di cui un’azienda ha bisogno, mentre gli esperti in carne e ossa sono più adatti per accorgersi delle tattiche, tecniche e procedure che segnalano la presenza di un attaccante all’interno dell’ambiente. Se un’azienda non possiede le competenze al proprio interno può richiedere l’assistenza di specialisti in cybersicurezza

A livello tattico quotidiano

• Monitorare e rispondere agli allarmi. Assicurarsi che vi siano tool, processi e risorse (persone) disponibili per monitorare, investigare e rispondere alle minacce riscontrate nell’ambiente. Gli attaccanti sferrano spesso i loro attacchi fuori dagli orari di lavoro, nei week-end o durante le festività nel presupposto che non vi sia nessuno o quasi a controllare
• Definire e imporre l’uso di password forti. Le password forti sono una delle prime linee di difesa. Le password dovrebbero essere complesse o create apposta, e non essere mai riutilizzate. Per far questo con più facilità si può ricorrere a un password manager in grado di memorizzare le credenziali del personale
• Usare l’autenticazione multifattore (MFA). Anche le password forti possono essere violate. Qualsiasi forma di autenticazione multifattore è meglio che niente per proteggere l’accesso a risorse critiche come e-mail, tool per la gestione remota e asset di rete
• Bloccare i servizi accessibili. Effettuare scansioni della rete dall’esterno per identificare e chiudere le porte comunemente utilizzate da VNC, RDP o altri tool per l’accesso remoto. Se una macchina deve essere raggiungibile attraverso un tool per la gestione remota, fare in modo che quel tool risieda dietro a una VPN o a una soluzione per l’accesso di rete zero-trust che si avvalga di tecniche MFA come parte della procedura di login
• Ricorrere a segmentazione e zero-trust. Separare i server critici l’uno dall’altro e dalle workstation mettendoli all’interno di VLAN separate e andando in direzione di un modello di rete zero-trust
• Effettuare backup offline di informazioni e applicazioni. Mantenere i backup aggiornati, assicurarsi che siano recuperabili e conservarne una copia offline
• Inventariare asset ed account. La presenza nella rete di dispositivi sconosciuti, non protetti o privi di patch aumenta i rischi e crea una situazione nella quale le attività pericolose potrebbero passare inosservate. È essenziale disporre di un inventario aggiornato di tutto quel che è collegato. Usare scan di rete, tool IaaS e ispezioni fisiche per localizzare e catalogare i dispositivi, e installare software per la protezione degli endpoint su qualsiasi macchina priva di protezione
• Accertarsi che i prodotti per la sicurezza siano configurati correttamente. Sono vulnerabili anche i sistemi e i dispositivi solo parzialmente protetti. È importante assicurarsi che le soluzioni per la sicurezza siano configurate in modo appropriato; così come è importante verificare e, dove necessario, convalidare e aggiornare regolarmente le policy di sicurezza. Le funzionalità di sicurezza di nuova implementazione non sempre vengono attivate automaticamente. Non disabilitare la protezione anti-manomissione né creare ampie esclusioni dai controlli, dato che questo non farà che semplificare il lavoro degli attaccanti
• Verificare Active Directory (AD). Eseguire audit regolari su tutti gli account presenti in AD, accertandosi che nessuno di essi disponga di più accessi di quelli che gli sono effettivamente necessari. Disabilitare gli account dei dipendenti in uscita non appena lasciano l’azienda
• Applicare patch a tutto quanto. Mantenere aggiornati Windows e il resto dei sistemi operativi e del software. Questo significa anche verificare che le patch siano state installate correttamente e che siano presenti sui sistemi critici come i domain controller o le macchine collegate a Internet

I prodotti Sophos per endpoint, come Intercept X, proteggono gli utenti rilevando le azioni e i comportamenti del ransomware e di altri attacchi. I tentativi di crittografare file sono bloccati dalla funzione CryptoGuard. Soluzioni EDR (Endpoint Detection and Response) integrate, come Sophos Extended Detection and Response (XDR), possono aiutare a intercettare attività pericolose, come quando gli attaccanti creano archivi protetti da password come quelli usati nell’attacco ransomware Memento.

L'articolo I ricercatori di Sophos hanno scoperto il nuovo ransomware Memento proviene da Data Manager Online.

Sophos presenta il suo nuovo Threat Report 2022, che conferma il ruolo sempre più preponderante del ransomware nello scenario delle minacce informatiche e il devastante impatto sui sistemi IT.

Il Rapporto, a cura dei ricercatori dei SophosLabs, degli esperti di threat hunting del Sophos Managed Threat Response e del team Sophos IA, fornisce una prospettiva multidimensionale sulle cyberminacce e sui nuovi trend in atto nel mondo della security che le aziende dovranno affrontare nel 2022.

Il nuovo Threat Report 2022 di Sophos ha analizzato le seguenti tendenze:

1.       Nel corso del prossimo anno, il panorama del ransomware diventerà sia più modulare che più uniforme, con gli “specialisti” dell’attacco che offriranno i diversi elementi di un attacco “as-a-service” e forniranno playbook con strumenti e tecniche che consentono ad altri gruppi di hacker criminale di implementare attacchi molto simili. Secondo i ricercatori di Sophos, gli attacchi da parte di singoli gruppi di ransomware hanno lasciato il posto a un maggior numero di offerte di ransomware-as-a-service (RaaS) nel corso del 2021, con sviluppatori di ransomware specializzati che si sono concentrati sull’affitto di codice dannoso e infrastrutture a terzi affiliati. Alcuni degli attacchi ransomware di più alto profilo dell’anno passato, hanno coinvolto RaaS, compreso un attacco contro Colonial Pipeline negli Stati Uniti da parte di un affiliato di DarkSide. Un affiliato del ransomware Conti ha fatto trapelare la guida di implementazione fornita dagli operatori, rivelando gli strumenti e le tecniche passo dopo passo che gli attaccanti potrebbero utilizzare per distribuire il ransomware. Una volta ottenuto il malware di cui hanno bisogno, gli affiliati RaaS e altri operatori di ransomware possono rivolgersi agli Initial Access Brokers e alle piattaforme di consegna del malware per trovare e colpire potenziali vittime. Questo sta alimentando la seconda grande tendenza prevista da Sophos.

2.       Le minacce informatiche ormai consolidate continueranno ad adattarsi per distribuire e fornire ransomware e lo faranno utilizzando loader, dropper e altri malware di base, broker di accesso iniziale sempre più avanzati e gestiti dall’uomo; spam e adware. Nel 2021, Sophos ha rilevato come Gootloader operasse nuovi attacchi ibridi che combinavano campagne di massa con un attento filtraggio per individuare gli obiettivi di specifici pacchetti di malware.

3.       L’utilizzo di forme multiple di estorsione da parte dei cybercriminali volte a fare pressione sulle vittime per indurle a pagare il riscatto continuerà e aumenterà di portata e intensità. Nel 2021, gli esperti di incident response di Sophos hanno catalogato 10 diversi tipi di tattiche di pressione, dal furto di dati ed esposizione, alle telefonate minatorie, agli attacchi DDoS (distributed denial of service) e altro ancora.

4.       Le criptovalute continueranno ad alimentare i crimini informatici come il ransomware e il cryptomining malevolo, e Sophos prevede che la tendenza continuerà fino a quando le criptovalute globali non saranno regolamentate in modo più efficace. Durante il 2021, i ricercatori di Sophos hanno scoperto cryptominer come Lemon Duck e il meno comune, MrbMiner, che sfruttano l’accesso fornito dalle vulnerabilità appena segnalate e gli obiettivi già violati dagli operatori di ransomware per installare cryptominer su computer e server.

“Il ransomware prospera grazie alla sua capacità di adattarsi e innovare”, spiega Chester Wisniewski, principal research scientist di Sophos. “Per esempio, mentre le offerte RaaS non sono certo una novità, negli anni precedenti il loro contributo principale era quello di portare il ransomware alla portata di cybercriminali meno qualificati o meno ben finanziati. Questo è cambiato e, nel 2021, gli sviluppatori RaaS stanno investendo il loro tempo e le loro energie nella creazione di un codice sofisticato e nel determinare il modo migliore per ottenere pagamenti più elevati dalle proprie vittime e dalle compagnie di assicurazione. Adesso stanno delegando ad altri il compito di identificare le vittime, installare, eseguire il malware e riciclare le criptovalute rubate. Questo sta distorcendo il panorama delle minacce informatiche, e le minacce comuni, come i loader, i dropper e gli Initial Access Broker che erano in circolazione e causavano disagi ben prima dell’ascesa del ransomware, vengono risucchiati in questo “buco nero” che sembra consumare tutto che è il ransomware. Le aziende non possono più basare la loro strategia di sicurezza solo sul monitoraggio delle soluzioni di cybersecurity e assicurandosi che stiano rilevando il codice dannoso. Certe combinazioni di rilevamenti o anche di avvisi sono l’equivalente moderno di un ladro che rompe un vaso di fiori mentre si arrampica attraverso la finestra sul retro. Chi si occupa di sicurezza informatica deve indagare sugli alert ricevuti, anche quelli che in passato potevano essere insignificanti, poiché queste intrusioni comuni sono diventate il punto d’appoggio necessario per prendere il controllo di intere reti”.

Altri trend analizzati nel Rapporto di Sophos:

• Dopo che le vulnerabilità ProxyLogon e ProxyShell sono state scoperte (e patchate) nel 2021, la velocità con cui sono state sfruttate dagli aggressori è stata tale che Sophos si aspetta di vedere continui tentativi di abuso di massa degli strumenti di amministrazione IT e dei servizi vulnerabili esposti via Internet sia da parte di cybercriminali esperti che di criminali informatici comuni.
• Sophos prevede anche che i criminali informatici aumenteranno l’abuso di strumenti di simulazione degli attacchi come Cobalt Strike Beacons, mimikatz e PowerSploit. I responsabili della cybersecurity aziendale dovrebbero controllare ogni allarme relativo agli strumenti legittimi o alla combinazione di strumenti, proprio come controllerebbero un rilevamento dannoso, poichè potrebbe indicare la presenza di un intruso nella rete.
• Nel 2021, i ricercatori di Sophos hanno analizzato una serie di nuove minacce che prendono di mira i sistemi Linux e prevedono un crescente interesse per i sistemi basati su quest’ultimo durante il 2022, sia nel cloud che sui server web e virtuali. Si prevede che le minacce verso i device mobili e lo scam basato sull’ingegneria sociale, tra cui Flubot e Joker, continueranno ad imperversare e si diversificheranno per colpire sia gli individui che le aziende.
• L’applicazione dell’intelligenza artificiale alla cybersecurity continuerà e accelererà, dato che potenti modelli di apprendimento automatico dimostrano il loro valore nel rilevamento delle minacce e nella prioritizzazione degli avvisi. Allo stesso tempo, tuttavia, ci si aspetta che gli autori degli attacchi facciano un uso crescente dell’IA, con un’evoluzione prevista nei prossimi anni da campagne di disinformazione basate sull’IA e profili di social media fasulli a contenuti web di attacco watering-hole, e-mail di phishing e altro ancora, man mano che diventeranno disponibili tecnologie avanzate di sintesi vocale e video deepfake.

L'articolo Sicurezza informatica: le previsioni per il 2022 nel nuovo Threat Report di Sophos proviene da Data Manager Online.

Sophos ha chiuso il suo anno fiscale a marzo, portando a casa un +17% di crescita, a livello EMEA e italiano. «Siamo un’azienda che, nonostante il Covid-19 è riuscita a ottenere risultati soddisfacenti. Anzi, oramai lo sappiamo, proprio il ricorso massiccio al lavoro da remoto ha richiesto alle imprese di consolidare meglio la loro posizione di sicurezza informatica» ci dice Marco D’Elia, Country Manager di Sophos Italia. A dimostrazione di tale trend, negli ultimi 18 mesi Sophos ha finalizzato alcuni casi d’uso importanti, come quelli con ButanGas per la gestione dei propri dati e Padania Acque. La pandemia, parallelamente al boom di prodotti e soluzioni digitali, ha visto un aumento importante degli attacchi, veicolati oggi più che mai su vettori differenti e da profili molto organizzati. Questo si evince anche dal più recente “Active Adversary Playbook 2021”, il report periodico dei laboratori di Sophos di cui D’Elia ci parla più avanti.

Nuovo slancio alla security

La presenza di Sophos nel segmento della sicurezza, soprattutto in Italia, non si limita ad una sola categoria ma si spalma un po’ ovunque, dalle realtà enterprise alle PMI. Uno dei mantra nella strategia, concreta, del gruppo, è quello di voler far “parlare” la sicurezza con l’infrastruttura, con l’ecosistema nel quale il cliente opera. «Che si tratti di mobile, IoT, dispositivi aziendali, è sempre stato importante per noi mettere in comunione le varie soluzioni di difesa offerte. Siamo passati dal claim “sicurezza sincronizzata” allo sviluppo di una piattaforma fortemente permeata di machine learning e intelligenza artificiale» prosegue il manager.

Quello a cui D’Elia si riferisce è ACE, ossia Adaptive Cybersecurity Ecosystem, vero punto di forza di Sophos. «Il sistema è, a tutti gli effetti, una architettura esperta, che sposta la classica offerta di prodotto alla proposizione di un pacchetto decisamente più completo e finalizzato a interpretare i contesti attuali». Sophos ACE sfrutta le potenzialità dell’automazione e degli analytics, oltre agli input ricevuti dalle varie soluzioni Sophos, dai partner, dai clienti, dagli sviluppatori e dagli altri player del mercato della security, al fine di generare un circolo virtuoso di protezione in costante miglioramento ed evoluzione. Sophos ACE si basa sul data lake, correlando gli insight provenienti dalle soluzioni e dai Servizi Sophos alla threat intelligence fornita dai SophosLabs, all’IA Sophos e al suo team di Managed Threat Response. Bisogna pensare ad ACE come ad un contenitore a cui aggiungere, in base al proprio business e capacità, le varie opzioni di difesa.

Il concetto di ACE, che ha origine nel 2015 con l’approccio basato sulla sicurezza sincronizzata, si è evoluto sostanzialmente negli anni successivi, dal punto di vista tecnico, merito delle soluzioni in esso integrabili. «Abbiamo lavorato per innalzare il livello dei nostri prodotti. Basti pensare ai firewall di fascia alta, XGS, frutto di acquisizioni effettuate nel passato. Si tratta di prodotti assolutamente premium, ristrutturati nell’hardware, nel modo in cui la macchina processa le informazioni, tale da moltiplicare di cinque volte la velocità dell’analisi dei pacchetti in entrata». Altri elementi di novità, nel presente e nel futuro di Sophos, sono le migliore alle componenti di EDR, XDR, MTR ed MTR Essential.

Scudi di difesa imprescindibili

L’Endpoint Detection and Response è un sistema progettato per gli analisti di sicurezza e amministratori IT. Una soluzione per operazioni di security e threat hunting, dotata degli strumenti necessari a formulare domande specifiche, garantendo allo stesso tempo l’individuazione proattiva delle minacce e il potenziamento dello stato generale delle security operations. Il secondo punto, la parte di XDR, Extended Detection and Response «non si ferma agli endpoint e ai server, ma va oltre, raccogliendo dati da firewall, e-mail e altre origini. Il risultato è una visione olistica dello stato di cybersecurity complessivo dell’organizzazione, con la possibilità di approfondire le analisi, laddove richiesto». Poi MTR, con cui si può contare sul supporto di un team formato nell’individuazione e nella risposta alle minacce, in grado di intraprendere azioni mirate per neutralizzare anche le attività più sofisticate. «Dal mio punto di vista, un carattere distintivo con la concorrenza è MTR Essential, che va ad analizzare, proteggere e rispondere alle minacce che interessano anche i sistemi non Sophos. Con Essential, lasciamo al partner o al cliente la remediation. Tecnicamente non cambia nulla rispetto all’MTR classico, semplicemente con Essential offriamo le nostre tecnologie per la difesa e la risoluzione a 360 gradi, anche fuori dal mondo Sophos» sottolinea D’Elia.

Vale la pena ricordare che Sophos gode di un team di risorse, specifico, dedicato alla risposta operativa, chiamato Rapid Response. «Lo consideriamo un po’ come un servizio di emergenza, sempre disponibile, che deve “spegnere l’incendio” in corso presso i nostri clienti. Offriamo un servizio del genere non solo al cliente ma anche al partner, che così può dare maggior valore alla sua proposta».

Il report Active Adversary Playbook 2021

Tornando al report Active Adversary Playbook 2021, il country manager ci fornisce una visione estesa di quello che i lab di Sophos hanno visto nell’ultimo anno e i trend per quello in corso. Le minacce a livello globale crescono in maniera rapida, soprattutto a seguito della pandemia. «Lo studio è frutto del lavoro di telemetria di Sophos e dell’analisi di 81 incidenti di sicurezza, oltre ai dati forniti dal team di Managed Threat Response (MTR) e dagli esperti del citato team Rapid Response. Quanto emerso dimostra che le tecnologie che offriamo oggi rispondono in maniera puntuale alle tendenze dei cyberattacchi, e soprattutto lo fanno in maniera veloce, vero elemento a cui guardare quando si parla di violazioni. Il report mostra che il tempo medio di permanenza dell’autore di un attacco nella rete presa di mira è stato di 11 giorni (264 ore) mentre il tempo più lungo durante il quale un’intrusione è andata avanti inosservata è stato pari a 15 mesi. Il ransomware è stato protagonista dell’81% degli incidenti di sicurezza e del 69% degli attacchi sferrati, sfruttando il Remote Desktop Protocol (RDP) per muoversi lateralmente nella rete. Lo scenario sta sicuramente diventando più complesso, con attacchi sferrati da avversari dotati di software avanzati ma non di skill elevate ma anche da esperti, sostenuti da certe nazioni. Questo può rendere la vita difficile ai responsabili della sicurezza IT. Fondamentale è allora basare la difesa del proprio business su un ecosistema completo, predittivo e proattivo, che unisce le innovazioni della tecnica alla capacità di comprensione dell’uomo».

L'articolo Sophos, difesa adattativa per fronteggiare le nuove minacce proviene da Data Manager Online.

Smart working non vuol dire semplicemente telelavoro. «Significa permettere di sfruttare in modo smart luoghi e spazi in cui ci troviamo a lavorare. L’ufficio, la nostra abitazione, la sede del cliente, la mobilità» –sintetizza in modo efficace Walter Narisoni, sales engineer manager di Sophos. Le tecnologie di sicurezza devono essere in grado di proteggere e tenere sotto controllo l’infrastruttura che si è estesa in modo tentacolare negli ultimi dodici mesi, rendendo assolutamente macroscopico un fenomeno – la perdita di centralità dell’ufficio – in corso da parecchio tempo”.

Difesa proattiva

Il problema è che da un punto di vista non solo organizzativo, la sede centrale di un’azienda mantiene un’importanza determinante. Sophos si rivolge alle organizzazioni che in pratica hanno moltiplicato in modo esponenziale il “numero di filiali”, con una combinazione di novità di soluzioni e di servizi. Partendo da quest’ultima categoria, Narisoni sottolinea il crescente successo del SOC (Security Operation Center) che Sophos mette a disposizione dei clienti e dei partner che usufruiscono dei servizi di Managed Threat Response (MTR) per poter operare in ambienti di rete e applicazioni sempre al riparo da cyber attacchi in costante evoluzione quantitativa e qualitativa. «Tutta la competenza dei nostri esperti – spiega Narisoni – è finalizzata a identificare e neutralizzare velocemente attacchi verso le aziende (prima che possano arrecare danni), soprattutto oggi con le persone che lavorano da casa dietro difese perimetrali che non sono più sotto il diretto controllo del responsabile della sicurezza».

Associato a Sophos MTR, c’è anche il lavoro delle squadre di pronto intervento di Rapid Response, il nuovo servizio attivabile in poche ore in caso di attacco in corso, per sbloccare e ripulire server ed end point da ogni problema. «Rapid Response è pensato letteralmente per tutti – continua Narisoni – anche per le aziende che non utilizzano normalmente tecnologie Sophos». Una soluzione che, a differenza dei tradizionali servizi di risposta agli incidenti e dei servizi forensi, non richiede implementazioni complesse e prolungate né prevede un sistema tariffario su base oraria, ma un semplice canone fisso.

Sicurezza di rete

Il secondo pilastro dell’offerta Sophos dedicato allo smart worker introduce il concetto di accesso alla rete aziendale in condizioni di Zero Trust. «Il servizio ancora in fase beta ma vicinissimo al lancio – afferma Narisoni – ha l’obiettivo di affrontare e superare le problematiche degli accessi VPN che molte aziende sono state costrette a implementare per i loro collaboratori remoti. Il concetto di VPN come canale sicuro funziona, ma oltre a essere complesso dal punto di vista delle impostazioni, offre un accesso praticamente illimitato alla rete aziendale e questo può rappresentare un grosso problema». Sophos ZTNA è una tecnologia che permette un accesso sicuro alle sole risorse necessarie basato sulla verifica dell’utente (con autenticazione a più fattori) e sullo stato di integrità e conformità del pc utilizzato. Il servizio si basa su un principio di “fiducia zero” nei confronti di chi accede. In questo modo può affrontare meglio le situazioni ad alto rischio che si determinano quando il lavoratore si trova nel suo ambiente domestico, circondato da dispositivi connessi, pieni di vulnerabilità su cui gli hacker hanno già cominciato a far leva.

L'articolo La sicurezza dello smart worker proviene da Data Manager Online.

Il presidente Emmanuel Macron ha di recente annunciato nuovi investimenti – circa 500 milioni di euro messi sul piatto per aiutare aziende e amministrazioni pubbliche a rafforzare le loro difese informatiche e lato offerta triplicare le vendite delle società di sicurezza informatica francesi raddoppiando il numero di posti di lavoro nel settore entro il 2025 – per rafforzare le difese di sicurezza informatica della Francia dopo che due ospedali sono stati colpiti da ransomware e lo spionaggio ha attribuito agli hacker russi la paternità di almeno un altro attacco massivo durato tre anni.

Impatto covid sulla sicurezza IT

Kevin Isaac, arrivato di recente in Sophos e attualmente a capo della divisione Sales per il mercato EMEA, ci spiega come gli attacchi diffusi ovunque, uniti all’emergenza sanitaria, abbiano fortemente impattato sul mercato della sicurezza: «Chi si occupa di sicurezza – osserva Isaac – si rivolge alle operation o alle infrastrutture, profondamente cambiate negli ultimi mesi, grazie a una crescita costante degli investimenti. Il modo stesso in cui lavoriamo è cambiato, trasformando all’interno delle aziende anche la sicurezza cyber». Per Isaac, forte di una lunga esperienza maturata in Symantec e Forcepoint, il percorso di avvicinamento al vendor britannico ha radici lontane. «Ho guardato spesso in passato alle mosse di Sophos» afferma Isaac. «Anzitutto perché è un’azienda partner-driven; e poi perché sviluppa uno dei migliori ecosistemi che abbia mai visto. L’ideale per perseguire la nostra missione di rendere disponibili soluzioni di sicurezza per società di qualsiasi settore e grandezza, riducendo altresì la complessità – circa 60 in media i prodotti di sicurezza presenti nelle aziende più strutturate – di sistemi e soluzioni. «Uno dei nostri obiettivi è di fornire integrazione.

L’endpoint security, EDR inclusi e i firewall, sono secondo Isaac i due segmenti più importanti, quelli che pongono le maggiori sfide. «Le aziende che offrono prodotti per queste due aree sono parecchie. Molte meno invece quelle che possono integrare entrambe le soluzioni in una singola console. Noi siamo una di quelle». La convinzione è quella di poter fare la differenza soprattutto nel mid-market, 500/600 end users, approcciato a livello globale dal vendor. Perfetto secondo Isaac per l’Italia. «Qui pensiamo di trovare un mercato molto ricettivo alla nostra proposta. Anche perché possiamo disporre di un canale di vendita che in questi mesi si è adattato velocemente ai cambiamenti imposti dalla pandemia. Molto più che in altri paesi».

In arrivo investimenti per partner e canale

Per assecondare questa strategia, Sophos annuncia investimenti massici per rafforzare la propria offerta nel campo dei servizi gestiti di sicurezza e di gestione delle minacce e al programma MSP Connect, dedicato ai Managed Service Provider (MSP) per massimizzare le opportunità di business generate dal portafoglio di soluzioni e servizi Sophos contro le minacce sempre più evolute e sofisticate. Come il ransomware. «Diffuso – rileva Isaac – su cloud, data center e infrastruttura aziendale”. Il cryptojacking – si legge nel Sophos Threat report 2021 – è il tipico esempio di un problema in costante crescita che riguarda il cloud. «I processi di cryptomining eseguiti su istanze cloud, causano (…) l’addebito dell’utilizzo dei servizi cloud per i cicli di CPU utilizzati dalle workstation virtuali per svolgere i calcoli matematici necessari per far guadagnare gli hacker. (…) In molti casi poi la forza lavoro in remoto subisce attacchi ransomware durante i quali i cybercriminali isolano l’infrastruttura cloud nello stesso modo in cui bloccano i computer fisici. «Il ransomware – conclude Isaac –  è in grado di cifrare hardisk e storage in cloud nello stesso in modo in cui fa con le risorse di archiviazione fisiche».

L'articolo Sophos rafforza approcci e soluzioni di sicurezza per fronteggiare i nuovi cyberattacchi proviene da Data Manager Online.

Sophos ha ricevuto un importante riconoscimento per la sua consolidata esperienza nell’identificazione delle cyberminacce.

Sophos è stata infatti nominata “Common Vulnerabilities and Exposures (CVE) Numbering Authority (CNA)” del CVE program, uno standard internazionale ideato per rilevare ed identificare le vulnerabilità in ambito cybersecurity.

In questo ruolo, Sophos avrà il compito di assegnare codici identificativi CVE alle vulnerabilità nell’ambito dei propri prodotti. I ricercatori che operano nel mondo della cybersecurity potranno adesso lavorare direttamente insieme a Sophos in modo da aprire i registri CVE ai prodotti dell’azienda, rendendo così il processo di segnalazione dei problemi e l’assegnazione dei CVE molto più immediato.

Il programma CVE si basa sulla collaborazione di vari soggetti del mondo tecnologico, con l’obiettivo di mettere a punto un registro di vulnerabilità aggiornato ed accessibile. Attraverso questo programma, le vulnerabilità vengono registrate in un registro pubblico a disposizione dei ricercatori in ambito cybersecurity, dei vendor del mercato IT e dei divulgatori.

Utilizzando un sistema di identificazione univoco vengono semplificate la condivisione e la verifica incrociata dei dati tra i vari security database e strumenti per il tracciamento delle vulnerabilità.

“Il nuovo status di CNA raggiunto da Sophos è un’ulteriore conferma del nostro impegno ad essere sempre trasparenti. Avendo adesso la possibilità di assegnare CVE, potremo fornire più velocemente al mercato informazioni rilevanti in merito ai nostri prodotti. Questo consentirà alle aziende di valutare più rapidamente i rischi per la sicurezza, definirne l’urgenza e attribuire le giuste priorità agli aggiornamenti” ha commentato Ross McKerchar, vice president e chief information security officer di Sophos. “I CVE di Sophos verranno inclusi in numerosi database compatibili del comparto e lavorando in sinergia su tali database con altri vendor e standard di protezione del settore, potremo tutti insieme migliorare le difese contro gli attacchi persistenti.”

“Il team “Common Vulnerabilities and Exposures” è lieto di accogliere Sophos come nuovo CVE Numbering Authority. Sophos vanta una solida reputazione e contribuisce da sempre alla community mondiale della sicurezza digitale, sviluppando antivirus e soluzioni di cybersecurity e di encryption da più di 30 anni. La sua esperienza rappresenta un grande valore aggiunto per il CVE Program e siamo davvero lieti di accogliere Sophos come membro” ha commentato Kent Landfield, membro del board del CVE.

L'articolo Sophos nominata “Common Vulnerability and Exposure Numbering Authority” proviene da Data Manager Online.

Sophos ha annunciato quattro nuovi sviluppi di Intelligenza Artificiale (AI) aperta per contribuire ad ampliare e affinare le difese contro i cyberattacchi, tra cui dataset, strumenti e metodologie progettati per migliorare la collaborazione del settore e l’innovazione.

Queste importanti innovazioni supportano il principale obiettivo di Sophos, ovvero rendere sempre più open le proprie scoperte nel campo della scienza dei dati e incentivando la trasparenza nell’utilizzo di IA nel campo della sicurezza informatica, il tutto con lo scopo di continuare a proteggere le aziende da ogni forma di attacco informatico.

Mentre in altri ambiti è prassi comune condividere le metodologie e i risultati dell’IA non è lo stesso per quanto riguarda la sicurezza informatica, e ciò rende difficile comprendere appieno come l’IA possa effettivamente fornire protezione contro le minacce informatiche.

Sophos e il suo team di data scientist SophosAI stanno indirizzando questo cambiamento verso una maggiore apertura, in modo che gli IT manager, i security analyst, i CFO, i CEO e gli altri responsabili aziendali possano discutere e valutare i vantaggi dell’IA avendo tutte le informazioni a propria disposizione.

“Con la nuova iniziativa di SophosAI, possiamo contribuire a influenzare il modo in cui l’IA è posizionata e discussa nell’ambito della sicurezza informatica. Al giorno d’oggi il numero sempre crescente di affermazioni dicordanti sulle capacità o sull’efficacia dell’IA rende difficile o addirittura impossibile per gli utenti comprenderle o convalidarle. Questo porta allo scetticismo da parte dei clienti, creando una resistenza al progresso, proprio nel momento in cui stiamo iniziando a ottenere grandi risultati”, ha dichiarato Joe Levy, chief technology officer di Sophos. “Tentare di correggere questa situazione attraverso l’adozione di standard o di regolamentazioni esterne non sarebbe abbastanza rapido. Ciò che serve è un cambiamento radicale all’interno della nostra comunità per produrre un insieme di pratiche e un linguaggio che faccia progredire il settore in modo efficace, aperto e trasparente”.

Quanto appurato da Sophos dimostra che i responsabili della sicurezza si trovano sempre più spesso ad affrontare avversari che alzano costantemente il tiro, lanciando campagne di falsificazione di Business Email Compromise (BEC) altamente efficaci o sviluppando incessantemente nuove tipologie di attacchi ransomware.

Difese scalabili ed efficaci contro questi e la maggior parte degli altri tipi di cyberattacchi richiedono il supporto dell’IA. L’apertura e la valutazione paritaria tra coloro che utilizzano l’IA per affrontare queste minacce rappresentano uno stimolo all’innovazione e alla ricerca, consentendo all’intero settore di progredire.

Di seguito le quattro aree principali di cui Sophos fornisce dataset, strumenti e metodologie:

Dataset SOREL-20M per accelerare la ricerca sul rilevamento di malware

SOREL-20M, un progetto congiunto tra SophosAI e ReversingLabs, è un dataset production-scale contenente metadati, etichette e caratteristiche per 20 milioni di file Windows Portable Executable (PE). Ciò comprende 10 milioni di campioni di malware, precedentemente resi innocui, disponibili per il download al fine di supportare l’analisi delle funzionalità e migliorare così la sicurezza in tutto il settore. Questo è il primo dataset su scala di produzione sulla ricerca di un malware disponibile al pubblico, che include un set di campioni organizzari ed etichettati e metadati importanti per la sicurezza.

Metodo di Impersonation Protection per mezzo dell’AI

L’Impersonation Protection di SophosAI è stato progettato per proteggere dagli attacchi di spearphishing via e-mail. Questo metodo vede gli aggressori impersonare persone conosciute per indurre le vittime a compiere azioni dannose a vantaggio dell’aggressore. La nuova protezione confronta il nome visualizzato delle e-mail in entrata con quello del top management aziendale, ovvero quelli che con maggiore probabilità sono stati falsificati in un attacco di spearphishing, come ad esempio un CEO o un CFO. I messaggi vengono segnalati se appaiono sospetti. Sophos ha adattato le potenzialità dell’IA grazie all’utilizzo di un ampio campione di milioni di email di attacco conosciute. SophosAI ha reso pubblico questo nuovo metodo innovativo di protezione, di cui ha anche discusso in occasione di Defcon 28 e in un articolo di Arxiv.

Epidemiologia digitale per determinare malware ignoti

SophosAI ha messo a punto anche una serie di modelli statistici ispirati all’epidemiologia per stimare la diffusione totale delle infezioni da malware. Ciò consente a SOPHOS di stimare – e dunque identificare più facilmente- gli aghi in un pagliaio di file PE. SophosAI è stata pioniera e ha reso pubblicamente disponibile questa metodologia che consente di aiutare a determinare la “materia oscura” dannosa, il malware che potrebbe non essere rilevato o classificato erroneamente e il “malware futuro” che è ancora in fase di sviluppo da parte degli aggressori. Il modello è stato progettato per poter essere utilizzato anche per altre classi di file e artefatti del sistema informativo, ed è stato presentato all’interno del nuovo Sophos 2021 Threat Report.

Strumenti per la Signature Generation YaraML

La Signature Generation per il rilevamento di famiglie di malware è un processo manuale  complesso. Nel corso degli anni, i ricercatori hanno proposto una varietà di metodi per la generazione automatica delle firme, la maggior parte delle quali non ha trovato riscontro positivo in quanto sottoperformano con i metodi manuali. SophosAI ha sviluppato un nuovo metodo per la generazione automatica delle firme, chiamato YaraML, che si differenzia notevolmente dalle opzioni precedenti in quanto adotta un approccio al problema basato sull’IA.

SophosAI “compila” direttamente dei veri e propri modelli di machine learning ad uso indistriale  come quelli utilizzati nelle soluzioni di sicurezza a scopo commerciale permettendo essenzialmente all’IA di “scrivere” le firme. Questo si dimostra molto più efficace degli approcci precedenti e rappresenta una vera svolta per la comunità della sicurezza. SophosAI ha reso YaraML open-sourced.

Queste novità sono frutto della ricerca di SophosAI, che opera come promotore di start-up, ma con le risorse intellettuali di un’azienda globale da quasi un miliardo di dollari, tra cui SophosLabs, Sophos Managed Threat Response e centinaia di migliaia di clienti.

Un ulteriore vantaggio di SophosAI è che può integrare le nuove tecnologie direttamente nei prodotti in uscita, e ciò consente a Sophos di reagire rapidamente alle esigenze del mercato, di prevedere dove il settore deve dirigersi e di far progredire l’apertura per una maggiore collaborazione e innovazione nel settore della sicurezza informatica, il che è essenziale quando si sviluppano difese per fronteggiare avversari in continua evoluzione.

L'articolo Intelligenza Artificiale aperta: Sophos annuncia quattro nuovi sviluppi per la cybersecurity proviene da Data Manager Online.