Una delle maggiori sfide è valutare modelli di approccio che vadano oltre gli assetti tradizionali e comprendano di più il ruolo del fattore umano. Pensare come un hacker non implica commettere degli atti dannosi, ma piuttosto acquisire una prospettiva critica per identificare e affrontare le vulnerabilità in modo più efficace.
Molte organizzazioni gestiscono le vulnerabilità seguendo un calendario prestabilito, identificando le risorse e le vulnerabilità associate. Tuttavia, questa strategia costringe spesso i difensori a pensare linearmente, mentre gli hacker vedono il panorama come un grafico interconnesso. Gli attaccanti cercano il percorso più breve verso i “gioielli della corona” dell’organizzazione. I difensori devono, quindi, iniziare a chiedersi come gli hacker: quali risorse sono connesse? Quali sono i punti di contatto con l’esterno? Pensare in termini di connessioni anziché di elenchi può rivelare rischi reali nascosti.
Decidere quali vulnerabilità affrontare immediatamente e quali gestire successivamente è una sfida complessa. Le risorse sono spesso limitate, e gli hacker cercano il percorso più facile per ottenere il massimo profitto. Pensare come un hacker aiuta a identificare le attività di bonifica cruciali che possono eliminare un potenziale percorso verso i dati sensibili dell’organizzazione. La priorità dovrebbe essere data alle azioni che chiudono i percorsi più attraenti per gli attaccanti.
Un errore comune è sottostimare la propria vulnerabilità, ritenendo di non essere un obiettivo interessante. Il 2023 Data Breach Investigation Report di Verizon svela che le piccole imprese sono, in realtà, bersagli frequenti. Pensare come un hacker smantella il pregiudizio che solo le grandi aziende sono a rischio. Ogni organizzazione, indipendentemente dalle dimensioni, è un potenziale bersaglio. Accettare questa realtà è il primo passo verso una difesa efficace.
Questo esercizio di role playing richiede un approccio analitico e creativo e sfida parzialmente le convenzioni per identificare e sfruttare le vulnerabilità:
- Scavare oltre la superficie e identificare le relazioni tra le risorse digitali. Gli hacker cercano spesso il percorso meno atteso, sfruttando le connessioni più deboli.
- Invece di seguire un approccio sequenziale, esplorate le possibili vulnerabilità da diverse prospettive. Immaginatevi nei panni di un hacker, cercando le falle che potrebbero sfuggire agli occhi non allenati.
- Non tutte le vulnerabilità sono uguali. Concentrate le risorse su quelle che rappresentano un rischio significativo. Un hacker pensa in modo strategico, cercando i punti di ingresso più redditizi.
- Mantenete una mentalità flessibile e pronta a evolversi. Gli hacker si adattano rapidamente alle nuove sfide, e lo stesso dovrebbe fare chi difende. L’adattabilità è la chiave per affrontare le minacce in costante mutamento.
- Pensare come un hacker implica anche comprendere le ultime tendenze e tattiche nel mondo della cybersecurity. Mantenete un livello elevato di sensibilizzazione alle nuove minacce emergenti e integrate regolarmente nuove strategie di difesa.
Per rafforzare le difese è essenziale comprendere approfonditamente le tattiche degli attaccanti. (Threat Intelligence)Questo va oltre la semplice identificazione delle vulnerabilità, coinvolgendo una visione dettagliata dei percorsi di attacco che i malintenzionati potrebbero seguire per raggiungere i propri obiettivi.
- Gli hacker combinano diverse vulnerabilità per formare un percorso di attacco completo. I responsabili della sicurezza devono essere in grado di rivelare questi percorsi, analizzando passo dopo passo il cammino che gli aggressori potrebbero seguire, dalla fase di ricognizione fino all’impatto.
- Per affrontare efficacemente le minacce, è cruciale visualizzare l’intero ambiente di sicurezza. Identificare i percorsi critici seguiti dagli aggressori consente ai difensori di stabilire priorità e attuare rimedi mirati. Concentrarsi sui percorsi sfruttabili con il massimo impatto è fondamentale, affrontando prima le vie di minor resistenza.
- La teoria deve tradursi in pratica. Verificare l’efficacia dei prodotti e delle procedure di sicurezza è essenziale. Domande come se l’Endpoint Detection and Response (EDR) rilevi correttamente le attività sospette, se il Security Information and Event Management (SIEM) invii avvisi come previsto e quanto rapidamente il Security Operations Center (SOC) risponda sono cruciali. Valutare come interagiscono gli strumenti nel vostro stack di sicurezza è fondamentale per una difesa coesa.
- Affrontare i percorsi di attacco in modo incrementale, a partire da quelli con il maggiore impatto, offre risultati pragmatici, ottimizzare l’uso delle risorse disponibili, mitigando prima le minacce più immediate e poi affrontando scenari meno probabili.
- La sicurezza è un processo continuo. La verifica costante dell’efficacia delle misure di difesa, adattandole alle nuove minacce, è essenziale per mantenere un ambiente sicuro nel lungo termine.
Comprendere le tattiche degli attaccanti fornisce un vantaggio cruciale nella progettazione di strategie di difesa informatica robuste e nella costruzione di un’infrastruttura resiliente contro le minacce digitali in costante evoluzione.
@neurobytes
Scheda Threat Intelligence da IBM / https://www.ibm.com/it-it/topics/threat-intelligence
La threat intelligence – detta anche ‘CTI’ (cyber threat intelligence) o ‘threat intel’ – consiste in dati contenenti informazioni dettagliate sulle minacce alla sicurezza informatica che prendono di mira un’organizzazione. La threat intelligence aiuta i team di sicurezza a essere più proattivi, consentendo loro di intraprendere azioni efficaci e basate sui dati per prevenire gli attacchi informatici prima che si verifichino. Può anche aiutare un’organizzazione a rilevare e rispondere meglio agli attacchi in corso.
Gli analisti della sicurezza creano la threat intelligence raccogliendo informazioni non elaborate sulle minacce e correlate alla sicurezza da molteplici fonti, procedendo quindi a correlare e analizzare i dati per scoprire tendenze, schermi e relazioni che forniscono una comprensione approfondita delle minacce effettive o potenziali. Le informazioni che ne derivano sono
- Specifiche per l’organizzazione, focalizzate non su informazioni generiche (ad es. elenchi di ceppi di malware comuni) ma sulle specifiche vulnerabilità nella superficie di attacco dell’organizzazione, sugli attacchi che consentono e sugli asset che espongono
- Dettagliate e contestuali, coprendo non solo le minacce che prendono di mira l’azienda ma anche gli attori di minacce che potrebbero condurre gli attacchi, le tattiche, le tecniche e le procedure (TTP) da essi utilizzate e gli indicatori di compromissione (IoC) che potrebbero segnalare uno specifico attacco informatico
- Utilizzabili, fornendo informazioni che i team di sicurezza possono utilizzare per occuparsi delle vulnerabilità, assegnare la priorità alle minacce e correggerle e anche valutare gli strumenti di sicurezza informatica nuovi ed esistenti.