Come si identifica un attacco alla sicurezza delle informazioni
Esiste una differenza sostanziale tra incidente, attacco e violazione della sicurezza delle informazioni. Potrebbe sembrare banale, ma è essenziale distinguere questi tre concetti:
- Incidente di sicurezza informatica: si considera incidente ogni evento sospetto o fuori norma che richiede un'indagine. Molte aziende utilizzano tecnologie per acquisire e analizzare log che, in alcuni casi, generano un avviso a causa di attività sospette o impreviste. Non tutti gli incidenti sono un'emergenza, ma tutti necessitano di essere esaminati e affrontati per garantire che l'azienda operi in circostanze accettabili.
- Attacco alla sicurezza: alcuni incidenti sono conseguenza di atteggiamenti sconsiderati o sono il risultato di un'azione legittima su una macchina non configurata correttamente. Alcuni incidenti sono, però, il risultato di un tentativo di furto di informazioni o di danneggiamento del patrimonio aziendale perpetrato da un attore interno o esterno. Questi incidenti sono da considerare attacchi alla sicurezza.
Prima di stabilire il successo o il fallimento di tali tentativi, è necessario avviare un’indagine approfondita e lanciare un allarme di sicurezza senza diffondere il panico. Alcune parti interessate, come coloro che trattano dati personali, hanno il diritto di essere avvisate con breve preavviso. - Violazione della sicurezza: quando un'indagine su un incidente porta alla conclusione che l'azienda è stata attaccata con successo e le informazioni o i beni sono stati manomessi abbiamo una violazione della sicurezza. In questi casi, oltre a contattare le parti interessate, è fondamentale coinvolgere tempestivamente le autorità e condividere i risultati delle indagini in corso.
Questi tre termini si riferiscono a tre diverse fasi di riconoscimento degli eventi di sicurezza in un'azienda e innescano reazioni molto diverse. Considerare una violazione come un incidente è pericoloso quanto considerarla come un attacco, poiché una reazione esagerata può causare problemi e costi inutili.
D’altro canto, sottovalutare il problema potrebbe consentire agli aggressori di ottenere un maggiore controllo sull’infrastruttura. Per questo motivo, le indagini devono essere approfondite e le informazioni che vengono condivise quando si verifica un incidente devono essere chiare e affidabili.
Tipi di attacchi alla sicurezza
Conoscere i tipi di attacchi più comuni aiuta a comprenderne la natura e la gravità, guidando l’adozione di adeguate strategie di risposta. Gli attacchi possono essere classificati in base al loro obiettivo (rete, applicazione o dati), al metodo (forza bruta, phishing o malware) e all’impatto (furto di dati, interruzione del servizio o perdita finanziaria).
Per la maggior parte degli utenti è sufficiente sapere quali sono i vettori di attacco più comuni utilizzati per fornire contenuti dannosi:
- Malware: software dannoso come virus, worm, ransomware e spyware progettato per danneggiare o interrompere i sistemi. Può essere distribuito tramite programmi apparentemente innocui (come i Trojan) o dispositivi USB.
- Phishing: manipolazione degli individui tramite e-mail ingannevoli per ottenere informazioni sensibili. Le campagne di phishing possono variare da attacchi mirati a singoli individui (Whaling) a campagne di massa.
- Attacchi Denial-of-Service (DoS): rendono un utente incapace di accedere alle risorse, spesso sovraccaricando i server con richieste.
- Attacchi Man-in-the-Middle (MitM): un attore malintenzionato si posiziona tra due sistemi, intercettando la comunicazione tramite tecniche come lo spoofing o l'avvelenamento del DNS.
- SQL Injection: un codice dannoso viene inserito in un campo di query su una pagina Web o in un database per manipolarli e esfiltrare informazioni.
Tecniche di risposta
Come accennato in precedenza, ci sono diverse le tecniche che le aziende adottano per difendersi da queste minacce.
Le tecniche più comuni che utilizzano l’automazione sono:
- I sistemi di rilevamento delle intrusioni (IDS): essenziali per monitorare il traffico di rete all'interno di un'organizzazione, vigilando su tutti i flussi di dati. Immagina una grande azienda che gestisce transazioni finanziarie sensibili e dati dei clienti. In uno scenario del genere, un IDS agisce come una guardia di sicurezza, esaminando attentamente ogni veicolo che entra o esce da un cancello d'ingresso. Ad esempio, se un dipendente scarica inconsapevolmente un allegato carico di malware, l'IDS rileva questa attività anomala confrontandola con modelli dannosi noti e genera un avviso. Questo sistema di allarme rapido aiuta gli amministratori di rete a isolare rapidamente la minaccia, impedendo che si diffonda e causi ulteriori danni.
- I sistemi SIEM (Security Information and Event Management): strumenti avanzati per le aziende più grandi con una complessa infrastruttura di sicurezza informatica. I sistemi SIEM aggregano e analizzano i dati provenienti da varie fonti per rilevare anomalie. Immagina un sistema SIEM in una catena di vendita al dettaglio globale, che raccoglie dati di registro da tutti i sistemi di punti vendita, database dei clienti, computer dei dipendenti e persino dispositivi mobili. Centralizzando queste informazioni, il sistema SIEM può individuare modelli insoliti che potrebbero indicare una violazione della sicurezza. Ad esempio, se nota che si stanno verificando più tentativi di accesso non riusciti in diverse posizioni contemporaneamente, può correlare questi eventi e avvisare i team di sicurezza di un potenziale attacco coordinato. Ciò consente una risposta rapida e informata, potenzialmente contrastando una violazione prima che si intensifichi.
- Strumenti UEBA (User and Entity Behavior Analytics): vengono utilizzati per analizzare le attività degli utenti umani, segnalando deviazioni che potrebbero indicare intenti dannosi. In ambito universitario, l’UEBA potrebbe analizzare i modelli di utilizzo della rete da parte di studenti e docenti. Normalmente, uno studente accede alla propria posta elettronica, invia i compiti e trasmette le lezioni in streaming durante l'orario scolastico tipico. Se all'improvviso l'account dello stesso studente inizia a scaricare grandi quantità di dati dai server amministrativi nel cuore della notte, gli strumenti UEBA noteranno questa anomalia. Sfruttando l’apprendimento automatico, questi strumenti possono distinguere tra attività benigne e potenzialmente dannose, avvisando il personale IT di indagare ulteriormente nei casi sospetti.
- Soluzioni Endpoint Detection and Response (EDR): rappresentano una difesa perimetrale della rete di un'organizzazione poiché si concentrano su singoli dispositivi come laptop, smartphone e desktop. Una soluzione EDR monitora continuamente gli endpoint per individuare eventuali segni di compromissione. Supponiamo che il laptop di un dipendente inizi a comunicare con un server sconosciuto in un paese straniero. La soluzione EDR rileverebbe questa attività insolita, isolerebbe il dispositivo e avvierebbe una serie di risposte automatizzate per mitigare la minaccia. Questo approccio proattivo garantisce che, anche se un dispositivo viene compromesso, l’attacco venga contenuto e risolto rapidamente.
Questi sistemi devono essere gestiti da amministratori esperti ed è importante che gli utenti finali comprendano cosa possono e cosa non possono fare per aiutarli a evitare le minacce informatiche. Attraverso questi strumenti è possibile ottenere informazioni importanti che aiutano a determinare la natura e l'entità degli incidenti di sicurezza.
Conclusione
La criminalità informatica rappresenta una minaccia significativa per le aziende, comportando conseguenze gravi e costose. Gli incidenti di sicurezza possono evolversi in attacchi e, nei casi peggiori, in violazioni della sicurezza che compromettono dati sensibili e beni aziendali. La differenza tra questi eventi è cruciale: un incidente segnala attività anomale che richiedono indagine, un attacco implica un tentativo di danneggiamento intenzionale e una violazione conferma un danno effettivo e richiede interventi immediati e comunicazione con le autorità.
Le conseguenze della criminalità informatica includono danni finanziari, perdita di dati, interruzione dei servizi e danno alla reputazione aziendale. Gli attacchi di malware, phishing, Denial-of-Service, Man-in-the-Middle e SQL Injection possono paralizzare le operazioni aziendali e mettere a rischio informazioni critiche. Ad esempio, il malware può infiltrarsi tramite programmi o dispositivi USB, mentre il phishing sfrutta email ingannevoli per rubare informazioni sensibili.
La gestione efficace di sistemi avanzati come IDS, SIEM, UEBA ed EDR, insieme alla consapevolezza e alla formazione degli utenti finali, è essenziale per mitigare i rischi e ridurre le conseguenze della criminalità informatica.
