Come ti accorgi di essere sotto attacco informatico? Come reagisci all’attacco in corso?
Sono queste due delle domande più importanti che un’azienda oggi dovrebbe porsi in ambito di cybersecurity per garantire la continuità operativa alla propria organizzazione.
Per comprendere a fondo queste domande, in questo articolo vediamo cos’è un incidente informatico, individuiamo alcuni fra i processi più efficaci, e in sinergia tra loro, da adottare per rispondere a un attacco informatico.
Nonostante la definizione di incidente informatico negli anni sia mutata e a mio avviso maturata, ad oggi è ancora interessante notare come diversi framework possano portare piccole differenze, dipendenti dal contesto stesso.
Per esempio, le definizioni di incidente informatico nelle Direttive NIS2 e DORA hanno punti in comune, ma differiscono nei dettagli relativi all'ambito di applicazione e alla specificità dei settori a cui si rivolgono.
La Direttiva NIS2 dell'Unione Europea, che si occupa della sicurezza delle reti e dei sistemi informativi, definisce un "incidente informatico" come un evento che compromette la disponibilità, l'integrità, la riservatezza o l'autenticità dei dati o dei servizi di un sistema informatico e che può compromettere la sicurezza della rete e dei sistemi informativi.
La Direttiva DORA, che invece si concentra sulla resilienza operativa digitale per il settore finanziario, definisce un incidente informatico un evento o una serie di eventi che minacciano l'integrità, la riservatezza, la disponibilità e l'affidabilità di sistemi informatici o servizi utilizzati da entità che operano nel settore finanziario.
Vediamo, quindi, come la Direttiva NIS2 sia focalizzata sulla protezione delle infrastrutture critiche e sui sistemi informativi essenziali per il buon funzionamento di una nazione o di un settore strategico di molteplici settori chiave (dall’energia ai servizi digitali), mentre la Direttiva DORA fa riferimento a incidenti che possano influire negativamente sul funzionamento delle operazioni finanziarie, come banche, fondi di investimento, assicurazioni, e altre entità regolamentate.
Come CYBEROO siamo da sempre propensi ad indirizzare la definizione di incidente in modo più simile a quella ad oggi presente nella Direttiva NIS2 poiché ciò prevede un danno certo per gli asset ICT e per il patrimonio informativo dell’organizzazione.
Se da un lato la rilevazione delle minacce (Detection) è fondamentale per identificare tempestivamente le minacce, dall’altro la Remediation, intesa come risoluzione dei problemi, è altrettanto importante per evitare che un attacco si tramuti in incidente informatico, pertanto deve essere un processo ben strutturato ed efficace.
Una Remediation efficace influisce su diversi fattori:
Risulta chiaro come la Remediation sia una fase fondamentale della sicurezza informatica e per tale motivo si debba valutarla in tutte le sue forme.
Fra le diverse modalità di Remediation che consentono di rimediare a un attacco in corso, distinguiamo due macro-tipologie: Automatic Remediation e Manual Remediation.
Per Automatic Remediation si intende un processo di correzione automatica di problemi di sicurezza senza intervento umano diretto. Questo consente di ottenere una maggiore velocità, meno errori umani e una gestione di incidenti comuni o ripetuti. È utile in scenari dove il rischio di danni è contenuto e il problema è abbastanza semplice da risolvere automaticamente (per esempio, un aggiornamento di sicurezza o un'azione su larga scala per chiudere porte vulnerabili). Porta con sé il rischio di risolvere il problema in modo standardizzato e superficiale soprattutto in casi complessi o dove la minaccia non sia completamente identificata.
Per fare ciò è necessario l'uso di strumenti e tecnologie che permettano immediatamente dopo la rilevazione di attivare contromisure in modo autonomo alle minacce.
Il processo di remediation automatica può includere azioni come:
Per Manual Remediation si intende un processo di correzione manuale ai problemi di sicurezza avendo la garanzia di una diretta supervisione umana ottenendo un maggiore controllo e precisione. Questo processo è adatto a scenari complessi, come attacchi avanzati (APT), o in cui è necessario valutare in dettaglio l’impatto di una soluzione prima di agire. Si tratta di una modalità più lenta che richiede risorse specializzate.
Per risultare efficace è importante avere un adeguato team di persone a disposizione, considerando che non si può sapere con certezza quando sarà necessario.
Questo tema focalizza l’attenzione su quella che viene denominata “catena del soccorso”: l’insieme delle diverse persone e competenze che possono e devono intervenire manualmente nel caso di necessità.
La catena del soccorso può essere composta da personale IT interno oppure da consulenti esterni in grado di conoscere nel dettaglio l’infrastruttura aziendale fino a veri e propri servizi che nascono con l’obiettivo di migliorare i tempi di attivazione e di risposta anche nel caso intervento manuale.
A quelle già comprese nell’automatic remediation, il processo di Manual Remediation aggiunge ulteriori azioni:
L’esperienza ci porta ad affermare che nessuna delle due Remediation risulta essere né perfetta né l’unica adottabile.
L’Automatic Remediation è senza dubbi il modo più veloce per intervenire con una dinamica certa. Molto spesso, tuttavia, una dinamica certa non ha conseguenze altrettanto note, motivo per cui capita di avere clienti che preferiscono non adottarla in ambiti particolarmente critici per il business aziendale, come ad esempio nell’ambito di produzione industriale, preferendo una più lenta ma analizzata e consapevole Remediation manuale.
D’altra parte, la Remediation manuale, sicuramente più lenta, necessità di una costante supervisione e di servizi gestiti. È lontano il tempo in cui si ipotizzava di avere servizi gestiti in orari puramente lavorativi. Da diversi anni, ormai, gli attacchi informatici e la propagazione delle minacce avvengono in qualsiasi ora e giorno della settimana. Per questo è importante disporre di servizi erogati da team di Remediation attivi con un unico livello di servizio: near real time, H24, 7 giorni su 7, 365 giorni l’anno.
Questi team devono avere competenze estremamente eterogene e/o adottare strumenti appositamente creati per poter intervenire in modo veloce ed efficace su una enorme vastità di diverse tecnologie e prodotti per poter rispondere alle esigenze di clienti che hanno fatto nel tempo scelte differenti in base alla loro storia e alla loro capacità di budget.
Queste persone in CYBEROO compongono il Team Keera: un team che rappresenta il primo anello della catena del soccorso, attivabile in tutti quei contesti in cui l’Automatic Remediation non è attivabile o non è efficacemente intervenuta.
In conclusione, esaminati i pro e i contro delle diverse metodologie, possiamo senza dubbi affermare che un corretto e completo processo di Remediation non dovrebbe rinunciare a nessuna delle due, anzi è la loro sinergia e la coerente capacità di adattarsi alla realtà del cliente il modo migliore per disporre di una remediation efficace, che non abbia l’esigenza di diventare un imminente Incident Response.
Di Luca Bonora, CYBEROO Evangelist