Il tema degli attacchi informatici è da sempre al centro del dibattito pubblico e ha un forte impatto sulle aziende di diversi settori e ambiti industriali in tutto il mondo. Gli operatori delle infrastrutture critiche o le autorità pubbliche sono nel mirino degli hacker, i cui attacchi informatici stanno diventando sempre più sofisticati.

Una tra le cause principali è da attribuirsi alla stretta collaborazione tra gruppi di eCrime per lo sviluppo di malware difficili da bloccare. TrickBot, ad esempio, ha recentemente mostrato le caratteristiche che suggeriscono l’esistenza di una cooperazione tra i due gruppi di eCrime Lunar Spider (BokBot – anche Trojan bancario) e Wizard Spider (TrickBot). TrickBot si avvale di un modulo proxy usato sino ad ora soltanto da BokBot e attualmente possiede strumenti aggiuntivi per entrare in possesso di informazioni ed effettuare trasferimenti fraudolenti.

La collaborazione tra gruppi criminali dimostra come qualsiasi azienda possa diventare il potenziale bersaglio di un attacco informatico, ma qual è la strategia più efficace per tutelarsi dall’eCrime? Nel caso in cui si verifichi un attacco informatico, la velocità è uno dei più importanti fattori per evitare il danno. L’unico modo per combattere un nemico informatico, infatti, è essere più veloce di lui.

Nel Global Threat Report, CrowdStrike definisce una nuova metrica definita Breakout Time che indica il tempo necessario per entrare in un punto di accesso all'interno di un'organizzazione. È stato dimostrato che, in media, le aziende hanno soltanto un’ora e 58 minuti per identificare ed eliminare l‘intruso dal proprio sistema prima che possa compromettere altri sistemi IT partendo dal punto di accesso originale.
Ci sono inoltre altre tre metriche chiave che possono aiutare a valutare la capacità di difesa da un attacco informatico:
- il tempo impiegato per identificare un’intrusione
- il tempo impiegato per analizzare l’attacco, comprendere l’entità del problema o la sua portata, definire le contromisure necessarie
- il tempo impiegato per rispondere all’intrusione, rimuovere il nemico informatico e adottare le misure necessarie per prevenire i danni.

La regola del 1-10-60

Qual è la tempistica ideale per identificare, contenere e scongiurare un attacco? Le istituzioni e le aziende che si avvalgono delle più recenti tecnologie sono quelle in grado di rispondere più prontamente: esse hanno la capacità di identificare un’intrusione in meno di un minuto, eseguire un’analisi completa in meno di dieci minuti e rimuovere il nemico informatico dal sistema in meno di un’ora. La formula del 1-10-60 che ne deriva dovrebbe diventare uno standard utile a combattere le minacce informatiche in modo efficiente.

Le aziende e le organizzazioni che mettono a punto la regola del 1-10-60 saranno in grado di eliminare il nemico dal sistema più velocemente, ancor prima che l’attacco informatico lasci il punto di accesso originale per espandersi nella rete aziendale. Questo processo consente di minimizzare significativamente i danni e di prevenire ulteriori escalation. Inoltre, è altrettanto cruciale creare un certo livello di trasparenza all’interno della rete, per identificare le minacce note e quelle ignote che possono verificarsi più velocemente.
Molti nemici informatici sono in grado di comportarsi naturalmente, come parte della rete stessa. L’utilizzo di tecnologie innovative e la combinazione di machine learning, soluzioni di rilevamento e programmi anti-virus di nuova generazione permettono, ad esempio, di identificare velocemente un criminale informatico e di combatterlo efficacemente.

Pensare come il nemico

Quali sono gli obiettivi che un nemico informatico potrebbe perseguire? Quali sono le vulnerabilità che un hacker potrebbe sfruttare? Quali sono gli asset digitali di suo interesse e come potrebbe procedere? Per comprendere al meglio il rischio informatico è opportuno che i dirigenti aziendali rivedano il proprio approccio e cambino il proprio modo di pensare. Molti cyber-criminali prendono di mira le risorse, ma acquisiscono anche il controllo dei sistemi critici.

In alcuni casi agiscono anche attraverso applicazioni, record e persone in remoto che consentono loro di accedere ad altri sistemi critici da diverse angolazioni. Bisogna tener presente che i nemici informatici persistenti mettono regolarmente in pericolo i singoli computer sfruttando vulnerabilità note o sconosciute oppure facendo leva su semplici attacchi di ingegneria sociale.

Questa è un’altra ragione per cui un‘adeguata formazione e la sensibilizzazione di specialisti e del management sono due nodi fondamentali per implementare una strategia di cybersecurity di successo. L’unico elemento di incertezza è l’essere umano: ci saranno sempre coloro che aprono e-mail sospette, cliccheranno su link casuali o inseriranno dati sensibili su siti sconosciuti. La formazione può fonire un valido aiuto, ma tali comportamenti non possono essere eliminati completamente.

Supponi di subire un attacco informatico

Posso prevenire un attacco informatico? In alcuni casi è semplicemente impossibile. Piuttosto bisognerebbe chiedersi quanto impiega un criminale informatico ad avere accesso a risorse sensibili. Nel momento in cui è in grado di farlo, quello che sarebbe stato un piccolo evento di sicurezza si trasformerà in un serio attacco informatico che richiederà una risposta lunga e complessa. È necessario fermare i criminali informatici prima che raggiungano il loro obiettivo finale.
Ecco spiegato perché la velocità è un elemento cruciale per la salvaguardia tecnica di tutti gli endpoint e per il monitoraggio continuo del sistema. La formula 1-10-60 consente di misurare la preparazione o il livello generale dei sistemi di sicurezza, oltre a fare in modo che i manager non esperti in materia di Information Technology siano in grado di comprendere e valutare le performance della loro struttura dedicata alla sicurezza informatica.

E anche se inizialmente un’azienda, un’agenzia o un’altra istituzione non possono raggiungere un tempo di risposta così rapido, la regola del 1-10-60 è un benchmark utile a determinare, ad esempio su base trimestrale o mensile, se il trend si stia muovendo nella giusta direzione. Insieme al Breakout Time, essa rappresenta un chiaro parametro di riferimento per misurare la resistenza di un’azienda alle complesse minacce informatiche odierne.

Luca Nilo Livrieri è Manager for Southern Europe Sales Engineers di CrowdStrike