Dando una occhiata alle diverse riviste di settore ci si può rendere conto di quanto la sicurezza informatica sia diventata importante. Non solo si sono moltiplicati i vendor e le tecnologie, ma le informazioni sul fenomeno si sono diffuse e adesso entrano a far parte anche del lessico di quotidiani e magazine non specialistici.
Ma quanto questo parlare ha aumentato la consapevolezza?
Una serie di suggerimenti interessanti può venire dalla lettura del nuovo rapporto 2014 Clusit, l’Associazione Italiana per la Sicurezza Informatica (Clusit).
Il documento che prende in considerazione oltre 2.800 incidenti avvenuti negli ultimi 36 mesi e si avvale dei dati forniti dal Security Operations Center di Fastweb. Il Rapporto identifica il cyber-crimine come la causa principale (più del 50 per cento) dei cyber-attacchi registrati durante tutto il 2013.
Si tratta di una crescita del 258 per cento rispetto al 2012 mentre si fanno strada fenomeni relativamente nuovi come hacktivismo (+22,5 per cento) e spionaggio informatico/telematico (+131 per cento). Le tecniche preferite dai cyber-criminali includono attacchi DDoS, cracking di account e Advanced Persistent Threat (APT) mirati verso organizzazioni specifiche.
L’aumento vertiginoso è frutto di tre fenomeni due “negativi” ed un terzo “positivo”:
- L’aumentato valore economico di tali attività, che spinge la malavita ad orientarsi verso nuove forme di arricchimento illecito.
- Lo stato di obsolescenza di gran parte delle strutture informatiche italiane, con un particolare deficit nei confronti della sicurezza sia in termini di tecnologie adottate che di creazione di processi interni di gestione
- Un aumento della sensibilità che porta all’emergere di una serie di eventi che prima rimanevano nascosti tra le mura delle entità attaccate, aumentando gli ostacoli ad una corretta presa di coscienza del fenomeno.
Risulta particolarmente interessante notare come i 3 principali temi di attacco risultino essere di tipo abbastanza noto nei primi due casi, e di nuova generazione nel terzo.
DDoS e Cracking di account sono in effetti storicamente tra i più vecchi metodi di attacco utilizzati, e sia la letteratura che le notizie dal mondo della sicurezza informatica riportano clamorosi casi di violazione di database di account o di blocchi di siti.
DDoS la base dell’acktivism
Gli attacchi DDoS hanno infatti preso posto nelle cronache a seguito di alcuni episodi legati a fenomeni di attivismo online di gruppi quali anonymous o lulzsec. Assieme al deface, il blocco parziale o totale di siti è stato infatti uno strumento particolarmente utilizzato, addirittura con la distribuzione diffusa di software come LOIC (Low Orbit Ion Cannon) altrimenti in uso dagli “addetti ai lavori”.
La diffusione e relativa facilità con cui è possibile procedere ad un DDoS non è passata inosservata neanche alle bande di Cyber criminali che hanno trovato in questo un interessante strumento per ricattare vittime minacciando blocchi dei servizi web. I target di questo tipo di ricatto sono stati inizialmente siti di vendite online e, soprattutto, di scommesse. Pur esistendo tecnologie anti DDoS da anni il parco implementato di soluzioni in Italia è ancora desolatamente basso. Sia dal punto di vista delle tecnologie di networking che dal punto di vista della protezione di servizi chiave (si pensi ai servizi DNS) nonostante vi sia una offerta di mercato interessante dal punto di vista qualitativo il mercato italiano è ancora decisamente restio ad affrontare tali implementazioni, anche perché oltre alla richiesta economica vi sono richieste in termini di processi da affrontare, al fine di non far diventare questi strumenti oggetti belli ma fondamentalmente inutili perché non gestiti nella maniera corretta, fine che hanno subito nel nostro paese anche molte implementazioni IPS\ISD e SIEM.
Cracking di account
Le basi della informatica (e della sicurezza) insegnano che la prima attività che ha in carico un utente per poter accedere ad una struttura informatica è quella di effettuare il login. Nella maniera più diffusa questo viene fatto attraverso la coppia di dati username e password.
Sono oramai diversi anni che gli esperti di settore fanno notare come questa modalità di ingresso nella rete sia di tipo poco sicuro, in particolare l’uso delle password risulta essere spesso un vero e proprio tallone di Achille in termini di sicurezza. Le password comuni sono spesso facili da “craccare” anche attraverso elementari servizi di brute forcing, ma l’uso di password complesse risulta spesso intollerabile agli utenti che tendono a evadere i vincoli con strutture facilmente ripetibili. Un altro problema dell’uso delle password è che all’aumentare del numero di password richieste aumenta la tendenza ad unificarle indipendentemente dal tipo di servizio cui si accede. La password aziendale cosi è spesso utilizzata anche come password per accedere alla propria webmail o al proprio social network, esposti a continui attacchi ed hack.
Soluzioni di strong authentication esistono sul mercato da parecchio, ma oggi prodotti che integrano one time password generation ai sistemi di log-in sono diventate economiche, multipiattaforma e grazie al diffondersi dell’uso di app non richiedono più nemmeno la famosa “chiavetta”. Anche in questo caso purtroppo in Italia il livello di implementazione è ancora troppo basso rispetto a quello che accade al di fuori dei nostri confini.
APT: non si bloccano se non ci sono le basi
“Dulcis in fundo” (o forse più correttamente dovremmo dire “in cauda venenum”) troviamo l’emergere del fenomeno APT, da una pressante campagna informativa da parte dei vendor di sicurezza informatica, quale nuova frontiera della protezione delle nostre reti.
Il fenomeno APT è un fenomeno estremamente complesso, e soluzioni magiche che ne indirizzino tutti gli aspetti non sono pensabili se non in termini di service che copra tutti gli aspetti della struttura IT. I prodotti presenti oggi offrono strumenti di protezione estremamente sofisticati che, però, necessitano a monte di una struttura adeguatamente preparata in termini di tecnologie e processi. L’APT nasce da una serie di attività che vanno dal social engineering al più tradizionale sfruttamento di una vulnerabilità per ottenere un accesso. Le stesse attività di DDoS e Account cracking possono essere in realtà componenti di un APT e richiedono attenzioni specifiche.
Quello che i dati ci dicono quindi è che il fenomeno non è più un oggetto di folclore ma che la sicurezza informatica incomincia ad essere un fenomeno che deve interessare la massa degli utenti IT e non solo poche realtà particolari. Un interesse che deve essere accompagnato dalla introduzione\implementazione di practice e tecnologie coerenti per poter essere efficaci. Non serve dotarsi della più sofisticata porta blindata se si lasciano aperte le finestre.
