Cyberattacchi simulati: le esercitazioni possono essere una forma di protezione?

Sempre più reparti IT si affidano a penetration test o a attività di bug bounty e simulano cyberattacchi per aumentare la sicurezza della propria organizzazione. La ragione di ciò è l’incremento esponenziale delle minacce informatiche. Che si vogliano testare le misure di sicurezza o i riflessi digitali del personale, la simulazione di attacchi informatici contribuisce ad aumentare la percezione dei rischi informatici.

Oggi sono sempre più numerose le aziende che offrono pentest ed esercitazioni pratiche per i dipendenti. Giochi di ruolo, attacchi informatici simulati, segno che lo sviluppo della cultura della sicurezza informatica nelle aziende sta diventando sempre più coinvolgente. Che si vogliano mettere alla prova le misure di sicurezza o i riflessi digitali dei dipendenti, tali attività effettivamente contribuiscono a una maggiore consapevolezza delle potenziali minacce.

I programmi di pentesting o bug bounty, utilizzati per attaccare un prodotto o un’infrastruttura di rete al fine di comprovarne la stabilità o la sicurezza, sono ormai all’ordine del giorno nell’universo informatico. Spesso le aziende ricorrono addirittura a fornitori esterni per far verificare le loro misure di sicurezza, fornitori che possono essere ingaggiati secondo diverse regole. “Nel pentesting di tipo Black Box, l’incaricato tenterà di attaccare l’organizzazione dall’esterno, senza avere nessuna informazione, scopo di questa attività è verificare la resistenza di un’organizzazione ad un’attacco reale”, spiega Alberto Brera, Country Manager per l’Italia presso Stormshield. “In alternativa l’hacker può essere ingagiato per testare una specifica parte di rete o una specifica funzione conoscendone anche i dettagli tecnici. Questa modalità viene chiamata White Box pentesting ed è volta ad individuare il maggior numero di vulnerabilità sfruttabili in quel contesto”.

Anche la collaborazione tra red e blue team è degna di nota. Il red team è un team di individui che tenta di violare la sicurezza di un’azienda, di una rete informatica o di un sistema mediante tecniche di hacking, mentre il blue team cerca di respingere l’attacco. Nel giugno 2019, ad esempio, il Ministero della Difesa francese ha condotto un gioco di ruolo di questo tipo con l’obiettivo di “anticipare le azioni del nemico”. Questo tipo di simulazione di un attacco informatico mira quindi a individuare i punti deboli di un’impresa. Se si vuole rendere l’esercitazione ancora più efficiente, è possibile integrare ulteriori squadre, come indicate nella cosiddetta piramide BAD (“build, attack, defend“).

Le trappole possono contribuire a sensibilizzare il personale

Un recente studio IBM, menzionato nel blog usecure, evidenzia che l’errore umano rappresenta il 95% delle vulnerabilità di un’azienda. In altre parole, la corretta gestione del fattore umano potrebbe eliminare la maggior parte delle falle, poiché la mera protezione del perimetro può rivelarsi insufficiente e qualsiasi persona può diventare un vettore di attacco. Ben 30.000 sono i dipendenti del Ministero dell’Economia francese che sono caduti nella trappola tesa dal loro stesso dipartimento di sicurezza con l’obiettivo di sensibilizzarli in merito alla loro esposizione ai rischi di phishing e di insegnare loro come affrontare i potenziali attacchi e i danni che ne derivano. E con successo!

Tuttavia, non tutte le piccole e medie imprese possono permettersi di condurre tali esercitazioni di sicurezza a causa del fattore costo di tali operazioni. Per questo motivo, i CISO tendono a scegliere di ispirarsi al principio dei giochi di ruolo con red e blue team. Per creare condizioni realistiche, i dipendenti da attaccare non devono essere a conoscenza dell’esercitazione. Ad esempio, si potrebbe tendere una trappola a un dipendente inconsapevole dell’ufficio del personale per verificare se le misure per la protezione di un file contenente dati personali sono state correttamente attuate. Altri dovrebbero cercare poi di accedere a questo file utilizzando vari espedienti tecnici o di social engineering. Ciò consente al CISO di tracciare parallelismi tra l’attacco informatico simulato e i principi di base della sicurezza informatica (come la tutela delle password o le regole di base per la protezione contro le e-mail sospette).

“Una buona esercitazione pratica è certamente mille volte più efficace di un corso di formazione PowerPoint”, sottolinea Brera. La sfida è quella di combinare penetration test e le simulazioni. “Bisogna prendersi il tempo di inquadrare l’attività in un contesto più generale e analizzare l’attacco informatico in tutte le sue fasi, in modo da poterne trarre tutti gli insegnamenti”, continua. “A volte è addirittura un vantaggio ripetere l’esercitazione pratica qualche mese dopo per vedere se il comportamento dei dipendenti è cambiato e se le precauzioni prese contro tali attacchi sono state comprese”, conclude Brera.

Abbiamo parlato più volte di diversi modi per instaurare una cultura della sicurezza informatica efficiente e persistente nelle aziende: dall’insegnamento della sicurezza informatica nelle scuole alla responsabilizzazione dei dipendenti. Nel 2020, mentre la maggior parte dei dipartimenti IT è ancora alla ricerca del giusto metodo di sensibilizzazione, é oltremodo probabile che nel loro catalogo vengano presto incluse esercitazioni pratiche o altre simulazioni di attacchi informatici.

 

Contenuti correlati

• 
  Cybersecurity 2023 in cifre

  Statistiche e cifre alla mano, Stormshield riassume ciò che ha mosso il mondo della cybersecurity nel 2023. I dati presentati forniscono un quadro chiaro dell’anno passato e spunti di riflessione per il 2024 Nei primi mesi dell’anno...
• 
  Stormshield: il 2023 della cybersecurity in cifre

  Stormshield, una delle principali aziende europee nel settore della cybersecurity, riassume l’anno 2023 con cifre e statistiche che dipingono un quadro tutt’altro che roseo. 4,45 milioni di dollari: il costo medio di una violazione dei dati: Il...
• 
  Certificazione EAL4+ per le soluzioni Stormshield

  Stormshield, una delle aziende leader in Europa nel mercato della cybersicurezza, annuncia il conseguimento della certificazione Common Criteria (CC) EAL 4+ per la gamma di soluzioni Stormshield Network Security per la protezione di infrastrutture IT. La certificazione...
• 
  Cybersecurity: gli “Hacker Etici” dell’Università di Pisa in missione a Las Vegas

  Sono Lorenzo Catoni, Nicola Vella, Aleandro Prudenzano del Dipartimento di Ingegneria Informatica e Lorenzo Leonardini del Dipartimento di Informatica, i 4 studenti dell’Università di Pisa che, assieme ai dottorandi Marco Gaglianese (Informatica, UniPi) e Fabio Zoratti (Fisica,...
• 
  Attenti alle email

  Alzi la mano chi non ha mai ricevuto una email che gli ha fatto drizzare le orecchie per cui non l’ha aperta. Leggi l’articolo  
• 
  6 errori di cybersecurity che espongono le imprese agli attacchi

  Di Angelo Rosiello, Partner Utilities & Digital Oliver Wyman Ormai da molti anni, il sistema economico in cui viviamo, ma anche le nostre stesse vite, sono stati investiti da una crescente digitalizzazione, che ci ha resi sempre...
• 
  Cybersecurity facile e per tutti con la piattaforma as a service di CyLock

  Hackerare qualsiasi sistema informatico a fin di bene, testando sia il fattore umano che quello tecnologico per una protezione a 360°: è l’innovativa soluzione sviluppata da CyLock, la startup che introduce nello scenario della cybersecurity il nuovo...
• 
  A SPS Italia 2022 parliamo di cybersecurity con Stormshield

  A SPS Italia 2022 Automazione Oggi ha intervistato Davide Pala, pre-sales engineer di Stormshield. Automazione Oggi: Qual è lo stato normativo attuale in tema di cybersecurity industriale? Quali sono le conseguenze di questa situazione, quali misure e migliorie sarebbero...
• 
  Difendersi dagli hacker: protezione, mitigazione o accettazione del rischio?

  di Vito Coviello, Socio AIDR e Responsabile Osservatorio Tecnologie Digitali nel settore dei Trasporti e della Logistica Sappiamo tutti bene che i computer hanno cambiato la nostra vita nelle attività  lavorative  e in quelle private. Tutti i...
• 
  Nozomi Networks e Stormshield migliorano la sicurezza degli asset nelle reti OT

  Nozomi Networks e Stormshield, player europeo nel mercato della cybersecurity, annunciano una partnership tesa a migliorare la sicurezza degli asset sensibili nelle reti OT. Le aziende industriali si trovano infatti sempre più spesso a dover proteggere i...