Cyberattacchi simulati: le esercitazioni possono essere una forma di protezione?

Sempre più reparti IT si affidano a penetration test o a attività di bug bounty e simulano cyberattacchi per aumentare la sicurezza della propria organizzazione. La ragione di ciò è l’incremento esponenziale delle minacce informatiche. Che si vogliano testare le misure di sicurezza o i riflessi digitali del personale, la simulazione di attacchi informatici contribuisce ad aumentare la percezione dei rischi informatici.

Oggi sono sempre più numerose le aziende che offrono pentest ed esercitazioni pratiche per i dipendenti. Giochi di ruolo, attacchi informatici simulati, segno che lo sviluppo della cultura della sicurezza informatica nelle aziende sta diventando sempre più coinvolgente. Che si vogliano mettere alla prova le misure di sicurezza o i riflessi digitali dei dipendenti, tali attività effettivamente contribuiscono a una maggiore consapevolezza delle potenziali minacce.

I programmi di pentesting o bug bounty, utilizzati per attaccare un prodotto o un’infrastruttura di rete al fine di comprovarne la stabilità o la sicurezza, sono ormai all’ordine del giorno nell’universo informatico. Spesso le aziende ricorrono addirittura a fornitori esterni per far verificare le loro misure di sicurezza, fornitori che possono essere ingaggiati secondo diverse regole. “Nel pentesting di tipo Black Box, l’incaricato tenterà di attaccare l’organizzazione dall’esterno, senza avere nessuna informazione, scopo di questa attività è verificare la resistenza di un’organizzazione ad un’attacco reale”, spiega Alberto Brera, Country Manager per l’Italia presso Stormshield. “In alternativa l’hacker può essere ingagiato per testare una specifica parte di rete o una specifica funzione conoscendone anche i dettagli tecnici. Questa modalità viene chiamata White Box pentesting ed è volta ad individuare il maggior numero di vulnerabilità sfruttabili in quel contesto”.

Anche la collaborazione tra red e blue team è degna di nota. Il red team è un team di individui che tenta di violare la sicurezza di un’azienda, di una rete informatica o di un sistema mediante tecniche di hacking, mentre il blue team cerca di respingere l’attacco. Nel giugno 2019, ad esempio, il Ministero della Difesa francese ha condotto un gioco di ruolo di questo tipo con l’obiettivo di “anticipare le azioni del nemico”. Questo tipo di simulazione di un attacco informatico mira quindi a individuare i punti deboli di un’impresa. Se si vuole rendere l’esercitazione ancora più efficiente, è possibile integrare ulteriori squadre, come indicate nella cosiddetta piramide BAD (“build, attack, defend“).

Le trappole possono contribuire a sensibilizzare il personale

Un recente studio IBM, menzionato nel blog usecure, evidenzia che l’errore umano rappresenta il 95% delle vulnerabilità di un’azienda. In altre parole, la corretta gestione del fattore umano potrebbe eliminare la maggior parte delle falle, poiché la mera protezione del perimetro può rivelarsi insufficiente e qualsiasi persona può diventare un vettore di attacco. Ben 30.000 sono i dipendenti del Ministero dell’Economia francese che sono caduti nella trappola tesa dal loro stesso dipartimento di sicurezza con l’obiettivo di sensibilizzarli in merito alla loro esposizione ai rischi di phishing e di insegnare loro come affrontare i potenziali attacchi e i danni che ne derivano. E con successo!

Tuttavia, non tutte le piccole e medie imprese possono permettersi di condurre tali esercitazioni di sicurezza a causa del fattore costo di tali operazioni. Per questo motivo, i CISO tendono a scegliere di ispirarsi al principio dei giochi di ruolo con red e blue team. Per creare condizioni realistiche, i dipendenti da attaccare non devono essere a conoscenza dell’esercitazione. Ad esempio, si potrebbe tendere una trappola a un dipendente inconsapevole dell’ufficio del personale per verificare se le misure per la protezione di un file contenente dati personali sono state correttamente attuate. Altri dovrebbero cercare poi di accedere a questo file utilizzando vari espedienti tecnici o di social engineering. Ciò consente al CISO di tracciare parallelismi tra l’attacco informatico simulato e i principi di base della sicurezza informatica (come la tutela delle password o le regole di base per la protezione contro le e-mail sospette).

“Una buona esercitazione pratica è certamente mille volte più efficace di un corso di formazione PowerPoint”, sottolinea Brera. La sfida è quella di combinare penetration test e le simulazioni. “Bisogna prendersi il tempo di inquadrare l’attività in un contesto più generale e analizzare l’attacco informatico in tutte le sue fasi, in modo da poterne trarre tutti gli insegnamenti”, continua. “A volte è addirittura un vantaggio ripetere l’esercitazione pratica qualche mese dopo per vedere se il comportamento dei dipendenti è cambiato e se le precauzioni prese contro tali attacchi sono state comprese”, conclude Brera.

Abbiamo parlato più volte di diversi modi per instaurare una cultura della sicurezza informatica efficiente e persistente nelle aziende: dall’insegnamento della sicurezza informatica nelle scuole alla responsabilizzazione dei dipendenti. Nel 2020, mentre la maggior parte dei dipartimenti IT è ancora alla ricerca del giusto metodo di sensibilizzazione, é oltremodo probabile che nel loro catalogo vengano presto incluse esercitazioni pratiche o altre simulazioni di attacchi informatici.

 

Contenuti correlati

• 
  Acqua, una risorsa da proteggere

  Come proteggere dal rischio cyber le infrastrutture critiche, in particolare i sistemi di approvvigionamento idrico e fognario? I suggerimenti di Stormshield Leggi l’articolo
• 
  L’UE mette alla prova la sua sovranità digitale

  Stormshield: “Serve passare dalle parole ai fatti per rafforzare sicurezza, competitività e autonomia strategica” Leggi l’articolo
• 
  La giornata della felicità nell’era digitale: tra fortuna e prevenzione

  Le tecnologie digitali aumentano l’efficienza automatizzando le attività di routine, promuovono la collaborazione e favoriscono l’adozione di modelli di lavoro flessibili che concorrono alla soddisfazione dei dipendenti. Anche l’intelligenza artificiale e nuove tecnologie contribuiscono alla semplificazione delle...
• 
  Verso una cybersicurezza responsabile: il CISO al centro delle strategie RSI

  La responsabilità sociale d’impresa (RSI) è ormai un obiettivo strategico imprescindibile, in cui la sicurezza informatica svolge un ruolo chiave. Recenti iniziative europee come Cyber4Tomorrow e il lavoro del Cyber Campus in Francia favoriscono la riflessione sulle...
• 
  Sicurezza dei dati: orchestrare la crittografia della posta elettronica

  L’email è uno strumento vitale in un mondo del lavoro sempre più distribuito. Ma come si combinano esattamente praticità, resilienza e fiducia? I dati scambiati tramite posta elettronica devono essere crittografati per garantire la sicurezza degli scambi...
• 
  Rischi e pericoli dei dispositivi IoT obsoleti con Eset Italia

  Nel mondo digitale, una nuova minaccia si fa strada: i vecchi dispositivi IoT per cui non è previsto più il supporto diventano strumenti nelle mani di attori malintenzionati. A mettere all’erta sui rischi della tecnologia obsoleta è...
• 
  Stormshield Data Security ottiene la certificazione Cspn da Anssi

  Stormshield, esperto europeo in cybersecurity, ha ottenuto la certificazione di livello 1 (CSPN) per la versione on-premise della sua soluzione di protezione dei dati Stormshield Data Security (SDS). Questo riconoscimento da parte dell’Agence nationale de la sécurité des...
• 
  Nuovo firewall industriale SNi10 da Stormshield per la tutela delle infrastrutture OT

  Stormshield, esperto europeo nel mercato della cybersecurity, annuncia il suo nuovo firewall SNi10. Questo nuovo dispositivo completa la famiglia delle soluzioni Stormshield ad alte prestazioni per la tutela delle infrastrutture OT e risponde alle specifiche esigenze di...
• 
  Stormshield lancia il nuovo firewall SN-XS-Series 170

  Stormshield, player europeo di riferimento nel campo della cybersecurity, annuncia la disponibilità sul mercato del suo nuovo firewall SN-XS-Series 170, sviluppato per soddisfare le esigenze specifiche di piccole imprese e attività commerciali. Questa soluzione innovativa mette a disposizione...
• 
  Cybersecurity 2023 in cifre

  Statistiche e cifre alla mano, Stormshield riassume ciò che ha mosso il mondo della cybersecurity nel 2023. I dati presentati forniscono un quadro chiaro dell’anno passato e spunti di riflessione per il 2024 Nei primi mesi dell’anno...