Cyberattacchi simulati: le esercitazioni possono essere una forma di protezione?

Sempre più reparti IT si affidano a penetration test o a attività di bug bounty e simulano cyberattacchi per aumentare la sicurezza della propria organizzazione. La ragione di ciò è l’incremento esponenziale delle minacce informatiche. Che si vogliano testare le misure di sicurezza o i riflessi digitali del personale, la simulazione di attacchi informatici contribuisce ad aumentare la percezione dei rischi informatici.

Pubblicato il 10 giugno 2020

Oggi sono sempre più numerose le aziende che offrono pentest ed esercitazioni pratiche per i dipendenti. Giochi di ruolo, attacchi informatici simulati, segno che lo sviluppo della cultura della sicurezza informatica nelle aziende sta diventando sempre più coinvolgente. Che si vogliano mettere alla prova le misure di sicurezza o i riflessi digitali dei dipendenti, tali attività effettivamente contribuiscono a una maggiore consapevolezza delle potenziali minacce.

I programmi di pentesting o bug bounty, utilizzati per attaccare un prodotto o un’infrastruttura di rete al fine di comprovarne la stabilità o la sicurezza, sono ormai all’ordine del giorno nell’universo informatico. Spesso le aziende ricorrono addirittura a fornitori esterni per far verificare le loro misure di sicurezza, fornitori che possono essere ingaggiati secondo diverse regole. “Nel pentesting di tipo Black Box, l’incaricato tenterà di attaccare l’organizzazione dall’esterno, senza avere nessuna informazione, scopo di questa attività è verificare la resistenza di un’organizzazione ad un’attacco reale”, spiega Alberto Brera, Country Manager per l’Italia presso Stormshield. “In alternativa l’hacker può essere ingagiato per testare una specifica parte di rete o una specifica funzione conoscendone anche i dettagli tecnici. Questa modalità viene chiamata White Box pentesting ed è volta ad individuare il maggior numero di vulnerabilità sfruttabili in quel contesto”.

Anche la collaborazione tra red e blue team è degna di nota. Il red team è un team di individui che tenta di violare la sicurezza di un’azienda, di una rete informatica o di un sistema mediante tecniche di hacking, mentre il blue team cerca di respingere l’attacco. Nel giugno 2019, ad esempio, il Ministero della Difesa francese ha condotto un gioco di ruolo di questo tipo con l’obiettivo di “anticipare le azioni del nemico”. Questo tipo di simulazione di un attacco informatico mira quindi a individuare i punti deboli di un’impresa. Se si vuole rendere l’esercitazione ancora più efficiente, è possibile integrare ulteriori squadre, come indicate nella cosiddetta piramide BAD (“build, attack, defend“).

Le trappole possono contribuire a sensibilizzare il personale

Un recente studio IBM, menzionato nel blog usecure, evidenzia che l’errore umano rappresenta il 95% delle vulnerabilità di un’azienda. In altre parole, la corretta gestione del fattore umano potrebbe eliminare la maggior parte delle falle, poiché la mera protezione del perimetro può rivelarsi insufficiente e qualsiasi persona può diventare un vettore di attacco. Ben 30.000 sono i dipendenti del Ministero dell’Economia francese che sono caduti nella trappola tesa dal loro stesso dipartimento di sicurezza con l’obiettivo di sensibilizzarli in merito alla loro esposizione ai rischi di phishing e di insegnare loro come affrontare i potenziali attacchi e i danni che ne derivano. E con successo!

Tuttavia, non tutte le piccole e medie imprese possono permettersi di condurre tali esercitazioni di sicurezza a causa del fattore costo di tali operazioni. Per questo motivo, i CISO tendono a scegliere di ispirarsi al principio dei giochi di ruolo con red e blue team. Per creare condizioni realistiche, i dipendenti da attaccare non devono essere a conoscenza dell’esercitazione. Ad esempio, si potrebbe tendere una trappola a un dipendente inconsapevole dell’ufficio del personale per verificare se le misure per la protezione di un file contenente dati personali sono state correttamente attuate. Altri dovrebbero cercare poi di accedere a questo file utilizzando vari espedienti tecnici o di social engineering. Ciò consente al CISO di tracciare parallelismi tra l’attacco informatico simulato e i principi di base della sicurezza informatica (come la tutela delle password o le regole di base per la protezione contro le e-mail sospette).

“Una buona esercitazione pratica è certamente mille volte più efficace di un corso di formazione PowerPoint”, sottolinea Brera. La sfida è quella di combinare penetration test e le simulazioni. “Bisogna prendersi il tempo di inquadrare l’attività in un contesto più generale e analizzare l’attacco informatico in tutte le sue fasi, in modo da poterne trarre tutti gli insegnamenti”, continua. “A volte è addirittura un vantaggio ripetere l’esercitazione pratica qualche mese dopo per vedere se il comportamento dei dipendenti è cambiato e se le precauzioni prese contro tali attacchi sono state comprese”, conclude Brera.

Abbiamo parlato più volte di diversi modi per instaurare una cultura della sicurezza informatica efficiente e persistente nelle aziende: dall’insegnamento della sicurezza informatica nelle scuole alla responsabilizzazione dei dipendenti. Nel 2020, mentre la maggior parte dei dipartimenti IT è ancora alla ricerca del giusto metodo di sensibilizzazione, é oltremodo probabile che nel loro catalogo vengano presto incluse esercitazioni pratiche o altre simulazioni di attacchi informatici.

 



Contenuti correlati

  • A SPS Italia 2022 parliamo di cybersecurity con Stormshield

    A SPS Italia 2022 Automazione Oggi ha intervistato Davide Pala, pre-sales engineer di Stormshield. Automazione Oggi: Qual è lo stato normativo attuale in tema di cybersecurity industriale? Quali sono le conseguenze di questa situazione, quali misure e migliorie sarebbero...

  • Vito Coviello - AIDR
    Difendersi dagli hacker: protezione, mitigazione o accettazione del rischio?

    di Vito Coviello, Socio AIDR e Responsabile Osservatorio Tecnologie Digitali nel settore dei Trasporti e della Logistica Sappiamo tutti bene che i computer hanno cambiato la nostra vita nelle attività  lavorative  e in quelle private. Tutti i...

  • Nozomi Networks e Stormshield migliorano la sicurezza degli asset nelle reti OT
    Nozomi Networks e Stormshield migliorano la sicurezza degli asset nelle reti OT

    Nozomi Networks e Stormshield, player europeo nel mercato della cybersecurity, annunciano una partnership tesa a migliorare la sicurezza degli asset sensibili nelle reti OT. Le aziende industriali si trovano infatti sempre più spesso a dover proteggere i...

  • Forum Meccatronica 2021

    Per supportare il rilancio del sistema economico-produttivo è indispensabile puntare su modelli sicuri di produzione e consumo improntati alla flessibilità, alla digitalizzazione e alla sostenibilità ambientale in coerenza con il quadro strategico che si va componendo a...

  • Attacco hacker a 150mila telecamere di sorveglianza

    Un collettivo internazionale di hacker ha attaccato l’azienda di videosorveglianza californiana Verkada, ottenendo l’accesso agli archivi e ai feed di oltre 150mila telecamere di sicurezza poste all’interno di aziende, ospedali, prigioni, scuole e distretti di polizia. Tra...

  • Sicurezza delle reti domestiche: c’è da lavorare

    Il 2021 è appena cominciato ma deve già fare i conti con l’eredità di un 2020 difficile sotto molti punti di vista. In particolare, lo stravolgimento dei flussi lavorativi, con l’introduzione di massa dello smartworking, ha in...

  • Il lato umano del ransomware

    Alla fine del 2020, Cisco Talos ha identificato e preso contatto con uno dei protagonisti delle minacce ransomware  e utilizzatore del famoso  LockBit. Aleks, questo il suo nome fittizio, ha accettato di condividere alcuni dettagli della sua...

  • Dispositivi di sicurezza

    Safety, security e non solo: oggi ai ‘classici’ due ‘mondi’ della sicurezza, quello delle soluzioni per la protezione e tutela di persone e apparati e quella IT, si aggiunge l’ampio ambito dei prodotti a tutela della salute pubblica. Vediamo...

  • Alex Mosher Global Vice President of Solutions di MobileIron
    Codici QR: pratici, ma potenzialmente pericolosi. Lo sapevate?

    MobileIron ha presentato i risultati di una nuova ricerca sul sentiment dei consumatori, che ha rivelato che i codici QR stanno aumentando di popolarità e utilizzo. Il 64% degli intervistati infatti ha dichiarato che i codici QR...

  • Trasformazione digitale e cyber-resilienza in azienda: a che punto siamo?

    La trasformazione digitale, ormai considerata essenziale per garantire la continuità, la competitività e la crescita del business, è da anni al centro dell’attenzione delle aziende. Di conseguenza, si potrebbe ipotizzare che questo sviluppo delle organizzazioni e la...

Scopri le novità scelte per te x