Che cos'è il monitoraggio continuo della sicurezza?

Il monitoraggio continuo della sicurezza (CSM) è un approccio di intelligence sulle minacce che automatizza il monitoraggio dei controlli di sicurezza delle informazioni, delle vulnerabilità e di altre minacce informatiche per supportare le decisioni di gestione del rischio dell'organizzazione.

Le organizzazioni hanno bisogno di visibilità in tempo reale degli indicatori di compromissione, configurazione errata della sicurezza e vulnerabilità nell'infrastruttura e nelle reti.

I controlli di sicurezza tradizionali come firewall, software antivirus e test di penetrazione non sono più sufficienti per proteggersi da un aggressore sofisticato. Anche se l'infrastruttura è relativamente stabile (il che non è probabile), gli aggressori trovano nuovi zero-day da sfruttare e i ricercatori condividono quotidianamente le vulnerabilità delle vulnerabilità ed esposizioni comuni (CVE).

Anche se la tua politica di sicurezza delle informazioni è di prim'ordine, l'81% delle violazioni dei dati elude i controlli di sicurezza tradizionali utilizzando password deboli o rubate, secondo Verizon. Questo è il motivo per cui le aziende si rivolgono sempre più a soluzioni di monitoraggio continuo che forniscono informazioni sulla sicurezza, ma possono anche trovare credenziali trapelate e dati esposti su open web, deep e dark web, come UpGuard BreachSight.

Scopri le funzionalità di gestione della superficie di attacco di UpGuard con questo tour autoguidato del prodotto >

Perché il monitoraggio continuo della sicurezza è importante?

Il monitoraggio continuo della sicurezza è importante perché consente alle organizzazioni di valutare continuamente la propria architettura di sicurezza complessiva per determinare se stanno rispettando le politiche interne di sicurezza delle informazioni su base giornaliera, nonché quando si verificano modifiche.

Nell'ambiente odierno, molte, se non tutte, le organizzazioni si affidano alla tecnologia per svolgere funzioni mission-critical, quindi anche la capacità di gestire questa tecnologia e di garantirne la riservatezza, l'integrità e la disponibilità è mission-critical.

Quattro tendenze che stanno aumentando l'importanza del monitoraggio continuo della sicurezza:

1. La crescente digitalizzazione dei dati sensibili: le organizzazioni di tutto il mondo stanno digitalizzando sempre più i dati sensibili che memorizzano, che si tratti di informazioni di identificazione personale dei clienti (PII) o di informazioni sanitarie protette dai dipendenti (PHI).
2. Leggi generali sulla protezione dei dati: i governi di tutto il mondo hanno seguito il GDPR dell'Unione Europea e hanno introdotto le proprie leggi generali sulla protezione dei dati, come la LGPD del Brasile, lo Shield Act di New York o il CCPA della California.
3. Leggi sulla notifica delle violazioni dei dati: oltre a queste leggi generali sulla protezione dei dati, i governi richiedono sempre più la segnalazione delle violazioni dei dati, il che aumenta significativamente l'impatto reputazionale degli incidenti di sicurezza.
4. Esternalizzazione, on-sourcing e subappalto: le organizzazioni cercano spesso di esternalizzare parti non essenziali della loro attività a fornitori di terze parti che a loro volta possono esternalizzare ai propri fornitori, aumentando notevolmente la superficie di attacco e il rischio di terze parti e quarte.

Come funziona il monitoraggio continuo della sicurezza?

Le soluzioni di monitoraggio continuo funzionano fornendo informazioni in tempo reale sul livello di sicurezza di un'organizzazione. Secondo il white paper NIST SP 800-137 del National Institute of Standards and Technology, il monitoraggio continuo della sicurezza delle informazioni (ISCM) funziona:

• Mantenere la consapevolezza situazionale di tutti i sistemi all'interno dell'organizzazione e del suo ecosistema di fornitori
• Mantenere la comprensione delle minacce e delle attività di minaccia
• Valutazione di tutti i controlli di sicurezza
• Raccolta, correlazione e analisi delle informazioni relative alla sicurezza
• Fornire una comunicazione fruibile sullo stato di sicurezza in tutti i livelli dell'organizzazione; e
• Gestione attiva del rischio da parte dei funzionari dell'organizzazione.
• Integrazione di framework di sicurezza delle informazioni e di gestione del rischio.

A tal fine, il programma di monitoraggio continuo deve raccogliere informazioni in conformità con metriche ristabilite e standardizzate in tutto l'ecosistema, utilizzando le informazioni prontamente disponibili in parte attraverso i controlli di sicurezza implementati e la scansione automatizzata.

Questo processo dovrebbe essere condotto su base regolare, tutte le volte che è necessario per ogni unità organizzativa. Inoltre, la strategia di monitoraggio deve essere regolarmente rivista per verificarne la pertinenza e rivista, se necessario, per aumentare la visibilità delle risorse e la consapevolezza dei potenziali rischi.

In breve, un solido programma di monitoraggio continuo funziona aiutando le organizzazioni a passare dalla gestione del rischio basata sulla conformità alla gestione del rischio basata sui dati, fornendo loro le informazioni necessarie per supportare le decisioni di risposta al rischio, le informazioni sullo stato della sicurezza e le informazioni dettagliate sull'efficacia del controllo di sicurezza.

In che modo le organizzazioni adottano il monitoraggio continuo della sicurezza?

Il monitoraggio continuo della sicurezza offre ai professionisti della sicurezza visibilità in tempo reale sulla superficie di attacco della loro organizzazione. A titolo di riferimento, la superficie di attacco è il numero totale di vettori di attacco che potrebbero essere utilizzati per lanciare un attacco informatico di successo per ottenere l'accesso non autorizzato a dati sensibili o causare la perdita di dati.

Ciò significa che la tempestività, la pertinenza e l'accuratezza sono fondamentali per qualsiasi programma di monitoraggio, in particolare quando le risorse sono limitate e devi dare priorità ai tuoi sforzi. Ecco perché molte organizzazioni stanno adottando valutazioni di sicurezza che possono aiutare a valutare istantaneamente e monitorare continuamente la posizione di sicurezza di qualsiasi organizzazione nel mondo.

Con le valutazioni di sicurezza, i team di sicurezza possono valutare continuamente la propria infrastruttura di sicurezza per assicurarsi che soddisfi le loro esigenze, la struttura di governance, la missione e i processi aziendali principali.

Le valutazioni della sicurezza o della sicurezza informatica sono una misurazione basata sui dati, obiettiva e dinamica della posizione di sicurezza di un'organizzazione. Sono creati da una piattaforma di valutazione della sicurezza affidabile e indipendente, che li rende preziosi come indicatore oggettivo delle prestazioni di sicurezza informatica di un'organizzazione.

Le valutazioni della sicurezza sono un metodo popolare di monitoraggio continuo della sicurezza per i team di gestione del rischio e della superficie di attacco, in quanto possono aiutarti a:

• Comprendi il rischio di terze parti e il rischio di quarta parte (rischio del fornitore) posti dalle relazioni con la catena di approvvigionamento, il fornitore di terze parti e i partner commerciali.
• Valuta continuamente la tua posizione di sicurezza informatica fornendo al contempo una valutazione semplice e di facile comprensione che può essere presentata a importanti stakeholder non tecnici, tra cui la C-Suite, il consiglio di amministrazione e le autorità di regolamentazione.
• Confronta e confronta colleghi, fornitori e concorrenti del settore. Questo può aiutare nel processo decisionale e fornire un contesto su quali controlli di sicurezza o mitigazioni la tua organizzazione deve investire.
• Fornisci a clienti, assicuratori, autorità di regolamentazione e altre parti interessate la garanzia che la tua organizzazione si preoccupa di prevenire problemi di sicurezza come violazioni dei dati, malware e ransomware.

La strategia di monitoraggio deve tenere conto di tutte le risorse hardware, software, SaaS e cloud utilizzate dall'organizzazione, assegnarle una categoria in base alla criticità aziendale e avvisare l'utente di eventuali minacce alla sicurezza. Anche UpGuard BreachSight e UpGuard Vendor Risk possono aiutarti a mappare:

• Asset noti: asset inventariati e gestiti, ad esempio il sito Web aziendale, i server e le dipendenze in esecuzione su di essi.
• Asset sconosciuti: come shadow IT o infrastruttura IT orfana che è stata creata al di fuori della competenza del team di sicurezza, come siti Web di sviluppo o siti di marketing dimenticati.
• Asset non autorizzati: infrastrutture dannose attivate da attori delle minacce come malware, domini typosquatted o un sito Web o un'app per dispositivi mobili che impersona il tuo dominio.
• Fornitori: la superficie di attacco non si ferma all'organizzazione, i fornitori di terze parti e di quarte parti introducono un rischio significativo di terze parti e un rischio di quarte parti. Anche i piccoli fornitori possono portare a grandi violazioni dei dati, guarda il fornitore HVAC che alla fine ha portato all'esposizione di Target di carte di credito e dati personali su oltre 110 milioni di consumatori.

Qualunque sia lo strumento scelto, assicurati che si integri con l'infrastruttura della tua organizzazione e sia in grado di rilevare la nuova infrastruttura man mano che viene avviata. Idealmente, dovrebbe avere un modo per classificare l'infrastruttura in base ai dati che elabora, alla proprietà interna, al sistema operativo o al fornitore.

Le organizzazioni di tutte le dimensioni devono adottare misure per proteggere i propri dati e sistemi e il monitoraggio continuo della sicurezza è un ottimo modo per le organizzazioni di valutare le proprie posizioni di sicurezza e quelle dei loro fornitori in tempo reale per identificare punti deboli o potenziali compromessi.

Quali sono i vantaggi del monitoraggio continuo della sicurezza?

Poiché il monitoraggio continuo della sicurezza fornisce visibilità in tempo reale sui dati di sicurezza IT, offre una serie di vantaggi quali:

• Una chiara comprensione della tolleranza al rischio dell'organizzazione e aiuta a stabilire le priorità e a gestire il rischio in modo coerente in tutta l'organizzazione
• Metriche di sicurezza informatica che forniscono indicazioni significative sullo stato di sicurezza a tutti i livelli organizzativi
• Efficacia continua di tutti i controlli di sicurezza
• Verifica della conformità alle politiche di sicurezza delle informazioni derivate da missioni organizzative/funzioni aziendali, legislazione federale, direttive, regolamenti, politiche, standard, linee guida e best practice
• Informazioni e visibilità di tutti gli asset IT
• Garanzia che la conoscenza e il controllo delle modifiche ai sistemi e agli ambienti
• Consapevolezza delle minacce e delle vulnerabilità

In breve, il monitoraggio continuo della sicurezza può aiutare a ridurre il rischio di sicurezza informatica, ridurre l'impatto degli attacchi informatici riusciti e ridurre il costo delle violazioni dei dati mitigando i tre modi principali in cui i dati possono essere compromessi:

1. Attacchi esterni: ovvero un utente malintenzionato che elude i controlli sulla protezione dei dati.
2. Attacchi interni: ovvero un dipendente fidato o un insider dell'azienda che espone volontariamente i dati o cade in un attacco di ingegneria sociale come phishing, spear phishing o whaling.
3. Attacchi alla supply chain o all'ecosistema di terze parti: ad esempio, un fornitore che espone i dati aziendali critici per mesi perché non dispone di un rilevamento delle intrusioni o di una pianificazione della risposta agli incidenti.

In altre parole, la gestione continua della sicurezza ti aiuta a scoprire e proteggere le tue risorse digitali e i dati sensibili come PII, PHI e segreti commerciali. Tenere presente che queste risorse potrebbero essere di proprietà o gestite dall'organizzazione o da terze parti, ad esempio provider di servizi cloud, IaaS e SaaS, partner commerciali, fornitori o appaltatori esterni.

Quali sono le best practice per il monitoraggio continuo della sicurezza?

Qualsiasi buona soluzione di monitoraggio continuo della sicurezza inizierà con la scoperta di tutti gli asset digitali che contengono o elaborano dati sensibili, indipendentemente dal fatto che siano gestiti dalla tua organizzazione o da una terza parte.

Ecco un elenco non esaustivo di asset digitali che dovrebbero essere monitorati:

• Applicazioni Web, servizi e API
• Applicazioni mobili e relativi back-end
• Archiviazione cloud e dispositivi di rete
• Nomi di dominio, certificati SSL e indirizzi IP
• IoT e dispositivi connessi
• Repository di codice pubblici come GitHub, BitBucket e Gitlab
• Server di posta elettronica

A seconda della soluzione di sicurezza continua scelta, il processo di rilevamento può variare dall'inserimento manuale di domini e indirizzi IP alla scansione automatizzata basata sull'intelligence open source e sulla scansione del dark web.

Ad esempio, UpGuard Vendor Risk e UpGuard BreachSight eseguono automaticamente questo processo di rilevamento su base giornaliera attraverso metodi commerciali, open source e proprietari affidabili.

Ciò che rende UpGuard diverso dagli altri fornitori di sicurezza continua è la nostra impareggiabile capacità di rilevare le credenziali trapelate e i dati esposti prima che cadano nelle mani sbagliate.

Ad esempio, siamo stati in grado di rilevare i dati esposti in un repository GitHub da un tecnico AWS in 30 minuti, il che ha portato all'avviso AWS e alla messa in sicurezza del repository lo stesso giorno. Questo repository conteneva documenti di identità personali e credenziali di sistema, tra cui password, coppie di chiavi AWS e chiavi private. Per ulteriori informazioni su questa fuga di dati AWS, clicca qui.

Siamo stati in grado di farlo perché scopriamo attivamente i set di dati esposti sull'open e sul deep web, setacciando i bucket S3 aperti, i repository Github pubblici, i server RSync non protetti e i server FTP. Ma non crederci sulla parola. Il New York Times, Bloomberg, Washington Post, Forbes e TechCrunch hanno pubblicato la nostra ricerca sulla sicurezza.

Oltre all'individuazione delle risorse, una soluzione di monitoraggio continuo della sicurezza dovrebbe essere in grado di monitorare i seguenti rischi per la sicurezza:

• Porte aperte non necessarie: una porta aperta si riferisce a un numero di porta TCP o UDP configurato per accettare pacchetti. Al contrario, una porta chiusa rifiuta le connessioni o ignora i pacchetti. Sebbene le porte aperte non siano necessariamente pericolose, possono esserlo. Le porte aperte possono essere pericolose quando il servizio in ascolto sulla porta è configurato in modo errato, privo di patch, vulnerabile agli exploit o con regole di sicurezza di rete scadenti. Di particolare pericolo sono le porte wormable che sono aperte per impostazione predefinita su alcuni sistemi operativi, come il protocollo SMB che è stato sfruttato da un exploit zero-day chiamato EternalBlue che ha portato al worm ransomware WannaCry. Per saperne di più sulle porte aperte, cliccate qui.
• Suscettibilità agli attacchi man-in-the-middle: un attacco man-in-the-middle (attacco MITM) è un attacco informatico in cui un utente malintenzionato trasmette e possibilmente altera la comunicazione tra due parti che credono di comunicare direttamente. Ciò consente all'aggressore di trasmettere la comunicazione, ascoltare e persino modificare ciò che ciascuna parte sta dicendo. Per saperne di più sugli attacchi MITM, clicca qui.
• Scarsa sicurezza delle e-mail: La mancanza di SPF, DKIM e DMARC può esporre l'organizzazione allo spoofing delle e-mail. Per ulteriori informazioni, leggi la nostra guida sulla sicurezza della posta elettronica e la nostra lista di controllo per la sicurezza della posta elettronica.
• Suscettibilità al dirottamento del dominio: il dirottamento del dominio è l'atto di modificare la registrazione di un nome di dominio senza l'autorizzazione del proprietario originale o mediante l'abuso dei privilegi sui sistemi di hosting e registrar di domini. Per saperne di più sul dirottamento del dominio, clicca qui.
• Mancanza di DNSSEC: le estensioni di sicurezza del sistema dei nomi di dominio (DNSSEC o DNS Security Extensions) sono un insieme di specifiche IETF (Internet Engineering Task Force) per la protezione di determinati tipi di informazioni fornite dal DNS (Domain Name System) utilizzate sulle reti IP (Internet Protocol). Per saperne di più su DNSSEC, cliccate qui.
• Vulnerabilità: una vulnerabilità è una debolezza che può essere sfruttata da un attacco informatico per ottenere l'accesso non autorizzato o eseguire azioni non autorizzate su un sistema informatico. Le vulnerabilità possono consentire agli aggressori di eseguire codice, accedere alla memoria di un sistema, installare malware e rubare, distruggere o modificare dati sensibili. Un buon strumento di monitoraggio continuo della sicurezza può aiutare con la scansione delle vulnerabilità, la valutazione delle vulnerabilità e l'applicazione di patch alle vulnerabilità. Per saperne di più sulle vulnerabilità e sulla gestione delle vulnerabilità, clicca qui.
• Vulnerabilità agli attacchi XSS: il cross-site scripting (XSS) è un tipo di vulnerabilità di sicurezza che si trova tipicamente nelle applicazioni web. XSS consente agli aggressori di inserire script lato client nelle pagine Web visualizzate da altri utenti e può essere utilizzato per aggirare il controllo degli accessi, ad esempio la policy della stessa origine. Per saperne di più sugli attacchi XSS, clicca qui.
• Credenziali perse: la maggior parte delle organizzazioni ha esposto le credenziali a causa dell'elevato numero di violazioni dei dati di terze parti che si verificano. Se i dipendenti non cambiano le loro password o non le riutilizzano, questo può essere uno dei vettori di attacco più dannosi per un'organizzazione.
• Fughe di dati: a causa della crescente proliferazione dell'archiviazione cloud, molte organizzazioni espongono accidentalmente dati sensibili in bucket S3, repository GitHub, server Rsnyc, server FTP e altro ancora. Ad esempio, UpGuard è stato in grado di trovare i dati esposti da un ingegnere AWS in 30 minuti utilizzando la tecnologia alla base di UpGuard BreachSight. AWS ha ricevuto una notifica lo stesso giorno e il repository è stato protetto. Per ulteriori informazioni su questa fuga di dati AWS, clicca qui.
• Domini typosquatted: il typosquatting è una forma di cybersquatting in cui qualcuno si siede su nomi di dominio simili a quelli di proprietà di un altro marchio o copyright, prendendo di mira gli utenti di Internet che digitano in modo errato l'indirizzo di un sito Web nel loro browser Web, piuttosto che utilizzare un motore di ricerca. Il typosquatting è noto anche come dirottamento dell'URL, imitazione del dominio, sito di sting o URL falso. Per saperne di più sul typosquatting, clicca qui.