Quattro passaggi chiave per una risposta rapida agli incidenti
È possibile evitare violazioni della sicurezza? A giudicare dai titoli recenti, probabilmente no. Le vittime spaziano da startup come Kreditech, a grandi rivenditori come Target, al Dipartimento di Stato americano e persino alla Casa Bianca. Indipendentemente dalle misure di sicurezza adottate, è prudente presumere che prima o poi subirai una violazione. Assicurati di avere un piano di risposta in atto, per ogni evenienza.
Se trovi difficile giustificare il tempo necessario per sviluppare un piano di risposta, considera quanto tempo avrai a disposizione per formulare una risposta una volta iniziato l’attacco. Secondo uno studio di Verizon del 2013, l’84% degli attacchi riusciti ha compromesso i propri obiettivi nel giro di poche ore. La breve finestra temporale per il rilevamento e la mitigazione degli attacchi richiede non solo un monitoraggio costante ma una risposta rapida. Ciò significa avere un piano in atto.
Quando formuli la tua strategia per la gestione delle violazioni, tieni a mente quattro aspetti chiave della risposta agli incidenti, tra cui: analisi e valutazione, strategia di risposta, contenimento e prevenzione di un attacco successivo.
Il primo passo nella gestione di una violazione della sicurezza è rilevarla. Questa è una delle sfide più difficili che devono affrontare i professionisti IT. Stai cercando di individuare un avversario invisibile con molti potenziali punti di accesso al tuo sistema e non sai quando avverrà l'attacco. Inoltre, gli eventi legati agli attacchi possono verificarsi in rapida successione o per periodi di tempo estesi. Alcuni passaggi dell'attacco potrebbero sembrare innocui, come ad esempio il download e l'apertura inconsapevole di contenuti dannosi da parte di un dirigente. Altri potrebbero essere più evidenti, come un dipendente scontento che scarica grandi volumi di dati dei clienti su un'unità USB. In tutti i casi, l'analisi dei log e l'integrazione dei dati provenienti da più log di applicazioni e server possono aiutare a identificare eventi indicativi di un attacco.
La strategia di risposta abbraccia sia gli aspetti tecnici che quelli aziendali della tua organizzazione. Dovrebbe essere attivo un team di risposta agli incidenti per affrontare la violazione. Ciò includerà il contenimento della minaccia (discusso di seguito), la notifica alle parti interessate e la comunicazione dei progressi degli sforzi di risposta. Potrebbe essere necessario coordinarsi con i responsabili della continuità aziendale e del disaster recovery in caso di attacchi su larga scala, come quello subito da Sony lo scorso anno.
Il contenimento è il processo di isolamento dei dispositivi e dei segmenti di rete compromessi per limitare la diffusione di una violazione. Il contenimento può essere tanto cruento quanto togliere l’alimentazione a un dispositivo compromesso. Se l'attività dannosa ha origine da un dispositivo mobile, un sistema di gestione dei dispositivi mobili (MDM) può impedire a tale dispositivo di accedere alle risorse di rete. Gli amministratori di rete possono modificare le regole di filtraggio del firewall per limitare il traffico in entrata e in uscita da una sottorete. Potrebbero anche prendere in considerazione l'aggiornamento delle voci DNS dei server compromessi in modo che puntino ai server di failover, presupponendo che non siano stati compromessi. Il monitoraggio dell'applicazione, del sistema operativo e dei log di rete durante le operazioni di contenimento può aiutare a comprendere gli effetti delle risposte
La quarta questione da tenere a mente è prevenire gli attacchi successivi. Una violazione della sicurezza può avere conseguenze ampie e inaspettate. È anche una potenziale opportunità per scoprire come le tue misure di sicurezza sono state compromesse. Qualcuno è stato ingannato da un'esca di phishing? Un account amministratore è stato compromesso da un semplice attacco con dizionario di forza bruta? Un insider ha approfittato di privilegi eccessivi? I sistemi di gestione delle informazioni e degli eventi sulla sicurezza supportano l'analisi forense e possono aiutare a integrare i dati degli eventi provenienti da tutta l'infrastruttura. Ciò potrebbe consentirti di trovare correlazioni tra eventi che portano a informazioni sul comportamento degli aggressori e sulle vulnerabilità dei tuoi sistemi.
Questa breve discussione sulla pianificazione della risposta agli incidenti tocca solo alcuni degli aspetti più salienti che riguardano una violazione. Fonti, come CERT, forniscono risorse dettagliate per aiutare le organizzazioni a creare team di risposta agli incidenti di sicurezza informatica e migliori pratiche di risposta agli incidenti.