Gli attori del ransomware continuano ad avere successo, perché?

La minaccia rappresentata dal ransomware continua a essere una triste realtà quotidiana per i tecnici e i professionisti della sicurezza. Tuttavia, prima di parlare di “catastrofismo”, dovremmo riconoscere i progressi compiuti dal settore. Direi che, in un passato non troppo lontano, la maggior parte delle aziende era vulnerabile a quelli che oggi considereremmo attacchi ransomware relativamente poco sofisticati. Apertura di un’e-mail -> Malware -> Diffusione nella rete -> Ransomware ->

Grazie ai progressi registrati soprattutto nel settore degli endpoint, all’adozione del lavoro da qualsiasi luogo e ai principi dello zero trust, il settore ha compiuto notevoli passi avanti nella protezione contro questo tipo di attacchi.

Eppure, ogni settimana vediamo nuovi articoli su attacchi ransomware andati a buon fine. Molti strumenti di monitoraggio del ransomware mostrano infatti un aumento nel 2023. Ad esempio, il rapporto “The State of Ransomware” di Black Fog evidenzia un aumento dell’8% rispetto all’anno precedente. Inoltre, notiamo che gli autori degli attacchi stanno iniziando a prendere di mira archivi di dati al di fuori di quelli tradizionalmente colpiti, come gli archivi cloud e i database cloud.

“Se abbiamo davvero compiuto progressi nella lotta contro il ransomware, perché si registra un aumento degli attacchi riusciti?”

È tutta una questione di priorità

Analizzando questi attacchi andati a buon fine, ho individuato due categorie principali in cui il sistema presenta delle falle, consentendo agli autori malintenzionati di portare a termine con successo attacchi di tipo ransomware.

1. Mancanza di investimenti in un programma di sicurezza informatica. A prima vista sembra ovvio, e lo è. Si ottiene ciò per cui si paga. Le organizzazioni con team di sicurezza dotati di budget consistenti subiscono un numero minore di attacchi ransomware (con l’eccezione discussa nella prossima categoria). È facile assumere un atteggiamento da brontolone e dire: «Beh, la gente deve semplicemente prendere la questione più sul serio e spendere di più per la sicurezza!». La realtà è che la maggior parte degli attacchi di cui sentiamo parlare nei notiziari, causati da una mancanza di investimenti, sono rivolti contro i servizi pubblici. Molte di queste organizzazioni semplicemente non dispongono delle risorse finanziarie necessarie per investire in personale, tempo e tecnologie «all’avanguardia» in grado di fermare gli attacchi. Mi fermo qui con questa riflessione, poiché si tratta di un argomento che meriterebbe un blog a parte su politica, politiche pubbliche e unificazione. La spesa pubblica non è un tema che si può sorvolare. Tuttavia, la categoria successiva è quella che noi, come settore, possiamo affrontare più facilmente.
2. Abbiamo i paraocchi. Capisco che sia un’affermazione forte, ma quando l’argomento viene affrontato nel modo giusto, riscontro spesso un forte consenso sul fatto che sia proprio così.
   Quando dico che abbiamo i paraocchi, intendo dire che non stiamo esaminando a fondo il modello di rischio del ransomware. Siamo troppo concentrati su come gli attacchi più comuni abbiano avuto successo per individuare le lacune nei nostri programmi di sicurezza. Ci concentriamo sulla protezione degli endpoint, dei server e delle tecnologie tradizionali di archiviazione dei dati (SAN, NAS ecc.) e, di conseguenza, riusciamo a proteggere tali risorse dagli attacchi.

«In fin dei conti, un autore di attacchi che intenda ricattare le vittime per ottenere un riscatto deve compiere una sola azione: impedire l’accesso ai dati aziendali critici.»

Molte aziende si concentrano maggiormente sui controlli volti a prevenire gli attacchi piuttosto che sull’attuazione di una strategia olistica volta a proteggere la disponibilità. In altre parole, non bisogna concentrarsi esclusivamente sugli attacchi ransomware, ma su una strategia più generale di protezione della disponibilità che includa la “crittografia dei dati a scopo di impatto” (ATT&CK ID T1486).

Ad esempio, molte strategie di attacco basate sul ransomware si concentrano sull’idea che un attore possa eseguire un payload binario e crittografare i dati. Tuttavia, lo stesso effetto potrebbe essere ottenuto, se si disponesse di un accesso sufficiente, semplicemente sostituendo le chiavi di crittografia su un database critico. Il grado di difficoltà per un aggressore nel portare a termine questa operazione varia notevolmente, ma per molte organizzazioni si tratta di una valida via di attacco. Non affrettatevi a sottolineare che il Database Backup nativo, il multi-versioning ecc. possano risolvere il problema. Non è affatto sbagliato, ma la realtà è che, a causa dell’impatto sulle prestazioni dei database di grandi dimensioni, questi controlli sono spesso disabilitati e potreste esserne informati oppure no. Inoltre, la gestione di questi metodi di protezione avviene spesso utilizzando le stesse credenziali privilegiate impiegate per le normali attività amministrative, che sono proprio quelle prese di mira dagli autori delle minacce.

Ok… ma cosa significa…

In sintesi, ciò significa che dovreste rivedere il vostro piano di risposta al ransomware e valutare la possibilità di elaborare un piano di disponibilità di primo livello, se non ne avete già uno (se lo avete, rivedetelo in un’ottica di ransomware). Questo dovrebbe essere uno sforzo interfunzionale. Il team di sicurezza dovrebbe effettuare una prima analisi, per poi riunirsi con i responsabili dei dati, i team che si occupano dell’infrastruttura e quelli dedicati al DR/BC (Recovery di emergenza e continuità operativa) per individuare i metodi di protezione e di Recovery più realistici. Molti metodi di protezione e di Recovery comportano un compromesso in termini di prestazioni. La sicurezza non può ignorare questa realtà, e l’IT non può trascurare la sicurezza a favore delle prestazioni. Non esiste una soluzione valida per tutti i casi.

Quanto segue può servire come punto di partenza indicativo per orientarsi in questo percorso:

1. Comprendere tutte le risorse di archiviazione dei dati aziendali critici, tra cui:
   • Archivi dati gestiti “privati”, NAS e SAN
   • Dispositivi dei dipendenti
   • Database (sia on-premise, sia con astrazione cloud tradizionale, sia as-a-service
   • Archiviazione cloud
2. Creare un elenco di tattiche, tecniche e procedure che possono essere utilizzate per compromettere la disponibilità dei propri archivi di dati critici e mapparli al modello MITRE ATT&CK.; (https://attack.mitre.org/tactics/TA0040/)
   • Esempio 1: Crittografia di massa degli endpoint
   • Esempio 2: Furto e cancellazione di archivi di dati critici (nel cloud e in locale)
3. Assegnare le tattiche alle fonti di dati e classificarle in base alla probabilità che si verifichino.
   • Stabilire le priorità in base al rischio legale, operativo e strategico
4. Valutare i controlli e i processi
   • Individuare le opportunità di implementare controlli finalizzati alla prevenzione, all’individuazione, alla risposta e a Recovery per ciascuna fonte di dati.
   • Individuare le lacune
   • Creare nuovi processi e controlli
5. Aggiornare il manuale di risposta al ransomware con le modalità di risposta a tutte le tecniche, sulla base delle procedure di risposta e di Recovery definite nella fase 4.
6. Condurre contemporaneamente un’esercitazione teorica congiunta (TTX) e un’esercitazione di DR.
   • È una vera sfida. Combinare questi due elementi per svolgere un’esercitazione TTX “a libro aperto” con alcuni inserimenti casuali metterà davvero alla prova il modo in cui i team operano sotto la pressione di un vero attacco ransomware.

Sintesi

Gli autori delle minacce continuano a evolversi per rimanere competitivi e salvaguardare i propri guadagni. Sebbene, a livello di settore, siamo diventati piuttosto efficaci nel proteggerci dalle minacce tradizionali legate al ransomware, è probabile che ogni organizzazione presenti ancora alcuni punti deboli. 

• Gli attacchi ransomware continuano ad avere successo. 
• Man mano che miglioriamo la nostra capacità di contrastare gli attacchi tradizionali, gli autori delle minacce modificano le loro tattiche per continuare ad avere successo 
• Gli autori delle minacce stanno prendendo di mira archivi di dati quali database e servizi di archiviazione cloud 
• Aggiorna il tuo piano di risposta con opzioni di rilevamento, prevenzione, risposta e Recovery per garantire la disponibilità in contesti non tradizionali
• Implementa soluzioni di backup immutabili e ad alte prestazioni per database e risorse cloud.

In che modo Clumio può aiutarti

Clumio si impegna ad aiutare i clienti a rafforzare la resilienza delle loro applicazioni e dei loro dati nel cloud. Quando si tratta di ransomware, Recovery è un elemento fondamentale per garantire la disponibilità delle applicazioni aziendali. Grazie alle opzioni di backup offerte da Clumio per database quali Amazon RDS, MS-SQL su EC2 e DynamoDB, oltre che per Amazon S3, EC2, EBS e Microsoft 365, è possibile definire strategie di ripristino efficienti in grado di soddisfare sia i team responsabili dell’infrastruttura che quelli dedicati alla sicurezza.