Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 8 Agosto 2023 16:52
A cura di: Roberto Camerinesi (Cyber Evolution) e Marcello Filacchioni (BSolutions Group)
CrowdStrike annuncia oggi il suo Threat Hunting Report 2023, la sesta edizione del report annuale dell’azienda sulle tendenze e le tecniche di attacco degli avversari informatici rilevati dagli esperti in threat hunting d’élite e dagli analisti di intelligence di CrowdStrike.
Come fatto in precedenza per il Global Threat Report 2023, Red Hot Cyber ha intervistato Fabio Fratucello, Field CTO, International di CrowdStrike per comprendere al meglio le novità di questo nuovo report, che a quanto pare sono molte.
Sei un Esperto di Formazione?
Entra anche tu nel Partner program!
Accedi alla sezione riservata ai Creator sulla nostra Academy e scopri i vantaggi riservati ai membri del Partner program.
Per ulteriori informazioni, scrivici ad [email protected] oppure su Whatsapp al 379 163 8765
Supporta RHC attraverso:
Il rapporto ha rivelato un importante aumento delle intrusioni basate sull’identità, una crescente esperienza da parte degli avversari che puntano al cloud, un’impennata tre volte superiore dell’uso da parte degli avversari del RMM – il monitoraggio e la gestione remoti legittimi -, oltre a nuovi minimi storici del breakout time degli avversari.
Il Threat Hunting Report 2023 ha monitorato l’attività avversaria tra i mesi di luglio 2022 e giugno 2023 ed è il primo ad essere pubblicato dal team di esperti del Counter Adversary Operations di CrowdStrike, annunciato in occasione del Black Hat USA 2023.
Tra i principali risultati del report emergono:
“Il nostro monitoraggio di oltre 215 avversari nel corso dell’ultimo anno ci ha consentito di avere visibilità sullo scenario delle minacce informatiche, cresciuto in termini di complessità e profondità, in quanto gli autori delle minacce fanno affidamento su nuove tattiche e piattaforme, quali ad esempio l’abuso di credenziali valide per prendere di mira le vulnerabilità del cloud e del software” – ha commentato Adam Meyers, Head of Counter Adversary Operations di CrowdStrike. “Quando si tratta di bloccare le violazioni, non possiamo ignorare il fatto che gli avversari stanno diventando sempre più veloci e impiegando tattiche progettate intenzionalmente per evadere i tradizionali metodi di rilevamento. I leader della sicurezza informatica devono chiedersi se hanno le soluzioni di cui necessitano per bloccare il movimento laterale di un avversario in soli sette minuti”.
Di seguito l’intervista:
RHC: Quando nel report attuale si menziona Falcon Overwatch di CrowdStrike, di che prodotto/servizio parliamo? Quanto e come questa componente ha contribuito ai dati che vediamo nelle varie analisi?
CrowdStrike : Falcon Overwatch è il team di threat hunting d’élite di Crowdstrike, che fornisce un servizio di caccia alle minacce gestito. Il team conduce un’analisi umana approfondita 24 ore su 24, 7 giorni su 7, che incessantemente va alla ricerca di tecniche di attacco anomale o nuove, progettate per eludere le altre tecniche di rilevamento.
Negli ultimi 12 mesi, il team Falcon Overwatch ha effettuato cacce alle minacce proattive e di intelligence, che hanno portato ad identificare direttamente una potenziale intrusione ogni sette minuti, e a sfruttare tali scoperte per lo sviluppo di centinaia di nuove prevenzioni basate sul comportamento e per fornire preziosi insight, che sono inclusi appunto nel report.
RHC: Analizzando i dati inerenti gli attacchi basati sulle identità, visibilmente in aumento in maniera esponenziale, come notiamo nel vostro report, ci domandiamo se non sia forse il caso di pensare ad un nuovo approccio dedicato alla sicurezza delle identità che vada oltre l’aspetto di “Governance”, con audit e compliance (che vedono al loro interno l’implementazione di best practices, logiche sui controlli e monitoraggio) ed orientarsi quindi verso soluzioni di Identity Attack Surface Management (ID ASM) e Identity Threat Detection and Response (ITDR) che sono nuove categorie di sicurezza progettate per proteggere le identità ed i sistemi che le gestiscono. CrowdStrike come valuta gli strumenti che ad oggi vengono messi in campo per la difesa delle identità?
CrowdStrike : Nell’ultimo anno abbiamo osservato l’intensificarsi della tendenza a commettere crimini basati sull’identità. Ecco perchè suggeriamo alle organizzazioni di porsi come priorità la protezione del dominio dell’identità. Poiché l’identità sta diventando il nuovo perimetro di vulnerabilità sfruttato dagli avversari, è opportuno che i difensori adattino le proprie misure di sicurezza di conseguenza, per stare al passo con le minacce e contrastare le tattiche mirate ad ottenere l’accesso iniziale. Quando si tratta di bloccare le minacce all’identità, un’organizzazione può disporre di strumenti fondamentali, come l’Identity Threat Detection and Response, l’implementazione di un modello Zero Trust e di un approccio alla caccia proattiva e continua all’identità per individuare comportamenti anomali.
RHC: Dal report si legge chiaramente, come in quelli passati, una continua diminuzione del cosiddetto “breakout-time”, passato in questo caso da 84 minuti dello scorso anno ai 79 dell’attuale. Questo aspetto fondamentale che state registrando da tempo cosa indica per CrowdStrike? La conoscenza approfondita dei target da attaccare? La sempre maggiore disponibilità di strumenti automatizzati o una crescita delle competenze, sia verticali che trasversali, all’interno dei threat actors?
CrowdStrike : Abbiamo visto il tempo di breakout scendere al minimo storico di soli 79 minuti, rispetto agli 84 minuti registrati l’anno scorso. Il tempo di breakout rappresenta la misura del tempo medio necessario a una minaccia per spostarsi lateralmente dalla violazione iniziale della sicurezza ad altri host nell’ambiente preso di mira. Se questo tempo diminuisce, le organizzazioni vittime di un attacco hanno meno tempo per limitare i danni. Un tempo di breakout più basso indica quindi che il panorama delle minacce continua a crescere, con attori delle minacce che stanno diventano più sofisticati e più veloci nell’eseguire i propri attacchi.
RHC: Il threat modelling è un processo strutturato che ha come obiettivi: identificare i requisiti di sicurezza, individuare le minacce alla sicurezza e le potenziali vulnerabilità, quantificare la criticità delle minacce e delle vulnerabilità e stabilire le priorità per i piani di rimedio. Ci chiediamo quindi, anche considerando quanto emerso nel report nel capitolo afferente l’abuso di strumenti di RMM da parte dei threat actors, se non sia vitale per le aziende conoscere più se stesse, i propri asset ed i servizi erogati che non i suoi potenziali attaccanti. CROWDSTRIKE in tal senso come supporta le aziende clienti su questi aspetti, che vanno dall’abuso di strumenti leciti di amministrazione remota e monitoraggio sino all’individuazione di comportamenti malevoli in generale?
CrowdStrike : Esistono diverse contromisure difensive che le organizzazioni possono adottare oggi per rilevare e reagire all’abuso di strumenti RMM. Queste includono:
RHC: Un’altra grande criticità che emerge analizzando il report è legata all’ambiente Linux. Come è noto automatizzare il processo di patch su questo tipo di ambienti è più difficile semplicemente perché esistono molti tipi diversi di distribuzioni e quasi nessun repository centralizzato. Ogni distribuzione ha il proprio gestore di pacchetti, il che rende difficile creare un singolo processo di patch automatizzato che funzioni per tutte le distribuzioni. Quale peso ha per CrowdStrike questa componente sulle vulnerabilità sfruttate dai vari gruppi?
CrowdStrike : Adottare patch tempestive ed efficaci continu a essere un elemento fondamentale per una buona sicurezza. È fondamentale garantire che tutti i sistemi, i software e le applicazioni siano aggiornati con le patch più recenti. Le vulnerabilità “low-hanging fruit” sono un punto di ingresso comune per gli initial access broker e la vulnerabilità propria degli strumenti cloud, in particolare, rischia proprio di facilitare l’accesso iniziale agli avversari.
RHC: Nell’interessante MITRE ATT&CK HEAT MAP di CrowdStrike, che cataloga le varie tecniche e tattiche utilizzate dagli aggressori, una categoria particolarmente preoccupante è quella dei “Valid Account”. Questi account validi vengono spesso combinati con molte tecniche offensive, rendendo gli attacchi ‘trusted’ e, di conseguenza, più difficili da rilevare. Questa combinazione rappresenta una grave minaccia per le organizzazioni, poiché gli attaccanti utilizzano credenziali valide per impersonare utenti legittimi.
Come possono le organizzazioni difendersi efficacemente da questi attacchi “trusted” che sfruttano di fatto account validi?
CrowdStrike : L’utilizzo sempre più costante di account ‘validi’ in diverse tattiche di attacco evidenzia l’intensificazione dell’uso strategico di account fidati da parte degli avversari, spinti esattamente dall’obiettivo di ottenere l’accesso iniziale, stabilire la persistenza, elevare i privilegi ed eludere le difese. La facilità con cui gli avversari possono ottenere l’accesso iniziale – spesso semplicemente acquistando le credenziali – rende meno netta la distinzione tra utenti legittimi e impostori. L’identificazione di questo tipo di intrusioni richiede la messa in atto di una caccia alle minacce proattiva e basata sull’identità, unita a una solida conoscenza e comprensione di quello che rappresenta il panorama operativo distintivo di un’organizzazione.
Redazione
Redazione: [email protected]
© Copyright RED HOT CYBER. PIVA 16821691009