Perché è importante comprendere le TTP degli attaccanti e come usare queste informazioni per una difesa davvero efficacie: le spiegazioni dell'esperto.
Autore: Marco Rottigni
Comprendere tattiche, tecniche e procedure (TTP) utilizzate dagli attaccanti permette ai responsabili della sicurezza informatica di rispondere meglio agli attacchi sofisticati. A fronte di un panorama delle minacce sempre più complesso, complicato dalle evoluzioni dei malware, dalle campagne APT “nation-State” e da una criminalità as-a-service, le TTP rimangono un elemento critico per contrastare attivamente le violazioni alla sicurezza.
Le TTP consentono ai professionisti della sicurezza di scandagliare meglio le intenzioni degli attaccanti, capendone le reali motivazioni e i loro obiettivi. Questo è il primo passo per creare contromisure efficaci e una posizione di difesa informatica duratura. Nell’articolo si analizza l'evoluzione delle TTP utilizzate ultimamente per campagne di attacco recenti, evidenziando le sfide che i professionisti della sicurezza sono chiamati oggi ad affrontare.
Comprendere le motivazioni che sono alla base di un attacco informatico contribuisce a migliorare notevolmente la capacità di proteggere efficacemente l'organizzazione. Scomporre il "chi", il "perché" e il "come" dell'attacco può aiutare i difensori a realizzare un profilo degli aggressori, individuare i vantaggi che deriverebbero dal successo dell'attacco, il modo in cui verrebbero monetizzati questi vantaggi e la probabilità di un eventuale attacco successivo.
In base a motivazioni e capacità, sono sei le principali ragioni alla base dei cyberattacchi:
Le TTP svolgono un ruolo essenziale per consentire ai difensori della sicurezza di contrastare efficacemente le minacce informatiche. Analizzando e comprendendo le TTP, i difensori ottengono informazioni preziose sui comportamenti e sulle metodologie utilizzate dagli avversari. Questo accelera il processo di identificazione dei potenziali attacchi, lo sviluppo di strategie di difesa proattive e l'implementazione di misure di sicurezza specifiche per i rischi aziendali e di settore.
Organizzazioni come il NIST e il MITRE classificano e catalogano i comportamenti degli attori delle minacce in tattiche, tecniche e procedure, note collettivamente come TTP. E se le tattiche si riferiscono alla descrizione del comportamento, le tecniche consistono nelle descrizioni che forniscono un contesto alla tattica; le procedure, infine, delineano le attività che danno un contesto alle tecniche. Suddividendo ulteriormente il concetto:
La capacità di individuare schemi e indicatori di compromissione attraverso le TTP è fondamentale per aiutare i professionisti della sicurezza a rispondere prontamente alle minacce. È anche il fattore abilitante di miglioramenti critici necessari nelle policy e nei workflow che possono fermare minacce simili in futuro. Le TTP servono come base per l'intelligence delle minacce che porta a una migliore mitigazione del rischio e facilita un approccio più collettivo alla sicurezza informatica.
Sia la frequenza dei crimini informatici sia la loro costante evoluzione continuano ad aumentare a ritmi impressionanti. Gli analisti stimano che solo nel 2023 il mondo dovrà affrontare 33 miliardi di violazioni di account e che oggi si verifica un attacco ogni 39 secondi. Questa sezione esplora alcune delle TTP più comuni utilizzate nelle campagne di minacce moderne e come vengono sfruttate nei vari tipi di attacchi del mondo reale.
Il Social Engineering consiste nella manipolazione psicologica delle persone per indurle a divulgare informazioni sensibili o a compiere azioni che compromettono la sicurezza. Questa tattica è spesso impiegata nelle campagne di phishing, come gli attacchi di spear-phishing altamente mirati che sono stati collegati a gruppi APT tra cui APT29, noto anche come Cozy Bear, e APT28, conosciuto come Sofacy o Fancy Bear. Queste campagne utilizzano sovente e-mail molto convincenti che sembrano provenire da fonti legittime, attirando le vittime a cliccare su link dannosi o a scaricare allegati carichi di malware.
Le campagne di social engineering utilizzano varie TTP per influenzare il comportamento umano e sfruttare le vulnerabilità. Oltre al phishing, le TTP comuni associate al social engineering includono:
Gli aggressori sfruttano spesso le vulnerabilità note di software e hardware per ottenere un accesso non autorizzato ai sistemi o per aumentare i privilegi. Un esempio recente è lo sfruttamento delle vulnerabilità di Microsoft Exchange Server, denominato ProxyLogon e attribuito al gruppo HAFNIUM APT. Il gruppo ha utilizzato queste vulnerabilità per accedere agli account di posta elettronica e distribuire ulteriori malware. Allo sfruttamento delle vulnerabilità vengono associate diverse TTP, tra cui:
Il "Living off the land" (LotL) è una tattica attraverso la quale gli aggressori utilizzano strumenti e processi legittimi e già presenti sul sistema della vittima per portare a termine i loro attacchi, rendendo così più difficile il rilevamento delle attività sospette da parte delle soluzioni di sicurezza. Un esempio è l'uso di PowerShell, un potente linguaggio di scripting integrato in Windows che è stato utilizzato in vari attacchi, tra cui il famigerato trojan bancario Emotet e il ransomware Ryuk. Gli attaccanti sono noti per l'utilizzo di queste TTP per portare a termine un’operazione LotL di successo:
Una volta che gli aggressori si sono insediati all’interno di una rete, spesso, utilizzano tecniche di movimento laterale per spostarsi tra i sistemi e aumentare i propri privilegi. In tecniche come il pass-the-hash o il pass-the-ticket, un attaccante utilizza credenziali o token di autenticazione rubati per muoversi tra i sistemi.
Un esempio recente è l'attacco alla supply chain di SolarWinds, in cui gli attaccanti hanno utilizzato una combinazione di malware personalizzati, credenziali rubate e strumenti legittimi per avanzare all'interno delle reti, ottenendo infine l'accesso a dati e sistemi sensibili. Le seguenti TTP contribuiscono a questo modus operandi:
Dopo aver raggiunto i propri obiettivi, gli hacker spesso esfiltrano i dati rubati, utilizzando canali nascosti o comunicazioni criptate per evitare il rilevamento delle loro attività. In alcuni casi si adottano anche misure per coprire le tracce e mantenere la persistenza, come la cancellazione dei registri o l'uso di rootkit per nascondere la presenza sui sistemi compromessi. Un esempio significativo è il gruppo APT DarkHotel, noto per i suoi attacchi altamente mirati agli hotel di lusso, che ha utilizzato una combinazione di malware personalizzati e tecniche sofisticate per esfiltrare dati sensibili e mantenere un basso profilo all'interno delle reti compromesse. Per eliminare le loro tracce gli aggressori ricorrono a una combinazione di queste TTP:
Sebbene la comprensione delle TTP sia parte integrante per ottenere informazioni aggiuntive sulle minacce e per accrescere i meccanismi di difesa, da sola non è sufficiente. Le aziende devono anche applicare eccellenti protocolli di igiene informatica e rafforzare la loro strategia di sicurezza in modo olistico.
L'adozione di un solido framework di sicurezza, come il NIST Cybersecurity Framework o il CIS Critical Security Controls, può aiutare le aziende a identificare e affrontare sistematicamente i potenziali punti deboli della loro postura di sicurezza. La revisione e l'aggiornamento periodici di questi framework sono fondamentali per rimanere al passo con l'evoluzione delle minacce.
Regolari programmi di formazione per i dipendenti e una maggiore sensibilizzazione nei confronti della sicurezza possono contribuire a ridurre il rischio di attacchi di social engineering. La formazione deve includere argomenti come il phishing, la sicurezza delle password e l'importanza di segnalare attività sospette.
L'implementazione di un solido processo di gestione delle patch e l'esecuzione di regolari scansioni delle vulnerabilità possono aiutare le organizzazioni a identificare e risolvere le vulnerabilità note nei loro sistemi, riducendo la superficie di attacco.
La segmentazione della rete e l'implementazione di un modello di sicurezza zero trust possono contribuire a limitare i movimenti trasversali all'interno della rete, rendendo più difficile per gli aggressori l'escalation dei privilegi e l'accesso.
Definire un processo di risposta agli incidenti preciso e investire in strumenti di monitoraggio, quali i sistemi SIEM (Security Information and Event Management) o le soluzioni XDR (Extended Detection and Response) come SentinelOne Singularity, può supportare le organizzazioni a rilevare, rispondere e contenere rapidamente le minacce informatiche.
L'identificazione dei vettori di attacco e dei nuovi metodi è fondamentale per rimanere un passo avanti rispetto agli aggressori informatici. Esempi reali e recenti campagne APT hanno dimostrato come l'analisi delle TTP arricchisca le informazioni a disposizione dei professionisti della sicurezza, consentendo loro di acquisire preziose conoscenze sulle tattiche e sulle tecniche che devono affrontare.
Anche se gli attaccanti continueranno ad aggiornare metodi e processi, oggi, sono disponibili molti modi grazie ai quali le aziende possono mitigare il rischio e rafforzare le loro difese. Stabilire una strategia di risposta efficace e un monitoraggio continuo e approfondito può incrementare le difese del team interno di un'azienda con solide capacità di rilevamento e risposta.
Le aziende di tutto il mondo si sono già affidate alla piattaforma Singularity di SentinelOne per risolvere proattivamente le minacce moderne a velocità macchina.
Marco Rottigni è Technical Director di SentinelOne