Conosci Jeremy del marketing? Quello nuovo nel team al primo piano? Pensi che sia innocuo? In verità Jeremy è un hacker molto esperto, assunto dal direttore per eseguire un test di penetrazione in loco. Gli è stata data carta bianca, e i suoi colleghi lo scopriranno presto.
Questa storia potrebbe essere la trama di un thriller, ma in realtà é presentata nel 36° episodio del podcast sulla sicurezza informatica Darknet Diaries, ribattezzato “Jeremy del Marketing“. Si tratta di un attacco interno volto a scoprire il maggior numero possibile di vulnerabilità e quindi a classificare il livello di sicurezza delle infrastrutture e delle reti.

Un business in pieno boom

Oggi sono sempre più numerose le aziende che offrono pentest ed esercitazioni pratiche per i dipendenti. Giochi di ruolo, attacchi informatici simulati, segno che lo sviluppo della cultura della sicurezza informatica nelle aziende sta diventando sempre più coinvolgente. Che si vogliano mettere alla prova le misure di sicurezza o i riflessi digitali dei dipendenti, tali attività effettivamente contribuiscono a una maggiore consapevolezza delle potenziali minacce.I programmi di pentesting o bug bounty, utilizzati per attaccare un prodotto o un’infrastruttura di rete al fine di comprovarne la stabilità o la sicurezza, sono ormai all’ordine del giorno nell’universo informatico.
Spesso le aziende ricorrono addirittura a fornitori esterni per far verificare le loro misure di sicurezza, fornitori che possono essere ingagiati secondo diverse regole.

“Nel pentesting di tipo Black Box, l’incaricato tenterà di attaccare l’organizzazione dall’esterno, senza avere nessuna informazione, scopo di questa attività è verificare la resistenza di un’organizzazione ad un’attacco reale”, spiega Alberto Brera, Country Manager per l’Italia presso Stormshield. “In alternativa l’hacker può essere ingaggiato per testare una specifica parte di rete o una specifica funzione conoscendone anche i dettagli tecnici.

Questa modalità viene chiamata White Box pentesting ed è volta ad individuare il maggior numero di vulnerabilità sfruttabili in quel contesto”.Anche la collaborazione tra red e blue team è degna di nota. Il red team è un team di individui che tenta di violare la sicurezza di un’azienda, di una rete informatica o di un sistema mediante tecniche di hacking, mentre il blue team cerca di respingere l’attacco.
Nel giugno 2019, ad esempio, il Ministero della Difesa francese ha condotto un gioco di ruolo di questo tipo con l’obiettivo di “anticipare le azioni del nemico”. Questo tipo di simulazione di un attacco informatico mira quindi a individuare i punti deboli di un’impresa. Se si vuole rendere l’esercitazione ancora più efficiente, è possibile integrare ulteriori squadre, come indicate nella cosiddetta piramide BAD (“build, attack, defend“).

Le trappole possono contribuire a sensibilizzare il personale

Un recente studio IBM, menzionato nel blog usecure, evidenzia che l’errore umano rappresenta il 95% delle vulnerabilità di un’azienda. In altre parole, la corretta gestione del fattore umano potrebbe eliminare la maggior parte delle falle, poiché la mera protezione del perimetro può rivelarsi insufficiente e qualsiasi persona può diventare un vettore di attacco. Ben 30.000 sono i dipendenti del Ministero dell’Economia francese che sono caduti nella trappola tesa dal loro stesso dipartimento di sicurezza con l’obiettivo di sensibilizzarli in merito alla loro esposizione ai rischi di phishing e di insegnare loro come affrontare i potenziali attacchi e i danni che ne derivano. E con successo!
Tuttavia, non tutte le piccole e medie imprese possono permettersi di condurre tali esercitazioni di sicurezza a causa del fattore costo di tali operazioni. Per questo motivo, i CISO tendono a scegliere di ispirarsi al principio dei giochi di ruolo con red e blue team. Per creare condizioni realistiche, i dipendenti da attaccare non devono essere a conoscenza dell’esercitazione. Ad esempio, si potrebbe tendere una trappola a un dipendente inconsapevole dell’ufficio del personale per verificare se le misure per la protezione di un file contenente dati personali sono state correttamente attuate. Altri dovrebbero cercare poi di accedere a questo file utilizzando vari espedienti tecnici o di social engineering.

Ciò consente al CISO di tracciare parallelismi tra l’attacco informatico simulato e i principi di base della sicurezza informatica (come la tutela delle password o le regole di base per la protezione contro le e-mail sospette).
“Una buona esercitazione pratica è certamente mille volte più efficace di un corso di formazione PowerPoint”, sottolinea Brera. La sfida è quella di combinare penetration test e le simulazioni. “Bisogna prendersi il tempo di inquadrare l’attività in un contesto più generale e analizzare l’attacco informatico in tutte le sue fasi, in modo da poterne trarre tutti gli insegnamenti”, continua. “A volte è addirittura un vantaggio ripetere l’esercitazione pratica qualche mese dopo per vedere se il comportamento dei dipendenti è cambiato e se le precauzioni prese contro tali attacchi sono state comprese”, conclude Brera.

Abbiamo parlato più volte di diversi modi per instaurare una cultura della sicurezza informatica efficiente e persistente nelle aziende: dall’insegnamento della sicurezza informatica nelle scuole alla responsabilizzazione dei dipendenti. Nel 2020, mentre la maggior parte dei dipartimenti IT è ancora alla ricerca del giusto metodo di sensibilizzazione, é oltremodo probabile che nel loro catalogo vengano presto incluse esercitazioni pratiche o altre simulazioni di attacchi informatici.