Anatomia di una superficie di attacco moderna

Per la maggior parte delle organizzazioni, la posta elettronica costituisce un elemento fondamentale delle operazioni aziendali quotidiane. Purtroppo, la posta elettronica rimane uno dei vettori di attacco principali. Nel 2022, il 35% degli incidenti ransomware riguardava l’utilizzo della posta elettronica.⁴ Gli utenti malintenzionati sfruttano gli attacchi alla posta elettronica con un ritmo senza precedenti: nel 2022, la percentuale di attacchi di phishing è aumentata del 61% rispetto al 2021.⁵

Gli utenti malintenzionati sfruttano oggi risorse legittime per condurre attacchi di phishing. Questo rende ancora più difficile per gli utenti distinguere le email reali da quelle dannose, aumentando la probabilità che una minaccia penetri nell'ambiente. Gli attacchi di phishing di consenso sono un esempio di questa tendenza: gli attori di minacce utilizzano in modo improprio i provider di servizi cloud legittimi, convincendo gli utenti in modo ingannevole a concedere autorizzazioni di accesso a dati riservati.

Senza la capacità di correlare i segnali della posta elettronica a incidenti più ampi per visualizzare gli attacchi, è necessario molto tempo per rilevare un attore di minacce che ha ottenuto l'accesso tramite un messaggio di posta elettronica. E a quel punto potrebbe essere troppo tardi per evitare i danni. Il tempo medio necessario all’autore di un attacco per accedere ai dati riservati di un’azienda è di soli 72 minuti.⁶ Questo può causare seri danni a livello aziendale. Il costo stimato di una compromissione della posta elettronica aziendale (BEC) relativo al 2021 è di circa 2,4 miliardi di dollari in perdite rettificate.⁷

Nel mondo basato sul cloud di oggi, la protezione degli accessi è diventata più importante che mai. Di conseguenza avere un quadro approfondito delle identità nell'organizzazione (tra cui le autorizzazioni degli account utente, le identità dei carichi di lavoro e le loro potenziali vulnerabilità) è fondamentale, soprattutto considerando la crescita degli utenti malintenzionati in termini di frequenza e creatività.

Il numero di attacchi basati sulle password è salito a circa 921 al secondo nel 2022, un aumento del 74% dal 2021.⁸ Microsoft ha inoltre rilevato che gli attori di minacce stanno trovando nuove soluzioni per eludere l'autenticazione a più fattori (MFA), utilizzando tecniche come gli attacchi di phishing adversary-in-the-middle e l'uso improprio di token per ottenere l'accesso ai dati delle organizzazioni. I kit di phishing hanno reso il furto delle credenziali ancora più semplice per gli attori di minacce. La Digital Crimes Unit di Microsoft ha osservato un aumento nella sofisticazione dei kit di phishing nell'ultimo anno, insieme a barriere molto basse da superare, con un rivenditore che offre kit di phishing a soli 6 USD al giorno.⁹

La gestione della superficie di attacco delle identità deve andare oltre la protezione gli account utente e includere anche l'accesso al cloud e le identità dei carichi di lavoro. Le credenziali compromesse possono essere uno strumento efficace per gli attori di minacce per infliggere danni all'infrastruttura cloud di un'organizzazione.

Dato il gran numero di dispositivi nell'ambiente ibrido di oggi, la protezione degli endpoint è diventata più impegnativa. Quello che non è cambiato è che la protezione degli endpoint (soprattutto i dispositivi non gestiti) è fondamentale per una solida postura di sicurezza, dal momento che anche una sola compromissione può consentire agli attori di minacce di penetrare nell'organizzazione.

Con la crescente adozione dei criteri BYOD ("Bring Your Own Device"), da parte delle organizzazioni, i dispositivi non gestiti si sono moltiplicati. Di conseguenza, la superficie di attacco degli endpoint è oggi più ampia e più esposta. In media, ci sono in un azienda 3.500 dispositivi connessi non sono protetti da un agente di rilevamento e reazione dagli endpoint.¹¹

I dispositivi non gestiti (che fanno parte del panorama dello "shadow IT") sono particolarmente attraenti per gli attori di minacce, poiché i team responsabili della sicurezza non hanno la visibilità necessaria per proteggerli. Microsoft ha rilevato una probabilità del 71% che gli utenti abbiano un dispositivo non gestito infettato da virus.¹² Essendo connessi alle reti aziendali, i dispositivi non gestiti offrono opportunità agli utenti malintenzionati per lanciare attacchi più ampi su server e altre infrastrutture.

Anche i server non gestiti sono potenziali vettori di attacchi agli endpoint. Nel 2021, Microsoft Security ha rilevato un attacco dove un attore di minacce ha sfruttato un server non aggiornato, ha esplorato le directory e ha scoperto una cartella di password che forniva un accesso alle credenziali dell'account.

Uno dei vettori di attacco degli endpoint più trascurati è l'IoT (Internet delle cose), che include miliardi di dispositivi, grandi e piccoli. La sicurezza per IoT copre dispositivi fisici che si connettono alla rete e scambiano dati con essa, come router, stampanti, fotocamere e altri dispositivi simili. Può includere anche dispositivi operativi e sensori (tecnologia operativa, o "OT"), come apparecchiature intelligenti sulle linee di produzione.

Con l'aumento del numero di dispositivi IoT, cresce anche il numero di vulnerabilità. IDC prevede che entro il 2025 saranno presenti 41 miliardi di dispositivi IoT all'interno degli ambienti commerciali e aziendali.¹⁵ Dato che molte organizzazioni stanno rafforzando router e reti per rendere più difficili le violazioni da parte di attori di minacce, i dispositivi IoT sono diventati un target più semplice e attraente. Abbiamo visto spesso attori di minacce che sfruttano le vulnerabilità per trasformare dispositivi IoT in proxy, utilizzando un dispositivo esposto come punto di appoggio nella rete. Dopo che un attore di minacce ha ottenuto l'accesso a un dispositivo IoT, può monitorare il traffico di rete per individuare altri asset non protetti, muoversi lateralmente per infiltrarsi in altre parti dell'infrastruttura target o fare una ricognizione per pianificare attacchi su vasta scala contro dispositivi e apparecchiature sensibili. In uno studio, il 35% dei professionisti della sicurezza ha affermato che negli ultimi 2 anni un dispositivo IoT è stato utilizzato per condurre un attacco più ampio contro l’organizzazione.¹⁶

Purtroppo, per le organizzazioni, l'IoT è spesso l'equivalente di una scatola nera in termini di visibilità e molte di esse non dispongono delle misure di sicurezza appropriate. Il 60% dei professionisti del settore afferma che la sicurezza per IoT e OT è uno degli aspetti meno sicuri dell'infrastruttura IT e OT.¹⁷

Oggi, la superficie di attacco esterna di un'organizzazione si estende su più cloud, catene di approvvigionamento digitali complesse ed ecosistemi di terze parti massivi. Internet ora fa parte della rete e, nonostante la sua dimensione misteriosa, i team di sicurezza devono difendere la presenza dell'organizzazione su Internet allo stesso grado di qualsiasi cosa dietro i relativi firewall. Con un numero crescente di organizzazioni che adottano i principi noti come Zero Trust, la protezione delle superfici di attacco interne ed esterne rappresenta una sfida per l'intera rete globale.

La superficie di attacco globale cresce di pari passo a internet, espandendosi ogni giorno di più. Microsoft ha potuto constatare un aumento in vari tipi di minacce, come gli attacchi di phishing. Nel 2021 la Digital Crimes Unit di Microsoft ha diretto la rimozione di oltre 96.000 URL di phishing unici e 7.700 kit di phishing, portando all'identificazione e alla chiusura di oltre 2.200 account di posta elettronica dannosi utilizzati per raccogliere credenziali sottratte ai clienti.²⁴

La superficie di attacco esterna va ben oltre le semplici risorse di un'organizzazione. Spesso include fornitori, partner, dispositivi personali dei dipendenti non gestiti connessi alle risorse o alle reti aziendali, e organizzazioni acquisite da poco. Per ridurre le minacce, è perciò fondamentale essere a conoscenza delle connessioni esterne e dell’esposizione. Un report del Ponemon Institute del 2020 ha rivelato che negli ultimi 2 anni il 53% delle organizzazioni ha dovuto far fronte ad almeno una violazione di dati dovuta a una terza parte, la cui correzione ha richiesto una media di 7,5 milioni di dollari.²⁵

Con il rafforzamento dell’infrastruttura alle spalle degli attacchi informatici, è sempre più urgente ottenere visibilità dell’infrastruttura delle minacce e fare un inventario delle risorse esposte a internet. Abbiamo scoperto che le organizzazioni spesso hanno difficoltà a comprendere l'ambito della loro esposizione esterna, cosa che implica notevoli punti ciechi. Questi punti ciechi possono avere conseguenze devastanti. Nel 2021, il 61% delle aziende ha subito un attacco ransomware che ha causato almeno un'interruzione parziale delle operazioni aziendali.²⁶

Microsoft suggerisce spesso ai clienti di osservare la loro organizzazione dall'esterno quando valutano la postura di sicurezza. Oltre ai controlli VAPT (Vulnerability Assessment and Penetration Testing), è importante ottenere una visibilità approfondita sulla superficie di attacco esterna per poter identificare le vulnerabilità nell'intero ambiente e nell'ecosistema esteso. Se fossi un utente malintenzionato che sta tentando di penetrare nell'ambiente, cosa potresti sfruttare? Essere consapevoli dell'intera estensione della superficie di attacco esterna della propria organizzazione è essenziale per proteggerla.

In che modo Microsoft può aiutarti

Il panorama delle minacce di oggi è in costante evoluzione, e le organizzazioni hanno bisogno di una strategia di sicurezza che possa rimanere al passo. La maggiore esposizione e complessità aziendale, oltre a un elevato volume di minacce e basse barriere per entrare nell'economia del crimine informatico, è più urgente che mai proteggere ogni singolo punto all'interno di ogni superficie di attacco e tra di esse.

I team della sicurezza hanno bisogno di un'intelligence sulle minacce efficace per difendersi dalla miriade di minacce in evoluzione di oggi. La giusta intelligence sulle minacce correla i segnali di diversi luoghi, fornendo un contesto tempestivo e pertinente in merito al comportamento di attacco e alle tendenze attuali in modo che i team della sicurezza possano identificare correttamente le vulnerabilità, classificare in ordine di priorità gli avvisi e bloccare gli attacchi. E se si verifica una violazione, l'intelligence sulle minacce è fondamentale per prevenire ulteriori danni e migliorare le difese affinché un attacco simile non si ripeta in futuro. In breve, le organizzazioni che sfruttano più intelligence sulle minacce saranno più sicure ed efficaci.

Microsoft ha una visione senza precedenti del panorama delle minacce in continua evoluzione, con 65 trilioni di segnali analizzati ogni giorno. Correlando questi segnali in tempo reale nelle varie superfici di attacco, l'intelligence sulle minacce basata sulle soluzioni Microsoft Security fornisce dati analitici sul crescente ambiente di minacce e ransomware per consentirti di rilevare e bloccare più attacchi. E con funzionalità di intelligenza artificiale avanzate, come Microsoft Security Copilot, puoi anticipare le minacce in evoluzione e difendere l'organizzazione rapidamente, aiutando il team della sicurezza a semplificare le complessità, rilevare quello che altri non notano e proteggere tutto.