L'identità è il nuovo campo di battaglia

Un uomo e una donna seduti a un tavolo che usano un portatile.

Cyber Signals, numero 1: ottieni informazioni dettagliate sulle minacce informatiche in evoluzione e su quali passaggi compiere per proteggere meglio la tua organizzazione.

Vi è una pericolosa mancanza di corrispondenza tra i protocolli di sicurezza della maggior parte delle organizzazioni e le minacce che affrontano. Mentre gli utenti malintenzionati cercano di forzare l'accesso alle reti, la loro tattica preferita è più semplice: indovinare le password deboli. Le misure di base come l'autenticazione a più fattori sono efficaci contro il 98% degli attacchi, ma solo il 20% delle organizzazioni le usa appieno (Report sulla difesa digitale Microsoft, 2021).

Nel primo numero scoprirai le tendenze sulla sicurezza e i consigli degli esperti e dei ricercatori Microsoft, tra cui:

Chi  sta facendo affidamento sugli attacchi basati su identità e password.
Cosa  fare per contrastare gli attacchi, tra cui strategie basate su endpoint, e-mail e identità.
Quando  classificare in ordine di priorità le diverse misure di sicurezza.
Dove  i ransomware penetrano e proliferano all'interno delle reti e come arrestarli.
Perché  la protezione delle identità rimane la più grande fonte di preoccupazione, ma è anche la più grande opportunità di migliorare la sicurezza.

Gli attori di stato-nazione intensificano gli sforzi per acquisire semplicemente i punti essenziali delle identità

I cyberattacchi degli attori di stato-nazione sono in aumento. Nonostante le loro ampie risorse, questi avversari spesso si affidano a tattiche semplici per rubare le password indovinate facilmente. In questo modo, possono ottenere un accesso facile e veloce agli account dei clienti. In caso di attacchi aziendali, la penetrazione nella rete di un'organizzazione consente agli attori di stato-nazione di ricavare un punto di appoggio che possono usare per muoversi verticalmente, tra utenti e risorse simili, oppure orizzontalmente, accedendo a risorse e credenziali più preziose.

Spear-phishing, attacchi di ingegneria sociale e password spraying su larga scala sono le tattiche di base usate dagli attori di stati-nazione per rubare o indovinare le password. Microsoft ottiene dati analitici sui risultati e sulle tecniche commerciali degli utenti malintenzionati osservando le tattiche e le tecniche in cui investono e con cui raggiungono i loro obiettivi. Se le credenziali utente sono gestite male o lasciate vulnerabili senza misure di protezione cruciali come l'autenticazione a più fattori (MFA) e le funzionalità senza password, gli stati-nazione continueranno a usare le stesse semplici tattiche.

La necessità di adottare la MFA o funzionalità senza password non può essere enfatizzata troppo, perché la semplicità e i costi ridotti degli attacchi basati sulle identità le rendono pratiche ed efficaci per gli attori. La MFA non è l'unico strumento di gestione delle identità e degli accessi che le organizzazioni dovrebbero usare, ma può fornire anche un efficace deterrente per gli attacchi.

L'uso improprio delle credenziali è un'arma cui ricorre molto spesso NOBELIUM, un antagonista di stato-nazione collegato alla Russia. Tuttavia, altri antagonisti, come DEV 0343 collegato all'Iran, si affidano anche al password spraying. L'attività di DEV-0343 è stata osservata tra le società di difesa che producono radar militari, tecnologie di droni, sistemi satellite e sistemi di comunicazione di risposta di emergenza. Altre attività hanno colpito i porti regionali di ingresso nel Golfo Persico e diverse società di trasporto merci e marittimo con interessi commerciali in Medio Oriente.

Analisi dei cyberattacchi basati sulle identità lanciati dall'Iran

I paesi più colpiti dall'Iran tra luglio 2020 e giugno 2021 sono stati gli Stati Uniti (49%), Israele (24%) e l'Arabia Saudita (15%). Scopri di più su questa immagine a pagina 4 del report completo

Un'organizzazione dovrebbe:

Abilitare l'autenticazione a più fattori: così facendo, riduci il rischio che le password cadano nelle mani sbagliate. Ancora meglio, elimini direttamente le password usando la MFA senza password.

Controllare i privilegi degli account: gli account dotati di accesso con privilegi, se dirottati, diventano un'arma potente che gli utenti malintenzionati possono usare per ottenere un accesso maggiore alle reti e alle risorse. I team della sicurezza dovrebbero controllare i privilegi di accesso regolarmente, applicando il principio dei privilegi minimi per consentire ai dipendenti di svolgere le loro attività.
Rivedere, rafforzare e monitorare tutti gli account amministratore tenant: i team della sicurezza dovrebbero rivedere attentamente tutti gli utenti amministratore tenant o gli account collegati a privilegi amministrativi con delega per verificare l'autenticità di utenti e attività. Dovrebbero quindi disabilitare o rimuovere eventuali privilegi amministrativi con delega non utilizzati.
Stabilire e applicare una baseline di sicurezza per ridurre i rischi: gli stati-nazione usano strategie a lungo termine e hanno i fondi, la determinazione e la scalabilità necessari per sviluppare nuove tecniche e strategie di attacco. Ogni iniziativa di rinforzo della rete ritardata a causa della larghezza di banda o della burocrazia gioca a loro vantaggio. I team della sicurezza dovrebbero dare la priorità all'implementazione di pratiche Zero Trust come la MFA e gli aggiornamenti senza password. Possono iniziare dagli account con privilegi per ottenere una protezione rapidamente, per poi andare avanti in fasi incrementali e continue.

Il ransomware è la minaccia più conosciuta, ma non è l'unica

La narrazione dominante sembra essere che ci sono tantissime nuove minacce ransomware che superano le capacità dei difensori. Tuttavia, l'analisi di Microsoft mostra che questo non è esatto. C'è anche una percezione che alcuni gruppi di ransomware sono un'unica entità monolitica, ma anche questa è un'informazione errata. Esiste invece un'economia di criminali informatici in cui diverse figure in catene di attacchi commoditizzati fanno scelte deliberate. Seguono un modello economico per massimizzare i profitti in base a come ognuno di loro sfrutta le informazioni cui ha accesso. La grafica di seguito mostra come diversi gruppi traggono profitto da varie strategie di cyberattacco e informazioni ottenute dalle violazioni dei dati.

Prezzi medi per vari servizi di crimine informatico

Prezzi medi dei servizi di crimine informatico per la vendita. Gli utenti malintenzionati a pagamento partono da 250 USD a lavoro. I kit ransomware costano 66 USD o il 30% del profitto. I dispositivi compromessi partono da 13 centesimi a PC e 82 centesimi a dispositivo mobile. Lo spear phishing a pagamento va da 100 USD a 1000 USD. Le coppie di password e nome utente rubati partono da 97 centesimi per 1000 in media. Scopri di più su questa immagine a pagina 5 del report completo

Detto ciò, indipendentemente dal ransomware esistente o dagli sforzi fatti, si riduce tutto a tre vettori di ingresso: attacchi di forza bruta Remote Desktop Protocol (RDP), sistemi con accesso a Internet vulnerabili e phishing. Tutti questi fattori possono essere ridotti con la giusta protezione delle password, una gestione delle identità efficace e aggiornamenti software, oltre a un set di strumenti di sicurezza e conformità completo. Un tipo di ransomware può diventare prolifico solo se ottiene l'accesso alle credenziali e ha la capacità di diffondersi. A quel punto, anche se è una minaccia nota, può infliggere molti danni.

Grafico sugli attori di minacce dall'accesso iniziale al movimento laterale nel sistema

Percorso del comportamento di un attore di minacce dopo la violazione del sistema dal punto di accesso al furto di credenziali e al movimento laterale nel sistema. Tiene traccia del percorso persistente per acquisire account e payload del ransomware. Scopri di più su questa immagine a pagina 5 del report completo

I team della sicurezza dovrebbero:

Capire che il ransomware sfrutta le credenziali predefinite o compromesse: di conseguenza i team della sicurezza dovrebbero accelerare le misure di protezione come l'implementazione della MFA senza password per tutti gli account utente e la prioritizzazione di dirigenti, amministratori e altri ruoli con privilegi.
Determinare come individuare le anomalie spia in tempo utile: accessi in anticipo, spostamento di file e altri comportamenti che introducono ransomware possono sembrare comuni. Tuttavia i team devono monitorare le anomalie e agire velocemente.
Avere un piano di risposta al ransomware e condurre esercizi di recupero: viviamo nell'era della sincronizzazione e condivisione sul cloud, ma le copie di dati sono diverse da interi sistemi IT e database. I team devono visualizzare ed esercitarsi sulle modalità di recupero.
Gestire gli avvisi e occuparsi rapidamente della mitigazione: tutti temono gli attacchi ransomware, ma i team di sicurezza dovrebbero concentrarsi innanzitutto sul rafforzamento delle configurazioni della sicurezza deboli che consentono la riuscita degli attacchi. Dovrebbero gestire le configurazioni della sicurezza in modo che avvisi e rilevamenti vengano gestiti in modo appropriato.

Curva sulla distribuzione della protezione che mostra come l'igiene della sicurezza di base aiuta a difendersi dal 98% degli attacchi

Difenditi dal 98% degli attacchi utilizzando antimalware, applicando l'accesso con privilegi minimi, abilitando l'autenticazione a più fattori, tenendo le versioni aggiornate e proteggendo i dati. Il rimanente 2% della curva a campana include gli attacchi outlier. Scopri di più su questa immagine a pagina 5 del report completo

Ottieni ulteriori indicazioni Christopher Glyer, Principal Threat Intelligence Lead presso Microsoft, su come proteggere le identità.

Vengono ottenuti dati analitici e le minacce vengono bloccate usando più di 24 trilioni di segnali ogni giorno

Minacce dell'endpoint:

Microsoft Defender per endpoint ha bloccato più di 9,6 miliardi di minacce malware contro dispositivi di clienti aziendali e consumer, tra gennaio e dicembre 2021.

Minacce tramite posta elettronica:

Microsoft Defender per Office 365 ha bloccato più di 35,7 miliardi di attacchi di phishing e altre e-mail dannose contro clienti aziendali e consumer, tra gennaio e dicembre 2021.

Minacce alle identità:

Microsoft (Azure Active Directory) ha rilevato e bloccato più di 25,6 miliardi di tentativi di dirottare account di clienti aziendali con credenziali rubate tramite attacchi di forza bruta, tra gennaio e dicembre 2021.

Metodologia: per i dati istantanei, le piattaforme Microsoft, tra cui Defender e Azure Active Directory, hanno fornito dati anonimizzati sull'attività delle minacce, come tentativi di accesso tramite attacchi di forza bruta, phishing e altre e-mail dannose contro aziende e clienti, nonché attacchi malware tra gennaio e dicembre 2021. Ulteriori informazioni dettagliate derivano dai 24.000 miliardi di segnali di sicurezza quotidiani ottenuti tramite Microsoft, tra cui il cloud, gli endpoint e la rete perimetrale intelligente. I dati sull'autenticazione avanzata combinano MFA e protezione senza password.

Panorama delle minacce

Scarica