Threat Intelligence: scopri se è arrivato il momento di integrarla in azienda

Tratto da Blog Kaspersky
Autore: Daniela Incerti – 24/11/2020
 
E’ giunto il momento di integrare la Threat Intelligence in azienda? Ecco le informazioni fondamentali per prevedere e prevenire cyberminacce e attacchi informatici
 

 

Aziende, vendor e analisti sono attualmente impegnati in un accurato processo di studio e verifica volto a definire cos’è effettivamente la Threat Intelligence e ciò che invece non lo è. Si tratta di un processo assolutamente necessario, perché solo comprendendo ciò che NON è Threat Intelligence, si potrà registrare un’evoluzione del settore in termini di sviluppo di prodotti e servizi che serviranno da base per una Cybersecurity proattiva.

Originariamente, sono state considerate in qualità di precursori della “Threat Intelligence” le blacklist di IP e URL; in seguito, per integrare le informazioni contenute in tali elenchi, sono stati sviluppati prodotti di sicurezza come i firewall next generation (NGFW) e specifici prodotti per la gestione degli eventi (SIEM). Tuttavia, con il trascorrere del tempo, la quantità di dati riconducibili alla Threat Intelligence è cresciuta in modo esponenziale; è quindi divenuto particolarmente difficile stabilire cosa fosse davvero rilevante e cosa no. Inoltre, i controlli di sicurezza allora esistenti non erano stati affatto progettati per elaborare un numero così elevato di Indicatori di Compromissione.

L’importanza dell’analisi dei dati

Vi sono attualmente numerosi provider di threat feed e servizi di intelligence sulle minacce intenti a processare e fornire grandi quantità di dati essenzialmente non elaborati (ovvero indicatori privi di contesto), proposti sul mercato come “Threat Intelligence”. Alimentare le proprie attività di sicurezza con una simile “intelligence” causa inevitabilmente un numero eccessivo di falsi avvisi di sicurezza quotidiani, che si riflette in un sovraccarico di lavoro per i team responsabili della sicurezza IT, creando notevoli difficoltà nella gestione di tali notifiche. Situazioni del genere provocano un forte impatto negativo, sia in termini di effettiva capacità di risposta agli incidenti, sia a livello di sicurezza complessiva dell’azienda. Secondo una ricerca condotta da Cisco nel 2018, il 44% degli avvisi di sicurezza quotidiani non viene sottoposto ad alcuna investigation: i dati rimangono semplicemente inutilizzati. Selezionare e classificare un’enorme quantità di dati (privi di effettivo contesto) provenienti dalle fonti di intelligence sulle minacce non significa affatto produrre e fornire una vera Threat Intelligence.

Ciò ha generato la consapevolezza che non esiste, di fatto, una soluzione di Threat Intelligence pronta all’uso per garantire la protezione dell’azienda. È opinione comune, al giorno d’oggi, che montagne di dati non elaborati e privi di qualsiasi struttura non debbano essere definite “utili”, e men che meno classificate come “intelligence”. E soprattutto, i dati, per quanto rilevanti, continuano a rivelarsi inutili se non risultano finalizzati all’azione e contestualizzati.

L’attenzione è ora interamente rivolta alla qualità delle fonti di dati. La sola identificazione di ciò che in passato rappresentava una minaccia appartiene ormai a un’epoca remota. I dati devono necessariamente fornire non solo gli insight, ma anche precise linee guida per le conseguenti decisioni e azioni. E se la qualità dei dati risulta limitata dalla carenza di valide fonti, ad esempio in caso di visibilità insufficiente riguardo alle minacce che si celano nella Darknet, o di assenza di una vision globale e multilingue, è impossibile trasformare gli stessi in un’efficace Threat Intelligence. Una vera intelligence deve essere in grado di prevedere il modo in cui l’azienda dovrà necessariamente prepararsi per combattere le future minacce.

Ogni organizzazione è diversa e necessità di soluzioni mirate

Inoltre, una valida soluzione di Threat Intelligence deve sapersi adattare perfettamente alle specifiche esigenze di ogni singola organizzazione in termini di sicurezza IT. Deve guidare l’azienda nell’impostare, in relazione agli asset di natura critica, gli indispensabili punti di raccolta interna dei dati, in modo da abbinare questi ultimi con la Threat Intelligence esterna, al fine di identificare in modo efficiente le potenziali minacce. Senza tale approccio mirato, non si potranno stabilire le necessarie priorità in termini di informazioni occorrenti per difendere le risorse chiave. “Le minacce sono effettivamente tali solo nello specifico contesto di rischio dell’azienda”, afferma Helen Patton, Chief Information Security Officer (CISO) presso la Ohio State University.

 

Fondamentale l’integrazione con i processi aziendali

In ultima analisi, se l’intelligence non è “finalizzata all’azione” non si rivela utile. Per esserlo, deve riuscire a integrare perfettamente più fonti di Threat Intelligence nelle attività di sicurezza svolte dall’organizzazione, attraverso un unico entry point. Se la Threat Intelligence di tipo machine-readable e human-readable non può essere utilizzata in modo rapido e agevole assieme ai sistemi già implementati in azienda, se i relativi formati e metodi di fornitura non supportano una facile integrazione con le attività di sicurezza già esistenti, ciò significa che i dati prodotti non potranno essere convertiti in una efficace soluzione di Threat Intelligence.

In conclusione, se risulta impossibile elaborare, integrare e convertire i dati in intelligence finalizzata ad un’azione immediata, allo scopo di garantire esclusivi insight sulle minacce emergenti, consentire ai security team di assegnare le giuste priorità agli avvisi di sicurezza, ottimizzare le risorse e accelerare i processi decisionali, un simile accumulo di dati non potrà mai superare il test di “Threat Intelligence” in base ai requisiti necessari nel 2020.

Come decidere se la propria azienda è “pronta” per la Threat Intelligence?

Di seguito sono riportate alcune domande, estremamente utili per determinarlo. Se la maggior parte delle risposte è SÌ, allora è già tempo di pensare a integrare la Threat Intelligence in azienda.

  1. L’azienda ha bisogno di prendere decisioni informate più rapide e più efficaci in materia di sicurezza IT, basate su prove concrete, anziché starsene a inseguire delle ombre?
  2. Gli esperti del security team aziendale si trovano in difficoltà nella gestione degli avvisi di sicurezza e nell’assegnazione delle relative priorità? Forse un considerevole numero di avvisi non viene esaminato semplicemente perché il team in questione è già sovraccarico di lavoro?
  3. L’azienda deve comprendere meglio quali sono le vulnerabilità maggiormente soggette allo sfruttamento da parte di cybercriminali? Non sa esattamente in che modo assegnare le priorità a livello di patching?
  4. L’azienda ha forse bisogno di informazioni in tempo reale più accurate riguardo agli URL e agli indirizzi IP malevoli che minacciano il proprio ambiente digitale?
  5. L’azienda deve individuare eventuali dati carpiti da qualche malintenzionato, che potrebbero arrecare danni all’immagine o al brand dell’impresa?
  6. All’azienda occorre forse un quadro ben più chiaro riguardo a chi possa effettivamente essere l’avversario, in merito alle tipologie di attacco più probabili e alle misure proattive da adottare per rafforzare le difese informatiche?
  7. L’azienda corre il rischio di non riuscire a rilevare le minacce attive in agguato all’interno dell’infrastruttura IT, oppure i cyberattacchi nel momento stesso in cui si verificano (e individua l’assalto solo in seguito, o addirittura mai!), mentre aumentano i costi generati dall’attacco e si amplifica la portata delle conseguenze negative prodotte dallo stesso?
  8. L’azienda si trova in difficoltà nello stabilire le priorità in relazione agli incidenti occorsi e rischia di perseguire una strategia di sicurezza per nulla adeguata alle attuali minacce attive?

Per un test dimostrativo riguardo ai vantaggi prodotti dall’implementazione di un servizio di Threat Intelligence all’interno della propria azienda, è possibile accedere gratuitamente al Threat Intelligence Portal (TIP) di Kaspersky, che mette a disposizione decine di tecnologie di analisi avanzata, combinate tra loro, relativamente a file, hash, indirizzi IP e URL sospetti, consentendo ben 4.000 lookup al giorno per ogni singola azienda.

26 Novembre 2020

Ragnar Locker e Egregor: il ransomware 2.0

Tratto da: BitMAT
Autore: Redazione BitMAT – 12/11/2020
 

I criminali ampliano il raggio d’azione dall’encryption dati alla pubblicazione di informazioni riservate

 

Ragnar Locker ed Egregor: il ransomware 2.0
 
 

I comuni attacchi ransomware sono stati sostituiti, negli ultimi due anni, da attacchi mirati contro aziende e settori specifici: gli attaccanti non solo minacciano di criptare i dati ma pubblicano online le informazioni riservate. I ricercatori di Kaspersky hanno osservato questo trend nella recente analisi su Ragnar Locker ed Egregor, due importanti famiglie di ransomware.

In generale, gli attacchi ransomware sono considerati una delle minacce più gravi per le imprese. Non solo possono interrompere le operazioni aziendali critiche, ma possono anche causare ingenti perdite finanziarie. In alcuni casi, le multe e le cause legali sostenute in seguito alla violazione di leggi e regolamenti possono persino portare un’azienda al fallimento. Ad esempio, si stima che gli attacchi di WannaCry abbiano causato più di 4 miliardi di dollari di perdite finanziarie. Tuttavia, le nuove campagne ransomware stanno modificando il loro modus operandi, minacciando di rendere pubbliche le informazioni aziendali rubate.

Ragnar Locker e Egregor sono due note famiglie di ransomware che impiegano questo nuovo metodo di estorsione.

Ragnar Locker è stato scoperto per la prima volta nel 2019, ma è diventato noto solo nella prima metà del 2020, quando ha rivolto la propria attenzione a grandi organizzazioni. Gli attacchi sono estremamente mirati con ogni campione specificatamente adattato alla vittima designata. I dati riservati di chi si rifiuta di pagare il riscatto, così come le conversazioni intercorse con gli attaccanti, vengono pubblicati nella sezione “Wall of Shame” del loro sito dedicato informazioni rubate. I principali obiettivi di Ragnar Locker sono aziende situate negli Stati Uniti che operano in diversi settori industriali. Lo scorso luglio, Ragnar Locker ha dichiarato di aver aderito al cartello del ransomware Maze, una delle più note famiglie ransomware del 2020, e questo sta a indicare che i due collaboreranno e si scambieranno le informazioni rubate.

Egregor, osservato per la prima volta a settembre, è un ransomware più recente rispetto a Ragnar Locker. Utilizza però molte tattiche simili a quelle usate da Maze oltre a presentare delle somiglianze nel codice. Il malware viene in genere rilasciato violando la rete e, una volta che i dati dell’obiettivo sono stati esfiltrati, concede alla vittima 72 ore di tempo per pagare il riscatto prima che le informazioni rubate diventino di dominio pubblico. Nel caso in cui le vittime si rifiutassero di pagare il riscatto, i loro nomi e i collegamenti per scaricare i dati aziendali riservati verrebbero pubblicati sul sito preposto alla fuga di notizie creato dagli attaccanti.

La superficie d’attacco di Egregor è molto più estesa di quello di Ragnar Locker. Sono state registrate vittime in Nord America, Europa e in alcune zone della regione APAC (Asia Pacific).

“Il trend che stiamo osservando in questo momento è l’ascesa dei ransomware 2.0. Rileviamo attacchi sempre più mirati che utilizzano un processo di estorsione che non si basa più solo sulla crittografia, ma implica anche la pubblicazione online di dati riservati. La reputazione aziendale non è la sola a essere messa a repentaglio. Nel caso in cui i dati pubblicati violino norme come l’HIPAA o il GDPR, è possibile che vengano intraprese anche azioni legali, con delle conseguenze che vanno oltre le perdite finanziarie”, ha dichiarato Dmitry Bestuzhev, Head del Latin American Global Research and Analysis Team (GReAT).

“Nello scenario attuale, le organizzazioni devono considerare i ransomware come una minaccia più pericolosa di un semplice malware. Il ransomware è spesso solo la fase finale di una violazione della rete. Nel momento in cui il ransomware viene implementato, l’attaccante ha già eseguito una ricognizione della rete, identificato i dati confidenziali e provveduto all’esfiltrazione. È importante, quindi, che le organizzazioni implementino tutte le buone pratiche in materia di sicurezza informatica. Identificare l’attacco in una fase iniziale, prima che gli attaccanti raggiungano il loro obiettivo finale, permette un notevole risparmio economico”, ha aggiunto Fedor Sinitsyn, security expert di Kaspersky.

Per proteggersi dagli attacchi ransomware, gli esperti di Kaspersky raccomandano alle aziende di:

  • Non esporre i servizi di desktop remoto (come l’RDP, il Remote Desktop Protocol) a reti pubbliche se non strettamente necessario e utilizzare sempre password complesse.
  • Aggiornare sempre il software su tutti i dispositivi utilizzati. Per impedire al ransomware di sfruttare le vulnerabilità, servirsi di strumenti in grado di rilevarle in modo automatico e scaricare e installare le patch
  • Installare tempestivamente le patch disponibili per le soluzioni VPN commerciali che forniscono l’accesso ai dipendenti da remoto e agiscono come gateway all’interno della rete.
  • Non aprire allegati sospetti ricevuti via mail da mittenti sconosciuti.
  • Utilizzare soluzioni come Kaspersky Endpoint Detection and Response e Kaspersky Managed Detection and Response per identificare e bloccare l’attacco nella sua fase iniziale, prima che gli attaccanti raggiungano l’obiettivo.
  • Focalizzare la propria strategia di difesa nel rilevare tattiche di movimento laterale e esfiltrazione di dati su internet. Prestare particolare attenzione al traffico in uscita in modo da rilevare connessioni da parte dei cybercriminali, eseguire regolarmente il backup dei dati e assicurarsi di potervi accedere rapidamente in caso di emergenza quando necessario.
  • Formare i dipendenti per proteggere le risorse aziendali. I corsi di formazione dedicati, come quelli forniti da Kaspersky Automated Security Awareness Platform, possono offrire un valido aiuto.
  • Utilizzare una soluzione di sicurezza affidabile per i dispositivi personali come Kaspersky Security Cloud, che protegga dagli encryption malware e ripristini le modifiche apportate dalle applicazioni dannose.
  • Migliorare la protezione aziendale con Anti-Ransomware Tool for Business, uno strumento gratuito offerto da Kaspersky. La versione recentemente aggiornata integra una funzionalità di prevenzione degli exploit per evitare che il ransomware e altre minacce sfruttino le vulnerabilità di software e applicazioni. È utile anche per i clienti che utilizzano Windows 7, poiché al termine del supporto per questo sistema operativo lo sviluppatore non rilascerà più patch per le nuove vulnerabilità
  • Per una protezione completa, utilizzare una soluzione di sicurezza degli endpoint, come Integrated Endpoint Security, che si basa sulla prevenzione degli exploit, sulle tecnologie di behavior detection e su un motore di remediation in grado di annullare le operazioni dannose.

Per ulteriori informazioni: dircom@argonavis.it

17 Novembre 2020

Con il Fondo per la formazione, Kaspersky Automated Security Awareness & Kaspersky Adaptive Online Training

Redazione Argonavis
 
 
 

E’ stato pubblicato sul sito dell’ANPAL (Agenzia Nazionale Politiche Attive del Lavoro) il bando per il fondo di formazione dei dipendenti delle aziende private.

Sono risorse messe a disposizione entro il 31 Dicembre 2020 per progetti di formazione. Al link di seguito tutti i dettagli:https://www.anpal.gov.it

Vista la situazione sia economica che congiunturale, questa è certamente un’opportunità per far crescere la cultura e la consapevolezza dell’importanza della formazione in ambito Security all’interno di qualsiasi tipo di struttura ed attività.

Kaspersky propone al riguardo due soluzioni per la formazione:

  • KASAP (Kaspersky Automated Security Awareness)
  • KAOT (Kaspersky Adaptive Online Training).

Per ulteriori informazioni: dircom@argonavis.it

12 Novembre 2020

Kaspersky: ecco i nuovi trend negli attacchi APT

Tratto da www.lineaedp.it
Redazione LineaEDP – 04/11/2020
 
 
APT_Kaspersky

I ricercatori di Kaspersky hanno studiato e individuato le nuove tendenze negli attacchi APT

Nel terzo trimestre del 2020, i ricercatori di Kaspersky hanno osservato una spaccatura nell’approccio adottato dai threat actor. Sono stati osservati diversi sviluppi nelle tattiche, tecniche e procedure (TTP) dei gruppi APT di tutto il mondo, oltre a campagne efficaci che utilizzano vettori di infezione e set di strumenti piuttosto banali.

Uno dei risultati più importanti del trimestre è stata una campagna condotta da un threat actor non ancora conosciuto che ha deciso di infettare una delle vittime utilizzando un bootkit personalizzato per l’UEFI, un componente hardware essenziale dei moderni dispositivi informatici. Questo vettore di infezione faceva parte di un framework a più stadi chiamato MosaicRegressor. L’infezione del UEFI ha reso il malware installato sul dispositivo più persistente ed estremamente difficile da rimuovere. Inoltre, il payload scaricato dal malware sui dispositivi di ciascuna vittima poteva essere diverso. Questo approccio flessibile ha permesso al threat actor di nascondere il suo payload in modo efficace.

Altri gruppi criminali si avvalgono della steganografia. In the wild è stato rilevato, in un attacco rivolto ad una società di telecomunicazioni europea, un nuovo metodo che abusa del binario Windows Defender firmato Authenticode, un programma integrale e approvato per la soluzione di sicurezza Windows Defender. Una campagna in corso, attribuita a Ke3chang, ha utilizzato una nuova versione della backdoor di Okrum. Questa versione aggiornata di Okrum abusa di un binario di Windows Defender firmato Authenticode attraverso l’impiego di una tecnica di side-loading unica nel suo genere. Gli aggressori hanno utilizzato la steganografia per nascondere il payload principale nell’eseguibile del Defender, mantenendone valida la firma digitale e riducendo così le possibilità di rilevamento.

Anche molti altri threat actor continuano ad aggiornare i loro toolset per renderli più flessibili e meno inclini al rilevamento. Diversi framework multistadio, come quello sviluppato dal gruppo APT MuddyWater, continuano ad apparire in the wild. Questo trend vale anche per altri malware come Dtrack RAT (Remote Access Tool), ad esempio, che è stato aggiornato con una nuova funzione che consente all’aggressore di eseguire diversi payload.

Tuttavia, alcuni gruppi criminali utilizzano ancora con successo catene di infezione a bassa tecnologia come ad esempio un gruppo di mercenari che i ricercatori di Kaspersky hanno chiamato DeathStalker. Questo gruppo APT si concentra principalmente su studi legali e società che operano nel settore finanziario, raccogliendo informazioni sensibili e preziose dalle vittime. Grazie all’impiego di tecniche per lo più identiche dal 2018 e ad una particolare attenzione ai metodi per eludere i sistemi di rilevamento, DeathStalker è stato in grado di portare avanti una serie di attacchi di successo.

“Mentre alcuni threat actor rimangono coerenti nel tempo cercando di sfruttare temi caldi come il COVID-19, per invogliare le vittime a scaricare allegati dannosi, altri gruppi reinventano sé stessi e i loro strumenti. Nell’ultimo trimestre abbiamo assistito all’ampliamento della portata delle piattaforme attaccate, ad un continuo lavoro sulle nuove catene di infezione e all’uso di servizi legittimi come parte della loro infrastruttura di attacco. In definitiva, per gli specialisti di sicurezza questo significa che i difensori dovranno investire diverse risorse nella caccia alle attività malevole in nuovi ambienti legittimi che in passato sono stati poco esaminati. Questo include malware scritti in linguaggi di programmazione meno conosciuti e veicolati attraverso servizi cloud legittimi. Il tracciamento delle attività degli attori e dei TTP ci permette di seguirli mentre adattano nuove tecniche e strumenti, e quindi di prepararci a reagire in tempo ai nuovi attacchi”, ha commentato Ariel Jungheit, Senior Security Researcher, Global Research and Analysis Team di Kaspersky.

È disponibile una sintesi delle tendenze APT dell’ultimo trimestre che riassume i risultati dei report di threat intelligence di Kaspersky relativi ai soli abbonati, oltre ad altre fonti che coprono i principali sviluppi di cui il settore aziendale dovrebbe essere a conoscenza. I report di threat intelligence di Kaspersky includono anche i dati sugli Indicatori di Compromissione (IoC), nonché le regole di Yara e Suricata per aiutare gli esperti forensi e supportare la caccia ai malware.

Per evitare di cadere vittima di un attacco mirato da parte di un attore noto o sconosciuto, i ricercatori di Kaspersky raccomandano di mettere in pratica le seguenti misure:

• Fornire al team SOC l’accesso alla threat intelligence più recente (TI). Kaspersky Threat Intelligence Portal offre un unico punto di accesso per la TI dell’azienda e fornisce i dati sugli attacchi informatici in corso e le informazioni raccolte da Kaspersky in oltre 20 anni di esperienza sul campo. È possibile accedere gratuitamente alle sue funzioni e controllare file, URL e indirizzi IP a questo link.
• Per la detection a livello endpoint, l’indagine e il ripristino tempestivo degli incidenti, è necessario implementare soluzioni EDR come Kaspersky Endpoint Detection and Response.
• Oltre ad adottare una protezione per endpoint è necessario implementare una soluzione di sicurezza di livello aziendale in grado di rilevare tempestivamente le minacce avanzate della rete, come Kaspersky Anti Targeted Attack Platform.

9 Novembre 2020