10 SUGGERIMENTI PER MIGLIORARE
LA CAPACITÀ DI RISPOSTA E GESTIONE
DEGLI INCIDENT DI SICUREZZA
EXECUTIVE SUMMARY
Gli attacchi alla sicurezza delle informazioni sono diventati più mirati, più sofisticati,
più adattabili e più difficili da rilevare. Prevenire gli attacchi diventa sempre più difficile,
pertanto i professionisti della sicurezza delle informazioni devono elaborare una
strategia di risposta più efficace, riducendo il tempo a disposizione degli attacker
all'interno della rete, individuando più rapidamente la root cause e apprendendo
da ciascun attacco per ridurre il rischio futuro.
La capacità di risposta e gestione degli incident da parte delle organizzazioni è spesso
carente in dieci aree che ruotano attorno a personale, processi e tecnologia. Con la
gestione di queste carenze, i professionisti della sicurezza possono ridurre i rischi
generando warning precoci dei problemi potenziali, anziché affannarsi a rincorrere
la minaccia più recente.
White paper RSA
10 suggerimenti per migliorare la capacità di risposta e gestione degli incident di sicurezza
Le organizzazioni per la sicurezza piatte, dipendenti da sistemi di sicurezza basati
su firma, non sono adeguate per supportare l'ambiente delle minacce attuali.
OCCORRONO STRUTTURA DEL TEAM, COMPETENZE
E PERSONALE ADEGUATI
La tecnologia che consente di individuare, analizzare e rispondere agli incident
di sicurezza o alle violazioni dei dati è di ben poca utilità se manca il personale
competente che la utilizzi. Per garantire risposte coerenti e adeguate alle minacce,
il personale in questione deve disporre di ruoli e responsabilità definiti in modo chiaro.
Allo stesso tempo, gli utenti finali necessitano di corsi di formazione e stimoli per
riconoscere ed evitare fenomeni di fishing e altre minacce di social engineering.
•Suggerimento 1: Garantire personale adeguato. È necessario destinare almeno una
parte del personale alla risposta agli incident, anziché incaricare dipendenti part-time
o mutuati da altre funzioni di sicurezza o IT. L'esperienza necessaria deve riguardare
aree quali individuazione degli incident, analisi legali, analisi di malware, threat
intelligence e gestione delle violazioni. La maggior parte degli attacchi è mirata
alle piattaforme di elaborazione più diffuse, pertanto le organizzazioni necessitano
di almeno un membro del personale capace di eseguire analisi sia statiche che
dinamiche sulle architetture x86 e su Windows. In teoria il personale dovrebbe
far parte di un team dedicato a strategie e strumenti avanzati, fornendo supporto
avanzato per la risposta agli incident di Livello 1 e 2.
Un modello di personale tipico può includere un analista di threat intelligence, un
analista di supporto di strumenti e analisi e un analista di Tier 1 e 2, tutti facenti capo
al Security Operations Center Manager. Alcuni di questi ruoli possono essere ricoperti
anche da service provider o contractor, anziché da personale interno full-time. Ogni
dipendente deve ricevere formazione adeguata e continua specifica per il proprio
ruolo, e alternarsi con rotazione regolare, per aumentare le competenze e ridurre
il sovraffaticamento.
•Suggerimento 2: Definire in modo chiaro ruoli o responsabilità. Se tutti i membri del
dipartimento IT sono potenzialmente in grado di rispondere agli incident, nessuno
avrà la percezione della responsabilità su di sé, determinando in tal modo confusione,
processi e priorità incoerenti, e infine, l'evenienza peggiore in assoluto, la situazione
in cui nessuno risponde a un incident pensando che lo stia facendo qualcun altro.
I ruoli e le responsabilità devono essere definiti in modo chiaro, distinguendo tra la
gestione dei dispositivi di sicurezza, la gestione degli incident e la gestione delle
analisi e dei dati sulla sicurezza. Le organizzazioni devono impiegare personale
specializzato e multi-tier con la flessibilità di incrementare rapidamente i team
di risposta agli incident.
pagina 2
10 suggerimenti per migliorare la capacità di risposta e gestione degli incident di sicurezza
Suggerimento di
implementazione: avendo
a disposizione procedure
definite di analisi degli
incident di Livello 1, un
analista di Livello 2 può
eseguire alcune analisi di
host e malware, da semplici
a intermedie, per estrarre
actionable intelligence e
persino passare a un ruolo di
Livello 3 (analisi avanzate) con
l'aumentare della competenza
del team addetto alle
operazioni di sicurezza.
Gli incaricati delle risposte agli incident di Livello 1 devono essere responsabili
delle analisi basate sui livelli di servizio, attenendosi a processi ben documentati,
procedure e checklist, ad esempio devono occuparsi del completamento di tutte
le procedure di checklist nei tempi previsti. Gli incaricati delle risposte agli incident
di Livello 2 devono essere responsabili della risoluzione dei problemi e della
correlazione dei dati proveniente da fonti differenti. Ad esempio, potrebbe essere
necessario che un analista di Livello 2 combini un esame dei log con un esame dei
problemi derivanti dall'acquisizione di pacchetti e dai sistemi host. Per questa
funzione, le organizzazioni più avanzate in materia di sicurezza possono aggiungere
un team interno di Livello 3, mentre quelle meno avanzate possono incaricare un
collaboratore esterno. Il team di Livello 3 effettua l'analisi del malware e la decodifica
che consente di violare il codice macchina del malware, riportandolo al codice
sorgente per identificare meglio la natura specifica dell'attacco e comprendere come
combatterlo. Comprendendo come opera il malware, l'analista potrà inoltre difendere
meglio in futuro il sistema dalle varianti degli strumenti, delle strategie e delle
procedure dell'attacker.
•Suggerimento 3: Migliorare la formazione/Aumentare la sensibilità dell'utente per
evitare minacce avanzate. Gli utenti finali costituiscono spesso l'anello più debole
della catena delle difese dell'organizzazione, rimanendo vittime di tecniche quali
spear phishing e social engineering che causano gli attacchi della rete. Sebbene gli
utenti sappiano di dover richiedere una prova prima di fornire la propria password
a chiunque si presenti come "help desk", è facile dimenticare queste linee guida nella
pressione del lavoro quotidiano.
È responsabilità del personale addetto alla sicurezza trovare metodi creativi che
consentano agli utenti di ricordare la lezione. Un approccio consiste nel condurre
attacchi reali di fishing interni e chiedere al personale interno quanto sia stato facile
o difficile sferrare l'attacco. Creare una competizione amichevole tra i dipartimenti
utente sull'analisi di un attacco può stimolare l'attenzione e la conformità.
RAFFORZAMENTO DEI PROCESSI PER
IL MIGLIORAMENTO CONTINUO
La maggior parte delle organizzazioni concentra la loro attenzione solo sul ritorno alla
normalità dopo un attacco, con operazioni quali reimaging dei sistemi, modifica delle
regole del firewall e aggiornamento delle firme IDS/IPS. Tutto ciò non riduce tuttavia
a sufficienza i rischi futuri. Con la definizione sia di obiettivi di alto livello sia di
procedure e processi dettagliati per l'individuazione, la risposta e l'analisi degli
incident, un'organizzazione è in grado di ottenere informazioni più chiare e dettagliate
sull'incident. Ciò consente di individuare, analizzare e porre rimedio agli attacchi in
maniera più rapida ed efficiente, nonché di ridurre il rischio di danni.
•Suggerimento 4: Formalizzare le procedure e i processi di risposta. Nella sicurezza,
come in molte altre aree, uno sforzo ad hoc determina risultati ad hoc, la cui assenza
potrebbe lasciare vuoti pericolosi nelle difese di un'organizzazione. Grazie a workflow
predefiniti, monitorati e applicati, è possibile garantire responsabilità e coerenza,
che è possibile monitorare più agevolmente per migliorare il comportamento di
un'organizzazione in materia di sicurezza nel tempo. Quando si parla di incident
critici, la maggior parte delle organizzazioni intraprende un approccio "all-hands-ondeck" e riesce a ottenere in genere buoni risultati nella risoluzione dei problemi e nel
limitare le conseguenze di un incident prima che accada l'irreparabile.
Un'organizzazione migliora la propria capacità di risposta se assegna delle priorità
agli incident in modo da concentrare maggiore attenzione, personale e budget sulle
applicazioni e i dati di maggiore valore, nonché su quelle piattaforme più vulnerabili
ad uno sfruttamento. L'organizzazione raggiunge un livello ancora più elevato di
maturità se le sue risposte agli incident sono guidate da chiare regole di governance
e Manuali Operativi investigativi.
pagina 3
10 suggerimenti per migliorare la capacità di risposta e gestione degli incident di sicurezza
Tale Manuale Operativo può includere, ad esempio, istruzioni dettagliate sulle risposte
a eventi e incident comuni, ad esempio individuazione di malware, rootkit e dispositivi
wireless non autorizzati. Le altre risposte possono essere applicate a condizioni
potenzialmente rischiose quali accesso amministrativo non autorizzato alle caselle
postali dei dirigenti e tentativi di accesso a domini di malware noti. Le organizzazioni
devono sfruttare le best practice del settore relative alle procedure di risposta agli
incident, ad esempio quelle di NIST, VERIS e del SANS Institute. Devono inoltre
documentare le proprie procedure di best practice e preparare Manuali Operativi
per garantire una risposta più coerente agli incident futuri.
•Suggerimento 5: Migliorare la gestione delle vulnerabilità. L'introduzione della
strategia BYOD (Bring Your Own Device) e l'utilizzo di piattaforme cloud on-demand
da parte delle business unit, non disposte ad attendere i formali processi di
approvvigionamento IT, rendono complessa l'individuazione di sistemi IT
"non autorizzati" che costituiscono una minaccia per la sicurezza.
Attraverso un esame del traffico di rete, sarà possibile scoprire sistemi ignoti e flussi di
dati non previsti, che abbiano aggirato i processi di governance degli asset IT. L'esame
può inoltre rivelare versioni di Java, browser e sistemi operativi obsoleti che potrebbero
essere utilizzati durante gli attacchi. La ricerca delle vulnerabilità rivela inoltre
configurazioni prive di patch e non conformi che comportano rischi per la sicurezza. Le
organizzazioni devono andare oltre i report, composti da migliaia o decine di migliaia
di pagine e privi del contesto di business necessario per assegnare priorità ai sistemi
più importanti per l'organizzazione (vedere il suggerimento 7 per dettagli su come
eseguire tale classificazione delle vulnerabilità incentrate sul business).
Un efficiente processo di patching deve inoltre valutare i rischi e i costi di ciascuna
patch e può includere, a seconda della criticità del problema, dei test che
garantiscano che la patch non entri in conflitto con altri elementi dell'ambiente.
Deve inoltre includere le procedure di ripristino e roll-back nel caso in cui la patch
determini un'interruzione del servizio.
•Suggerimento 6: Imparare dalle violazioni e dagli incident precedenti. Una risposta
agli incident efficiente migliora il comportamento di un'organizzazione in materia
di sicurezza nel tempo. Ciò richiede la documentazione completa e accurata della
risposta all'incident sia durante che dopo l'analisi (vedere il suggerimento 7 di seguito
sulle caratteristiche che dovrebbe avere un sistema di tracciabilità delle risposte agli
incident di sicurezza). Tali dati dovrebbero consentire di migliorare i sistemi e
i processi dell'organizzazione in relazione all'individuazione, all'analisi e alla
limitazione dei danni degli incident futuri. I dati dovrebbero tenere conto di metriche,
quali tempo medio per l'individuazione e la risoluzione degli incident, nonché indicare
il livello generale di efficienza delle contromisure esistenti. In questo modo
l'organizzazione è in grado di determinare se l'allocazione del budget è ottimale.
Inoltre, i responsabili di un Critical Incident Response Center (CIRC) o un Security
Operations Center (SOC) necessitano dell'autorità e del supporto interno degli
stakeholder per analizzare e rispondere agli incident, se lo ritengono necessario.
Per ottenere miglioramenti continui, è necessario che i processi di risposta siano
ripetibili e misurabili attraverso key performance indicator (KPI) pertinenti per il
business. Se uno dei KPI è il "tempo di risoluzione", le prestazioni dell'organizzazione
in relazione ad esso consentono di identificare i dipendenti, i processi e la tecnologia
che hanno aiutato o reso difficile il raggiungimento di questo obiettivo. Un sistema di
incident management consente di identificare la root cause e di impostare un obiettivo
misurabile per apprendere dal passato e valutare se e in che modo stia migliorando
la risposta.
Le organizzazioni più mature documentano inoltre gli use case che descrivono
le situazioni di risposta effettive e gli scenari delle minacce specifiche che hanno
affrontato. In questo modo la parte restante del team potrà imparare dagli incident
precedenti e migliorare la propria risposta.
pagina 4
10 suggerimenti per migliorare la capacità di risposta e gestione degli incident di sicurezza
Un processo basato su intelligence coordinato, centralizzato e tracciabile, supportato
da personale competente e dalla giusta tecnologia, consente il miglioramento continuo
e la riduzione dei rischi degli incident di sicurezza.
•Controlli: capacità di ottenere dati corretti da controlli corretti, basati su firma
e senza firma.
•Contesto: fusione dei dati dei controlli con il contesto di business, rischio e minaccia
per determinare la priorità degli incident.
•Visibilità: l'aggregazione di controlli e contesto e la capacità di gestire gli incident
in un'unica console.
•Esperienza: la formazione, le competenze e l'esperienza del team responsabile
di difendere l'organizzazione e gestire il set di soluzioni.
AGGIORNAMENTO DEI SISTEMI DI MONITORAGGIO E DI ANALISI
I sistemi informatici odierni e gli attacchi che li colpiscono sono sempre più sofisticati.
L'adeguatezza dei sistemi delle tecnologie di individuazione, esame e analisi
degli incident è essenziale per ottimizzare le competenze del personale addetto
alla sicurezza, implementando i processi corretti e apprendendo dagli attacchi
precedenti per rispondere in maniera più efficace.
•Suggerimento 7: Istituire o migliorare il workflow/la tracciabilità delle risposte
agli incident formalizzati. Troppe organizzazioni si affidano a un sistema manuale
e decentrato per la tracciabilità degli incident di sicurezza. Spesso consiste
nell'aggiornamento dei fogli di calcolo da parte dei singoli analisti o poco più.
Alcuni analisti potrebbero essere più competenti o diligenti di altri nell'esecuzione
di tali aggiornamenti, pertanto può essere molto complesso garantire la governance
o rilevare correttamente in che modo vengono gestiti gli incident e se il processo
migliora nel tempo.
Un sistema più efficiente dovrebbe essere altamente personalizzabile, in modo da
stimolare il processo di risposta agli incident dell'organizzazione (dalla raccolta
degli alert alla creazione e all'escalation degli incident) attraverso lo smistamento,
il contenimento, l'analisi e la risoluzione della gravità. Tale strumento deve integrarsi
con altre piattaforme per la sicurezza quali SIEM, AV, IDS e il monitoraggio di rete per
creare automaticamente ticket basati sugli alert provenienti da queste piattaforme.
Inoltre deve consentire all'organizzazione di applicare agli incident categorie di
severity/assegnazione delle priorità personalizzate e di integrare i ticket con dati
interni quali informazioni sugli asset e categorie di criticità e con dati esterni
quali informazioni su blacklist e dominio. Lo strumento deve altresì consentire
all'organizzazione di regolare le categorie di priorità sulla base di nuovi dati sui
rischi e sulle vulnerabilità.
pagina 5
10 suggerimenti per migliorare la capacità di risposta e gestione degli incident di sicurezza
•Suggerimento 8: Implementare un sistema di generazione di alert/monitoraggio
in tempo reale o centralizzato che copra i settori principali dell'azienda. Per
un'individuazione ottimale e un'analisi più efficiente delle attività e degli alert,
gli analisti della sicurezza necessitano della visibilità immediata e completa sugli
indicatori chiave di compromesso. Oltre la telemetria a livello di rete, gli analisti
necessitano della visibilità sui log e sugli eventi dei sistemi di sicurezza, delle
applicazioni e dell'infrastruttura sottostante. Infine, quando si ha a che fare con
i malware, anche la visibilità immediata su ciò che accade in determinati host spesso
si dimostra critica. Tali strumenti dovrebbero, ad esempio, sapere rilevare inserimenti
di codice, collegamenti di kernel e modifiche al sistema, nonché altre tecniche tipiche
degli attacchi mirati.
Alcuni dei requisiti che consentono di garantire questa visibilità sono:
•Una piattaforma integrata per l'individuazione, l'analisi, la gestione e la risposta.
•Monitoraggio completo a livello dei pacchetti di rete in tutti i punti di uscita Internet
e nei segmenti di rete interni principali.
•Raccolta diffusa di eventi/log, strettamente integrata con la visibilità a livello di rete.
•Monitoraggio dei file per l'analisi del comportamento e il rilevamento delle anomalie
per evidenziare anomalie di endpoint e malware, anziché contare su meccanismi
di difesa basati su firma spesso obsoleti.
•Flussi costanti di threat intelligence e indicatori di compromesso per accelerare
l'individuazione e l'analisi delle minacce.
•Suggerimento 9: Migliorare l'analisi legale. Non è possibile proteggere ciò che non
si vede o non si capisce. Riconoscere gli attacchi richiede un'analisi approfondita
attraverso la visibilità a livello di log/rete/host in combinazione a più forme di analisi,
threat intelligence e contesto tecnico e aziendale.
Gli strumenti legali per l'analisi statica e dinamica possono soddisfare molti di
questi requisiti. Tali strumenti devono essere facilmente implementabili attraverso
l'infrastruttura IT ed essere in grado di connettersi rapidamente agli endpoint
on-demand. Devono garantire visibilità/accesso centralizzato alle root cause degli
incident, riducendo al contempo il carico della memoria e del sistema. Devono
garantire la valutazione rapida ed efficiente dell'incident di sicurezza, identificando
velocemente i processi e i file sospetti attraverso l'analisi dell'utilizzo della memoria,
delle connessioni di rete aperte, dei processi in esecuzione, dei log degli eventi di
interesse e del registro delle chiavi/hive di interesse.
Un'altra importante funzionalità è un'interfaccia programmabile tramite script, che
consente agli utenti di raccogliere e analizzare automaticamente elementi quali file,
eseguibili e DLL, nonché screenshot e dati di altri sistemi e utility, aggregando tutti
i dati necessari in un'unica console.
•Suggerimento 10: Sviluppare o migliorare la cyber threat intelligence. Per andare
oltre la semplice reazione alle nuove minacce, le organizzazioni necessitano di un
sistema di warning anticipati, che consenta loro di intraprendere le azioni appropriate
anche contro le minacce più sofisticate.
La Cyber Threat Intelligence (CTI) è la capacità di aggregare e condividere informazioni
sulle minacce private (ad es. basate su abbonamenti), peer (ad es. ISACA, FS-ISAC),
pubbliche (ad es. US-CERT) e in-house (ad es. email e operazioni web) per identificare
più rapidamente le potenziali minacce. Le organizzazioni attive nella condivisione
dell'intelligence tra Open Source Intelligence (OSINT), partner del settore e/o servizi in
abbonamento pagati possono creare profili di attori della minaccia e trend contenenti
strategie di attacco, strumenti, metodi di erogazione e domini di comando e controllo
(C2), nonché altri dettagli.
pagina 6
10 suggerimenti per migliorare la capacità di risposta e gestione degli incident di sicurezza
La creazione di una posizione centrale con funzione di ricerca (spesso definita portale
di threat intelligence) garantisce agli analisti l'accesso alle informazioni più recenti e
all'intelligence disponibile. L'integrazione automatica di questo portale con strumenti
di sicurezza perimetrali consente agli analisti di visualizzare alert istantanei degli
indicatori corrispondenti alle minacce note.
DA RESPONSABILE DELLA RISOLUZIONE DEI PROBLEMI
A PARTNER STRATEGICO
Le violazioni della sicurezza causano danni enormi agli utili e alla reputazione delle
organizzazione, pertanto i CEO e i consigli di amministrazioni si aspettano un impegno
per la sicurezza ad hoc molto più che eroico. Essi richiedono miglioramenti coerenti
e misurabili nella risposta agli incident di sicurezza nel tempo. Insistono inoltre su un
personale qualificato e su tecnologie e processi ottimizzati, in grado di limitare i danni
con rapidità quando si verifica un incident di sicurezza.
Migliorare la risposta agli incident di sicurezza di un'organizzazione richiede un
approccio più formale e disciplinato in ogni aspetto, dalla formazione, alla segnalazione
degli incident, nonché sistemi di analisi e tracciabilità più integrati e centralizzati.
Tuttavia, anticipare, oltre che semplicemente rispondere alle minacce alla sicurezza,
trasforma il personale addetto alla sicurezza di primo intervento in un partner strategico
per l'integrità a lungo termine dell'azienda.
Questo documento è stato redatto collettivamente da esperti RSA e professionisti della
RSA Advanced Cyber Defense (ACD) Practice globali, tra cui:
Shakeel Ahmad, Senior Consultant (EMEA), RSA ACD Practice
Azeem Aleem, Practice Lead (EMEA), RSA ACD Practice
Chris Bates, Advisory Consultant (Americhe), RSA ACD Practice
Tadhg Cross, Global Manager – Operations, RSA ACD Practice
Matthew Gardiner, Senior Manager, RSA
Justin Grosfelt, Advisory Consultant (Americhe), RSA ACD Practice
Sarah Kahler, Senior Manager, Consulting Operations, RSA ACD Practice
Stephen McCombie, Practice Lead/Senior Manager (APJ), RSA ACD Practice
Demetrio Milea, Advisory Consultant (EMEA), RSA ACD Practice
Charles Moisakis, Practice Lead (Americhe), RSA ACD Practice
Andrew Slavkovic, Senior Consultant (APJ), RSA ACD Practice
Walter Tierney, Associate Consultant – Training/Education (Americhe), RSA ACD Practice
Peter Tran, Senior Director, RSA ACD Practice
pagina 7
Adozione della sicurezza basata su intelligence
INFORMAZIONI SULLA RSA ADVANCED CYBER DEFENSE PRACTICE:
La RSA Advanced Cyber Defense Practice offre servizi che unificano le implementazioni
di tecnologie, operazioni e strategie di sicurezza di un'organizzazione e producono un
piano di miglioramento della sicurezza applicabile che consente di assegnare priorità ai
requisiti e di migliorare il comportamento in materia di sicurezza. Le aziende possono
accelerare l'individuazione, l'analisi e la risoluzione degli incident di sicurezza e delle
vulnerabilità, ottimizzare il controllo che esercitano sull'IP e i sistemi sensibili e
ottenere un partner in grado di supportare l'evoluzione delle iniziative di cyber-security.
Tra questi servizi è incluso un servizio di risposta rapida alle violazioni e un servizio
di conservazione basato su SLA che fornisce l'accesso rapido a risorse ed esperienze.
La RSA Advanced Cyber Defense Practice fornisce l'accesso a professionisti della
sicurezza altamente qualificati in tempo reale, ciascuno con un'esperienza media
di oltre 10 anni nell'offerta di servizi di gestione delle violazioni e nella creazione,
l'utilizzo e la gestione di SOC. Per ulteriori informazioni su come un'organizzazione
può migliorare capacità di gestione, risposta e resilienza agli incident, visitare il sito
rsa.im/ACDpractice.
INFORMAZIONI SU RSA
RSA, The Security Division of EMC, è il principale provider di soluzioni di sicurezza
basate su intelligence. RSA consente alle organizzazioni leader a livello mondiale
di risolvere le sfide più complesse e delicate in fatto di sicurezza: gestione del
rischio organizzativo, protezione degli accessi e della collaborazione su dispositivi
mobili, prevenzione delle frodi online e difesa dalle minacce avanzate. RSA offre
agili controlli per la verifica delle identità, il rilevamento delle frodi e la protezione
dei dati, solide funzionalità di security analytics e GRC leader del settore, nonché
servizi di consulenza forniti da esperti del settore.
Per ulteriori informazioni, visitare il sito http://italy.emc.com/rsa.
EMC2, EMC, il logo EMC, RSA e il logo RSA sono marchi o marchi registrati di EMC Corporation negli Stati Uniti e in
altri paesi.
© Copyright 2014 EMC Corporation. Tutti i diritti riservati.
http://italy.emc.com/rsa
H13297
