Gli attacchi informatici attraverso l'abuso di accesso possono danneggiare un'azienda, i suoi dipendenti e i suoi clienti. Secondo il “2020 IBM X-Force® Threat Intelligence Index”, le minacce interne involontarie rappresentano la causa principale per la crescita superiore al 200% del numero di violazioni dei registri tra il 2018 e il 2019. Generalmente, i dipendenti sanno dove risiedono i dati sensibili di un'organizzazione e dispongono di elevati livelli di accesso, indipendentemente dal fatto che abbiano o meno intenzioni dannose.

Anche gli attacchi interni sono costosi per le organizzazioni. Nello studio 2020 Cost of Insider Threats di Ponemon Institute, i ricercatori hanno rilevato che il costo medio annuo della violazione di dati interni era di 11,45 milioni di dollari e che il 63% degli incidenti è causato da negligenza.

Accidentalmente o volontariamente, i dipendenti possono esporre - o aiutare ad esporre - informazioni riservate sui clienti, proprietà intellettuale e denaro.

Se l'obiettivo si trova all'interno di un sistema protetto, i truffatori si concentrano sull'acquisizione dei privilegi di accesso di un dipendente. I truffatori ricercano pedine o utenti incompetenti per compiere i propri crimini informatici. Per ottenere le credenziali, essi utilizzano diverse tecniche e tattiche: email di phishig, watering hole e malware, per citarne alcuni. Con tali credenziali, i truffatori possono spostarsi lateralmente all'interno di un sistema, aumentare i propri privilegi, apportare modifiche e accedere a denaro o dati sensibili. I truffatori possono accedere a informazioni o dati da ubicazioni non protette durante le comunicazioni in uscita, utilizzando un server C2 (command-and-control). Possono apportare modifiche ai tentativi in uscita o eseguire trasferimenti di volumi in uscita.

Come attaccano i truffatori:

Ricerca delle vulnerabilità

• Distribuzione di email phishing o malware
• Identificazione di un utente
• Acquisizione di credenziali compromesse

Sfruttamento dell'accesso

• Spostamento laterale verso la destinazione
• Aumento dei privilegi in base alle necessità
• Accesso agli asset

Abuso dell'accesso

• Oscuramento dell'attività della rete
• Modifica dei dati
• Estrazione dei dati

Una volta stabilito un modello di minaccia, le organizzazioni si concentrano sul rilevamento e sulla correzione delle minacce interne e delle violazioni alla sicurezza.

I team della sicurezza devono distinguere tra l'attività regolare di un utente e un'attività potenzialmente dannosa per rilevare le minacce interne. Per distinguere le attività, le organizzazioni devono innanzitutto chiudere le lacune di visibilità. Quindi, dovrebbero aggregare i dati di sicurezza in una soluzione di monitoraggio centralizzata, che faccia parte di una piattaforma SIEM (Security Information and Event Management) o di una soluzione EUBA (user and entity behavior analytics) autonoma. Molti team iniziano con i changelog di accesso, autenticazione e dell'account. Quindi, estendono l'ambito inserendo ulteriori origini dati, come una VPN (virtual private network) e log degli endpoint, man mano che maturano i casi d'uso delle minacce interne.

Le organizzazioni devono adottare una soluzione PAM (privileged-access-management) ed inserire i dati relativi all'accesso agli account privilegiati da tale soluzione nella propria piattaforma SIEM. Una volta centralizzate le informazioni, le organizzazioni possono modellare il comportamento degli utenti e assegnare i punteggi di rischio. I punteggi di rischio sono collegati a specifici eventi di rischio, come la modifica dell'area geografica dell'utente oppure il download di dati su supporti rimovibili. L'assegnazione dei punteggi di rischio consente ai team SOC (security operations center) di monitorare il rischio in tutta l'azienda, creando elenchi di controllo oppure evidenziando gli utenti a maggior rischio nell'organizzazione.

Con una quantità sufficiente di dati cronologici, i modelli di sicurezza possono creare una baseline del normale comportamento di ciascun utente. Questa baseline indica il normale stato operativo di un utente o una macchina, in modo che il sistema possa segnalare le deviazioni. Le deviazioni devono essere tracciate per i singoli utenti e confrontate con altri utenti nella stessa ubicazione, con lo stesso titolo o funzione lavorativa.

Utilizzando una vista basata sugli utenti, i team di sicurezza possono individuare rapidamente l'attività della minaccia interna e gestire il rischio utente da una posizione centralizzata. Ad esempio, un'analisi comportamentale dell'utente può rilevare tentativi di accesso anomali ad un orario insolito o da un'ubicazione insolita oppure più tentativi di immissione di password non riusciti e generare un avviso per la convalida da parte dell'analista. In altre parole, qualsiasi anomalia del comportamento aiuterà ad identificare quando un utente è diventato un insider dannoso oppure se un aggressore esterno ne ha compromesso le credenziali.

Una volta eseguita la convalida, un sistema SOAR (security orchestration, automation and response) può creare un flusso di lavoro di correzione della minaccia interna. Quindi, il playbook può specificare l'azione correttiva necessaria. La potenziale correzione potrebbe includere la sfida dell'insider con MAE o la revoca dell'accesso, che possono essere eseguite entrambe nella soluzione IAM (identity access management).

Con l'aumento del lavoro da casa e in remoto, le minacce alla sicurezza sono aumentate e diventate più complesse. Come risultato, il lavoro remoto ha modificato profondamente le priorità della sicurezza e modificato le misure di sicurezza. Questo ha introdotto nuove sfide per i team di sicurezza:

• Aumento degli incidenti di sicurezza complessivi a causa delle modifiche al comportamento e dell'aumento della superficie di attacco
• Aumento degli attacchi di phishing
• Mancanza di visibilità di endpoint e server non connessi alla VPN
• Cambiamenti nei comportamenti dei dipendenti a causa di orari di lavoro irregolari, luoghi diversi e modifiche del comportamento di navigazione su Web
• Aumento dell'utilizzo di applicazioni SaaS e mancanza di visibilità

I CISO (Chief information security officer) devono affrontare il rapido cambiamento della sicurezza IT che si sposta al di fuori della rete aziendale. Per proteggere in modo efficace gli asset di un'azienda, il team CISO deve comprendere meglio i comportamenti distinti dei dipendenti remoti e le implicazioni del lavoro remoto rispetto al rilevamento delle minacce interne. Per affrontare le sfide della forza lavoro remota, i CISO devono essere in grado di rispondere alle seguenti domande:

• Come possiamo verificare che la persona che accede alla VPN aziendale sia il dipendente e non un aggressore che utilizza credenziali rubate?
• Come possiamo verificare che il comportamento anomalo di un dipendente non sia il risultato del lavoro remoto?
• Come possiamo aiutare a proteggere i dipendenti che si collegano da postazioni Internet aperte e non protette, come bar e locali pubblici?

Attraverso la comprensione del comportamento dei lavoratori remoti, i team della sicurezza possono rilevare i comportamenti anomali che possono indicare la compromissione delle credenziali o un'intenzione dannosa. Spesso possono rilevare questi comportamenti al confine della VPN, prima che i dipendenti causino potenziali danni. Sul perimetro, i CISO devono determinare se le proprie capacità contro le minacce interne correnti consentono di:

• Ottenere la visibilità appropriata nei log di accesso, autenticazione e VPN.
• Determinare se le credenziali di un dipendente vengono utilizzate contemporaneamente in due luoghi diversi o da un'area geografica insolita.
• Verificare se il dipendente utilizza le credenziali al di fuori del normale orario di lavoro per la città della sede primaria del dipendente o se la durata della connessione è maggiore del solito.
• Terminare la connessione, bloccare il dispositivo e revocare le credenziali tramite IAM.

Supponiamo che un aggressore riesca a eludere il rilevamento al perimetro e si trovi all'interno della rete dell'organizzazione. In questo caso, i team della sicurezza dovrebbero convalidare la minaccia ricercando diverse credenziali compromesse o indicatori di abuso.

I team di sicurezza possono individuare gli indicatori delle minacce interne attraverso molti metodi, spesso con l'aiuto del machine learning. Questi metodi possono aiutare a determinare se l'accesso proviene da un dipendente legittimo o da un ladro di credenziali. All'interno della rete dell'organizzazione, i CISO devono valutare se le proprie capacità attuali contro le minacce interne consentono loro di:

• Creare modelli di attività standard e frequenza distinti per rilevare le deviazioni dalla baseline. Una deviazione può indicare un abuso, sia intenzionale che accidentale.
• Monitorare i tentativi di estrazione dei dati in base al numero di tentativi di comunicazione o di connessioni in uscita in un determinato giorno. Se il numero di connessioni in uscita di un dipendente aumenta, potrebbe suggerire di monitorare con attenzione le credenziali dell'utente.
• Identificare trasferimenti anomali di grandi volumi di dati per un determinato dipendente. Il monitoraggio del trasferimento di dati aggregati può offrire una semplice ma potente e tempestiva indicazione di compromissione.
• Analizzare l'integrità dell'endpoint per ricercare applicazioni sospette, che potrebbero indicare attività di malware. Identificando nuovi processi o esecuzioni di applicazioni, è possibile contenere il applicazioni malware e ridurre il rischio di sicurezza dell'organizzazione.

Regolando in modo proattivo i propri programmi per compensare le modifiche comportamentali dei dipendenti e massimizzare gli investimenti negli strumenti esistenti, i team di sicurezza possono proteggere al meglio una rete aziendale.