Rapporto Clusit 2014. Criticità e tendenze per la sicurezza

Il Rapporto CLUSIT 2014 non lascia dubbi sulla situazione della in-sicurezza informatica a livello mondiale. La crescita esponenziale degli episodi di attacco grave deve stimolare il Paese, nella sua completezza, all’implementazione di misure idonee ed efficaci in ottica di prevenzione e per limitare i danni subiti.

Nell’analisi Clusit, per la prima volta sono compresi i dati, aggregati in forma anonima, relativi agli incidenti rilevati nel corso del 2013, resi disponibili dal Security Operations Center di Fastweb. Come sempre non mancano i raffronti con report di molti vendor (tra cui Akamai, Cisco, IBM, Kaspersky, McAfee, Symantec, Trend Micro e Websense). Il campione totale dello studio – che non può essere considerato esaustivo – riguarda oltre 3.200 incidenti noti avvenuti nel mondo ed in Italia negli ultimi 42 mesi (dal primo gennaio 2011 al 30 giugno 2014).

Dal 2011, primo anno dell’analisi Clusit, il numero di attacchi gravi di pubblico dominio analizzati è cresciuto nel 2013 del 245%. Rispetto al 2012,  il numero complessivo degli attacchi informatici gravi è rimasto sostanzialmente invariato, la loro gravità tuttavia è aumentata in modo significativo, sia in termini di quantità e di valore economico dei dati sottratti, sia in termini di ampiezza delle conseguenze nel caso di sabotaggi ed attacchi di tipo “denial of service”. Questo perché sono aumentate, in parallelo, sia la sofisticazione e la determinazione degli attaccanti sia, di conseguenza, la severità dei danni subiti dalle vittime. I dati del primo semestre 2014 confermano il persistere di questa situazione: il numero di attacchi gravi rilevati non aumenta, anzi diminuisce rispetto al secondo semestre 2013, ma il loro impatto continua a crescere. Questo significa che mentre chi attacca investe in strumenti e tattiche più sofisticate, chi deve difendersi investe meno in contromisure, oppure ne sceglie di non sufficientemente efficaci.

Rimandando al Rapporto completo per l’analisi puntuale dei vari fenomeni, particolarmente interessanti risultano alcuni spunti e rilevazioni che fanno comprendere come la sicurezza debba essere argomento interessante per tutti.

Le grandi organizzazioni vengono sempre più spesso colpite tramite i propri fornitori / outsourcer. Gli attaccanti hanno individuato negli outsourcer l’anello più debole da colpire per raggiungere (tipicamente sfruttandone le utenze privilegiate e le connessioni VPN) i loro bersagli primari. Tra gli esempi più eclatanti, in un caso le applicazioni per piattaforme mobile di un noto network televisivo satellitare sono state infettate con malware, e diffuse su milioni di smartphone tramite il meccanismo degli aggiornamenti automatici, compromettendo la software house che le realizza.

• La riflessione che ne emerge è che una grande azienda, che magari ha investito in modo corretto in misure di sicurezza, potrebbe veder parzialmente vanificati i propri sforzi perché la media o piccola azienda fornitrice non ha mostrato la medesima lungimiranza. I motivi possono essere tanti: carenza di budget, mancanza di consapevolezza, scarsa cultura della sicurezza, ecc. Occorre in ogni caso porre attenzione anche a questo aspetto nel momento in cui si formalizza contrattualmente un rapporto con un fornitore / outsourcer. Secondo il rapporto Clusit questo fenomeno, data la propensione degli attaccanti a minimizzare gli sforzi, è destinato a crescere in modo esponenziale.

Social Network, principale veicolo di attività malevole. Le modalità di utilizzo da parte di utenti spesso poco “formati” e troppo “disinvolti”, rende i Social Network uno strumento ideale per massimizzare l’effetto delle campagne di diffusione di spam, phishing e social engineering, con la finalità prevalente di infettare il maggior numero possibile di sistemi, per poterli associare a botnet composte da milioni di macchine, che poi sono utilizzate per generare BitCoins, compiere attacchi DDoS, inviare spam, rubare identità, etc. Questo include anche le principali piattaforme di messaggistica per smartphone e tablet (che costituiscono la nuova frontiera dei Social Network), spesso afflitte da importanti vulnerabilità: a titolo di esempio, una popolare piattaforma ha consentito la diffusione non autorizzata di 6 milioni di numeri di telefono appartenenti ai suoi utenti, mentre un’altra consentiva a chiunque di aggirare la cifratura dei messaggi scambiati tra gli utenti e di leggerli in chiaro.

• In questo caso è un dato di cui tenere conto in ambito aziendale, a vari livelli e con soluzioni da valutare caso per caso. Un Regolamento informatico chiaro e delle policy correttamente comunicate, sono un buon punto di partenza. Si possono anche inibire determinati servizi dai terminali aziendali, occorre poi non dimenticare di occuparsi dei dispositivi mobili a disposizione di dipendenti e collaboratori e di regolamentare l’eventuale loro utilizzo in modalità BYOD.

Quali le vittime “preferite” degli attacchi?

• Nel 2012 diminuivano leggermente gli attacchi verso enti governativi, partiti politici, forze dell’ordine etc (sempre comunque al primo posto), ma aumentavano quelli contro l’industria dell’informazione e dello spettacolo, i servizi cloud / web 2.0 / social e le istituzioni di ricerca o scolastiche.
• Nel 2013 invece si assiste ad un leggero aumento di attacchi verso il settore governativo (+7,5%) e ad un aumento numericamente consistente (+83%) di attacchi verso il settore Banking/Finance, che passa dal 5% del totale nel 2012 al 9% nel 2013. Sempre in quell’anno sono apparsi per la prima volta nel campione attacchi contro Infrastrutture Critiche (categoria non presente nelle precedenti edizioni del Rapporto), che si posizionano anche nel 2014 al 3% del totale, e verso altri due settori, quello Automotive e ONG (principalmente con finalità di spionaggio politico o di Hacktivism). In leggera crescita anche le Telco, che passano dal 2% al 3% delle vittime.
• Nel primo semestre 2014 sono diminuiti in percentuale quasi tutti i settori, con la significativa crescita dei settori Health, Online Services / Cloud e SW / HW Vendor rispetto al secondo semestre 2013. Si è inoltre reso necessario aggiungere la categoria Retail / GDO, fatta oggetto di numerosi attacchi gravi negli ultimi mesi da parte di cyber criminali molto aggressivi.
• Geograficamente la maggior parte degli attacchi gravi di dominio pubblico analizzati hanno interessato organizzazioni pubbliche e private americane. L’Europa (inclusa la Russia) viene al secondo posto, seguita dall’Asia e dall’Africa. Questa distribuzione è condizionata anche dal fatto che in USA è già obbligatoria per legge la notifica dei data breach.

 Cosa aspettarsi nel 2014?

Dopo aver analizzato i dati del primo semestre 2014, il Clusit ritiene vi siano dei trend già evidenti che si confermeranno durante il secondo semestre:

• Cloud e Social Network. Sono attesi numerosi attacchi ai sistemi Cloud ed ai Social Network, oppure realizzati per loro tramite per colpirne gli utenti finali. Questi sistemi contengono infatti grandi quantità di dati e sono quindi un bersaglio appetibile per i malintenzionati che, con un attacco solo, possono riuscire a raccogliere grandi quantità di informazioni, e/o a colpire un grandissimo numero di utenti.
• Nel 2014 quasi certamente aumenterà il numero di Advanced Persistent Threat e di nuove famiglie di malware con finalità di cyber crime. In parte il maggior numero dipenderà dal fatto che l’evoluzione delle tecnologie di rilevazione permette di tenerne traccia (per anni non è stato così), dall’altro dipenderà da un enorme ecosistema criminale che lavora senza sosta per mantenere il vantaggio sui difensori.
• Con l’aumentare della banda disponibile, sia a livello domestico che professionale, gli attacchi di tipo DDoS, ormai divenuti attuabili da chiunque, verranno utilizzati massivamente, oltre che per fini dimostrativi anche per fini criminali (principalmente di ricatto, nel 2014) e di concorrenza sleale.
• Il 2013, è stato l’anno in cui si sono venduti più dispositivi mobili (tablet e smartphone) che computer. Per questo motivo, seguendo il trend, nel 2014 si osserva un aumento sensibile della percentuale di malware scritta per colpire questo tipo di sistemi. Una gran parte degli utenti ha l’abitudine di servirsi di App store non ufficiali, dove le App non subiscono alcun controllo, oppure di “rootare” il proprio device, esponendosi a rischi molto elevati. La sicurezza messa in campo dalla combinazione di app store ufficiali e il costante aggiornamento dei sistemi operativi, rende difficile la compromissione delle principali piattaforme, ma in futuro sarà sicuramente necessario adottare ulteriori accorgimenti di sicurezza, tra i quali piattaforme MDM (Mobile Device Management), ovvero sistemi sviluppati per la gestione e per la protezioni dei dati presenti sulle flotte dei dispostivi mobili dei dipendenti.

A livello di priorità e di mercato dei servizi inerenti la sicurezza Cloud e cloud-based saranno temi caldi nei prossimi anni. La diffusione di soluzioni SaaS, spinge le aziende all’adozione di sistemi di controllo della security in cloud tra i quali e-mail security, web security services e identity and access management (IAM).
A seguito di una costante evoluzione di tali servizi si potrà assistere anche ad un incremento dei servizi di security basati su crittografia e token, tool SIEM (Security Information and Event Management), sistemi di Vulnerability Assessment e firewall per le applicazioni basate su Web.
Il modello del Cloud applicato alla Security è oramai una realtà abbastanza matura, che tenderà sicuramente a consolidarsi nel corso del 2014-2015, soprattutto per le piccole-medie imprese che altrimenti non potrebbero dotarsi delle soluzioni più avanzate per ragioni di budget.