I compiti principali del dipartimento di sicurezza informatica di qualsiasi organizzazione, così come di un Security Operations Center (SOC), sono il monitoraggio continuo degli incidenti di sicurezza, l’analisi approfondita dei dettagli delle minacce rilevate, l’eliminazione dei falsi positivi generati dai vari sistemi, il rilevamento di attacchi complessi e mirati, il contrasto alle offensive e il ripristino dei componenti dell’infrastruttura IT colpita allo stato operativo iniziale. Per eseguire con successo questi compiti, gli specialisti di sicurezza e del SOC devono utilizzare sistemi che consentano di raccogliere le informazioni necessarie da l’intera infrastruttura IT, analizzarle e implementare misure di risposta agli incidenti e agli attacchi che siano il più possibile automatizzate. Per l’efficace implementazione di queste attività, GREENNET propone l’utilizzo di soluzioni di classe SIEM, SOAR e XDR.
SIEM (Security Information and Event Management): è una classe di sistemi progettata per raccogliere e analizzare le informazioni provenienti dai log di sicurezza di dispositivi di rete, endpoint, sistemi operativi, applicazioni e altro ancora. Le informazioni raccolte vengono convertite in un formato unificato, arricchite attraverso l’integrazione con sistemi di Threat Intelligence, filtrate e registrate in un unico repository. Gli algoritmi di correlazione integrati analizzano i vari eventi di sicurezza provenienti da fonti eterogenee e, sulla base di questa analisi, identificano i reali attacchi informatici isolandoli da una mole enorme di eventi disparati.
SOAR (Security Orchestration, Automation and Response): è una classe di sistemi software progettata per l’orchestrazione, ovvero il coordinamento e la gestione, dei diversi strumenti di sicurezza. Le soluzioni SOAR consentono di raccogliere i dati sugli eventi di sicurezza da varie fonti, elaborarli e automatizzare gli scenari tipici di risposta (playbook). Integrando gli altri strumenti di sicurezza in un unico sistema, il SOAR evita che gli specialisti debbano gestire ogni piattaforma separatamente, aiutandoli a concentrarsi sull’analisi degli incidenti complessi. Sulla base delle informazioni relative all’incidente, il SOAR intraprende una serie di azioni necessarie per eliminare la minaccia o minimizzarne le conseguenze: invio di comandi ad altri prodotti di sicurezza, rimozione remota di oggetti malevoli, ripristino delle chiavi di registro e altro. Il SOAR opera principalmente su signature e scenari di risposta tipici, fornendo una protezione di tipo reattivo.
XDR (eXtended Detection and Response): è una classe di sistemi di sicurezza progettata per rilevare in modo proattivo e automatico le minacce a diversi livelli dell’infrastruttura, rispondendo e contrastando gli attacchi complessi. L’XDR include un’ampia gamma di strumenti che si integrano con i sistemi di sicurezza esistenti e forniscono il monitoraggio dei dati a livello di endpoint, rete, cloud e server di posta elettronica, oltre a funzionalità di analytics e automazione per rilevare ed eliminare le minacce correnti e potenziali. A differenza di SOAR e SIEM, l’XDR raccoglie una grande varietà di telemetria dalle fonti integrate (in primo luogo dagli endpoint), si integra strettamente con i sistemi EDR e fornisce una protezione proattiva per l’infrastruttura IT.
GREENNET offre ai propri clienti servizi di implementazione, configurazione e manutenzione di sistemi SIEM, SOAR e XDR in qualsiasi combinazione, a seconda degli obiettivi e delle specifiche esigenze di business.
Uno degli obiettivi principali dei cybercriminali, dopo essere penetrati con successo nell’infrastruttura dell’organizzazione vittima, è il furto di informazioni riservate di valore critico. Lo stesso obiettivo è perseguito dagli insider, che possono essere dipendenti infedeli o agenti infiltrati nell’organizzazione. Uno dei compiti più importanti per gli specialisti della sicurezza consiste nell’organizzare una protezione efficace contro la fuga di informazioni riservate.
Per risolvere questo problema, offriamo ai nostri clienti l’adozione di sistemi DLP (Data Loss/Leak Prevention). I sistemi DLP creano un “perimetro” digitale sicuro attorno all’organizzazione analizzando tutto il traffico in uscita e, in alcuni casi, in entrata. Questo controllo non deve limitarsi al solo traffico Internet, email o di messaggistica istantanea (IM), ma deve includere una serie di altri flussi informativi: documenti portati al di fuori del perimetro protetto su supporti esterni, stampe, invii a dispositivi mobili tramite Bluetooth, documenti inviati ed elaborati su smartphone e tablet, ecc.
I sistemi DLP dispongono di meccanismi integrati per determinare il grado di riservatezza di un documento rilevato nel traffico intercettato, principalmente attraverso due metodi: l’analisi di speciali marcatori (tag) del documento e l’analisi del contenuto del testo. Un sistema DLP completo è composto da almeno due componenti architetturali: un componente gateway, che risiede sui server intermedi e analizza tutto il traffico reindirizzato attraverso di esso, e un componente host (agent), installato direttamente sulle workstation e sui server dei dipendenti.
Poiché l’uso di dispositivi mobili per lavorare con i contenuti aziendali è un trend in fortissima crescita, utilizziamo anche sistemi di classe UEM (Unified Endpoint Management) per garantire la protezione delle informazioni aziendali sui dispositivi mobili dei clienti e la sicurezza dei dispositivi stessi.
GREENNET si occupa dell’implementazione, configurazione e manutenzione di sistemi DLP e UEM, nonché dello sviluppo e dell’automazione delle regole e delle policy di sicurezza utilizzate dai sistemi DLP per rilevare le fughe di dati riservati.
Come regola generale, nel corso di attacchi complessi e mirati, i criminali informatici cercano di ottenere l’accesso agli account privilegiati di amministrazione e di servizio. Una volta ottenute le password, le chiavi SSH o i segreti (secrets) degli account privilegiati, l’accesso ai sistemi e alle applicazioni critiche diventa un compito estremamente semplice per un malintenzionato. Per una protezione efficace contro l’abuso di queste credenziali, suggeriamo l’utilizzo di sistemi di sicurezza di classe PAS (Privileged Accounts Security) o PAM.
I sistemi PAS garantiscono l’archiviazione sicura di password, chiavi SSH e segreti degli account privilegiati all’interno di un vault isolato e protetto; consentono il rilascio delle credenziali esclusivamente in conformità con i regolamenti stabiliti dalle policy di sicurezza; eseguono il cambio e la rotazione periodica di password e chiavi; effettuano il monitoraggio, l’analisi e la registrazione delle sessioni privilegiate e analizzano l’uso anomalo o illegittimo degli account di amministrazione.
Inoltre, tutte queste funzioni vengono implementate senza alterare o appesantire il modus operandi degli utenti privilegiati, consentendo a questi ultimi di continuare a utilizzare le loro consuete utility e programmi per l’amministrazione dei sistemi target.
Dal punto di vista architetturale, i sistemi PAS si posizionano come un livello intermedio di servizi software che garantisce la necessaria sicurezza tra gli utenti privilegiati (o gli account di servizio) e i sistemi di destinazione: dispositivi di rete, host, applicazioni, database e così via.
GREENNET supporta i propri clienti attraverso attività di consulenza, definizione dei componenti PAS necessari per lo specifico scenario, implementazione, configurazione e manutenzione del sistema, nonché sviluppo e automazione delle regole e delle policy per l’utilizzo degli account privilegiati all’interno dell’infrastruttura del cliente.
Molte organizzazioni sono fortemente preoccupate per il potenziale impatto degli attacchi mirati, i quali utilizzano sempre più spesso una combinazione di minacce comuni, vulnerabilità zero-day, tecniche uniche che non fanno uso di malware (malware-free) e metodi fileless.
L’uso di soluzioni basate esclusivamente su tecnologie preventive, così come i sistemi mirati a rilevare le attività malevole solo all’interno del traffico di rete, non possono essere sufficienti per proteggere un’azienda da attacchi mirati complessi. Gli endpoint — incluse workstation, laptop, server e smartphone — sono obiettivi di controllo critici poiché, nella maggior parte dei casi, rappresentano i punti di ingresso più semplici e popolari per gli attaccanti, il che aumenta l’importanza di un controllo rigoroso su di essi.
Le piattaforme EPP (Endpoint Protection Platform), tradizionalmente presenti nella maggior parte delle infrastrutture aziendali, proteggono perfettamente dalle minacce di massa, da quelle note e da una serie di minacce sconosciute, sebbene nella maggior parte dei casi siano costruite sulla base di malware già riscontrati in passato. Nel tempo, le tecniche di attacco del cybercrime si sono evolute in modo significativo: gli attaccanti sono diventati più aggressivi nei loro approcci e più sofisticati nell’organizzare tutte le fasi del processo. Di conseguenza, un gran numero di aziende, nonostante l’uso di soluzioni EPP, continua a subire violazioni.
Ciò significa che oggi le organizzazioni hanno bisogno di strumenti aggiuntivi che le aiutino a rilevare efficacemente le minacce più recenti e complesse, che le funzionalità di sicurezza tradizionali non sono in grado di affrontare. Sebbene le difese tradizionali rilevino gli incidenti sui singoli endpoint, di solito non sono in grado di determinare se gli alert in arrivo facciano parte di uno schema più ampio, complesso e pericoloso, capace di causare danni significativi all’organizzazione. La moderna protezione degli endpoint deve adattarsi all’attuale panorama delle minacce e deve includere funzionalità per rilevare gli attacchi complessi diretti ai dispositivi e poter rispondere rapidamente agli incidenti rilevati.
Per risolvere queste problematiche, GREENNET raccomanda ai propri clienti l’utilizzo di sistemi EDR (Endpoint Detection and Response). Queste soluzioni consentono di monitorare in tempo reale gli endpoint e offrono una visualizzazione completa delle attività di tutte le workstation e dei server dell’infrastruttura aziendale da un’unica console centralizzata. Permettono inoltre di rilevare efficacemente e classificare per priorità gli incidenti di sicurezza non appena si verificano, registrare e archiviare le informazioni sulle attività dei dispositivi per la successiva attività di investigation, fornire agli specialisti i dati necessari per un’analisi tempestiva e rispondere agli incidenti garantendo il contenimento della minaccia, aiutando al contempo a ripristinare le workstation allo stato precedente all’incidente e mantenendo la piena interoperabilità con le soluzioni di classe EPP.
GREENNET offre ai clienti servizi di implementazione, configurazione e manutenzione di sistemi EDR e la loro integrazione con gli altri sistemi di sicurezza IT aziendali.
Uno degli asset IT più importanti per quasi tutte le organizzazioni è rappresentato dai database che contengono i dati cruciali per il funzionamento del business. Di conseguenza, ottenere l’accesso ai server e ai database è uno dei traguardi principali per i criminali informatici.
Per questo motivo, la protezione dei server di database e dei dati stessi è una parte fondamentale nella costruzione di un sistema di sicurezza informatica. Le soluzioni specializzate per la protezione dei database offrono funzionalità molto più efficienti rispetto ai normali strumenti integrati nei DBMS (Database Management System).
I sistemi specializzati per la sicurezza dei database includono principalmente soluzioni di classe DAM (Database Activity Monitoring) e DBF (Database Firewall). I sistemi DAM monitorano l’attività degli utenti nei sistemi di gestione dei database; allo stesso tempo, queste soluzioni non richiedono la modifica delle impostazioni o della configurazione del DBMS stesso e possono operare in modo indipendente. Il DAM elabora una copia del traffico senza impattare sui processi di business. I sistemi DAM consentono di classificare le query SQL in base all’appartenenza a determinati gruppi, analizzare il traffico di interazione degli utenti con i database ed eseguire un audit completo delle query SQL e delle relative risposte.
Inoltre, i sistemi DAM dispongono di un sistema di filtraggio profondo (deep filtering) che consente di identificare potenziali incidenti in una mole enorme di richieste e di salvare un archivio completo delle azioni degli utenti. Il sistema DBF è, di fatto, una sorta di gateway di rete che può essere inserito in modalità inline (in-line mode) o operare in modalità passiva per elaborare una copia del traffico. Questo sistema consente di bloccare tempestivamente le richieste indesiderate o non autorizzate.
GREENNET fornisce ai propri clienti l’implementazione, configurazione e manutenzione di sistemi DAM/DBF e la loro integrazione con l’ecosistema di sicurezza aziendale.
Le specificità degli attacchi informatici rilevati e studiati negli ultimi anni dimostrano che il cybercrime utilizza un approccio multi-vettore per colpire l’infrastruttura IT di un’organizzazione. I criminali informatici cercano ogni opportunità per penetrare nella rete interna sfruttando tutti i punti di contatto con il mondo esterno. I tentativi di violazione della rete tramite il traffico web ed email, gli attacchi hacker o i massicci attacchi DDoS alle risorse Web aziendali, la violazione di risorse o applicazioni in cloud: tutti questi fattori impongono di considerare la protezione della rete e del perimetro (che oggi appare sempre più “sfumato” a causa della diffusione dello smart working e delle risorse cloud) come la costruzione di un sistema di sicurezza integrato e stratificato (layered security), che combini soluzioni di classi diverse.
Per risolvere queste sfide, utilizziamo soluzioni delle seguenti categorie:
- Next Generation Firewall (NGFW) / Next Generation IPS (NGIPS): per la protezione della rete e la prevenzione delle intrusioni.
- Web Application Firewall (WAF): per proteggere le applicazioni Web da intrusioni e attacchi DDoS analizzando il traffico HTTP/HTTPS e la semantica XML/SOAP.
- Secure Web Gateway e Email Gateway: per garantire l’accesso sicuro alle risorse Internet, controllare il traffico web ed email al fine di prevenire l’infiltrazione di codice malevolo, verificare la presenza di URL dannosi nel traffico e filtrare i flussi di dati indesiderati o pericolosi.
- Network Traffic Analyzer (NTA): per l’analisi delle anomalie di traffico all’interno della rete aziendale, identificando i segnali di attività di codice malevolo o i vettori di attacco degli intrusi.
- Cisco Identity Services Engine (ISE): per creare un ambiente aziendale fidato (trusted) basato su una policy di sicurezza centralizzata e unificata per tutti i tipi di utenti, dispositivi e connessioni.
- Cloud Access Security Broker (CASB): per controllare le attività e applicare le policy e le regole di sicurezza all’interno dell’infrastruttura cloud.
GREENNET offre ai propri clienti l’implementazione, la configurazione e la manutenzione di tutti i sistemi sopra menzionati, sia singolarmente sia in combinazione, a seconda dell’architettura dell’infrastruttura IT e delle criticità di sicurezza identificate.
GREENNET offre ai clienti un set completo di servizi che consentono di valutare il livello di sicurezza della propria infrastruttura IT, il grado di vulnerabilità, l’efficacia del sistema di protezione esistente, la necessità di implementare nuove soluzioni e il livello di conformità (compliance) agli standard di sicurezza e ai requisiti normativi, proteggendo gli asset aziendali da attacchi sofisticati e mirati. I servizi offerti includono attività di consulenza (security consulting) e di audit dell’informazione, analisi delle vulnerabilità (vulnerability assessment), penetration test (sia manuali sia automatizzati), valutazione dell’efficacia degli strumenti di protezione in uso e un servizio di protezione dagli attacchi mirati e complessi basato su sistemi di classe XDR.