I più comuni vettori di attacco

Varie aziende si rivolgono spesso ai nostri esperti per ottenere l’assistenza di emergenza con Risposta agli Incidenti, per condurre (o aiutare a condurre) indagini, o per analizzare gli strumenti dei criminali informatici. Nel corso del 2020, abbiamo raccolto una grande quantità di dati per ottenere una visione del panorama delle minacce moderne, il che ci aiuta a prevedere gli scenari di attacco più probabili, compresi i vettori di attacco iniziali più comuni, e a scegliere le migliori tattiche difensive.

Quando indaghiamo un cyberincidente, prestiamo sempre particolare attenzione al vettore di attacco iniziale. In parole povere, la via d’accesso è un punto debole, e per evitare che si ripeta, è essenziale identificare i punti deboli dei sistemi di difesa.

Purtroppo, questo non è sempre possibile. In alcuni casi, trascorre troppo tempo tra l’incidente e il suo rilevamento; in altri, la vittima non ha tenuto i registri o ha distrutto le tracce (accidentalmente o intenzionalmente).

A complicare le cose, quando i criminali informatici attaccano attraverso la supply chain, un metodo sempre più usato, il vettore iniziale non rientra nella sfera di competenza della vittima finale, ma piuttosto in quella di un terzo sviluppatore di programmi o fornitore di servizi. Tuttavia, i nostri esperti sono stati in grado di determinare con precisione il vettore di attacco iniziale, in più della metà degli incidenti.

Primo e secondo posto: forza bruta e sfruttamento di applicazioni accessibili al pubblico

Gli attacchi di forza bruta e lo sfruttamento di vulnerabilità in applicazioni e sistemi accessibili dall’esterno del perimetro aziendale condividono i primi due posti. Ognuno di essi è stato il vettore iniziale di penetrazione nel 31,58% dei casi.

Come abbiamo osservato negli anni precedenti, nessun altro metodo è così efficace nel lanciare un attacco come lo sfruttamento delle vulnerabilità. Un’analisi più dettagliata delle vulnerabilità sfruttate suggerisce che è attribuibile principalmente alla mancata installazione tempestiva degli aggiornamenti da parte delle aziende; al momento degli attacchi, le patch erano già disponibili per ogni singola vulnerabilità e la loro semplice applicazione avrebbe protetto le vittime.

La transizione di massa delle aziende allo smart working e l’uso di servizi di accesso da remoto spiegano l’aumento della popolarità degli attacchi di forza bruta. Nel fare la transizione, molte organizzazioni non sono riuscite ad affrontare adeguatamente le questioni di sicurezza e, di conseguenza, il numero di attacchi alle connessioni remote è aumentato praticamente da un giorno all’altro. Per esempio, il periodo da marzo a dicembre 2020 ha visto un aumento del 242% degli attacchi di forza bruta basati su RDP.

Terzo posto: e-mail dannose

Nel 23,68% dei casi, il vettore di attacco iniziale era un’e-mail dannosa, attraverso un malware allegato o sotto forma di phishing. Gli operatori di attacchi mirati e i mittenti di e-mail di massa hanno usato a lungo entrambi i tipi di messaggi dannosi.

Quarto posto: drive-by compromise

A volte i cybercriminali cercano di ottenere l’accesso al sistema utilizzando un sito web che la vittima visita periodicamente o su cui clicca per caso. Per utilizzare una tattica del genere, che abbiamo rilevato in alcuni attacchi APT complessi, i criminali informatici, generalmente, inseriscono nel sito script in grado di sfruttare una vulnerabilità del browser e poter eseguire codice dannoso sul computer della vittima, oppure ingannano la vittima così da scaricare e installare il malware. Nel 2020, è stato il vettore di attacco iniziale nel 7,89% dei casi.

Quinto e sesto posto: unità portatili e insider

L’uso di chiavette USB per infiltrarsi nei sistemi aziendali è diventato raro. Oltre al fatto che i virus che infettano le chiavette USB appartengono in gran parte al passato, la tattica di far utilizzare a qualcuno una chiavetta USB dannosa non è molto affidabile. Tuttavia, questo metodo ha rappresentato il 2,63% delle penetrazioni iniziali della rete.

Gli insider hanno causato la stessa percentuale (2,63%) di incidenti. Si tratta di impiegati che, per motivi vari, volevano danneggiare la propria azienda.

Come minimizzare la probabilità di un incidente informatico e le sue conseguenze

• La maggior parte degli incidenti analizzati dai nostri esperti erano evitabili. Sulla base delle loro scoperte, raccomandano di:
• Introdurre una rigorosa politica di password e imporre l’uso dell’autenticazione a più fattori;
• Proibire l’uso di servizi di gestione remota accessibili pubblicamente;
• Installare gli aggiornamenti del software il più rapidamente possibile;
• Proteggere i server di posta con strumenti antiphishing e antimalware;
• Aumentare la consapevolezza dei dipendenti sulle moderne minacce informatiche su base regolare.

Inoltre, ricordatevi di configurare tutti i sistemi di auditing e di registrazione e di eseguire regolarmente il backup dei vostri dati, non solo per facilitare le indagini, ma anche per ridurre al minimo i danni da incidenti informatici.

Naturalmente, le statistiche di cui sopra rappresentano solo una piccola parte delle informazioni utili che i nostri esperti hanno da offrire. Qui, troverete l’articolo completo del nostro Incident Response Analyst Report 2021 qui.