Le botnet: una delle più grandi minacce del cyberspace

Microsoft: un esempio da seguire per la loro distruzione...

La Cybersecurity è una responsabilità condivisa, che influisce su tutti noi. Bisogna partire da questa assunzione di responsabilità per comprendere a pieno un fenomeno che mina alla base la società nella quale viviamo.

Ogni giorno le organizzazioni sottraggono tempo e risorse preziose al proprio core business per difendersi e rimediare agli attacchi informatici. Tuttavia, affidandosi a decine di strumenti complessi, spesso non connessi tra di loro, le aziende rimangono in pericolo, poiché i cybercriminali possono sfruttare questo gap. In questo scenario, i team addetti alla sicurezza sono impegnati in una faticosa lotta per rispondere adeguatamente alla continua evoluzione della natura delle minacce e del profilo dei criminali informatici, mentre i professionisti più esperti in ambito sicurezza sono sempre pochi sul mercato del lavoro.

Per questa ragione, è sempre più necessario che le società che operano nel campo della sicurezza informatica si assumano il compito di rendere sicuro lo spazio cibernetico, e la notizia di pochi giorni fa che Microsoft ha smantellato una grande operazione portata avanti da gruppi hacker che avrebbe potuto influenzare le elezioni presidenziali statunitensi di novembre va letta in quest’ottica. 

La rete smantellata si chiamava Trickbot ed era una cosiddetta “botnet”, cioè una rete di dispositivi infettati con software maligni che, in questo caso, era arrivata a interessare oltre un milione di dispositivi. Attraverso la diffusione di “ransomware”, software che bloccano un computer chiedendo un riscatto, queste reti possono interrompere alcuni processi legati al voto, come gli scrutini elettronici o le consultazioni delle liste elettorali ma non solo.

Le botnet sono diventate una delle principali minacce ai sistemi di sicurezza di oggi. Sono sempre più utilizzate dai cybercriminali perché consentono di infiltrarsi in quasi tutti i dispositivi connessi a Internet, da un riproduttore DVR ai mainframe aziendali.

Molti cybercriminali utilizzano le botnet per fare cryptojacking, ovvero il mining illegale di criptovalute su sistemi informatici di terzi. Si tratta di una tendenza destinata ad aumentare per cui sempre più computer verranno infettati con malware di mining e verranno rubati sempre più portafogli digitali.

Oltre a essere pericolosi strumenti di persuasione politica e cryptojacking, le botnet sono una minaccia per aziende e consumatori perché diffondono malware, lanciano attacchi a siti web, rubano dati personali e truffano inserzionisti pubblicitari. Insomma, le botnet sono chiaramente un grosso problema, ma siamo sicuri di sapere esattamente cosa sono e come funzionano? E come si fa a proteggere i propri dispositivi e dati personali? La prima cosa da fare è capire come sono fatte. A quel punto, potremo imparare a proteggere i nostri dispositivi.

Significato di botnet

Per capirne meglio il funzionamento, proviamo a dare una definizione di botnet. Il termine “botnet” è la fusione dei termini “robot” e “network” (rete). In generale, le botnet sono proprio questo: una rete di robot utilizzati per commettere cybercrimini. I cybercriminali che le controllano vengono chiamati botmaster o bot herder che, tecnicamente, significa “mandriani”, sottolineando come l’efficacia di una botnet dipenda dalla sua estensione.

Dimensione di una botnet

Per creare una botnet, i botmaster hanno bisogno di controllare migliaia di dispositivi infetti (bot) e connessi a Internet. Le dimensioni di una botnet dipendono direttamente dal numero di bot connessi. Più grande è la botnet, più danni fa.

I cybercriminali utilizzano le botnet per ottenere un effetto dirompente e amplificato. Ordinano al loro esercito di bot infetti di sovraccaricare un sito web fino al punto in cui questo smette di funzionare e viene negato l’accesso ai visitatori. Gli attacchi di questo tipo vengono chiamati Distributed Denial of Service (DDoS), che in inglese significa “interruzione distribuita del servizio”.

Infezioni da botnet

Normalmente, le botnet non vengono create per danneggiare un solo computer, ma per infettare milioni di dispositivi, come illustra il caso del marzo 2020 della botnet Necurs. Spesso, per inglobare i computer nelle botnet, i botmaster utilizzano virus di tipo Trojan. La strategia è questa: l’utente infetta inconsapevolmente il proprio sistema aprendo un allegato fraudolento, facendo clic su un annuncio popup o scaricando un software infetto da un sito web non affidabile. Una volta infettato il dispositivo, la botnet può visualizzare e modificare i dati personali presenti, utilizzarlo per attaccare altri computer e commettere altri crimini informatici.

Alcune botnet più complesse possono addirittura espandersi automaticamente, trovando e infettando nuovi dispositivi senza l’intervento diretto del botmaster. I bot di queste reti cercano continuamente altri dispositivi connessi a Internet da infettare e prendono di mira quelli in cui il sistema operativo non è aggiornato o che sono sprovvisti di un software antivirus.

Inoltre, le botnet sono difficili da rilevare: utilizzano una quantità irrisoria di risorse del computer per non interferire con il normale funzionamento dei programmi e non destano alcun sospetto nell’utente. Le botnet più avanzate sono anche in grado di modificare il proprio comportamento in base ai sistemi di cybersicurezza dei computer per evitare di essere rilevate. Nella maggior parte dei casi, gli utenti non sanno che i propri dispositivi sono connessi a una botnet e controllati da cybercriminali. Ma la cosa peggiore è che le botnet continuano a evolversi, e le nuove versioni sono sempre più difficili da rilevare.

Infine, le botnet hanno bisogno di tempo per crescere. Molte rimangono inattive finché il numero di bot connessi è abbastanza alto. A quel punto, il botmaster le attiva e comanda a tutti i bot di realizzare un attacco DDoS o un invio di massa di spam.

Le botnet possono infettare praticamente qualsiasi dispositivo connesso a Internet. PC, portatili, dispositivi mobili, DVR, smartwatch, telecamere di sicurezza e perfino gli elettrodomestici intelligenti possono essere inglobati da una botnet.

Da questo punto di vista, lo sviluppo dell’Internet of Things è una manna dal cielo per i botmaster, che avranno sempre più opportunità di espandere le proprie botnet e causare danni ancora maggiori. Prendiamo ad esempio il caso di Dyn, la grande azienda di infrastrutture per Internet che nel 2016 ha subito uno dei peggiori attacchi DDoS su larga scala. In quell’occasione è stata utilizzata una botnet fatta di telecamere di sicurezza e DVR. L’attacco ha messo in crisi Internet, rendendola inutilizzabile in vaste aree degli Stati Uniti.

Botnet sul web

Uno degli aspetti più controversi del Web è che rende disponibile a tutti qualsiasi risorsa, anche quelle illegali. Di fatto, gli hacker non hanno neanche bisogno di saper creare botnet. Su Internet è possibile comprarle o addirittura affittarle! Dopo aver infettato e inglobato migliaia di dispositivi, i botmaster cercano altri cybercriminali che hanno bisogno di una botnet. Così, i compratori possono sferrare altri cyberattacchi o rubare dati personali senza essere esperti di informatica.

La legislazione in materia di botnet e cybercrimine è in costante evoluzione. Dato che le botnet stanno diventando una minaccia sempre più seria per le infrastrutture di Internet, i sistemi di telecomunicazione e addirittura per le reti di distribuzione elettrica, prima o poi agli utenti verrà richiesto di garantire la sicurezza dei propri dispositivi. È probabile che in futuro le normative di cybersicurezza attribuiranno più responsabilità agli utenti per i crimini commessi con i loro dispositivi.

Struttura delle botnet

Le botnet possono essere progettate in due modi, entrambi destinati a massimizzare il controllo dei botmaster sui bot:

• Modello client-server. In questo tipo di botnet un server controlla le trasmissioni di dati di ciascun client, come nella struttura classica di una rete. Il botmaster utilizza un software apposito per creare i server Command and Control (C&C), che impartiscono istruzioni a ciascun dispositivo-client. Questo modello è ottimo per mantenere il controllo sulla botnet, ma ha diversi svantaggi: per le forze dell’ordine è abbastanza facile localizzare il server C&C e ha un solo centro di controllo. Una volta distrutto il server, la botnet non esiste più.

• Peer-to-peer. Invece di affidarsi a un server C&C centrale, le botnet più recenti si basano su una struttura peer-to-peer (P2P). In una botnet P2P ciascun dispositivo infetto funziona sia come client sia come server. Ogni bot ha un elenco degli altri dispositivi infetti e li contatta quando ha bisogno di aggiornare o trasmettere informazioni. Le botnet P2P sono più difficili da smantellare per le forze dell’ordine perché mancano di un’origine centrale.

Prevenzione contro le botnet

A questo punto dovrebbe essere chiaro che per prevenire l’infezione da botnet è necessario adottare una strategia su più fronti, basata principalmente su regole per una navigazione sicura e un sistema di protezione antivirus la cui responsabilità è nelle mani dell’utente. In particolare dovrà:

• Aggiornare il sistema operativo

• Non aprire allegati di email di mittenti sconosciuti o sospetti

• Non scaricare file da reti P2P e di file sharing.

• Non fare clic su link sospetti

• Utilizzare software antivirus e di protezione dell’endpoint.
  

Ciò che possiamo fare come utenti ci permette di limitare il rischio di diventare parte di una botnet ma se torniamo a come abbiamo iniziato l’articolo, è chiaro che lo smantellamento di una botnet non è un’azione che può essere realizzata da una singola azienda. Serve la collaborazione da parte di tanti attori e l’intervento delle componenti giuridiche. Nel caso specifico, come in altri casi del recente passato, Microsoft ha avuto l’autorizzazione a procedere con la distruzione della rete da parte del tribunale dell’Eastern District della Virginia.

La giusta tecnologia e le corrette operazioni non bastano a garantire al mondo la massima sicurezza possibile: è necessario rafforzare l’intero ecosistema, unire le forze dell’intero settore IT e collaborare direttamente con governi e istituzioni democratiche. Microsoft ha recentemente compiuto significativi passi avanti in questa direzione, collaborando con aziende tecnologiche, policy maker e istituzioni decisive per il processo democratico in difesa delle elezioni di metà mandato. Il programma “Defending Democracy” è finalizzato alla protezione delle campagne politiche dalle intromissioni dei cybercriminali, all’aumento della sicurezza del processo elettorale, alla difesa contro la disinformazione e a una maggiore trasparenza della pubblicità politica online. Parte del programma è rappresentato dall’iniziativa AccountGuard, che assicura protezione informatica all’avanguardia senza costi aggiuntivi a tutti i candidati e agli uffici per le campagne elettorali a livello federale, statale e locale, così come ad altre organizzazioni decisive per il processo democratico. Nel corso del primo mese hanno aderito ad AccountGuard oltre 30 organizzazioni. L’iniziativa, concentrata in un primo tempo sulle attività dei maggiori partiti nazionali, è ora estesa non solo a comitati di rappresentanza dei due partiti principali degli Stati Uniti, ma anche a think tank e campagne di alto profilo.

Carlo Mauceli

Cyber tregua USA - Russia ... e se passasse per le operazioni contro Trickbot?

A prestar fede al Washington Post, lo US Cyber Command nei giorni scorsi è stato impegnato in una operazione preventiva avente come obiettivo la botnet Trickbot.

L'operazione aveva lo scopo di complicare la vita ai gestori di una delle più estese botnet al mondo (probabilmente più di due milioni di pc infetti). Trickbot è impiegata per condurre campagne di ransomware ma anche per diffondere fake news allo scopo di influenzare gli elettori. 

L'effetto ricercato ha proprio a che fare con le elezioni presidenziali americane che si svolgeranno da qui a qualche settimana.

Sempre secondo l'articolo, l'operazione è una conseguenza della nuova dottrina militare del Comandante del US Cyber Command (nonchè direttore della NSA) Paul Nakasone: "Persistent engagement".

Il primo a segnalare ciò che accadeva alla botnet Trickbot è stato Brian Krebs sul suo sito, KrebsonSecurity, che ha spiegato come, a fine settembre, sia stato iniettato sulla catena di C2 di Trickbot un file di configurazione costruito ad arte per bloccare, almeno temporaneamente, la botnet. Circa dieci giorni dopo è accaduta la stessa cosa, facendo pensare che si sia trattato di una attività pianificata e non di un errore. 

Secondo la società di threat intelligence Intel 471, nel secondo attacco contro la botnet sono stati immessi dati sbagliati allo scopo di ritardarne le operazioni di ripristino. 

Perché prendersi il disturbo di "infastidire" le attività di una botnet lo svela al Washington Post un anonimo del US Cyber Command, come abbiamo detto.

Si tratta principalmente di disturbare le operazioni di disinformazione condotte attraverso la botnet, dirette a influenzare le elezioni presidenziali americane. 

Credo sia interessante mettere questa notizia a sistema con quanto sta accadendo sul piano diplomatico nel campo cyber.

Sul New York Times del 25 settembre è apparso un interessante articolo in cui si afferma che il presidente russo, Vladimir Putin, avrebbe chiesto agli USA di stipulare una tregua nel cyberspace. Naturalmente Putin non ha ammesso di aver responsabilità nelle attività di influenza condotte nel corso di precedenti elezioni.

Il messaggio del presidente Putin è in quattro punti, semplice e lineare:

1°. Restaurare un dialogo bilaterale onnicomprensivo, ad alto livello, interagenzia, sulla questione chiave di assicurare la Information Security su scala internazionale;

2°. Mantenere dei canali di comunicazione sempre aperti tra le agenzie competenti (USA e Russia) per il tramite dei "Nuclear Risk Reduction Centers", i "Computer Emergency Respons Teams" e Ufficiali di alto livello sulle questioni relative agli organismi che si occupano di assicurare la sicurezza nazionale, comprese le informazioni.

3°. Sviluppare e concludere congiuntamente un accordo bilaterale intergovernativo sulla prevenzione di incidenti nello spazio delle informazioni a similitudine di quanto per la prevenzione di incidenti in alto mare del 25 maggio 1972.

4°. Scambiare, secondo un formato accettabile, garanzie di non intervento negli affari interni, compresi i processi elettorali, per mezzo di strumenti ICT e di high-tech.

Questa dichiarazione apre a due scenari:

- nel primo, la Russia mette le capacità Cyber sullo stesso livello di quelle nucleari e propone di studiare un qualche sistema per ridurne l'impiego in futuro;

- nel secondo scenario la Russia usa questa proposta come prosecuzione delle sue operazioni di influenza, cercando di spaccare l'opinione pubblica occidentale con una proposta di "pace cyber" che senza ombra di dubbio avrà molti seguaci e altrettanti oppositori!

Alessandro Rugolo

Per approfondire:

- https://krebsonsecurity.com/2020/10/attacks-aimed-at-disrupting-the-trickbot-botnet/

- https://public.intel471.com/

- https://www.washingtonpost.com/national-security/cyber-command-trickbot-disrupt/2020/10/09/19587aae-0a32-11eb-a166-dc429b380d10_story.html

- https://www.nytimes.com/2020/09/25/world/europe/russia-cyber-security-meddling.html

- http://en.kremlin.ru/events/president/news/64086

Microsoft - l'importanza della sicurezza e della privacy al tempo del Covid

“L’obiettivo di Microsoft è quello di democratizzare l’accesso alla tecnologia, così che tutti possano beneficiarne, mantenendo come priorità la tutela della privacy e la sicurezza dei dati.”, (Satya Nadella, A.D. Microsoft)

Rivoluzione Digitale significa il passaggio graduale da una tecnologia elettronica analogica a tecnologie elettroniche digitali, il cui principale protagonista è Internet e gli strumenti che lo adoperano, come computer o telefoni cellulari digitali. Questa rivoluzione ha cambiato in maniera significativa il nostro approccio alla cultura, al mondo del lavoro, al modo in cui passiamo il tempo libero.

In tutti gli aspetti della vita sociale, la digitalizzazione dell’informazione è diventata indispensabile, un elemento chiave che ha modificato anche il modo di interagire con il prossimo.

Con l’avvento dell’era digitale, infatti, si evolvono le modalità di accesso alle informazioni. Mutano i mezzi con cui accediamo ai contenuti informativi, si trasforma il modo in cui i media, le aziende o personaggi pubblici comunicano con il proprio pubblico, attraverso il sito web o blog piuttosto che i canali social.

Nei possibili scenari futuri ipotizzati, la rivoluzione digitale è un evento storico di cui facciamo parte e che sta trasformando la società in tutti i suoi aspetti; così come il rapporto tra le persone e il mondo del lavoro, che offre oggi nuove possibilità di occupazioni legate al mondo digitale.

Ci sono state ampie discussioni al riguardo perché la tecnologia crea si nuovi casi d’uso, nuove opportunità, ma anche pericoli reali o potenziali e solleva interrogativi complessi sul suo impatto sociale: lavoro, privacy, sicurezza, inclusione, equità. Un processo innovativo senza etica, o semplicemente un comportamento che non tenga conto delle variabili intangibili, sta mostrando di non essere in grado di soddisfare quel ruolo sociale che in una visione moderna gli compete. Tutto questo in attesa di una legislazione che ancora arranca, intenta a inseguire invece di prevenire.

Sono tanti i personaggi che hanno dato il loro parere.

“La tecnologia è sì uno strumento, ma siamo noi a darle un valore. Posso servirmi di un coltello per tagliare il pane o uccidere una persona, ma il coltello per spalmare il burro è diverso dal coltello da combattimento. Ciò significa che la neutralità e la dualità possono essere orientate positivamente fin dal principio — sottolinea il filosofo Luciano Floridi — In questo senso la tecnologia digitale appare molto più orientata a migliorarci la vita che a rovinarcela, nel senso che sostiene ciò che abbiamo già e consente di fare ciò che finora non era possibile. È opportunità di sviluppo ma deve essere guidata”

La “galassia digitale”, e in particolare la cosiddetta “intelligenza artificiale”, si trova proprio al cuore del cambiamento d’epoca che stiamo attraversando. L’innovazione digitale, infatti, tocca tutti gli aspetti della vita, sia personali sia sociali. Essa incide sul nostro modo di comprendere il mondo e anche noi stessi” così scrive Papa Francesco nella lettera Humana communitas, inviata alla Pontificia Accademia per la Vita (PAV) in occasione del suo 25° anniversario.

Anche la comprensione che l’essere umano ha di sé stesso pone l’accento sulla centralità delle relazioni e dell’informazione: l’organismo opera sulla base di informazioni ed è connesso con altri organismi analoghi, immersi in un ambiente condiviso con altri agenti informazionali, naturali e artificiali. È quello che si indica con il termine “infosfera”. Nella realtà in cui siamo immersi, in cui le connessioni si moltiplicano, non ha più neanche senso porre la domanda se si è online o offline. Sarebbe più corretto dire che siamo “onlife”, un neologismo che alcuni pensatori utilizzano per esprimere l’inestricabile intreccio tra vita e universo digitale. E le interazioni si infittiscono non soltanto tra gli esseri umani e i dispositivi, ma anche tra i dispositivi stessi, sovente senza che noi neanche ce ne accorgiamo, come avviene nel cosiddetto «Internet delle cose».

Perché questa introduzione? Perché partire da queste considerazioni?

La risposta è semplice. Perché è arrivato il covid-19 e questo tsunami ha fatto sì che molte discussioni passassero, non dico in secondo piano, ma accelerassero nel processo di acquisizione e di utilizzo per lasciare, però spazio, ad altri termini che, in ogni caso, negli ultimi mesi hanno rappresentato le parole chiave con cui definire l’evoluzione dei nostri comportamenti: sicurezza, privacy, responsabilità e territorialità dei dati.

Le ultime vicende hanno mostrato con forza come le dinamiche digitali e gli interessi pubblici, di cittadini e Stati, ormai siano strettamente intrecciati. Il problema di fondo è che viviamo un momento di confusione, in cui si stanno alternando tentativi (spesso ambigui e contraddittori) di autoregolamentazione da parte delle piattaforme e tentativi di normazione da parte degli Stati.

Se da un lato le prime oscillano tra mosse “di facciata” volte a rassicurare utenti e Governi circa la loro volontà di tutelare i nostri dati e le necessità di business che mirano al profitto ad essi legato, le iniziative degli Stati appaiono spesso contraddittorie, confuse, e con impatti ad oggi imperscrutabili (che oscillano tra l’inefficacia e il rischio di censura e soffocamento dell’innovazione).

Scandali come Cambridge Analytica o i grandi data breaches che tra gli altri hanno colpito Google, Facebook e la catena di alberghi Marriott, hanno, insomma, contribuito a segnare la fine di un certo modo forse un po’ naif d’intendere il web.

In questo scenario anche Microsoft riveste un ruolo fondamentale pur rimanendo una società il cui business principale è legato ai servizi e non certamente ai dati. Eppure, troppo spesso, viene accomunata ad altri giganti del web che non hanno le medesime caratteristiche né, tantomeno, sviluppano lo stesso business, Negli ultimi tempi, Microsoft è assurta alle cronache per l’incremento esponenziale che i servizi di comunicazione e collaborazione, basati sulla piattaforma O365, hanno avuto. In Italia l'azienda ha assistito a un aumento del 775% del numero di chiamate e di meeting fatti su Teams in un mese.

Ovviamente non sono mancati i dubbi, le discussioni e, spesso, anche le critiche relative all’adozione da parte delle aziende italiane di questa piattaforma. Critiche relative, ad esempio, legati a dubbi quali:

• Garantire le misure minime di sicurezza, riservatezza e protezione dei dati personali;

• La sicurezza della rete utilizzata per i collegamenti remoti;

• Che fine fanno i dati raccolti e archiviati durante le comunicazioni;

• Chi può accedere ai dati;

giusto per citarne alcuni.

Mi sembra, pertanto, corretto fornire una serie di delucidazioni che non hanno la pretesa di essere esaustive ma che possono aiutare a fare un po' di chiarezza.

Prima di farlo partiamo, però, da alcune considerazioni del CEO di Microsoft, Satya Nadella: “L’obiettivo di Microsoft è quello di democratizzare l’accesso alla tecnologia, così che tutti possano beneficiarne, mantenendo come priorità la tutela della privacy e la sicurezza dei dati.”

"Quando iniziamo a parlare di sicurezza informatica, voglio iniziare con la missione di Microsoft", ha detto Nadella. "La nostra missione di consentire a ogni persona e organizzazione del pianeta di ottenere di più è ciò che guida tutta la nostra agenda di innovazione tecnologica, come interagiamo con i nostri clienti, come ci presentiamo con i nostri clienti, come collaboriamo con l'ecosistema più ampio. Guida tutto ciò che facciamo."

Oggi, i dipendenti accedono a dati sensibili su sistemi on-premise e basati su cloud, utilizzando tutto, da laptop e desktop a sensori internet di cose e dispositivi proprietari. Ma mentre i vantaggi aziendali di tale connettività sono enormi, anche la minaccia per la sicurezza informatica è aumentata.

"Stiamo adottando un approccio di principio con un impegno forte per garantire che i nostri clienti possano fidarsi della tecnologia digitale che usano", ha affermato Nadella. "Abbiamo quattro pilastri su cui si basa la nostra strategia. Quando si tratta di privacy, ci assicureremo che i tuoi dati siano privati e sotto il tuo controllo. Quando si tratta di conformità, gestiremo i tuoi dati in conformità con la legge del terreno. Saremo anche trasparenti sia sulla raccolta dei dati che sull'utilizzo dei dati. Infine, ci assicureremo che tutti i tuoi dati siano al sicuro."

Non dimentichiamoci, quindi, che la sicurezza è un viaggio ed è solo grazie alla realizzazione di tutte le fermate che costituiscono questo viaggio che si possono ottemperare i giusti requisiti che ogni persona ed ogni azienda esige.

Carlo Mauceli

Gli Stati Uniti primi al mondo in ambito cyber

Questo, in sintesi, quanto viene affermato nel National Cyber Power Index (NCPI) 2020 del Belfer Center for Science and International Affairs.
Lo studio condotto prende in esame le capacità cyber e la volontà all'impiego di trenta Nazioni, redigendo una classifica in testa alla quale si trovano gli Stati Uniti, seguiti a qualche lunghezza da Cina e Regno Unito. Solo quarta la Russia. A seguire i Paesi Bassi, la Francia, la Germania, il Canada, il Giappone e l'Australia.
Tra le prime dieci nazioni vi sono quattro appartenenti alla cosiddetta "Five eyes", solo la Nuova Zelanda è più indietro, occupando la quindicesima posizione.
Sempre da una analisi sommaria si nota che tre  nazioni su dieci sono europee, Paesi Bassi, Francia e Germania.
Ma, ci si potrebbe chiedere, come è stata stilata la classifica?
E perché una nuova classifica dato che già ne esistono altre?
Iniziamo col dare risposta alla prima domanda.
Il Belfer Center nasce nel 1973 come istituto statunitense, situato a Cambridge, nel Massachusetts con lo scopo di occuparsi di analisi e studi internazionali nel campo del nucleare e del controllo degli armamenti. Il suo campo d'azione negli anni si è ampliato ed oggi comprende anche il dominio cyber.
Con questo studio - parole di Eric Rosenbach (1) - il team del Belfer Center ha prodotto il miglior modello per censire la potenza cyber (di uno Stato).
Il gruppo di lavoro, bisogna riconoscerlo, ha fatto un ottimo lavoro nella identificazione dei possibili obiettivi nazionali alla base dello sviluppo e impiego del cyber power:

1. Surveilling and Monitoring Domestic Groups;
2. Strengthening and Enhancing National Cyber Defenses;
3. Controlling and Manipulating the Information Environment;
4. Foreign Intelligence Collection for National Security;
5. Commercial Gain or Enhancing Domestic Industry Growth;
6. Destroying or Disabling an Adversary’s Infrastructure and
Capabilities;
7. Defining International Cyber Norms and Technical Standards.

Ha quindi identificato le capacità cyber dei trenta Stati presi in considerazione e la loro volontà e capacità di impiegarle allo scopo di raggiungere i suoi obiettivi.

Come detto in precedenza esistono già altri indici che misurano in qualche modo il cyber power.
Tra questi abbiamo trattato in un precedente articolo  del GCI (Global Cybersecurity Index) del International Telecommunications Union.
Esiste un secondo indice che analizza la maturità di 75 Paesi nel settore cyber e dei servizi digitali, si tratta del Potomac Institute's Cyber Readiness Index.
Il terzo indice, sviluppato da Economic Intelligence Unit & Booz Allen Hamilton, si chiama Cyber Power Index e misura il cyber power dei Paesi del G20 ma non comprende le capacità di cyber offensive essendo incentrato principalmente su indicatori economici.

Nello studio si effettua un paragone tra le diverse metodologie, da cui risulta la maggior precisione del nuovo indice. Da notare che sia nel GCI del ITU, sia nel CPI il Regno Unito risultava al primo posto, posizione occupata nel nuovo indice dagli Stati Uniti.

Molto interessante notare che secondo il NCPI, seppure il primato nel settore cyber sia in generale attribuito agli Stati Uniti, la Cina è indicata come la nazione con il maggior punteggio in relazione al "Intent" che è definito come:

"measurement of the quality and quantity of government planning initiatives (i.e. national cyber security strategies, crisis plans, and other related government planning documents). It is a subjective assessment of the government’s “observed behavior” on cyber relevant issues".

Ciò è in linea con la narrativa generale statunitense che descrive la Cina come una nazione estremamente aggressiva in tutti i campi.

In definitiva, lo studio è molto interessante e dovrebbe essere approfondito, soprattutto in relazione al fatto che l'Italia risulta essere in ventinovesima posizione su trenta Paesi !


Alessandro RUGOLO
 
Note:

(1) Eric Rosenbach è Co-Director del Belfer Center e Former Chief of Staff and
Assistant Secretary for the U.S. Department of Defense

Per approfondire:
- https://www.belfercenter.org/publication/national-cyber-power-index-2020/;
- https://www.difesaonline.it/evidenza/cyber/global-cybersecurity-index-2017-italia-al-31%C2%B0-posto-discesa
- https://www.itu.int/pub/D-STR-GCI.01-2018
- https://www.potomacinstitute.org/images/CRIndex2.0.pdf
- https://www.smartdatacollective.com/cyber-power-index/

The TIDoS Framework

Per gli amanti di Kaly Linux, Metasploit è il framework impiegato per eseguire attività di Penetration Testing...
eppure, negli ultimi tempi, qualcosa di nuovo si è fatto avanti: TIDoS.

Cosè TIDoS?

Si tratta di un nuovo "Offensive Web Application Penetration Testing Framework", realizzato come progetto dal Team CodeSploit.

Vediamo in che consiste:

La versione su GitHub è la 1.7, ed è dichiarata come stabile. 

Il linguaggio di programmazione principale è python per il 95,6 %.
per un totale di 108 moduli.

Il framework è articolato intorno a cinque fasi:

- Reconnaissance Phase: di cui fanno parte 50 moduli;

- Scanning & Enumeration Phase, con 16 moduli;

- Vulnerability Analysis, con 37 moduli;

- Exploit Castle, con un solo modulo;

- Auxilliares, con 4 moduli.

La prima fase, reconnaissance, generalmente consiste nella pianificazione delle attività e nella raccolta di informazioni sull'obiettivo e sulle potenziali vulnerabilità. 

Naturalmente ricordo a tutti che l'attività di penetration testing è una attività che deve essere condotta in determinate circostanze e con le dovute autorizzazioni, non si tratta di condurre un attacco contro un obiettivo ma di individuare le vulnerabilità di un possibile obiettivo per aiutarlo a ridurle o eliminarle.

Tra i tanti moduli della prima fase (che potete trovare qui) si trovano:
- Nping Enumeration;
- WhoIS Lookup, per la raccolta di informazioni sul dominio di interesse;
- GeoIP Lookup, per individuare la posizione fisica di un obiettivo;
- DNS Configuration Lookup, che scarica la configurazione del DNS.

Interessante il modulo Wayback Machine Lookup, che serve per reperire backup di siti web, per esempio per verificare o ritrovare informazioni modificate o cancellate nel tempo.

Teoricamente le fasi andrebbero eseguite in sequenza.
In ogni fase è presente un modulo che consente di automatizzare le attività.
Il framework è ancora in sviluppo e l'autore ammette che potrebbero esserci dei malfunzionamenti su cui sta lavorando.

Una cosa è certa, le immagini delle schermate disponibili ci riportano indietro di un po di anni, cosa piacevole per certi versi... attendiamo gli sviluppi!


Alessandro Rugolo

Per approfondire:

- https://www.metasploit.com/
- https://github.com/0xInfection/TIDoS-Framework
- https://www.cisco.com/c/en/us/products/security/what-is-pen-testing.html
- https://www.facebook.com/0xInfection/?ref=page_internal
- https://www.imperva.com/learn/application-security/penetration-testing/#:~:text=%20Penetration%20testing%20stages%20%201%20Planning%20and,cross-site%20scripting%20%2C%20SQL%20injection%20and...%20More%20
- https://www.elastic.co/guide/en/siem/guide/current/nping-process-activity.html
- https://nmap.org/nping/
- http://web.archive.org/
- https://www.blackhatethicalhacking.com/tools/the-tidos-framework/

Intel Launches World’s Best Processor for Thin-and-Light Laptops: 11th Gen Intel Core

More than 150 Designs in Development, Including 20 Verified Under New Intel Evo Platform Brand

NEWS HIGHLIGHTS

• Intel launches 11th Gen Intel® Core™ processors with Intel® Iris® Xe graphics, the world’s best processors for thin-and-light laptops1, delivering up to 2.7x faster content creation2, more than 20% faster office productivity3 and more than 2x faster gaming plus streaming4 in real-world workflows over competitive products.
• Intel® Evo™ platform brand introduced for designs based on 11th Gen Intel Core processors with Intel Iris Xe graphics and verified through the Project Athena innovation program’s second-edition specification and key experience indicators (KEIs).
• More than 150 designs based on 11th Gen Intel Core processors are expected from Acer, Asus, Dell, Dynabook, HP, Lenovo, LG, MSI, Razer, Samsung and others.

SANTA CLARA, Calif., Sept. 2, 2020 – Intel today unleashed a new era of laptop performance with the launch of its next-generation mobile PC processors and the evolution of its broad ecosystem partnerships that are propelling the mobile PC industry forward. New 11th Gen Intel Core processors with Intel Iris Xe graphics (code-named “Tiger Lake”) are the world’s best processors for thin-and-light laptops with unmatched capabilities for real-world productivity, collaboration, creation, gaming and entertainment across Windows and ChromeOS-based laptops.

Leveraging Intel’s new SuperFin process technology, 11th Gen Intel Core processors optimize power efficiency with leading performance and responsiveness while running at significantly higher frequencies versus prior generations. More than 150 designs based on 11th Gen Intel Core processors are expected from partners including Acer, Asus, Dell, Dynabook, HP, Lenovo, LG, MSI, Razer, Samsung and others.

https://newsroom.intel.com/news-releases/11th-gen-tiger-lake-evo/#gs.g1k98o

Il Chief Information Security Officer, quali competenze?

Per molti professionisti della sicurezza informatica l'obiettivo finale della carriera è quello di assumere il ruolo di Chief Information Security Officer (CISO). Quella di CISO è una posizione a livello esecutivo, responsabile della gestione e delle operazioni del rischio informatico.

Come sappiamo, la sicurezza informatica si sta trasformando ed oggi un buon CISO deve anche avere forti capacità comunicative e una profonda comprensione del business.

Per potere ricoprire un simile ruolo è necessario comprendere come questo si stia evolvendo e le competenze necessarie per eccellere.

Man mano che le organizzazioni aziendali sviluppano il percorso della digitalizzazione, anche attraverso l’utilizzo dei servizi cloud, la loro capacità di sfruttare efficacemente la tecnologia è diventata parte integrante del loro successo.

Questo processo, però, ha anche creato maggiori opportunità per i criminali informatici.

Negli ultimi anni aziende di tutte le dimensioni hanno subito danni alla reputazione e hanno speso risorse significative per riprendersi da un attacco oppure sono state costrette a pagare multe per violazione della normativa sulla privacy.

Un bravo CISO deve sapere che un incidente informatico è in primo luogo un rischio aziendale e non soltanto un semplice rischio informatico

Quando si prendono decisioni, i consigli di amministrazione e i team esecutivi devono essere in grado di valutare la probabilità di una violazione dei dati oltre a perdite finanziarie o rischi operativi. Un buon CISO li aiuta a farlo.

Secondo una ricerca di Deloitte, ci sono quattro ruoli o aspetti che un CISO deve possedere e sviluppare: il tecnologo, il tutore, lo stratega e il consulente.

Probabilmente molte delle persone che ambiscono al ruolo di CISO hanno già familiarità con le caratteristiche di tecnologo e di tutore.

In qualità di tecnologo, il CISO è responsabile della guida, della distribuzione e della gestione delle tecnologie e degli standard di sicurezza.

Nel ruolo di tutore, monitora e regola programmi e controlli per migliorare continuamente la sicurezza. Non dobbiamo mai dimenticare, però, che i controlli tecnici e gli standard non elimineranno del tutto il rischio di attacchi informatici e che il CISO non ha il controllo su tutte le condizioni che possono aumentare la probabilità di una violazione; ecco perché i ruoli di stratega e consulente hanno assunto una sempre maggiore importanza.

In qualità di stratega, il CISO deve allineare la sicurezza con la strategia aziendale per determinare in che modo gli investimenti in sicurezza possono portare valore all'organizzazione.

In quanto consulente, il CISO aiuta i team esecutivi a comprendere i rischi relativi alla sicurezza informatica in modo che possano prendere decisioni corrette sulla base delle informazioni ricevute.

Per eccellere in questi ruoli è importante avere una ottima conoscenza del business, comprendere la gestione del rischio e migliorare le capacità di comunicazione.

Come dicevamo in precedenza, se si sta già operando nel settore della sicurezza informatica e si è interessati a crescere nel ruolo di CISO, probabilmente, già si conoscono gli aspetti legati al ruolo di tecnologo e di tutore.

È possibile migliorare le proprie competenze tecniche cercando di fare esperienza e ottenere certificazioni in una varietà di aree, in modo da comprendere cosa sia l'analisi delle minacce, la caccia alle minacce, la compliance, l'hacking etico e il controllo del sistema, ma questo non è tutto.

Occorre, infatti, trovare il tempo per lavorare sulle proprie capacità di leadership.

• Comprendere il business è il passo più importante se ci si vuole preparare ad un ruolo a livello esecutivo, occorre imparare a pensare come un uomo d'affari. Chi sono i vostri clienti? Quali sono le grandi opportunità e le sfide del vostro settore? Cosa rende unica la vostra azienda? Quali sono le sue debolezze? Quali strategie aziendali guidano l'organizzazione? È fondamentale prestare attenzione alle comunicazioni aziendali e ai report annuali per scoprire quali priorità ha il board aziendale e perché si sono prese determinate decisioni, leggere articoli relativi al proprio settore per avere una prospettiva più ampia sull'ambiente aziendale e su come la vostra azienda si inserisce nel mercato. Questa ricerca vi aiuterà a prendere decisioni più corrette su come allocare risorse limitate per proteggere i beni aziendali. Vi aiuterà anche a inquadrare le vostre argomentazioni in modo tale che l'azienda ascolti quanto vorrete proporre. Ad esempio, se si desidera convincere l'organizzazione ad aggiornare il firewall, sarà più facile convincere i decisori se si sarà in grado di spiegare le relazioni tra un incidente di sicurezza e il rapporto dell'azienda con clienti o investitori.
• Imparare la gestione del rischio: le aziende lungimiranti assumono regolarmente rischi strategici per raggiungere i propri obiettivi, colgono opportunità per lanciare nuovi prodotti o acquisire un concorrente che renderà i propri prodotti più appetibili sul mercato. Queste decisioni, se errate, possono causare fallimenti o perdite enormi. La gestione del rischio è una disciplina che cerca di comprendere i lati positivi e negativi dell'azione ed eliminare o mitigare i rischi, per quanto possibile. Confrontando la probabilità delle varie opzioni, ad esempio il ritorno sull'investimento se l'impresa ha successo o la potenziale perdita in caso di fallimento, i gestori possono prendere decisioni migliori. Il CISO aiuta a identificare e quantificare i rischi per la sicurezza informatica che dovrebbero essere considerati insieme ai rischi finanziari e operativi.
• Migliorare le capacità di comunicazione: Per essere un buon consulente e stratega, è necessario comunicare in modo efficace con le persone che hanno esperienze e background differenti. Un giorno ci si potrebbe trovare a discutere con un membro molto tecnico della propria squadra, il giorno dopo potrebbe essere necessario partecipare a una decisione aziendale a livello esecutivo o addirittura essere invitato a presentarsi al consiglio di amministrazione. Un piano di comunicazione può essere d’aiuto a perfezionare i messaggi che si devono dare ai vari interlocutori. Per iniziare a sviluppare queste caratteristiche bisogna cercare di capire gli obiettivi delle persone con cui si parla regolarmente. Quali sono le loro necessità? È possibile inquadrare le comunicazioni di sicurezza in termini tali da poterli aiutare a superare queste sfide? È necessario riflettere e prendersi del tempo per mettersi nei panni di qualcun altro prima delle riunioni, delle conversazioni nel corridoio, prima di scambiare e-mail e chat. Può fare davvero la differenza!

Un buon piano di comunicazione fornisce messaggi di sicurezza mirati:

Negli ultimi anni, il ruolo dei CISO è stato portato ad essere parte del board di un’azienda proprio per avere una consulenza strategica sulla sicurezza.

Costruire capacità di leadership come la gestione del rischio e la comunicazione vi aiuterà a entrare in questo ruolo in modo sempre più importante.

Carlo Mauceli