Redazione RHC : 19 Aprile 2024 07:47
Entra dietro le quinte del nostro CERT per rivivere un intervento completo su un attacco ransomware. David Quesada, direttore del CERT Advens, descrive in dettaglio le fasi di risposta agli incidenti del nostro Computer Emergency Response Team.
Benjamin Leroux esperto di Sicurezza informatica in proposito ha commentato: ”Nella sicurezza informatica, spesso parliamo troppo di attacchi e non abbastanza di difensori. Ciò può inavvertitamente glorificare gli hacker e metterli su un piedistallo. Dovremmo invece concentrarci sulla celebrazione del lavoro dei difensori, che sono i veri eroi in prima linea. I difensori sono gli eroi non celebrati della sicurezza informatica. Sono loro che rispondono quando colpisce una grave crisi, lavorando instancabilmente per proteggere le organizzazioni e rimetterle in funzione il più rapidamente possibile”.
Alessandro Rossi CEO Advens Italia suggerisce inoltre: ”per dare un contributo all’innalzamento del livello di sicurezza di tutti dovremmo descrivere e diffondere più informazioni e statistiche sugli incidenti piuttosto che solo statistiche sugli attacchi: sapete che in media il danno generato da un incidente informatico è costituito per 1/3 da impegno e attività per gestirlo?”.
 Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber"Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca. Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare. Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Un attacco ransomware consiste nell’inviare a un bersaglio un malware che, una volta attivato, crittografa i file e tutti i dati del sistema informatico in cui è attivato. Viene quindi chiesto un riscatto in cambio di una chiave di decodifica.
Ci sono segnali deboli, ma rilevarli può essere difficile.
L’obiettivo dell’hacker è passare inosservato il più a lungo possibile. Una volta infiltratosi in un sistema informatico, può aspettare mesi prima di scatenare il suo attacco o agire nel giro di poche ore… Ciò che può mettere la pulce nell’orecchio sono comportamenti anormali, come azioni notturne (connessioni, modifiche, ecc.) o trasferimenti di rete insoliti.
Gli strumenti informatici non rispondono più o funzionano in modo anomalo. L’utente osserva comportamenti inaspettati sulla propria postazione di lavoro, come un software che non funziona più, uno sfondo che cambia aspetto… Poi appare un file di testo, spesso intitolato “Read me.txt” che contiene un messaggio tipo “Abbiamo crittografato i tuoi dati, chiama un numero per recuperarli per la somma di XXX € o XXX Bitcoin”.
Da 1 a 3 giorni
Questo è il tempo normale per l’invio di una richiesta di riscatto (LegiFrance).
Sconsiglio di contattare direttamente l’hacker e di impegnarsi in trattative per pagare il riscatto. Non risparmierai necessariamente tempo e non hai alcuna garanzia che l’hacker ti restituisca l’accesso ai dati.
Ma ogni minuto conta, e se un utente scopre l’attacco, è necessario lanciare immediatamente l’allarme al team di cybersecurity o al supporto IT e soprattutto non gestire l’incidente da soli.
La prima fase dell’incidente si svolge in più fasi: sono in qualche modo le “operazioni di primo soccorso”.
Il nostro CERT realizza innanzitutto una prima valutazione telefonica per identificare l’entità dei danni, comprendere le azioni già intraprese o in corso, quindi trasmettere, tramite un indirizzo e-mail di soccorso, le azioni prioritarie da intraprendere in attesa dell’arrivo del team sul posto.
L’equipe cercherà di raggiungere il cliente il più rapidamente possibile, idealmente entro 24 ore sul territorio francese. Nel frattempo, quest’ultimo dal canto suo deve completare tutte le azioni prioritarie:
Una volta sul posto, mapperemo i danni e identificheremo le azioni da eseguire nei primi due o tre giorni.
Il CERT effettua un’indagine approfondita: consiste nell’analisi dei prelievi per identificare il punto di partenza dell’attacco (se possibile) e il livello di penetrazione dell’attacco. Per aumentare l’efficienza e la velocità, il CERT può essere indotto a implementare un EDR. L’obiettivo del dispiegamento è duplice: proteggere utilizzando gli indicatori scoperti e riuscire a rilevare nuovi elementi specifici per identificare eventuali compromissioni.
Parallelamente, possiamo supportare i team del cliente nella comunicazione interna ed esterna da adottare.
All’interno di Advens, un team di “vigili del fuoco volontari” può prendere il posto per fornire competenze aggiuntive o complementari. Ad esempio, alcuni sono già intervenuti per prendere la parola davanti ai media.
Dopo una settimana di indagini, iniziamo a creare quello che viene chiamato un nucleo di fiducia*.
Che cos’è un nucleo di fiducia?
Un’area IT sicura al 100%, che consente di ricostruire un’infrastruttura IT sana. Tutto ciò che è all’interno è stato verificato, l’hacker non può entrare o accedervi, grazie all’isolamento di tutte le altre posizioni prima di essere reintegrato in questo nucleo di fiducia.
La sfida di questo nucleo di fiducia? Inserire solo parti del SI completamente sicure e filtrate. Durante la crisi, l’attacco può continuare, l’hacker può perfezionare le sue tecniche o scoprire nuove vulnerabilità. Bisogna unire prudenza e agilità per riuscire nelle attività di contenimento e di ricostruzione.
Parallelamente ad altre attività, il CERT Advens continua a fornire il suo supporto. Attiviamo o partecipiamo all’unità di crisi dell’organizzazione vittima dell’attacco. Questo ci permette di mantenere un legame con il cliente e di condividere i progressi delle nostre analisi. Una volta che la ricostruzione è sufficientemente avanzata, diventa possibile riavviare i servizi interessati. A stretto contatto con la direzione aziendale, determiniamo quindi quale funzione aziendale deve essere ripristinata in via prioritaria.
In questa fase sono possibili due casi:
A questo punto inizia la fase di ricostruzione del SI. L’operazione può durare dalle 4 alle 6 settimane, o anche diversi mesi, a seconda dell’entità del danno e dei problemi riscontrati.
Dopo il ripristino dei primi elementi critici del SI, il team CERT si ritirerà gradualmente, ma altri servizi Advens possono entrare in gioco a seconda del piano d’azione pianificato, come ad esempio l’allestimento di un SOC supervisionato, il mantenimento delle condizioni di sicurezza, la definizione di nuove procedure o la formazione e la sensibilizzazione.
Dopo l’intervento del CERT, viene redatto un rapporto d’intervento che contiene le indagini digitali svolte dal CERT, una cronologia di ciò che è accaduto durante la risposta all’incidente, un diagramma dell’attacco e conclusioni generali e tecniche da cui deriva un piano d’azione.
A questo punto il cliente si occupa di completare la procedura di ripristino, con o senza l’assistenza di alcuni team Advens esterni al CERT, e di riavviare la propria attività. Il CERT rimane a disposizione per rispondere alle domande sul piano d’azione e sul rapporto.
Grazie a David Quesada per aver condiviso il modus operandi del CERT Advens in caso di attacco ransomware. Per rimanere aggiornato, segui i bollettini pubblicati dal CERT sul sito web di Advens.
RedazioneTre importanti gruppi di ransomware – DragonForce, Qilin e LockBit – hanno annunciato un’alleanza. Si tratta essenzialmente di un tentativo di coordinare le attività di diversi importanti opera...
Sarebbe fantastico avere un agente AI capace di analizzare automaticamente il codice dei nostri progetti, individuare i bug di sicurezza, generare la correzione e pubblicarla subito in produzione. Epp...
La disillusione nei confronti degli incontri online spinge sempre più le donne a cercare intimità emotiva nel mondo virtuale. Sempre più donne si rivolgono all’intelligenza artificiale, ovvero ai...
Una falla critica di 13 anni, nota come RediShell, presente in Redis, permette l’esecuzione di codice remoto (RCE) e offre agli aggressori la possibilità di acquisire il pieno controllo del sistema...
Se n’è parlato molto poco di questo avvenimento, che personalmente reputo strategicamente molto importante e segno di un forte cambiamento nella gestione delle vulnerabilità non documentate in Ita...
