Un nuovo report di Kaspersky Compromise Assessment evidenzia come molte aziende non riescano a individuare gli incidenti di sicurezza informatica a causa di approcci reattivi, monitoraggio insufficiente e carenze operative. Secondo il report, nel 31% degli incidenti analizzati le attività dannose all’interno delle organizzazioni erano in corso da oltre tre mesi. Inoltre, più della metà (52%) delle violazioni ad alta gravità è stata scoperta solo dopo essere rimasta inosservata per oltre 90 giorni, mentre l’incidente più datato identificato nell’ultimo anno è rimasto occulto addirittura per quattro anni. Il report completo è disponibile su Securelist.
Gli strumenti di monitoraggio e i controlli di sicurezza, da soli, non sono sufficienti. Tra tutti gli incidenti individuati, il 20% è stato rilevato manualmente, mentre il 60% è sfuggito alle aziende nonostante la presenza di avvisi ad alta affidabilità generati dagli strumenti già in uso. Questo dato evidenzia una dipendenza critica dalle soluzioni automatizzate, che non sempre vengono configurate o monitorate in modo efficace. Per garantire una protezione adeguata, gli strumenti di monitoraggio devono essere configurati e aggiornati costantemente in base all’evoluzione del panorama delle minacce. Allo stesso tempo, il fattore umano continua a svolgere un ruolo fondamentale: gli analisti devono esaminare attivamente anche gli avvisi a bassa affidabilità, che spesso vengono trascurati ma possono rivelarsi indicatori di compromissione.
File dannosi rispristinati dai backup. Il 40% di tutte le web shell individuate (script o programmi dannosi) è rimasto inosservato nei backup, con il rischio di essere ripristinato una volta concluse le attività iniziali di risposta all’incidente. Per questo motivo, è fondamentale sottoporre a un’attenta verifica non solo l’integrità, ma anche il contenuto dei backup.
I problemi di comunicazione possono portare alla mancata individuazione di incidenti. Quasi un terzo (32%) delle valutazioni relative alle violazioni della sicurezza ha infatti evidenziato problemi quali conferme poco chiare delle azioni intraprese o perdita di conoscenze dovuta al ricambio del personale. Questo sottolinea l’importanza di organizzare esercitazioni periodiche che consentano di verificare non solo le procedure tecniche, ma anche i flussi di comunicazione, gli aspetti legati alle risorse umane e gli accordi operativi.
Le procedure di risposta agli incidenti devono essere aggiornate regolarmente. Per risultare realmente efficaci ed efficienti, i playbook devono essere considerati documenti in continua evoluzione, da aggiornare costantemente sulla base delle nuove evidenze e delle informazioni emergenti sulle minacce. Il mancato adeguamento dei piani di risposta all’evoluzione del panorama delle minacce aumenta infatti in modo significativo il rischio di trascurare minacce critiche e di consentire la compromissione dei sistemi.
“Le aziende devono affrontare non solo rischi esterni, ma anche minacce nascoste all’interno della propria infrastruttura, e i segnali di una compromissione non sono sempre evidenti. Gli audit di sicurezza proattivi aumentano le probabilità che le organizzazioni rilevino una compromissione. L’integrazione di valutazioni periodiche della compromissione, condotte da soggetti terzi, nei processi organizzativi può ridurre la probabilità di incidenti imprevisti di grave entità e migliorare il profilo di rischio complessivo”, ha commentato Amged Wageh, Expert di Kaspersky Compromise Assessment.
Il report completo è disponibile sul Securelist.com.
Kaspersky raccomanda alle aziende di:
· Effettuare un controllo completo dello stato di salute del motore di rilevamento entro 30 giorni, dando priorità all’integrità dei dati telemetrici e alla pertinenza delle regole.
· Istituire un team di convalida degli allarmi Tier 1 incaricato di esaminare tutti gli eventi di rilevamento a bassa affidabilità secondo una tempistica prestabilita.
· Garantire un monitoraggio efficace 24 ore su 24, 7 giorni su 7, potenziato da funzionalità di ricerca proattiva delle minacce incentrate sulla definizione di valori di riferimento, sugli avvisi a bassa affidabilità e sulle tecniche emergenti degli attaccanti.
· Rivalutare il processo di gestione delle vulnerabilità per garantire l’applicazione continua delle patch e l’attivazione dei registri di audit su tutte le risorse critiche.
· Aggiornare i programmi di formazione sulla sicurezza per affrontare il problema della fuga di credenziali dai dispositivi personali e rafforzare le pratiche di sicurezza relative al BYOD.
· Condurre esercitazioni teoriche periodiche per testare i piani d’azione tecnici e migliorare le competenze del team e i flussi di comunicazione.
· Stabilire accordi a livello operativo per regolare e facilitare la comunicazione tra i diversi team, definendo al contempo procedure operative standard per una corretta documentazione.
Informazioni su Kaspersky Compromise Assessment
Kaspersky Compromise Assessment è un servizio che si concentra sull’individuazione di attacchi informatici attivi e di attacchi precedentemente sconosciuti che sono sfuggiti al controllo dei vostri strumenti e processi di sicurezza IT. L’obiettivo del servizio è fornire un elevato livello di certezza riguardo all’eventuale compromissione della vostra rete e valutare lo stato generale della sicurezza attraverso un’analisi condotta da esperti indipendenti.
