A cura di Fabio Panada, Consulting Systems Engineer Security, Cisco
Rispondere alle minacce alla sicurezza richiede tempo, competenze e denaro – risorse che la maggior parte di chi lavora nel campo della sicurezza sa bene quanto scarseggino.
Il report annuale sulla cybersecurity Cisco 2017 Annual Cybersecurity Report (ACR) ha raccolto le opinioni dei responsabili security e dei loro team nel Security Capabilities Benchmark Study del 2017 in cui hanno rivelato di essere alla ricerca di strategie, come ad esempio soluzioni di sicurezza automatizzate o strumenti basati su cloud che li aiutino a superare i limiti dati dalla mancanza di risorse.
Per una sicurezza efficace serve automazione, e serve adesso. Come si legge nel report, è proprio la carenza di risorse ad avere un impatto significativo sulla capacità di indagare e risolvere le minacce. Secondo gli intervistati, infatti, i loro team di security riescono a esaminare solo il 56% delle minacce alla sicurezza che ricevono tutti i giorni – lasciando il 44% delle segnalazioni, ovvero quasi la metà, inesplorata.
Quello che preoccupa è ciò che si nasconde negli alert che non vengono esaminati. Si tratta di minacce? Di minacce di basso livello? O si trattava di minacce più pericolose che potrebbero causare fermi della rete o si trattava di un incidente ransomware? Purtroppo, alle volte è solo quando si verifica un incidente che ci si rende conto che una sicurezza al 56% non è accettabile se si tratta della propria azienda.
Inoltre, quando è stato chiesto ai responsabili sicurezza come fossero gestite le minacce prese in esame, è emerso un quadro altrettanto preoccupante. Del 56% delle segnalazioni esaminate, il 28% si rivelano essere minacce legittime. Di queste, solo il 46% per cento viene bonificato, lasciando non risolto il 54% degli alert che indicano minacce effettive.
In Italia, la situazione è anche un po’ più critica. Solo il 55% degli alert di sicurezza è oggetto di indagine, con il 18% che risulta realmente dannoso. Di questo 18%, sul 62% non si effettua alcun intervento di bonifica lasciando che il malware “viva” all’interno dei sistemi compromessi. Questa tendenza non è variata nel corso degli ultimi tre anni e per la maggior parte dei casi è dovuta a carenza di talenti specializzati, di strumenti o soluzioni automatizzate in grado di intervenire dopo aver determinato la criticità degli alert.
Ma di che mole di minacce stiamo parlando?
Facciamo un esempio: se un’azienda rileva 5.000 alert al giorno:
- 800 avvisi vengono indagati, mentre 2.200 non lo sono
- Di quelli esaminati, 784 alert riguardano minacce alla sicurezza
- Tra questi alert effettivamente pericolosi, solo 360 sono risanati, mentre 424 non vengono risanati
Se le aziende non prendono in esame così tanti alert, queste potenziali minacce potrebbero minare la loro produttività e la fiducia dei loro clienti? Lo stesso benchmark study indica come le aziende che subiscono interruzioni all’operatività della propria rete anche minime causate da minacce cyber (anche se si tratta di danni di minor entità rispetto a violazioni alla sicurezza più estese), si trovano a fare i conti con conseguenze che a lungo termine hanno ricadute sull’andamento dell’azienda. Ad esempio, il 22% degli intervistati ha ammesso di aver perso clienti a causa di attacchi, e il 29% ha subito perdite economiche.
L’automazione può aiutare le imprese a comprendere le minacce che non possono avere il tempo di studiare. Può aiutare i team di security a ottimizzare le risorse preziose e a ridurre il tempo impiegato in rilevamento, indagine e bonifica – questo poi dà loro anche più tempo per gestire le minacce che precedentemente erano state ignorate.
Le soluzioni di sicurezza di Cisco sono state pensate per essere aperte, in modo da integrare i prodotti in un’architettura efficace, e aiutare i team di lavoro a semplificare questa mole di lavoro quotidiano. Inoltre, includono servizi automatizzati in modo che i clienti non debbano gestire ogni alert o un singolo incidente per volta. Questo crea un effetto moltiplicatore di forza, eliminando l’onere dai team letteralmente sommersi dagli innumerevoli avvisi e contemporaneamente accelerano le attività di rilevamento e di risposta. Ad esempio, Rapid Threat Containment può automatizzare le risposte di sicurezza e contenere rapidamente gli endpoint infetti. E Cisco Advanced Malware Protection (AMP) appena vede una minaccia una volta, la blocca all’istante appena si ripresenta, ovunque si ritrovi.
