La scorsa settimana sono emerse due vulnerabilità critiche in PHP, il linguaggio alla base di gran parte del web. Gli aggressori stavano testando gli exploit prima ancora che fosse disponibile una correzione. Quando sono state rilasciate le patch, la domanda è stata immediata: quanto velocemente sarà possibile applicarle? A quel punto però, la corsa era già iniziata da un pezzo.
Non si tratta di approfondire il protocollo PHP. Ma di concentrarsi sulla velocità. Per anni il perimetro è stato un muro, oggi è un orologio. E la finestra temporale dei difensori è il nuovo perimetro.
Due fattori giocano contro questa finestra. Gli aggressori oggi agiscono più rapidamente di quanto si riesca ad applicare le patch. E non è detto che un sistema aggiornato sia anche pulito: una patch chiude la porta, ma non vi dice chi è già entrato né cosa si è lasciato alle spalle.
La finestra temporale si restringe
Fino a non molto tempo fa, il tempo era dalla parte dei difensori. Si rendeva nota una vulnerabilità, veniva rilasciata una patch e i team avevano il tempo necessario per testarla e distribuirla prima che gli aggressori potessero agire.
Quel tempo è finito. L’intelligenza artificiale riduce ulteriormente il tempo che intercorre tra la scoperta di una vulnerabilità e il suo sfruttamento. Addirittura, il tempo di breakout più rapido mai registrato da CrowdStrike è di 27 secondi.
Nel frattempo, l’applicazione delle patch procede ancora a velocità umana. Occorre individuare ogni sistema, testare e pianificare l’applicazione degli aggiornamenti, quindi riavviarlo. Alcuni sistemi, inoltre, non possono proprio essere aggiornati con una semplice patch.
Aggiornato non significa pulito
Le patch restano valide, e vanno applicate tempestivamente. Ma in un mondo che corre a questo ritmo, nessuna organizzazione può mettersi al sicuro a forza di patch.
Nel caso di PHP2Shell, ancor prima che fosse disponibile una correzione gli aggressori hanno avuto giorni per installare backdoor o compromettere password e chiavi senza farsi notare. La patch non elimina le backdoor né ripristina la sicurezza delle password e delle chiavi compromesse. I sistemi sono formalmente aggiornati, ma gli aggressori dispongono ancora di una via d’accesso.
In altre parole, aggiornato non significa pulito. L’incidente non è concluso quando viene distribuita la correzione: è concluso quando si può dimostrare che i sistemi sono puliti.
Tre domande per ogni CEO
Ogni gruppo dirigente dovrebbe essere in grado di rispondere già oggi a queste domande:
· Gli aggressori sono riusciti a entrare prima che applicassimo la patch?
· Sono riusciti ad accedere alle nostre credenziali o ai nostri dati?
· Quale versione dei nostri sistemi critici possiamo considerare affidabile e quanto velocemente possiamo ripristinarla?
E, guardando al lungo termine, la domanda più importante è: qual è la nostra strategia per il futuro?
La maggior parte delle organizzazioni non riesce a rispondere rapidamente. Setaccia i log, ricostruisce manualmente la cronologia degli eventi e, troppo spesso, ripristina i sistemi incrociando le dita, mentre l’azienda resta in attesa.
La corsa si vince con la resilienza
Tutto ciò che facciamo per tenere fuori gli aggressori conta ancora. Resta tutto necessario, ma ormai niente può essere sufficiente da solo. Prima o poi, qualcosa riuscirà a passare. Non si può prevenire tutto, ed è fondamentale essere in grado di ripristinare l’operatività più rapidamente.
Ecco cosa significa resilienza: partire dal presupposto che si sia già verificata una compromissione ed essere pronti a dimostrare quali sistemi sono puliti e a ripristinare l’operatività aziendale alla velocità delle macchine.
Si parte da una domanda: se domani si fermasse tutto, che cosa sarebbe necessario ripristinare come prima cosa per poter continuare a operare? È qualcosa che si può definire come Minimum Viable Business, il nucleo minimo di operatività aziendale. Le sue componenti fondamentali? Identità, per consentire alle persone di accedere ai sistemi. Comunicazioni, perché i team possano coordinarsi. Poi, le applicazioni che mantengono operative le attività aziendali. Definire questo nucleo, proteggerlo e fare esercitazioni per ripristinarlo, è la ricetta che permette di proteggere efficacemente ogni business.
