Errori, miti e verità nascoste nel mondo della Sicurezza

ATTACCHI INFORMATICI:

SVELIAMONE I MITI

Nel mondo in cui viviamo siamo costantemente connessi a Internet, ma la maggior parte di noi, non riesce ancora a comprendere appieno come muoversi, rimanendo così esposta ai pericoli e alle minacce che ne derivano.

La miglior SPIEGAZIONE in merito a questo dilagare di Ricatti, Furti di dati ATTACCHI INFORMATICI di ogni tipo, la troviamo in alcuni stralci dell’articolo* che riportiamo qui di seguito:

 * (D. Raguseo su Cybersecurity360.it “Vulnerabilità dell’IoT: le best practices per la mitigazione del rischio”)

.... " Nel mondo reale siamo in grado di concepire quale sia la differenza tra bene e male perché il pensiero, l’esperienza e i valori al riguardo si sono formati nell’arco di molto tempo, nel corso della storia.

Al digitale, invece, l’essere umano è arrivato molto rapidamente, senza sviluppare la consapevolezza adeguata per individuare cosa sia giusto e cosa sia invece sbagliato. Per esempio, nel mondo reale se trova una porta aperta una persona sa come deve comportarsi a seconda della circostanza: se chiamare aiuto, se entrare perché invitata, se richiuderla. Si conosce come vengono attuati i reati legati alla situazione e come prevenirli (non aprire agli sconosciuti, servirsi di una porta blindata, chiudere a chiave).
Nel mondo digitale tale consapevolezza manca, perché non si è formata l’esperienza necessaria a capire, su vasta scala, cosa fare per evitare di diventare vittime o, più semplicemente, in che modo sia corretto comportarsi e agire.

Siamo cresciuti troppo in fretta, passando da problemi analogici a rischi cyber nel giro di pochi anni. La tecnologia si è diffusa più rapidamente rispetto alla presa di coscienza sul suo corretto utilizzo. Si parla spesso di cultura della cyber security, ma il problema all’origine dello sviluppo di questo concetto è molto complicato: bisogna spiegare alle persone che cosa sono il bene e il male in questo ambito.”

Qualsiasi persona può rispecchiarsi nell’analisi riportata nell’articolo sopra ed è sufficiente fare una breve ricerca su Google per vedere quanto allarmanti siano le conseguenze di tutto ciò. 

I MITI

 

Per prima cosa è necessario sfatare alcuni luoghi comuni, più famoso tra tutti quello sugli Hackers:
Uno dei principali miti odierni, esasperato giornalmente dai media, è quello che gli Hackers sono i responsabili di tutti gli attacchi informatici mondiali: al contrario, soltanto una piccolissima minoranza di questi è perpetrata da hackers. La quasi totalità di questi attacchi è invece commessa da semplici criminali, alcuni dotati di qualche conoscenza informatica e niente più.
 

Quelli che oggi vengono erroneamente chiamati Hackers, (ad esempio quando leggiamo di aziende vittime di estorsioni informatiche), in realtà sono dei semplici delinquenti comuni che sfruttano dei programmi (tools) prodotti dagli Hackers: non possiedono una vera preparazione tecnica ma, grazie all’avvento del cosiddetto Dark Web, possono lì trovare ed acquistare tutti gli strumenti necessari a perpetrare la maggior parte dei cyber attacchi odierni. 

"Gli Hackers non sono in realtà hackers ma criminali comuni ”

Da un punto di vista pratico, è come se uno di noi decidesse di andare al Supermercato a fare acquisti riempiendo (on-line) il proprio carrello e scegliendo tutto quello che vuole: malware, virus, trojan, ransomware, etc. … quindi, una volta terminati gli acquisti, se li porta a casa e a quel punto è pronto per scegliere le proprie vittime (targets) utilizzando le armi che ha appena acquistato (in modo completamente Anonimo).

Quindi la vera differenza sta nel fatto che i primi sono le “braccia” e gli Hackers sono “le menti.” In generale, i veri hackers appartengono o a gruppi della criminalità organizzata, o sono alle dirette dipendenze di alcuni governi come ad esempio si è visto qualche anno fa con l’attacco di “Stuxnet”, un worm creato per mandare in tilt le centrali nucleari Iraniane.

Riassumendo: i veri Hackers o vengono ingaggiati in progetti di cyber-war oppure si dedicano principalmente a grandi obbiettivi (Corporations, Banche etc.) che forniscano loro un buon ritorno sull’investimento (vedi tempo e risorse impiegati per portare un attacco contro l’obbiettivo).
Avere un’idea di che tipo di nemico dobbiamo combattere rende ovviamente il cammino più facile.

IL PRINCIPALE ERRORE

Anche se apparentemente questa affermazione potrà provocare stupore, il primo grande errore in questo ambito lo riscontriamo nel processo di INFORMAZIONE /FORMAZIONE dei propri FUNZIONARI nell’insistere ad implementare questa soluzione da parte dei Managers
(o Responsabili di Settore) di grandi società fino ad arrivare agli Studi legali, Commercialisti, Architetti ed anche alle piccole imprese.

Queste infatti, molto spesso risultano essere le responsabili di grandi attacchi informatici perché, operando talvolta per una grande azienda, formano l’anello di congiunzione e di propagazione di malware all’interno dell’azienda che le ha contrattate.
Per combattere il nemico bisogna conoscerlo e, una volta conosciuto, spiegare “ai nostri” come evitarlo. Ma la risposta che ci sentiamo spesso dare da molte realtà è: _ “La nostra azienda/attività investe annualmente molti soldi nella manutenzione e sicurezza dei computer e non abbiamo bisogno di altri professionisti che controllino la nostra sicurezza” _
Parte del lavoro che noi svolgiamo è proprio per combattere questo tipo di attitudine che è anch’essa responsabile del dilagare degli attacchi informatici ovvero il continuare a ragionare seguendo una vecchia e oltrepassata tradizione /schema di difesa.

IL VERO NEMICO

Alla luce di queste considerazioni, emerge l’importanza di conoscere il proprio avversario: certamente combattere contro vero Hacker è una cosa mentre invece combattere contro mentalità, comportamenti, processi, azioni formalizzate di interi dipartimenti aziendali/professionali/industriali in genere, è ben diverso."
I Funzionari stessi, la maggior parte delle volte, sono sì colpevoli ma a loro stessa insaputa:
il vero responsabile della loro colpevolezza è la mancanza di informazioni e la modalità con cui queste vengono fornite dai loro capi. Da qui deriva l’inutilità dei corsi di formazione aziendale sviluppati per la sicurezza informatica.
Abbiamo la prova per dimostrare tutto ciò: il più grande e sottovalutato problema esistente oggi nel mondo digitale è l’INGEGNERIA SOCIALE. Una scienza e allo stesso tempo un paradosso poiché è nata nel “mondo analogico” ma è oggi impiegata a 360 gradi nel “mondo digitale”.
È lei il vero massiccio nemico di oggi e di sempre: un’arma “umana/analogica” impiegata in un mondo digitale.

Possiamo essere dotati del miglior sistema di controllo accessi, della miglior porta blindata nella nostra abitazione, del Laptop crittografato a livello militare ma, contro l’Ingegneria Sociale, tutto questo è totalmente inefficace.

Ospedali, Hotels, Industrie, piccole-medie-grandi Imprese, centrali energetiche, Aeroporti, etc.: la lista delle vittime di attacchi informatici è praticamente infinita ma la causa primaria è sempre la stessa: Uomo – Psicologia – Comportamento.

LE SOLUZIONI

Per combattere il nemico bisogna conoscerlo e, una volta conosciuto, spiegare “ai nostri” come evitarlo.  Per questo, è necessario mettere in campo alcune novità:

• COLLABORAZIONE MIRATA

Nell’ambiente di lavoro, usare nuovi metodi per rendere i propri funzionari, di qualsiasi grado e livello, dei veri e propri COMPLICI nell’aiutarci a prevenire e difendere le minacce e i pericoli del mondo digitale.

• MODIFICARE – INNOVARE :

È assolutamente necessario Rivedere e Riconsiderare completamente i cosiddetti “Corsi di Formazione” del personale così come vengono sviluppati oggi nella stragrande maggioranza delle aziende e Corporations, tutto questo anche alla luce dei nuovi studi di psicologia comportamentale.

Se infatti si continuerà a seguire la politica della formazione e dell’insegnamento così com’è, non c’è software, hardware o Intelligenza Artificiale che potranno difendere i targets anche dal più piccolo attacco.

• INGANNARE IL NEMICO

Perché dobbiamo subire passivamente un’invasione di un nostro computer o network aziendale ed invece non facciamo perdere la ragione al nemico implementando dei vecchi trucchi derivati addirittura dal mondo del contro Spionaggio? Praticamente possiamo tenere alla larga gli invasori sfruttando delle tattiche che non permetteranno loro di raggiungere l’obbiettivo.

CONCLUSIONI

Paradossalmente, la maggior parte degli strumenti necessari ad una Prevenzione efficace oggi, è totalmente GRATUITA poiché questi strumenti non sono nient'altro che un insieme di efficaci Tattiche e Metodologie (derivate, come nel nostro caso, da feedback ed esperienze di interazione/infiltrazione con il mondo criminale), la cui implementazione non comporta nessun costo o investimento.

MA QUANTI OGGI NE SONO A CONOSCENZA?