Le classiche misure di sicurezza come l'autenticazione a più fattori o i programmi antivirus non sono sufficienti per una sicurezza informatica completa. Le aziende devono quindi perseguire un approccio di difesa in profondità e concentrarsi principalmente sulla protezione delle identità e degli accessi privilegiati, afferma l'esperto di sicurezza CyberArk.
Nella maggior parte degli attacchi, indipendentemente da chi c'è dietro, il livello di identità è il primo punto di ingresso nella rete di un'organizzazione. In molti casi, è stato dimostrato che gli aggressori sono in grado di mantenere un accesso persistente, non rilevato ea lungo termine in ambienti compromessi utilizzando, tra le altre cose, credenziali legittime.
MFA, EDR, AntiVirus: tutto conta
Per una maggiore sicurezza informatica sui dispositivi finali, un'azienda dovrebbe, da un lato, ricorrere a pratiche comprovate. Riguarda, ad esempio, l'implementazione di MFA (autenticazione a più fattori), l'introduzione di soluzioni EDR (endpoint detection and response) e AV (antivirus), l'uso di un firewall, l'installazione regolare di patch e - se necessario – l'uso di password sicure.
D'altro canto, sono necessarie ulteriori misure per aumentare la sicurezza informatica come parte di un approccio di difesa in profondità. Ciò include le seguenti misure:
- Utilizzo di soluzioni per il controllo delle applicazioni: Le aziende devono bloccare l'esecuzione di file EXE sconosciuti perché potrebbero contenere comandi potenzialmente pericolosi. Il ricaricamento di codice dannoso e la sua esecuzione sul dispositivo finale compromesso fa parte di un attacco in quasi tutte le irruzioni nei sistemi IT.
- Limitazione dei diritti di accesso: L'implementazione coerente di un concetto di privilegio minimo e la disattivazione degli account non richiesti sono indispensabili. La limitazione dei privilegi è fondamentale perché il furto di credenziali consente agli aggressori di accedere a informazioni critiche. Dovrebbe essere sostenuta anche un'estensione just-in-time delle autorizzazioni. Ciò significa: se un utente necessita di diritti elevati o più elevati per lavorare sul sistema o per eseguire determinate fasi di lavoro, questi diritti possono essere assegnati solo temporaneamente e in base allo scopo, al binario o all'azione. Le funzioni di rilevamento delle minacce possono accelerare il rilevamento e la prevenzione dei tentativi di attacco.
- Rilevamento dell'amministratore ombra: Gli amministratori ombra sono spesso dotati di autorizzazioni sensibili che danno loro la possibilità di aumentare i privilegi negli ambienti cloud. Queste identità, spesso nate da configurazioni errate o mancanza di consapevolezza, possono essere prese di mira da aggressori, mettendo a rischio l'intero ambiente. Esistono varie soluzioni per rilevare gli amministratori ombra, come lo strumento open source zbang.
- Backup dei backup: Le aziende dovrebbero eseguire in modo affidabile il backup dei controller di dominio, poiché gli aggressori potrebbero tentare di accedere o creare una copia del database del dominio di Active Directory per rubare le credenziali o altre informazioni sui dispositivi, sugli utenti o sui diritti di accesso. Strumenti con funzioni di rilevamento delle minacce che proteggono il file NTDS in cui sono archiviati i dati sensibili di Active Directory possono essere presi in considerazione per il backup.
- Utilizzo della crittografia AES Kerberos: L'utilizzo della crittografia AES Kerberos invece di RC4 può impedire a un utente malintenzionato di utilizzare in modo improprio un ticket di concessione di ticket (TGT) Kerberos valido o di spiare il traffico di rete per accedere a un servizio di concessione di ticket (TGS) ricevuto, che potrebbe essere vulnerabile con metodi di forza bruta. Ad esempio, il modulo RiskySPN dello strumento zBang può essere utilizzato per rilevare Kerberoasting.
- Protezione dei certificati di credenziali: I certificati utente salvati per l'accesso ai sistemi di destinazione devono essere protetti in modo affidabile per impedire agli aggressori di tentare di firmare certificati con token. Questo può essere utilizzato anche per mitigare minacce come un attacco Golden SAML, in cui gli aggressori ricevono un token SAML valido, ovvero un falso elemento di autenticazione. Ciò conferisce loro quasi tutte le autorizzazioni per quasi tutti i servizi di un'azienda, a seconda di quali servizi utilizzano SAML come protocollo di autenticazione.
Sicurezza informatica: le misure di sicurezza multilivello proteggono
“Le misure di sicurezza isolate non sono più sufficienti in un'era di crescente criminalità informatica. L'ordine del giorno è: Difesa in profondità – adesso. Ciò significa che un'azienda deve adottare misure di sicurezza a più livelli per proteggere sistemi, applicazioni e dati riservati e per ridurre al minimo i possibili effetti negativi di un attacco", spiega Christian Götz, Solutions Engineering Director DACH di CyberArk. "Un buon punto di partenza per questo è un approccio di sicurezza basato sull'identità, ovvero un concetto di sicurezza che classifica l'identità come la linea centrale di difesa di un'azienda, indipendentemente dal fatto che si tratti di una persona, un'applicazione o una macchina".
Altro su Cyberark.com
A proposito di CyberArk
CyberArk è il leader globale nella sicurezza delle identità. Con Privileged Access Management come componente principale, CyberArk fornisce una sicurezza completa per qualsiasi identità, umana o non umana, in applicazioni aziendali, ambienti di lavoro distribuiti, carichi di lavoro cloud ibridi e cicli di vita DevOps. Le aziende leader a livello mondiale si affidano a CyberArk per proteggere i dati, le infrastrutture e le applicazioni più importanti. Circa un terzo delle società DAX 30 e 20 delle società Euro Stoxx 50 utilizzano le soluzioni di CyberArk.