La Cyber Security è una problematica sempre più attuale. Il problema non è tanto capire SE ci sarà un attacco ma COME sarà eseguito e quindi COSA fare per difenderci. Che siamo singole persone, piccoli imprenditori, grandi aziende o Pubbliche Amministrazioni siamo sempre dei bersagli. Anche un attacco da un costo esiguo può portare ingenti perdite e impatti disastrosi. Come prevenire questi attacchi e, se accadono, come possiamo reagire per limitare il danno? Dopo una breve descrizione delle ultime tendenze in fatto di Cyber Crime saranno analizzati diversi casi reali come quello di Sony - dove sono stati rubati 100 Terabyte di dati tra cui 5 film inediti e i dati dei dipendenti che hanno dovuto loro stessi reagire a questo attacco - e di Carbanak - dove è stato stimato un furto dai 500 milioni di euro a circa 1 miliardo - per comprendere come sarebbe stato possibile prevenire o limitare i danni. Una sezione sarà dedicata alla problematica del Phishing che diventa sempre più difficile da identificare e che spesso è il primo passo verso una compromissione persistente (Advanced Persistent Threat - APT).

1. © Copyright 2013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.
NuovetendenzenellaCyberSecurity,
comeproteggersi
SMAU Milano, 23/10/2015

2. © Copyright 2015 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.2
1 Nuove minacce e attacchi
2 Analisi di casi reali
3
3 Come proteggersi
Agenda
Nuove tendenze nella Cyber Security, come proteggersi

3. © Copyright 2013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. HP Restricted.
Nuoveminacceeattacchi

4. © Copyright 2015 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.4
Le nuove tendenze delle minacce
in media, per identificare una breccia205 giorni
per
rispondere
32giorni
costo medio di
una breccia
$3.5M
Fonti: Mandiant M-Trends 2015 Report, 2013 Ponemon Cost of Data
Breach Study

5. © Copyright 2015 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.5
Il «campo di battaglia» digitale
Discovery
Research
Adversary
Capture
Infiltration
Exfiltration

6. © Copyright 2015 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.6
Principali attacchi e minacce
Advanced Persistent
Threat (APT)
Malware
Avanzati
Attacchi
Zero-day
Social
Engineering

7. © Copyright 2015 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.7
Un esempio di Social Engineering: il Phishing
Cos’è?
• Facendo riferimento al phishing, è l’invio di e-mail che contengono
collegamenti, allegati o codici malevoli, inviati con lo scopo di ottenere
informazioni o compromettere la vittima.
• La «pesca» può essere eseguita a strascico o d’altura.
Funziona?
• Il 23% delle e-mail di phishing viene aperto
• L’11% delle vittime clicca sull’eventuale allegato
• Nel 60% dei casi, dopo il click, l’attacco ha successo in pochi minuti
Fonte: Verizon 2015 Data Breach Investigation Report

8. © Copyright 2015 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.8
Attacchi Zero-Day
Cosa sono?
• Vulnerabilità non note ai produttori, pertanto non esiste la «cura».
• Esiste un mercato per la compravendita di queste vulnerabilità.
• Nel 2014, molte delle vulnerabilità sfruttate erano state scoperte e la
«cura» fornita negli anni precedenti (es. 2009).
Funzionano?
• Si, molto efficaci, richiedono l’interazione minima con la vittima sia per
un client (es. visitare una pagina web) che per un server (es. inviare una
richiesta ad un server web).

9. © Copyright 2015 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.9
Advanced Persistent Threat (APT)
Cosa sono?
• Minacce che eseguono attacchi avanzati (sfruttando differenti tecniche)
in modo persistente (hanno obiettivi specifici).
• In questo ultimo anno alcuni gruppi APT interagiscono con dei criminali.
Funzionano?
• Si, quando sono all’interno della rete bersaglio si muovono lateralmente
per compromettere altri sistemi d’interesse.
• Persistono anche per anni, sfruttando e tecnologie proprie del bersaglio
(es. VPN) e tecniche e strumenti tipici degli amministratori di sistema.
Fonte: Mandiant M-Trends 2015 Report

10. © Copyright 2015 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.10
Malware avanzati
Cosa sono?
• Programmi creati con lo scopo di eseguire determinati attacchi.
• Possono distruggere dati, rubare informazioni oppure compromettere il
«business» del bersaglio (es. Stuxnet).
Funzionano?
• Si, sono strutturati colpire sistemi specifici (es. Stuxnet per il protocollo
SCADA delle centrali nucleari).
• Possono essere adattati e scaricare altri malware utili allo scopo.
Spesso sono fatti ad-hoc per un determinato attacco.

11. © Copyright 2015 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.11
Quali sono gli obiettivi degli attaccanti?
• Disturbare, per ottenere accesso ai sistemi per propagarsi
ulteriormente (es. botnet e spam).
• Rubare i dati, per ottenere vantaggi politici o economici.
• Cybercrime, per ottenere un vantaggio finanziario (es. furto di carte di
credito).
• Hacktivism, per diffamare una determinata organizzazione (es.
defacement, pubblicazione di dati).
• Distruggere, per distruggere il business (es. cancellazione dei dati)
Inoltre si registra una certa tendenza al furto di informazioni personali di
clienti, cittadini e di persone in generale.Fonte: Mandiant M-Trends 2015 Report

12. © Copyright 2013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. HP Restricted.
Analisidialcunicasireali

13. © Copyright 2015 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.14
Sony Pictures Entertainment
Novembre 2014: 100 Terabyte di dati sottratti in circa 12 mesi
• 5 film ancora non pubblicati
• Dati personali di oltre 30.000 dipendenti e familiari
• Informazioni finanziarie
• Documenti d'identità e contratti di cast e troupe
• Danni stimati per circa 100 milioni di dollari (15 milioni solo per la gestione dell'incidente nel Q1 2015)
Dopo l'incidente di PlayStation Network (2011), Sony aveva lavorato per migliorare la propria sicurezza
• Senza un'effettiva valutazione dei rischi globali
• Senza mantenere lo stesso livello di vigilanza su tutti i vari reparti

14. © Copyright 2015 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.15
Sony Pictures Entertainment
Come è stato scoperto l'incidente
• Il lunedì mattina tutti gli schermi
hanno mostrato questa immagine
Qual è stata la gestione della crisi
• Tutta l'infrastruttura è stata spenta per oltre una settimana!
• Minacce ai mezzi di comunicazione per tentare di impedire il
diffondersi delle notizie sull'incidente

15. © Copyright 2015 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.16
Anthem
Febbraio 2015: 80 milioni di record trafugati
• Attacco impostato (probabilmente) 9 mesi prima
• Sottratti nomi, indirizzi, telefoni, email, copie di documenti d'identità, social security number
• Clienti e familiari potenzialmente esposti a furti d'identità per il resto della vita
L'attacco è stato mirato (presumibilmente di provenienza cinese)
• Un malware appositamente realizzato
• Ha utilizzato tecniche tipiche del phishing su domini legati ad Anthem (sound-alike, omografi)
• Ha mirato ad ottenere delle credenziali che avessero accesso ai dati
• Un'analisi comportamentale strutturata avrebbe potuto identificare precocemente i segnali dell'attacco in corso

16. © Copyright 2015 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.17
Anthem
Come è stato scoperto l'incidente
• Un utente ha rilevato una (pesante) query sul database a lui sconosciuta ed eseguita con la
propria user-id.
Qual è stata la gestione della crisi
• Quasi da manuale, dimostrando prontezza e preparazione.
• Comunicazione immediata alle autorità e coinvolgimento di consulenti specializzati.
• Autorevole full disclosure verso tutti gli utenti interessati.
• Fornitura di un servizio gratuito di identity protection alle vittime dell'incidente.

17. © Copyright 2015 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.18
Carbank
Gennaio 2015: oltre 100 istituti finanziari coinvolti in 30 paesi
• Durata della campagna circa 24 mesi
• Sottratti complessivamente da 500 milioni a 1 miliardo di dollari
• Perdite per il singolo obiettivo da 2,5 a 10 milioni di dollari
• Diversi mesi (2-4) di durata per singola operazione
Tipico attacco APT elaborato e su larga scala
• Payload inviato via email e attivato usando vulnerabilità note legate a file Word
• Installate Backdoor e trojan Man-in-the-Browser
• Attività di ricognizione interna per individuare sistemi vulnerabili "interessanti"
• Key- e screen-logging per ottenere informazioni sui meccanismi di gestione del denaro
• Trasferimento di fondi tramite transazioni finanziarie e controllo remoto dei bancomat

18. © Copyright 2015 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.19
Carbank
Come è stato scoperto l'incidente
• Principalmente tramite meccanismi di controllo di tipo finanziario dopo lungo tempo
• In alcuni casi gli "strani" comportamenti dei bancomat hanno fatto partire attività di indagine
Punti di debolezza
• Una carente gestione della sicurezza ha lasciato aperte vulnerabilità note (nessuno 0day è stato
sfruttato durante gli attacchi)
• L'assenza di sistemi di indagine ha permesso all'attacco di giungere inosservato fino all'obiettivo
• La mancanza di un punto di coordinamento nella fase di gestione degli incidenti ha reso possibile
all'operazione di proseguire indisturbata cambiando regolarmente bersaglio

19. © Copyright 2013 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. HP Restricted.
Comeproteggersi?

20. © Copyright 2015 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.21
Mantenere la calma
Tre dimensioni principali del Cyber Defence Program:
• Digital Investigation
• Incident Response
• Cyber Governance
Tralasciare uno solo di questi aspetti rende inefficaci gli altri

21. © Copyright 2015 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.22
Digital Investigation
Consapevolezza di quanto l'infrastruttura sia resiliente ad un attacco
Quali sono i possibili scenari di attacco?
Consapevolezza delle possibili violazioni in atto
Sono già entrati?
Consapevolezza del contesto esterno all'organizzazione
Quali sono gli aspetti non tecnici di rischio?
Analisi dei comportamenti
Come posso fondere tutte le fonti in un unico quadro?

22. © Copyright 2015 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.23
Incident Response
"We have an incident response plan, but I suspect it’s merely formalised panic"
- IT Security Manager on Twitter
Avere un piano di risposta (collaudato e coordinato) permette di contenere i danni
quando (non "se") si verifica l'incidente
• Gestione della crisi
• Risposta rapida all'incidente
• Supporto all'analisi forense
• Strategia di comunicazione efficace
• Requisiti normativi di disclosure
• Simulazione

23. © Copyright 2015 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.24
Cyber Governance
Allineare la Cyber Security agli obiettivi di business
• Adeguare gli investimenti di tecnologia, processi e servizi
• Massimizzare il ROI rispetto all'efficacia degli interventi
Verificare il contesto normativo
• Quadro strategico nazionale di Cyber Security
• Normativa Garante Privacy
• EU Cybersecurity Strategy sulla «Network and Information Security» (NIS)
Cyber Security Program
• Cyber Risk Analysis e Benchmark
• Cyber Security Maturity report
• Cyber Security Roadmap

24. © Copyright 2015 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice.25
Essere pronti
"When you’re capable of detecting a breach on your own, or with a partner that can on
your behalf, you can detect a breach sooner and contain it quicker."
(*) Trustwave – Global Security Report 2015
Identificata dall’Esterno Identificata dall’Interno
Dall’intrusione al contenumento 154 gg 14 gg
Advanced Threat Protection Services
Risolve il dubbio più importante:
è in atto una violazione?
Risposta rapida agli incidenti di
cyber-security con indagine,
analisi, gestione e soluzione
Monitoraggio e gestione 24/7 dei
cyber-attacchi con indagine sulle
minacce e contrasto proattivo
Global Incident ResponseAdvanced Compromise Assessment Managed Advanced Threat Protection

25. © Copyright 2014 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice. HP CONFIDENTIAL.
Grazie