I cyberattacchi si stanno rapidamente evolvendo in termini di sofisticazione e scala. La linea di demarcazione tra il regno digitale e quello fisico è diventata sempre più labile. I cyberattaccanti stranieri hanno usato malware distruttivi per cancellare i dati dai dischi rigidi e si sono infiltrati nei sistemi industriali. In futuro potrebbero compiere mosse altrettanto dannose, visti i recenti eventi politici e le minacce verbali.
Chiunque sia responsabile della preparazione informatica di un'organizzazione ricopre attualmente un ruolo di grande importanza. Il detto "la miglior difesa è un buon attacco" non vale in questo caso. In questo caso, la miglior difesa è una buona difesa.
In pratica, è necessario disporre di un piano di risposta agli incidenti (IR) e di un piano di continuità operativa (BCP) pronti e testati. Dovete andare oltre l'identificazione dei rischi - cercando di proteggervi da essi con metodi come l'autenticazione multifattoriale e di rilevarli con scanner di virus e sistemi SIEM - e rispondere ad essi. È necessario seguire tutto il percorso e pensare in anticipo a come riprendersi.
I servizi di identità sono al centro della maggior parte degli attacchi APT (Advanced Persistent Threat). Tenendo conto di ciò, è consigliabile testare il piano di continuità operativa (BCP) e il piano di ripristino di emergenza (DRP) di Active Directory (AD) almeno ogni 13 mesi. Il motivo per cui molti non lo fanno è che si tratta di un’attività ripetitiva e difficile da eseguire correttamente. Effettuare un test di ripristino sull’ambiente di produzione non è un’opzione praticabile, mentre testare un ambiente standard è utile solo in parte. Eseguire un backup dell’ambiente di produzione e ripristinarlo in un laboratorio isolato rappresenta l’approccio più efficace.
Ai nostri clienti diciamo che il modo migliore per testare i piani BCP e DRP è quello di mappare i processi organizzativi critici alle applicazioni che li supportano e, in ultima analisi, all'infrastruttura che supporta tali applicazioni. Non esistono due organizzazioni esattamente uguali e per alcune il ripristino della sede centrale (HQ) potrebbe essere la priorità più alta, con le filiali a seguire (uno scenario comune per le istituzioni finanziarie), mentre per altre potrebbe essere il contrario (uno scenario comune per le aziende manifatturiere).
Decidere di applicare lo stesso accordo sul livello di servizio (SLA) a tutta l’infrastruttura è la scelta più semplice da prendere, ma nella maggior parte dei casi ciò comporterà che le applicazioni critiche si trovino nella stessa coda di quelle non critiche. Nella maggior parte delle aziende, ciò significa che tutte le strade portano ad AD. Ciononostante, abbiamo constatato che la pianificazione del ripristino di AD viene spesso trascurata, nonostante sia una delle componenti più critiche di qualsiasi approccio alla DR incentrato sulla sicurezza informatica.
Il ripristino dopo un attacco informatico (AD DR) è un processo complesso. L’azienda danese Maersk ha impiegato nove giorni per ripristinare i propri sistemi dopo l’attacco del malware NotPetya del 2017. Secondo Andy Powell, CISO di Maersk, circa55.000dispositivi della rete mondiale di Maersk sono stati completamente infettati in sette minuti.
In caso di incidente informatico, l’AD è fondamentale perché costituisce la base per il ripristino di tutti gli altri elementi della rete. Finché non si è ripristinato con successo l’AD, non c’è molto altro che si possa fare. Limitarsi a spegnere i sistemi una volta che l’attacco ha avuto inizio non è una soluzione efficace. È necessario comprendere i probabili vettori di attacco e i potenziali punti deboli, partendo dal presupposto che anche i server AD di backup potrebbero essere compromessi.
Il consiglio di Andy Powell è di assicurarsi di poter recuperare l'AD in meno di 24 ore. Quindi, la domanda sorge spontanea: Quando è stata l'ultima volta che avete testato il vostro piano di ripristino dell'AD? E, cosa altrettanto importante, il vostro piano di ripristino dell'AD è stato aggiornato per includere scenari informatici come un attacco ransomware o wiper?
Per concludere, a volte è necessaria una minaccia imminente perché le aziende prendano sul serio i loro piani fondamentali di rilevamento e risposta alle minacce. Questo è un buon momento per cercare di colmare le lacune dei vostri piani BCP e DRP cercando gli anelli più deboli, a partire dall'infrastruttura AD e dalle applicazioni che vi si appoggiano.
Professionisti della sicurezza AD, è il vostro momento di mettervi in luce. L’AD non è solo importante quanto gli altri livelli di qualsiasi strategia di sicurezza: al giorno d’oggi, a nostro avviso, lo è addirittura di più. Ed è vostra la sfida e la responsabilità di convincere il resto del vostro team che l’AD deve essere al centro del vostro piano di difesa.
