Zero Click Malware: The Invisible Digital Threat – How to Recognize and Defend Yourself

Estimated reading time: 6 minutes

What is Zero Click Malware

Zero click malware, also known as non-click malware or in-memory malware, is a new type of malware that can infect a device without the user taking any action. Unlike traditional malware that requires the user to click on a link or open an infected attachment, zero click malware is able to install itself on the victim's device completely silently and invisibly, without any interaction on their part.

How Zero Click Malware Works

This type of malware exploits various vulnerabilities in software and operating systems to gain access to the device. Some common infection vectors include: - Zero-day vulnerabilities not yet patched - Bugs in web browsers and messaging apps - Packet sniffers that intercept network traffic - Insecure public WiFi networks - Websites compromised with drive-by exploits Once initial access is gained, zero click malware uses advanced techniques to keep itself hidden and avoid detection. It can disable antivirus software, hide in RAM memory, encrypt communications, and much more.

Why Zero Click Malware is Dangerous

The completely stealth nature of this malware makes it extremely insidious and difficult to identify. Even the most security-conscious users can be infected without knowing it. This allows hackers to: - Monitor all activities performed on the infected endpoint - Collect sensitive data such as credentials, personal information, browser history - Collect sensitive data such as credentials, personal information, browser history - Move laterally within the network to infect other systems - Use the device for ransomware or denial of service attacks Furthermore, since no clicks or actions are required, zero click malware can spread very quickly, affecting a large number of victims.

Case Studies and Technical Analysis

Some real-world cases have recently emerged that illustrate the capabilities of this new category of cyber threats. One of the first zero click exploits to gain attention was Pegasus, developed by cybersecurity firm NSO Group. Used by some governments to spy on journalists and activists, Pegasus exploits zero-day vulnerabilities in iOS and Android to install itself without any user interaction. Another famous case is ForcedEntry, used to hack the iPhones of several employees in Bahrain. ForcedEntry exploits a vulnerability in iMessage to install spyware without clicking on Apple devices. These and other cases demonstrate the severity of the threat and the need for advanced protection solutions capable of detecting and preventing zero-click attacks.

How to Detect and Prevent Zero Click Attacks

Since this type of threat leaves no visible traces, identifying and stopping them requires targeted strategies: - Patching and updates - Always apply the latest security updates to fix known vulnerabilities - EDR Solutions - Endpoint detection and response technologies that analyze memory-based threats and anomalous behavior - Advanced web protection - Secure web gateways capable of inspecting all traffic entering and leaving the network - Network Segmentation - Limit the ability of malware to move laterally by isolating and segmenting critical systems - Strong Authentication - Enable multi-factor authentication to prevent targeted phishing attacks that often precede zero-clicks - Awareness Training - Instruct users to recognize and report suspicious activity that may indicate an infection A layered approach that integrates multiple technologies and policies is essential to defend against this ever-evolving threat.

Increase Prevention with Deception Solutions

One of the most effective strategies against zero-click malware is the use of deception solutions. These solutions create a seemingly attractive environment for malware, but in reality they are traps that detect and isolate threats before they can cause damage. By taking a multi-stage approach to defense, you can dynamically respond to threats as they evolve, defeating attackers with their own techniques.

Continuous Testing and Threat Simulations

Attack simulations and continuous testing of security controls are another key pillar in zero-click malware defense. Services like Posture Guard help organizations verify their security posture by leveraging a vast database of threats, including malware, ransomware, and Advanced Persistent Threats (APTs). These tests help you evaluate the effectiveness of your security tools and optimize your threat prevention and detection capabilities.

Cyber Threat Hunting and Threat Intelligence

Cyber Threat Hunting is crucial to proactively identify threats and sensitive information that may have been compromised. Having a team of experts dedicated to this activity allows you to quickly recover stolen information and organize a more targeted defense. Combined with continuous vulnerability analysis and incident response, this strategy offers significantly improved protection against zero-click attacks.

User training and awareness

While zero-click malware does not require user interaction for infection, a well-informed and aware workforce can still play a crucial role in preventing other types of cyber attacks. Training users on good cybersecurity practices can reduce the risk of malware infections and increase overall security.

Adopt a Dynamic Approach to Security

Taking a dynamic approach to security is essential. Solutions like Active Defense Deception work to respond to attacks during the initial stages, using dynamic techniques to prevent attacks from reaching execution and more advanced stages. This type of proactive defense can deter attackers and make the environment less attractive for malware.

Forecasts and Future Developments

Experts predict that zero-click malware attacks will become one of the most used techniques by hackers in the years to come. As user awareness of malware and phishing grows, cybercriminals will look for new invisible vectors to deliver malicious payloads. Additionally, the continued rise of IoT devices and smart home technologies presents attackers with an ever-increasing number of potential weak and unpatched targets. Operating environments such as 5G and edge computing could also facilitate the spread of zero-click threats. To counter these trends, companies and security vendors will need to invest more in threat intelligence, bug bounties, sandboxing and machine learning-based threat detection techniques. Only in this way will it be possible to unmask the rapidly evolving zero-click attacks in no time.

Conclusions

Clickless malware is emerging as one of the most stealthy and dangerous tactics of modern hackers. Its ability to bypass any human interaction to infect entire systems represents a critical challenge for the world of cybersecurity. To protect individuals and companies from this threat, it is essential to adopt preventive measures at multiple levels, from patching to network monitoring to training. Only by combining awareness and advanced technological solutions will it be possible to combat the phenomenon of zero-click attacks and maintain data integrity and security in the future. - Your virtual machine with Cloud Server Read the full article

La distrazione di Mercedes mette a rischio i segreti aziendali: l'importanza della Cyber Threat Intelligence

Estimated reading time: 5 minutes

L'incidente di sicurezza di Mercedes-Benz

Mercedes-Benz ha recentemente subito un grave incidente di sicurezza informatica, dopo che un suo dipendente ha involontariamente pubblicato su GitHub un token di autenticazione aziendale. Questa distrazione ha permesso potenzialmente l'accesso non autorizzato al codice sorgente, ai progetti, ai documenti di progettazione e ad altre informazioni sensibili di Mercedes-Benz. L'incidente è stato scoperto dalla società di sicurezza RedHunt Labs durante una normale attività di monitoraggio. Il token, pubblicato su GitHub nel settembre 2023, avrebbe potuto consentire a chiunque di accedere illimitatamente alle credenziali e ai segreti commerciali di Mercedes-Benz.

La gravità della falla di sicurezza

Il token forniva accesso completo e non monitorato ad una enormità di file contenenti proprietà intellettuale di Mercedes-Benz. In modo allarmante, il server compromesso ospitava anche chiavi di accesso al cloud, chiavi API e password aggiuntive, rappresentando una minaccia per l'intera infrastruttura IT di Mercedes-Benz. I repository non sicuri contenevano inoltre chiavi per l'accesso ai server Azure e AWS dell'azienda, oltre al codice sorgente di software proprietario Mercedes-Benz. Nonostante la gravità della falla, sembra che i dati dei clienti sui server interessati non siano stati compromessi.

La risposta di Mercedes-Benz

Non appena informata, Mercedes-Benz ha revocato il token API e rimosso il repository GitHub pubblico. L'azienda ha confermato che il codice sorgente è stato rilasciato per errore umano e ha avviato un'indagine interna, oltre ad implementare misure correttive. Al momento non ci sono prove che malintenzionati abbiano sfruttato la falla, ma Mercedes-Benz non ha confermato di aver rilevato o meno tentativi di accesso non autorizzato tramite log o altre misure di sicurezza.

Le conseguenze per Mercedes-Benz

Nonostante la rapida risposta, questo incidente evidenzia una mancanza di attenzione alla sicurezza informatica da parte di Mercedes-Benz. L'esposizione accidentale di informazioni sensibili può avere conseguenze disastrose per un'azienda. I cybercriminali avrebbero potuto accedere a segreti industriali e proprietà intellettuale di enorme valore per un produttore automobilistico. Inoltre, la compromissione dell'infrastruttura cloud avrebbe potuto permettere attacchi ransomware o altre violazioni ancora più gravi.

L'importanza della Cyber Threat Intelligence

Incidenti come questo dimostrano l'importanza per le aziende di implementare una solida Cyber Threat Intelligence. La CTI consente di ottenere informazioni dettagliate sulle minacce informatiche e di rilevare attività malevole mirate alla propria azienda. Un servizio di CTI come quello fornito da SOD permette di: - Monitorare il dark web per rilevare falle di sicurezza o credenziali compromesse - Analizzare la telemetria di rete per identificare attività sospette - Ricevere avvisi su nuove campagne di phishing mirate all'azienda - Scoprire in tempo reale leak di dati sensibili Grazie alla threat intelligence, Mercedes-Benz avrebbe potuto essere allertata della presenza del token di autenticazione sul repository GitHub pubblico, rimuovendolo prima che fosse sfruttato da malintenzionati.

La CTI aiuta a colmare le lacune di sicurezza

Oltre ad identificare proattivamente le minacce, la Cyber Threat Intelligence aiuta a correggere configurazioni di sicurezza inadeguate, come quella che ha causato l'incidente Mercedes-Benz. Le aziende possono ricevere avvisi su errori di configurazione che espongono dati sensibili. Ad esempio, regole di monitoraggio personalizzate possono rilevare la presenza di credenziali aziendali su repository pubblici, prevenendo situazioni analoghe a quella di Mercedes-Benz. La CTI fornisce informazioni approfondite per colmare lacune nella sicurezza prima che possano essere sfruttate dai criminali informatici.

La CTI rende più efficiente l'analisi degli incidenti

In caso si verifichi comunque una violazione dei dati, le informazioni di threat intelligence permettono di reagire più rapidamente e in modo più efficace. Grazie alla raccolta proattiva di informazioni sulle tattiche di attacco, il team di sicurezza può analizzare più velocemente un incidente e capire se si tratta di una minaccia nota. Inoltre, dati come indicatori di compromissione da fonti di threat intelligence aiutano a determinare più facilmente l'estensione di una violazione.

La CTI è fondamentale per la cyber security moderna

In un panorama di minacce in continua evoluzione, nessuna azienda può permettersi di operare alla cieca senza una solida threat intelligence. Incidenti come quello di Mercedes-Benz evidenziano i rischi di una cyber security obsoleta, incapace di fronteggiare avversari sempre più sofisticati. Investire in una piattaforma avanzata di Cyber Threat Intelligence è oggi imperativo per proteggere i segreti aziendali e l'infrastruttura IT critica da accessi non autorizzati, furti di dati e potenziali disastri.

Conclusione: la CTI, un investimento indispensabile

L'incidente occorso a Mercedes-Benz rimarca l'importanza per le imprese di ogni dimensione di investire in una soluzione avanzata di Cyber Threat Intelligence. La distrazione di un singolo dipendente può potenzialmente aprire le porte ai cybercriminali, con conseguenze disastrose. Dotarsi di capacità di monitoraggio proattivo delle minacce, come quelle fornite dalla piattaforma SOD, è oggi un passo indispensabile per proteggere il patrimonio di dati e proprietà intellettuale che costituisce il vero vantaggio competitivo di ogni azienda. La CTI non solo fornisce gli strumenti per identificare e prevenire le violazioni, ma aiuta le imprese a maturare e rafforzare nel tempo una cultura della sicurezza informatica consapevole all'interno dell'organizzazione. Una cyber security proattiva, supportata da threat intelligence tempestiva, permette di trasformare ogni potenziale incidente in un'opportunità di crescita. - L'importanza della Cyber Threat Intelligence - Coordinazione tra CTI e SOC: come alzare ulteriormente le difese Read the full article

Analisi della postura di sicurezza: guida completa per rafforzare la cybersecurity

Estimated reading time: 10 minutes

L'analisi della postura di sicurezza: come valutare la protezione dell'infrastruttura IT

L'analisi della postura di sicurezza è un processo fondamentale per valutare la protezione dell'infrastruttura IT di un'organizzazione contro le minacce informatiche. Conoscere i punti di forza e di debolezza della sicurezza IT consente di implementare controlli mirati per ridurre i rischi cyber.

Cos'è l'analisi della postura di sicurezza

L'analisi della postura di sicurezza, nota anche come security posture assessment, è il processo di valutazione della capacità di un'organizzazione di prevenire, rilevare e rispondere alle minacce informatiche. Consiste nell'esaminare la configurazione e l'efficacia di controlli di sicurezza come firewall, sistemi di rilevamento delle intrusioni (IDS), endpoint protection, gestione delle identità e degli accessi (IAM), sicurezza delle applicazioni, crittografia dei dati, backup e disaster recovery. L'obiettivo è identificare vulnerabilità, rischi e debolezze che potrebbero essere sfruttate dagli attaccanti per compromettere la confidenzialità, integrità e disponibilità delle informazioni e dei sistemi.

Perché è importante l'analisi della postura di sicurezza

Ecco perché effettuare regolarmente l'analisi della postura di sicurezza è fondamentale: - Rilevare vulnerabilità sconosciute - Nuove vulnerabilità vengono scoperte quotidianamente. L'analisi della postura di sicurezza permette di identificare e risolvere tempestivamente le falle prima che vengano sfruttate. - Valutare l'efficacia dei controlli - I controlli di sicurezza devono essere regolarmente testati per assicurarsi che funzionino come previsto. L'analisi della postura rileva eventuali problemi di configurazione o integrazione. - Ridurre la superficie di attacco - Disabilitare servizi e porte di rete non necessari consente di minimizzare i vettori di attacco. L'analisi della postura di sicurezza rileva questi punti deboli. - Rispettare standard e normative - Requisiti legali e di compliance richiedono un certo livello di sicurezza IT. L'analisi della postura verifica la conformità a PCI DSS, GDPR, HIPAA ecc. - Migliorare la visibilità - Comprendere la postura di sicurezza IT consente di implementare monitoraggio e log management più efficaci. - Gestire il rischio - L'analisi della postura di sicurezza fornisce i dati necessari per una valutazione accurata dei rischi cyber e l'implementazione di misure di mitigazione adeguate. - Rafforzare la sicurezza - I risultati dell'analisi consentono di stabilire priorità e migliorare i punti deboli nella strategia di sicurezza. In sintesi, l'analisi regolare della postura di sicurezza dovrebbe essere una best practice per qualsiasi organizzazione che voglia gestire il rischio cyber ed evitare impatti negativi sulla propria infrastruttura IT.

Come si esegue l'analisi della postura di sicurezza

Esistono vari approcci e strumenti per effettuare l'analisi della postura di sicurezza. Ecco le principali attività e fasi del processo: Raccolta di informazioni sull'ambiente IT Inizialmente, è necessario raccogliere informazioni dettagliate sulla rete aziendale, gli asset critici, le applicazioni business-critical, il personale, i processi e le policy di sicurezza esistenti. È importante documentare accuratamente: - Topologia di rete e segmentazione - Sistemi endpoint e server - Applicazioni software e servizi cloud - Dispositivi di rete come router, switch e firewall - Tecnologie di sicurezza deployate - Flussi di dati sensibili Analisi di vulnerabilità e test di penetrazione Con la fase di discovery completata, il passo successivo prevede l'esecuzione di analisi delle vulnerabilità e test di penetrazione per identificare falle sfruttabili negli ambienti IT. Le analisi di vulnerabilità scansionano reti, sistemi e applicazioni alla ricerca di misconfigurazioni o debolezze note che potrebbero esporre l'organizzazione al rischio. I test di penetrazione simulano veri attacchi da parte di hacker esperti per valutare se e come possono violare le difese perimetrali ed interne della rete aziendale. Entrambe queste attività forniscono una visione concreta dei punti deboli. Revisione di configurazioni e policy La revisione delle configurazioni di sicurezza e delle policy è fondamentale per identificare problemi che aumentano la superficie di attacco. Ad esempio, verificare che i sistemi siano patchati, i servizi non necessari disabilitati, gli accessi con privilegi limitati allo stretto necessario, l'autenticazione a più fattori abilitata, i dati sensibili crittografati, i backup eseguiti regolarmente, ecc. Confrontare le policy con le configurazioni effettive aiuta a rilevare eventuali discrepanze. Valutazione dei controlli di sicurezza I controlli di sicurezza come firewall, sandboxing, endpoint detection & response (EDR), web application firewall (WAF), access management devono essere attentamente valutati. Bisogna verificare che siano correttamente dimensionati, configurati e mantenuti, integrati con altre difese e adatti a proteggere da minacce avanzate. I controlli più maturi e resilienti garantiscono una postura di sicurezza solida. Analisi della capacità di rilevamento e risposta È importante valutare le capacità di rilevare tempestivamente e rispondere efficacemente ad incidenti di sicurezza. Si analizzano le soluzioni di Security Information & Event Management (SIEM), Endpoint Detection & Response (EDR), le procedure di incident response, il monitoraggio 24/7, la threat intelligence per assicurarsi che l'organizzazione sia in grado di scoprire e contenere rapidamente attacchi sofisticati. Reporting e remediation I risultati dell'analisi della postura di sicurezza devono essere documentati in report dettagliati e presentati ai responsabili IT e al management. Sulla base dei risultati, è necessario stabilire un piano di remediation, con priorità per le problematiche ad alto rischio. La remediation migliora la sicurezza correggendo le vulnerabilità e debolezze identificate. Il report finale certifica la postura di sicurezza dell'organizzazione dopo l'implementazione delle contromisure.

Strumenti per l'analisi della postura di sicurezza

Esistono varie tipologie di strumenti, sia open-source che commerciali, per automatizzare e semplificare l'esecuzione dell'analisi della postura di sicurezza: - Scanner di vulnerabilità - soluzioni come Nessus, OpenVAS e Nexpose analizzano reti e sistemi per rilevare vulnerabilità note. - SIEM - i Security Information and Event Management combinano funzionalità di log collection, correlazione e reporting che supportano l'analisi della postura. - Piattaforme di penetration testing - Kali Linux, Metasploit, Burp Suite e altri strumenti per penetration test aiutano a validare la capacità di rilevamento e la resilienza dei controlli di sicurezza. - Configuration compliance - PolicyPatrol, Firemon, Skybox e altri verificano che le configurazioni siano in linea con policy e best practice di sicurezza. - Attack surface management - soluzioni come BitDam e Cyberpion mappano e monitorano la superficie di attacco, rilevando rischi emergenti. - Security rating services - servizi SaaS come SecurityScorecard e BitSight offrono rating sulla postura di sicurezza basati su molteplici fattori di rischio. - Breach and attack simulation - strumenti di nuova generazione come XM Cyber simulano attacchi avanzati all'interno della rete per validare la capacità di prevenzione e rilevamento delle difese esistenti. Integrando opportunamente queste tipologie di strumenti è possibile ottenere una visione a 360° della postura di sicurezza e identificare in modo proattivo rischi e debolezze su cui intervenire.

Fattori che influenzano la postura di sicurezza

La postura di sicurezza di un'organizzazione è influenzata da vari fattori interni ed esterni. I principali elementi da considerare sono: - Topologia della rete - segmentazione, zone di sicurezza, comunicazioni tra perimetro e interno. - Inventario degli asset - mappatura di sistemi, dati, applicazioni business-critical. - Hardening - patch, configurazioni sicure, principio del minor privilegio. - Tecnologie di difesa - qualità, integrazione e copertura di next-gen firewall, sandboxing, EDR, ecc. - Monitoraggio e visibilità - qualità di SIEM, log management e threat intelligence. - Conformità - policy, standard e requisiti normativi applicabili. - Consapevolezza della sicurezza - formazione, accountability e reporting sulla sicurezza IT. - Gestione del cambiamento - velocità di adozione di nuove difese e miglioramenti. - Threat landscape - proliferazione di nuove tattiche, tecniche e procedure degli attaccanti. Più questi fattori sono ottimizzati, migliore sarà la postura di sicurezza complessiva dell'organizzazione.

Approcci per il miglioramento della postura di sicurezza

Sulla base dei risultati dell'analisi della postura di sicurezza, le organizzazioni possono intraprendere diverse azioni per rafforzare le difese ed elevare il loro livello di sicurezza: - Patch dei sistemi - Installazione tempestiva di aggiornamenti e fix di sicurezza per eliminare vulnerabilità note. - Hardening - Impostazione di configurazioni sicure in base a policy e best practice per ridurre superficie di attacco. - Segmentazione della rete - Suddivisione logica della rete per limitare accessi, contenere infezioni e proteggere asset critici. - Consolidamento degli alert - Ottimizzazione delle regole di correlazione per filtrare il rumore e ottenere alert di alta qualità su attività malevole. - Miglioramento del monitoraggio - Integrazione di SIEM e log management per rafforzare le analytics e la threat detection. - Automazione della risposta - Implementazione di playbook per rispondere più rapidamente a incidenti comuni. - Simulazione di attacchi - Validazione proattiva delle difese con attacchi realistici, per colmare lacune prima che vengano sfruttate dai criminali. - Formazione sulla consapevolezza - Corsi periodici ai dipendenti per promuovere best practice di cybersecurity. - Revisione delle policy - Aggiornamento di policy e standard in base al threat landscape ed esigenze di business. Effettuando queste attività in modo continuo, le aziende possono mantenere un vantaggio significativo rispetto all'evoluzione delle minacce e preservare la sicurezza dei propri asset digitali.

Ruolo dei servizi di sicurezza gestita

Le organizzazioni possono trarre grande beneficio dall'esternalizzazione dell'analisi della postura di sicurezza e di attività correlate a fornitori qualificati di servizi di sicurezza gestita (MSSP). I vantaggi includono: - Competenze specializzate - gli MSSP dispongono di security analyst esperti nell'identificazione di vulnerabilità e nella simulazione di attacchi sofisticati. - Approccio indipendente - il vendor esterno esegue una valutazione imparziale per determinare il livello di rischio effettivo. - Copertura 24x7 - il monitoraggio continuo da parte di professionisti consente di rilevare minacce che i team interni potrebbero perdere. - Economie di scala - l'MSSP serve molteplici clienti e può ammortizzare il costo degli strumenti necessari. - Gestione semplificata - il servizio gestito riduce l'onere amministrativo per il cliente. - Conformità assicurata - gli MSSP aiutano a soddisfare requisiti normativi sulla valutazione periodica dei rischi. - Miglioramento continuo - il rapporto di partnership consente di correggere lacune e ottimizzare nel tempo le difese del cliente. Per questi motivi, le realtà enterprise che gestiscono infrastrutture IT complesse traggono grande valore dal collaborare con MSSP qualificati per analizzare e rafforzare la propria postura di sicurezza.

Come integrare l'analisi della postura nei servizi SOC

I servizi di Security Operations Center (SOC) possono trarre significativi benefici integrandosi con le attività di analisi della postura di sicurezza. Il SOC riceve una grande mole di alert dalle varie soluzioni di sicurezza distribuite nelle reti dei clienti. Spesso però il rumore di fondo è elevato e gli analisti fatichino a concentrarsi sulle minacce più critiche. L'analisi proattiva della postura di sicurezza da parte di team specializzati contribuisce ad aumentare il livello di maturità delle difese nei client enterprise e riduce la superficie di attacco complessiva. Di conseguenza, il carico di lavoro degli analisti SOC può focalizzarsi su un numero minore di alert, ma di qualità più elevata. Il SOC è messo in condizione di operare in modo più efficiente ed efficace. Inoltre l'analisi della postura di sicurezza fornisce al SOC informazioni preziose sul contesto della rete del cliente, la segmentazione, le vulnerabilità, i punti deboli nei controlli di sicurezza. Queste informazioni arricchiscono le capacità di threat hunting e incident response del SOC stesso. Gli analisti sono in grado di correlare meglio gli eventi di sicurezza e comprendere il potenziale impatto degli allarmi. Grazie alla partnership con il team di analisi della postura, il SOC può offrire un servizio di protezione ancora più completo ed efficace ai propri clienti enterprise. Questa sinergia rafforza ulteriormente la capacità dell'azienda di prevenire violazioni dei dati e garantire la business continuity anche di fronte a cyber attacchi mirati. La combinazione di monitoraggio 24x7, threat hunting, incident response e analisi periodica della postura di sicurezza fornisce una protezione a tutto tondo basata su competenze, tecnologie e processi maturi. Le organizzazioni che adottano questo approccio integrato raccolgono tutti i benefici derivanti da un significativo innalzamento della propria resilienza cyber.

Conclusione

L'analisi della postura di sicurezza è una componente fondamentale di una moderna strategia di cybersecurity. Consente di identificare in modo proattivo vulnerabilità, rischi emergenti e debolezze nei controlli di sicurezza. Sulla base dei risultati dell'analisi, le organizzazioni possono stabilire priorità d'intervento e migliorare in modo mirato la propria capacità di prevenire, rilevare e rispondere alle minacce informatiche. Affidandosi a fornitori qualificati di servizi di sicurezza gestita, le imprese possono efficientare il processo e avvalersi di competenze specializzate per testare la resilienza della propria infrastruttura IT. Integrando l'analisi della postura con le attività di monitoraggio e response di un SOC, è possibile eliminare fattori di rischio prima che vengano sfruttati dagli attaccanti e consentire agli analisti di concentrarsi sulle minacce più critiche. Investire nella continua valutazione e ottimizzazione della postura di sicurezza permette di stare al passo con un panorama di minacce in costante evoluzione e mantenere un elevato livello di cyber-resilienza nel tempo. - CIS Critical Security Controls Version 8: cosa sono e perché sono importanti per la sicurezza informatica - CTI (Cyber Threat Intelligence): come funziona? - Kerberoasting: una minaccia per la sicurezza informatica e come mitigarla con l'analisi della Security Posture - CSIRT: rispondere agli incidenti IT per proteggere il business Read the full article

Security posture analysis: Complete guide to strengthening cybersecurity

Estimated reading time: 10 minutes

The analysis of the security posture: how to evaluate the protection of the IT infrastructure

Security posture analysis is a fundamental process for assessing the protection of an organization's IT infrastructure against cyber threats. Knowing the strengths and weaknesses of IT security allows you to implement targeted controls to reduce cyber risks.

What is Security Posture Analysis

Security posture analysis, also known as security posture assessment, is the process of evaluating an organization's ability to prevent, detect, and respond to cyber threats. It consists of examining the configuration and effectiveness of security controls such as firewalls, intrusion detection systems (IDS), endpoint protection, identity and access management (IAM), application security, data encryption, backup and disaster recovery. The goal is to identify vulnerabilities, risks and weaknesses that could be exploited by attackers to compromise the confidentiality, integrity and availability of information and systems.

Why security posture analysis is important

This is why regular safety posture analysis is essential: - Detect Unknown Vulnerabilities - New vulnerabilities are discovered daily. The analysis of the security posture allows to promptly identify and fix the flaws before they are exploited. - Evaluate the effectiveness of controls - Security controls should be tested regularly to ensure they are working as intended. Posture analysis detects any configuration or integration issues. - Ridurre la superficie di attacco - Disabilitare servizi e porte di rete non necessari consente di minimizzare i vettori di attacco. Security posture analysis detects these weaknesses. - Comply with standards and regulations - Legal and compliance requirements require a certain level of IT security. Posture analysis verifies compliance with PCI DSS, GDPR, HIPAA etc. - Improve visibility - Understanding your IT security posture allows you to implement more effective monitoring and log management. - Manage risk - The analysis of the security posture provides the data necessary for an accurate assessment of cyber risks and the implementation of appropriate mitigation measures. - Strengthen security - The results of the analysis allow you to prioritize and improve weaknesses in your security strategy. In summary, regular security posture analysis should be a best practice for any organization that wants to manage cyber risk and avoid negative impacts on its IT infrastructure.

How do you perform the analysis of the safety posture

There are various approaches and tools to carry out the analysis of the safety posture. Here are the main activities and phases of the process: Gathering information about the IT environment Initially, you need to gather detailed information about the corporate network, critical assets, business-critical applications, people, processes and existing security policies. It is important to accurately document: - Network topology and segmentation - Endpoint systems and servers - Software applications and cloud services - Network devices such as routers, switches and firewalls - Deployed security technologies - Sensitive data flows Vulnerability analysis and penetration testing With the discovery phase complete, the next step is to perform vulnerability analysis and penetration testing to identify exploitable holes in IT environments. Le analisi di vulnerabilità scansionano reti, sistemi e applicazioni alla ricerca di misconfigurazioni o debolezze note che potrebbero esporre l'organizzazione al rischio. Penetration tests simulate real attacks by expert hackers to evaluate if and how they can breach the perimeter and internal defenses of the corporate network. Both of these activities provide a concrete insight into the pain points. Review of configurations and policies Reviewing security configurations and policies is critical to identifying issues that increase the attack surface. For example, verify that systems are patched, unnecessary services disabled, privileged access limited to what is strictly necessary, multi-factor authentication enabled, sensitive data encrypted, backups performed regularly, etc. Comparing policies to actual configurations helps detect any discrepancies. Assessment of security controls Security controls such as firewall, sandboxing, endpoint detection & response (EDR), web application firewall (WAF), access management must be carefully evaluated. You need to verify that they are properly sized, configured and maintained, integrated with other defenses, and suitable to protect against advanced threats. More mature and resilient controls ensure a solid security posture. Detection and response capability analysis It is important to assess your ability to detect and respond effectively to security incidents early on. We analyze Security Information & Event Management (SIEM), Endpoint Detection & Response (EDR), incident response procedures, 24/7 monitoring, threat intelligence to ensure that the organization is able to discover and contain quickly sophisticated attacks. Reporting and remediation The results of the security posture analysis must be documented in detailed reports and presented to IT managers and management. Based on the findings, a remediation plan should be established, prioritizing high-risk issues. Remediation improves security by patching identified vulnerabilities and weaknesses. The final report certifies the security posture of the organization after the implementation of the countermeasures.

Safety posture analysis tools

There are various types of tools, both open-source and commercial, to automate and simplify the execution of the security posture analysis: - Vulnerability scanner - solutions such as Nessus, OpenVAS and Nexpose scan networks and systems for known vulnerabilities. - SIEM - Security Information and Event Management combines log collection, correlation and reporting capabilities that support posture analysis. - Penetration Testing Platforms - Kali Linux, Metasploit, Burp Suite, and other penetration testing tools help validate the detection capability and resiliency of security controls. - Configuration compliance - PolicyPatrol, Firemon, Skybox and others verify that configurations are in line with security policies and best practices. - Attack surface management - solutions like BitDam and Cyberpion map and monitor the attack surface, detecting emerging risks. - Security rating services - SaaS services such as SecurityScorecard and BitSight offer security posture ratings based on multiple risk factors. - Breach and attack simulation - Next generation tools like XM Cyber simulate advanced attacks within the network to validate the prevention and detection capability of existing defenses. By suitably integrating these types of tools, it is possible to obtain a 360° view of the safety posture and proactively identify risks and weaknesses on which to intervene.

Factors affecting safety posture

La postura di sicurezza di un'organizzazione è influenzata da vari fattori interni ed esterni. The main elements to consider are: - Network topology - segmentation, security zones, perimeter to internal communications. - Asset inventory - mapping of business-critical systems, data, applications. - Hardening - patches, secure configurations, principle of least privilege. - Defense technologies - quality, integration and coverage of next-gen firewalls, sandboxing, EDR, etc. - Monitoring and visibility - SIEM quality, log management and threat intelligence. - Compliance - applicable policies, standards and regulatory requirements. - Security awareness - IT security training, accountability and reporting. - Change management - speed of adoption of new defenses and improvements. - Threat landscape - proliferation of new attacker tactics, techniques and procedures. The more these factors are optimized, the better the overall security posture of the organization will be.

Approaches for improving safety posture

Based on the results of the security posture analysis, organizations can take several actions to strengthen defenses and raise their security posture: - Patch systems - Promptly install updates and security fixes to eliminate known vulnerabilities. - Hardening - Setting secure configurations based on policies and best practices to reduce attack surface. - Network Segmentation - Logically divide the network to limit access, contain infections and protect critical assets. - Alert Consolidation - Optimize correlation rules to filter noise and obtain high-quality alerts on malicious activity. - Improved monitoring - Integrate SIEM and log management to strengthen analytics and threat detection. - Response Automation - Implement playbooks to respond more quickly to common incidents. - Attack Simulation - Proactively validate defenses with realistic attacks to close gaps before criminals exploit them. - Awareness training - Periodic courses for employees to promote cybersecurity best practices. - Policy review - Update policies and standards based on the threat landscape and business needs. By performing these activities continuously, companies can stay ahead of evolving threats and maintain the security of their digital assets.

Role of managed security services

Organizations can benefit greatly from outsourcing security posture analysis and related activities to qualified managed security service providers (MSSPs). Benefits include: - Specialized Skills - MSSPs have security analysts who are experts in identifying vulnerabilities and simulating sophisticated attacks. - Approccio indipendente - il vendor esterno esegue una valutazione imparziale per determinare il livello di rischio effettivo. - 24x7 coverage - continuous monitoring by professionals helps detect threats that internal teams may miss. - Economies of scale - the MSSP serves multiple customers and can amortize the cost of the necessary tools. - Simplified management - managed service reduces the administrative burden for the customer. - Ensure compliance - MSSPs help meet regulatory requirements on periodic risk assessment. - Continuous improvement - the partnership relationship allows you to correct gaps and optimize the customer's defenses over time. For these reasons, enterprises that manage complex IT infrastructures derive great value from collaborating with qualified MSSPs to analyze and strengthen their security posture.

How to integrate posture analysis into SOC services

Security Operations Center (SOC) services can derive significant benefits by integrating with security posture analysis activities. The SOC receives a large amount of alerts from the various security solutions deployed in customer networks. However, background noise is often high and analysts struggle to focus on the most critical threats. Proactive security posture analysis by specialized teams helps increase the maturity level of defenses in enterprise clients and reduces the overall attack surface. As a result, SOC analysts' workload can focus on fewer, but higher quality, alerts. The SOC is enabled to operate more efficiently and effectively. Furthermore, security posture analysis provides the SOC with valuable information on the customer's network context, segmentation, vulnerabilities, and weaknesses in security controls. This information enriches the threat hunting and incident response capabilities of the SOC itself. Analysts are able to better correlate security events and understand the potential impact of alerts. Thanks to the partnership with the posture analysis team, the SOC can offer an even more complete and effective protection service to its enterprise customers. This synergy further strengthens the company's ability to prevent data breaches and ensure business continuity even in the face of targeted cyber attacks. The combination of 24x7 monitoring, threat hunting, incident response and periodic security posture analysis provides all-round protection based on mature skills, technologies and processes. Organizations that adopt this integrated approach reap all the benefits resulting from a significant increase in their cyber resilience.

Conclusion

Security posture analysis is a critical component of a modern cybersecurity strategy. It allows you to proactively identify vulnerabilities, emerging risks and weaknesses in security controls. Based on the analysis results, organizations can prioritize action and specifically improve their ability to prevent, detect and respond to cyber threats. By relying on qualified providers of managed security services, companies can streamline the process and make use of specialized skills to test the resilience of their IT infrastructure. By integrating posture analysis with a SOC's monitoring and response activities, risk factors can be eliminated before attackers exploit them and analysts can focus on the most critical threats. Investing in the continuous evaluation and optimization of your security posture allows you to keep pace with a constantly evolving threat landscape and maintain a high level of cyber-resilience over time. - CIS Critical Security Controls Version 8: what they are and why they are important for cybersecurity - CTI (Cyber Threat Intelligence): How does it work? - Kerberoasting: a threat to cybersecurity and how to mitigate it with Security Posture analysis - CSIRT: respond to IT incidents to protect the business Read the full article

CSIRT and SOC: Differences between incident management and security monitoring

Estimated reading time: 5 minutes

Introduction

The protection of corporate information has become an essential necessity for any organization. To achieve this goal, having teams specialized in IT security is essential. But what are the differences between a CSIRT and a SOC? And how can they complement each other? In this article we will analyze CSIRT and SOC in detail, highlighting similarities and differences between these two fundamental cybersecurity structures. We will understand when it is preferable to have one or the other and how to make them cooperate best.

CSIRT: Respond to IT incidents

We have already covered in depth what CSIRTs are and what their tasks are. Summing up: A CSIRT (Computer Security Incident Response Team) is a team focused on responding to IT incidents that may occur in an organization. Its main tasks are: - Detect, analyze and classify incidents - Contain accidents and limit their impact - Recover compromised systems - Share information about detected incidents - Identify countermeasures to prevent future attacks The CSIRT comes into action in the event of concrete incidents such as data breaches, ransomware, DDoS attacks or targeted intrusions. His mission is to bring the situation back to normal in the shortest time possible. To operate best, a CSIRT follows rigorous playbooks and established operational procedures, such as those defined by NIST in the "Computer Security Incident Handling Guide" publication.

SOC: Monitor security 24/7

The SOC (Security Operation Center) has a different focus than the CSIRT. This is a facility dedicated to proactively monitoring IT security. The SOC is organized as a command and control center that operates 24/7 to: - Monitor infrastructure, applications, endpoints, network traffic etc. looking for threats - Collect, aggregate and analyze security alerts generated by different technological solutions - Identify and report anomalies that could indicate a cyber attack - Perform threat hunting to identify malicious activity that is not automatically detected - Escalate confirmed incidents to CSIRT for response While the CSIRT comes into play during an incident, the SOC constantly works to prevent and detect them in the early stages. A mature SOC operates according to established processes, such as those defined by the MITER ATT&CK framework.

Differences and similarities between CSIRT and SOC

Let's try to summarize the main differences between CSIRT and SOC: CharacteristicCSIRTSOCObjectiveIncident responseProactive monitoringTimingActivated during an accidentOperational 24/7ActivityDigital forensics, containment, remediationMonitoring, alert analysis, threat huntingProcessesIncident handlingSecurity monitoring The two structures share some fundamental aspects: - They are based on teams of professionals who are experts in cybersecurity - They use cutting-edge technologies such as SIEM, malware analysis, threat intelligence - They operate according to rigorous processes based on best practices and industry frameworks - They work to protect company information and systems from cyber attacks In summary, CSIRTs and SOCs have different but complementary purposes and are united by cybersecurity skills, methodologies and objectives.

The teams within a SOC

Let us now examine in more detail the different teams and roles that we can typically find within a Security Operation Center: Security analyst They are the beating heart of the SOC. They monitor security monitoring systems, analyze and triage alerts to identify potential incidents. They require excellent technical and analytical skills. Threat hunter They perform proactive threat hunting to identify sophisticated threats undetected by automated systems. They analyze endpoints, networks and raw data for malicious activity. Incident responder CSIRT members responsible for investigating and responding to full-blown incidents detected by the SOC. They intervene to contain, eradicate and recover from the attack. Malware analyst Specialize in reverse-engineering analysis of malware, suspicious files, and attack artifacts to understand their intent, capabilities, and lineage. Security engineer They deal with the implementation, management and tuning of security monitoring solutions such as SIEM, IDS and endpoint detection. They guarantee the quality of the data. Data analyst Responsible for extracting insights from big data collected by security solutions. They apply data science techniques to identify patterns and anomalies.

When is a CSIRT or SOC necessary?

What are the criteria for understanding whether a company needs to equip itself with a CSIRT, a SOC or both? It depends on several factors: - Size and IT complexity of the organization - Sensitivity of the data processed - Budget available - Security maturity level - Risk appetite - Sector of activity and regulatory context In general: - Large, complex companies need both SOC and CSIRT - SMEs with critical assets should equip themselves with at least a CSIRT - Regulated industries such as finance benefit greatly from a SOC - An MSSP can offer managed SOC and CSIRT services to address the lack of internal expertise The ideal is to integrate CSIRT and SOC for end-to-end protection that covers prevention, monitoring and incident response.

How to integrate CSIRT and SOC

Finally, let's look at some best practices to ensure that CSIRT and SOC collaborate closely and effectively: - Establish clear handoff and coordination procedures between the two facilities - Unify tools, data and technological platforms as much as possible - Organize periodic alignment meetings - Create joint working groups for specific projects and initiatives - Avoid organizational silos and promote fluidity of communication - Promote job rotation and exchange of skills between teams - Share lessons learned and best practices through centralized knowledge bases - Train collaborations through exercises and simulations - Create a culture of trust and transparency among teams - Define clear performance indicators and common objectives - Provide both functions with managerial support at the highest levels

CSIRT and SOC: Conclusion

CSIRT and SOC are two fundamental components of a modern cybersecurity strategy. The first focused on incident response, the second on proactive security monitoring. Despite the differences in roles and responsibilities, it is important that the two structures collaborate closely by sharing skills, technologies and processes. The integration makes it possible to cover all phases of cybersecurity in an end-to-end way: from prevention to detection and finally to incident response. Organizations should carefully evaluate the need for a CSIRT and/or SOC based on their security maturity level and risk profile. Adopting a graduated approach and investing adequately in these fundamental capabilities allows you to drastically raise the level of cyber resilience. For organizations without in-house expertise, outsourcing to qualified providers of services such as SOCaaS and full CSIRT can effectively fill security gaps. With trusted partners like , you can gain world-class incident monitoring and response capabilities. It's never too late to protect your digital business! - The difference between the dark web and the deep web and the importance of monitoring them for corporate security - Examples of phishing: the latest campaigns mentioned by the CSIRT Read the full article

Auditing IT della sicurezza: guida completa all'analisi proattiva di vulnerabilità e conformità

Estimated reading time: 6 minutes Eseguire controlli di sicurezza regolari e approfonditi sull'infrastruttura IT è fondamentale per identificare e mitigare rischi cyber ed eventuali vulnerabilità prima che vengano sfruttate dagli attaccanti. In questo articolo esaminiamo l'importanza di implementare un programma continuativo di auditing della sicurezza IT e come esternalizzarlo a fornitori specializzati.

Cos'è l'auditing della sicurezza IT?

L'auditing IT consiste nell'analizzare nel dettaglio configurazioni, policy, procedure e controlli di sicurezza implementati su reti, sistemi, applicazioni, dati e processi aziendali. Lo scopo è determinare: - Conformità con standard e best practice di sicurezza. - Presenza di falle e punti deboli sfruttabili dagli attaccanti. - Adeguatezza di strumenti e policy per garantire riservatezza, integrità e disponibilità delle informazioni. - Efficacia dei processi per prevenire, rilevare e rispondere a potenziali incidenti. L'auditing può assumere varie forme: - Vulnerability assessment - ricerca di vulnerabilità tecniche. - Penetration test - simulazione controllata di attacchi. - Compliance audit - verifica del rispetto di standard normativi. - Log analysis - monitoraggio di log ed eventi di sistema. Un programma efficace combina idealmente tutti questi approcci per una visione completa della postura di cybersecurity.

Perché è importante l'auditing IT proattivo?

Effettuare controlli di sicurezza in modo proattivo e continuativo comporta numerosi vantaggi: - Gestione del rischio - identificazione di vulnerabilità e correzione prima dello sfruttamento. - Miglioramento delle difese - validazione e ottimizzazione dell'efficacia di strumenti e policy. - Conformità normativa - assicurarsi di rispettare sempre requisiti e standard obbligatori. - Monitoraggio delle minacce - rilevamento rapido di attività anomale o sospette. - Prontezza di risposta - testare periodicamente capacità e tempi di reazione degli analisti. - Awareness - tenere alta l'attenzione del personale sull'importanza della sicurezza. - Tracciabilità - disponibilità di evidenze da presentare ad auditor esterni. In sintesi, l'auditing proattivo permette di identificare e risolvere problemi prima che abbiano un impatto negativo sull'organizzazione.

Approcci per l'auditing della sicurezza IT

Esistono varie tipologie di controlli che si possono implementare all'interno di un programma completo di IT auditing. Vulnerability assessment Il vulnerability assessment prevede l'esecuzione periodica di scansioni di sicurezza su infrastrutture IT per identificare falle o misconfigurazioni che potrebbero essere sfruttate dagli attaccanti per accedere ai sistemi. Gli strumenti di VA testano: - Vulnerabilità delle applicazioni web. - Endpoint non aggiornati e non conformi a policy di sicurezza. - Servizi di rete e porte aperte vulnerabili. - Errori di configurazione di server e dispositivi di rete. - Debolezze in perimetro, WAF, sistemi di autenticazione, etc. Penetration test Il penetration test prevede la simulazione controllata di attacchi reali per validare la capacità dell'organizzazione di rilevare ed impedire una compromissione dei propri sistemi da parte di malintenzionati. Sono effettuati da ethical hacker esperti usando le stesse tecniche di attacco di cybercriminali reali. Possono essere condotti sia da remoto che da insider. Log analysis La raccolta centralizzata e l'analisi dei log a livello di rete, server, sistema operativo, applicazioni, utenti e dispositivi endpoint consente di monitorare nel dettaglio tutte le attività sospette o anomale per identificare minacce interne ed esterne. Audit di configurazioni e policy Gli audit di configurazione verificano che siano implementate correttamente policy di sicurezza per patch management, hardening di sistemi e applicazioni, account e accessi con privilegi, gestione delle password, crittografia dati, backup e disaster recovery, uso accettabile degli asset IT e molto altro.

Vantaggi di un auditing continuativo

Tradizionalmente molte organizzazioni hanno eseguito controlli di sicurezza in modo sporadico, ad esempio su base annuale. Ma questo approccio presenta significative lacune. Solo eseguendo le verifiche in modo frequente e continuativo è possibile: - Identificare nuove vulnerabilità non appena vengono introdotte nei sistemi da cambiamenti e aggiornamenti. - Monitorare modifiche del rischio dovute a evoluzioni del panorama delle minacce. - Rilevare tempestivamente incidenti grazie alla vista in tempo reale sulle attività sospette. - Validare controlli periodicamente per garantire che mantengano la propria efficacia contro le minacce odierne. - Fornire visibilità al management con report frequenti sulla postura di cybersecurity. - Verificare la conformità in modo proattivo prima di audit esterni. In sostanza, solo controllando lo stato di sicurezza in modo continuativo è possibile identificare e risolvere i problemi prima che abbiano un impatto negativo.

Esternalizzazione dell'auditing IT

Per molte organizzazioni, implementare internamente un programma completo di auditing della sicurezza IT può risultare una sfida, a causa della carenza di competenze specialistiche, strumentazione dedicata e integrazione tra tool diversi. Una soluzione efficace consiste nell'esternalizzare le attività di auditing e monitoraggio proattivo della sicurezza a fornitori qualificati di Managed Security Services (MSSP). I principali vantaggi di questo approccio includono: Competenze specifiche - Gli MSSP dispongono di professionisti esperti di sicurezza dedicati alle attività di auditing. Strumenti avanzati - Accesso a tecnologie costose per vuln assessment, SIEM, threat hunting, sandboxing, NTA (network traffic analysis) e altro. Copertura 24x7 - Monitoraggio continuo da parte di analisti nel Security Operation Center. Approccio indipendente - Assessment imparziali condotti da terze parti. Economie di scala - I costi fissi di tool e piattaforme sono ammortizzati su più clienti. Conformità - Servizi certificati ISO e compatibili con requisiti di compliance. Reporting - Reportistica di sicurezza periodica per la direzione. Threat intelligence - Accesso a feed globali di intelligence sulle minacce informatiche. Per queste ragioni, la collaborazione con un MSSP specializzato consente di implementare in modo economicamente sostenibile un programma avanzato di monitoraggio e auditing della sicurezza, difficilmente realizzabile internamente.

Punti chiave di un servizio efficace di auditing

Per garantire un elevato livello di protezione, un servizio di sicurezza gestito per l'auditing e il monitoraggio proattivo della postura di cybersecurity dovrebbe presentare le seguenti caratteristiche: - Approccio omnicomprensivo - Combinazione di vulnerability assessment, penetration test, log analysis e verifiche di configurazione per una vista completa. - Esecuzione continua - Controlli di sicurezza pianificati e ripetuti frequentemente, non solo annuali o sporadici. - Analisi approfondita - Raccolta ed esame di tutti i log rilevanti per rilevare minacce. - Threat intelligence - Impiego di feed sulle minacce globali per identificare rischi emergenti. - Presidio professionale - Security analyst dedicati per monitoraggio, tuning di regole e analisi degli alert 24x7. - Incident response - Supporto specializzato in caso di rilevamento di una violazione effettiva. - Reportistica - Report tecnici periodici e executive report per il management. - Remediation - Indicazioni di mitigazione e contenimento per prevenire impatti negativi. - Integrazione - Correlazione dei dati con le altre soluzioni di sicurezza presenti. - Conformità - Supporto per il rispetto di normative rilevanti per il cliente.

Conclusione

Implementare un programma strutturato di monitoraggio e auditing della sicurezza IT è essenziale per identificare e risolvere vulnerabilità prima che vengano sfruttate in attacchi dannosi. Esternalizzando le attività di verifica a un Managed Security Service Provider qualificato è possibile ottenere competenze specialistiche, tecnologie avanzate e una vista 24x7 sullo stato dell'infrastruttura IT. I controlli di sicurezza regolari consentono di prevenire incidenti gravi, mantenere la conformità normativa e ridurre il rischio aziendale. Il nostro servizio di Netwrix Auditor consente di ridurre al minimo il rischio di violazione dei dati e garantisce la conformità normativa riducendo proattivamente l’esposizione di dati sensibili e rilevando tempestivamente violazioni delle policy e comportamenti sospetti degli utenti. - Due modi per implementare il tuo BaaS (Backup as a Service) - CIS Critical Security Controls Version 8: cosa sono e perché sono importanti per la sicurezza informatica - Analisi della postura di sicurezza: guida completa per rafforzare la cybersecurity - Come avere la propria rete informatica sotto controllo Read the full article

Quishing: the dangerous hybrid between phishing and QR code

Estimated reading time: 5 minutes

Introduction

The advent of digital technology has brought with it numerous opportunities, but also new threats to cybersecurity. Among these threats, phishing has gained notoriety as one of the most popular methods to obtain sensitive information from users. However, an evolution of this threat has emerged recently, called "quishing". In this article, we will explore the concept of quishing in detail, comparing it to other forms of cyber attacks such as phishing, smishing and vishing, and analyzing its potential danger. Examples of quishing cases will also be presented and the possible malicious uses of this practice will be described.

What is quishing and how does it work?

Quishing, short for "QR code phishing", is a sophisticated variant of phishing that uses QR codes to trick users into obtaining personal or financial information. While traditional phishing relies primarily on sending phishing emails, quishing uses malicious QR codes that can be present on flyers, posters, compromised websites or other forms of communication. The functioning of quishing is based on user trust in the QR code. Users are tricked into acquiring the QR code through a deceptive action, for example through a false promotion or an apparent advantageous offer. Once the user scans the QR code with a QR code application, they are redirected to a counterfeit website that imitates a legitimate page. At this point, the user may be asked to enter their credentials, personal data or financial information, which will later be exploited by cyber criminals for malicious purposes.

Comparison between quishing, phishing, smishing and vishing

To fully understand the danger posed by quishing, it is helpful to compare it to other forms of similar cyber attacks, such as phishing, smishing, and vishing. Phishing is a form of attack in which attackers send deceptive emails or text messages with the aim of tricking users into revealing personal or financial information. Quishing differs from traditional phishing in the use of QR codes, which adds an element of physical interaction and greater credibility to the attack. Smishing, on the other hand, focuses on sending malicious text messages that attempt to scam users out of sensitive information. Although quishing could be considered a variant of smishing, the use of QR codes makes it a more sophisticated and difficult to recognize attack. Finally, vishing is an attack that occurs through telephone calls, in which attackers pose as operators of financial institutions or other reliable organizations in order to obtain confidential information. Although vishing has a different attack mode than quishing, both exploit user trust and psychological manipulation to achieve their goals. Among these forms of cyber attacks, quishing could be considered the most dangerous as it combines the psychological deception element of traditional phishing with the physical interaction provided by QR codes. This can lead to greater effectiveness in deceiving users and collecting sensitive information.

Examples of quishing cases

To better understand the scope of quishing, here are some examples of known cases of quishing attacks: Case 1: Fake promotion of a clothing store A user receives a flyer promoting a great discount at a popular clothing store. The flyer contains a QR code that promises to reveal further details about the offer. Unaware of the danger, the user scans the QR code with their smartphone, which redirects them to a counterfeit website that imitates the store's official page. The website requires the user to enter their personal information, including credit card information, in order to obtain the discount. However, once the user provides such information, cyber criminals use it for fraudulent purposes, causing serious financial damage. Case 2: Banking scam via QR code A user receives an email apparently from their bank, stating that they need to update their account information for security reasons. The email contains a QR code that invites the user to scan to complete the update. Once the user scans the QR code, they are redirected to a counterfeit website that appears authentic. The site requires the user to enter their banking credentials, allowing criminals to gain access to the account and carry out financial fraud. Case 3: Malicious QR codes on compromised websites A user browses a legitimate website, but unfortunately compromised by hackers. While browsing the site, the user encounters a QR code that appears to be related to the content of the site. Curious, he scans the QR code with his smartphone, without realizing that it was inserted by the attacker. The QR code redirects him to a malicious web page that attempts to steal his personal or financial information.

Conclusions and precautions

Quishing represents a growing threat in the cybersecurity sphere. Cybercriminals exploit user trust and the widespread use of QR codes to trick people into obtaining sensitive information. To protect yourself from quishing, it is important to take some precautions: - Verify the source: Before scanning a QR code, make sure you know the source it came from. Check the reliability of the issuer and look for any signs of forgery. - Watch out for too-good-to-be-true offers: Be cautious about promotions and extraordinary offers, especially if they require the use of a QR code. Verify the authenticity of the offer through official channels before providing personal or financial information. - Keep your software up to date: Make sure you keep your smartphone, operating system and applications up to date. Updates often include security patches that can protect you from known vulnerabilities used by attackers. - Use reliable security solutions: Install antivirus and anti-malware applications on your mobile device to detect and block any threats. - Education and awareness: Educate yourself and spread awareness about quishing and other forms of cyber attacks among friends, family and colleagues. Share tips and best practices to reduce the risk of falling victim to such attacks. In conclusion, quishing represents a significant threat to cybersecurity. With the increased use of QR codes in everyday communication, it is crucial to be aware of the associated risks and take appropriate precautions to protect your personal and financial information. - Pass the Ticket: How to Mitigate It with SOCaaS - How to enable Strong Authentication on webmail - CSIRT and SOC: Differences between incident management and security monitoring - The difference between the dark web and the deep web and the importance of monitoring them for corporate security Read the full article

CIS Controls and Vulnerability Assessment: practical guide to adopting best practices

Estimated reading time: 6 minutes Critical Security Controls, also known as CIS Controls, are a series of cybersecurity actions and technologies developed to protect organizations from common and effective cyber attacks. This article explains what CIS is, the benefits of adopting CIS Controls and how to integrate them into the Vulnerability Assessment process to improve your security posture.

What is CIS (Center for Internet Security)?

The Center for Internet Security (CIS) is a non-profit organization dedicated to improving cyber resilience globally. CIS manages various programs including: - The CIS Controls or Critical Security Controls. - The MS-ISAC (Multi-State Information Sharing & Analysis Center) to share threat intelligence. - CIS Benchmarks for secure computer system configurations. CIS is supported by governments, private companies, academic institutions and technical communities to develop cybersecurity best practices.

CIS Controls (Critical Security Controls)

The CIS Controls, initially known as the SANS Top 20 Critical Security Contros, were developed by CIS together with high-level cybersecurity experts. It is a series of actions, policies and security tools prioritized and consolidated into a standard checklist. The goal is to guide organizations to implement the most critical and effective defenses to block known and emerging cyber attacks. The benefits of adopting CIS Controls include: - Pragmatic, high-impact approach - focuses on the highest-value best practices. - Evidence-based - derived from the analysis of millions of real attacks. - Cross-disciplinary applicability - effective for organizations of all sizes and sectors. - Measurable metrics - implementation score to track improvement. - Constantly updated - continuously reviewed by experts to reflect the threat landscape.

Evolution of CIS Controls

The first version of Critical Security Controls dates back to 2008. Over the years they have been reviewed and updated regularly to keep them relevant against emerging threats. The latest release is version 8 (CIS Controls v8) released in 2021, which includes 20 core controls. Here are some of the main new features: - Unification of identity and access controls in a single domain. - New controls specific to mobile and IoT devices. - Increased focus on supply chain attacks and ransomware. - Integration of emerging technologies such as microservices and containers. - New deployment metrics for more granular measurement.

The 20 Critical Security Controls CIS v8

Below are the 20 domains of CIS Controls ver. 8 grouped into their respective management areas: Protect critical information and systems - Inventory of authorized and unauthorized devices - Inventory of authorized and unauthorized software - Protect hardware and software configurations on mobile devices, laptops, workstations and servers - Continuous assessment and remediation of vulnerabilities - Protection of the development and delivery stages of the software application Develop a culture of safety and awareness - Administrative authorization - Maintenance, monitoring and analysis of audit logs Strengthen defense and simplify security - Defense against malware - Limitation and control of network ports, protocols and services - Data protection - Network protection - Sensitive access control Use analytics to respond to events - Data protection and security analysis systems - Event detection and response to security incidents Reduce the attack surface and opportunities for attackers - Implementation of a Zero Trust security architecture - Data protection and access control - Security implementation for network and mobility devices - Device and data center protection on on-premises, hybrid networks and cloud systems Respond adaptively to restore the situation - Incident response and disaster recovery plans - Exercises to evaluate and improve incident response and disaster recovery plans

CIS Controls Self-Assessment Scanner

To simplify the adoption of CIS Controls, CIS provides a free self-assessment tool, the CIS Controls Self-Assessment Scanner. This scanner allows you to fill out an online questionnaire on the implementation status of various controls within your organization. At the end, a report is obtained that assigns an overall score and identifies priority areas for improvement to strengthen defenses based on CIS Controls. The tool provides a high-level overview but does not directly test the security or effectiveness of the controls. This is why more in-depth activities such as Vulnerability Assessment are necessary.

Integrate CIS Controls into Vulnerability Assessment

Carrying out a periodic Vulnerability Assessment allows you to promptly identify all vulnerabilities and security flaws within the IT infrastructure. To comprehensively cover attack vectors, the assessment should check both misconfigurations that can violate CIS Controls and technical vulnerabilities in systems. For example, scanning can: - Detect configuration errors that expose sensitive network ports. - Identify unnecessary services active on servers and workstations. - Find out-of-date and exploit-prone software applications. - Uncover accounts with weak passwords or default credentials. - Identify operating systems or databases that are obsolete and no longer supported. - Analyze security policies and settings in detail. Therefore, the final Vulnerability Assessment report can include specific remediation indications to resolve these problems, aligning with the violated CIS Controls. In this way the organization is able to: - Measure the actual level of compliance with CIS best practices. - Prioritize corrective actions based on risk. - Monitor progress in implementing key defenses. - Demonstrate commitment to following standards validated by the IT community. - The Vulnerability Assessment becomes an even more valuable tool by integrating the checks with the CIS Controls as a reference framework. - Hardening of systems via CIS Controls - CIS Controls provide operational guidance to protect IT systems through "hardening" best practices, i.e. strengthening security. - Here are some examples of hardening activities led by CIS Controls: - Remove unnecessary software - uninstall non-essential components, features and services according to Check 2. - Closing ports and services - block network ports, disable obsolete and unused services by applying Checks 9 and 11. - Periodic updates - keep operating systems, software and firmware fully patched as indicated in Check 4. - Minimize users and privileges - assign the minimum administrative privileges required by the user's role as per Check 6. - Data Protection - encrypt sensitive data both in transit and at rest by implementing Control 10. - Multi-factor authentication - require multiple credentials to access critical assets as Control 12 dictates. - Network segmentation - logically separate sensitive environments and data flows as recommended by Control 11. - Log collection and retention - collect, centralize and maintain system, application and security event logs for Control 7. - By regularly verifying compliance with these best practices during Vulnerability Assessment, organizations can maintain a robust security posture for their critical assets. - Continuous Automated Infrastructure Penetration Testing - Breach and Attack Simulation (BAS) - To maintain compliance with CIS Controls and an understanding of security risks, it is essential to perform Vulnerability Assessment frequently and continuously. - Benefits of an ongoing VA program include: - Real-time visibility - proactively monitor exposure to new threats as systems and applications change. - Speed of intervention - immediate identification of new gaps to be resolved according to CIS Controls. - Progressive improvement – tracking progress over time towards complete coverage of critical controls. - Dynamic risk management - evaluating the impact of internal and external changes on exposure to attacks. - Proof of Diligence - demonstration of concrete commitment to following recognized best practice frameworks. - By outsourcing ongoing Vulnerability Assessment to qualified managed service providers, companies and organizations can benefit from specialized skills and advanced technologies to effectively integrate CIS Controls into their security program. - Conclusion - The CIS Critical Security Controls constitute a solid foundation of cybersecurity best practices developed by high-profile experts. - By integrating them into the Vulnerability Assessment process, organizations can concretely evaluate their compliance with these validated standards and identify priority areas for improvement. - A continuous program of checks allows you to monitor the security status over time and guide hardening and risk mitigation activities in line with the CIS Controls recommendations. - By taking a proactive approach, you can respond more quickly to evolving threats, reducing your attack surface and strengthening your overall cybersecurity posture. - CIS Critical Security Controls Version 8: what they are and why they are important for cybersecurity - Vulnerability Assessment and Penetration testing Read the full article

Analisi della postura di sicurezza: guida al confronto tra BAS e penetration test

Estimated reading time: 7 minutes Valutare periodicamente la postura di sicurezza della propria organizzazione è fondamentale per identificare e mitigare rischi e vulnerabilità prima che vengano sfruttati in un attacco informatico. Due metodologie comunemente usate per analizzare la capacità di prevenzione e rilevamento delle difese IT sono il Breach Attack Simulation (BAS) e il penetration test. Questo articolo esamina nel dettaglio i vantaggi e svantaggi di ciascun approccio.

Cos'è un Breach Attack Simulation?

Il Breach Attack Simulation (BAS), noto anche come Red Teaming, è una forma avanzata di test di penetrazione che simula in modo realistico le tattiche e le tecniche utilizzate dagli hacker per violare le difese di un'organizzazione ed ottenere l'accesso a dati e asset critici. Il BAS prevede diverse fasi: - Ricognizione - Raccolta informazioni sull'organizzazione da fonti aperte e scansione dell'infrastruttura IT per identificare punti deboli. - Guadagno accesso iniziale - Sfruttamento di phishing mirato o vulnerabilità note per ottenere un primo punto d'appoggio nella rete target. - Escalation dei privilegi - Tentativo di muoversi lateralmente verso asset di alto valore, evadendo i controlli di segmentazione. - Azioni sull'obiettivo - Esfiltrazione di dati sensibili, modifica di configurazioni critiche, installazione di backdoor, etc. - Analisi post-intrusione - Report dettagliato per il cliente con timeline dell'attacco e raccomandazioni di miglioramento. L'obiettivo del BAS è validare l'efficacia di tool, policy e processi di cybersecurity contro tattiche realistiche di attacco.

Cos'è un penetration test?

Il penetration test, noto anche come pen test o ethical hacking, è l'esecuzione controllata di test d'intrusione e exploit contro un ambiente IT per identificarne vulnerabilità sfruttabili da potenziali attaccanti. Prevede diverse tipologie di verifiche: - Test black-box - simula un attaccante esterno che non ha informazioni sulla rete del target. - Test white-box - assume che l'attaccante abbia già compromesso un sistema interno. - Test grey-box - combina elementi del white e black-box con alcune informazioni fornite. Il penetration tester utilizza gli stessi strumenti e tecniche degli hacker per compromettere server, workstation, applicazioni web, reti wireless e altri punti d'accesso. Tutte le attività sono eseguite in modo controllato e soprattutto senza arrecare alcun danno, a differenza di un vero attacco malevolo.

Confronto tra BAS e penetration test

Sia il BAS che il pentest sono utili per validare le difese di sicurezza, ma presentano alcune differenze significative: Simulazione dell'intera kill chain dell'attacco Il BAS copre l'intera sequenza di tecniche utilizzate dagli attaccanti, dal phishing iniziale alla persistenza e all'esfiltrazione dei dati. I pentest si concentrano di solito su singoli vettori di attacco. Attacco realizzato da professionisti Il BAS viene eseguito da professionisti esperti del Red Teaming che replicano le avanzate tattiche di minaccia. I pentest usano tool automatizzati e tecniche standard. Analisi dell'impatto sul business Il BAS valuta l'impatto che un attacco avrebbe effettivamente sulle operation aziendali, non solo l'intrusione tecnica. Copertura dell'intera superficie di attacco Il BAS è progettato per testare l'intera superficie di attacco, interna ed esterna, dell'organizzazione. I pentest hanno spesso scope limitati. Report operativi Il BAS fornisce report dettagliati per i team SOC e di incident response. I pentest si focalizzano sull'identificazione tecnica di vulnerabilità. Rilevanza contro il threat landscape moderno Il BAS riflette le tattiche in continua evoluzione degli attaccanti reali. I pentest tradizionali non tengono il passo con le minacce odierne.

Vantaggi del Breach Attack Simulation

Scegliere un BAS come soluzione per analizzare la postura di sicurezza offre diversi vantaggi: - Simulazione realistica - mette alla prova gli incident responder con avversari simulati capaci e motivati. - Identificazione delle debolezze - evidenzia lacune nei controlli di sicurezza critici a protezione dei crown jewel aziendali. - Validazione dell'efficacia - verifica se strumenti come SIEM, XDR e NGFW sono in grado di rilevare e prevenire tecniche avanzate di attacco. - Prioritizzazione delle azioni - basata sulla comprensione dell'impatto che ogni vulnerabilità può avere sul business. - Benchmark delle capacità - misurazione quantitativa della maturità della cybersecurity dell'organizzazione. - Compliance - supporta il rispetto di requisiti normativi sulla valutazione del rischio. - Formazione continua - migliora le competenze dei team interni attraverso la simulazione di incidenti realistici.

Svantaggi del Breach Attack Simulation

Il BAS presenta anche alcuni potenziali svantaggi: - Costi elevati - richiede consulenti di alto livello e sforzo significativo per progettare gli scenari. - Possibili impatti sulle operation - se le attività di red team non sono pianificate e comunicate con cura. - Copertura non completa - difficile simulare in modo credibile tutte le combinazioni di attacco possibili. - Security awareness - i dipendenti potrebbero non comprendere la natura etica e a fini costruttivi del BAS. - Limiti al realismo - vincoli legali o operativi possono proibire tecniche troppo invasive. Per questo è importante affidarsi a fornitori esperti in grado di bilanciare realismo e sicurezza durante l'esecuzione di un BAS.

Vantaggi del penetration test

Scegliere un approccio di penetration test tradizionale presenta alcuni vantaggi: - Facilità di esecuzione - test standardizzati eseguibili in modo totalmente automatizzato. - Costi contenuti - l'automazione riduce il tempo e lo sforzo richiesto agli analisti. - Cura dei dettagli tecnici - focalizzazione specifica sulle vulnerabilità da sfruttare tecnicamente. - Requisiti normativi - molte normative richiedono esplicitamente il penetration test periodico. - Scarsi impatti business - essendo puramente tecnico, non influisce sulle operation durante l'esecuzione.

Svantaggi del penetration test

Il penetration test presenta però anche alcuni limiti: - Mancanza di realismo - gli exploit automatizzati non riflettono il comportamento degli attaccanti umani. - Falsi positivi - i tool generano molti allarmi che però non rappresentano minacce reali. - Falsi negativi - vulnerabilità critiche possono non essere rilevate dalle scansioni. - Prioritizzazione difficile - non valuta quali vulnerabilità avrebbero più impatto sul business. - No skill assessment - non testa la capacità degli analisti di rilevare e rispondere ad attacchi avanzati. - Copertura limitata - spesso il test è ristretto a singoli vettori come rete, applicazioni o endpoint. - Evasione dei controlli - gli strumenti automated non sono in grado di bypassare contromisure come gli honeypot. Di conseguenza, un approccio puramente tecnico di penetration test non è sufficiente per validare l'efficacia complessiva della cybersecurity di un'organizzazione.

BAS e penetration test per migliorare la postura di sicurezza

Sia il Breach Attack Simulation che il penetration test hanno ampi margini di miglioramento. Un approccio ibrido che li combina può colmare le lacune di ciascuno e fornire una validazione davvero completa delle difese aziendali. Il BAS consente di: - Simulare credibilmente la parte "arte" degli attacchi che richiede competenze umane. - Valutare le difese da una prospettiva di impatto sul business. - Misurare le capacità di rilevamento e risposta degli analisti interni. Successivamente, il penetration test aggiunge: - Un livello di dettaglio tecnico impossibile da ottenere manualmente. - La conferma puntuale dell'esistenza di vulnerabilità specifiche. - Una copertura capillare a largo raggio su diverse tipologie di asset. Infine, per mantenere costantemente aggiornato il quadro dei rischi, entrambe le attività vanno eseguite in modo continuativo e programmato nel tempo. In questo modo si ottiene una visione davvero completa dei punti di forza e debolezza della strategia di cybersecurity, guidando il miglioramento progressivo della postura di sicurezza.

Ruolo dei Managed Security Service Provider

Per le organizzazioni che non dispongono internamente di competenze specialistiche, affidarsi a fornitori qualificati di servizi gestiti di security (MSSP) è la scelta migliore per implementare attività complesse come il BAS e il penetration test continuativo. I principali vantaggi includono: - Esperienza specifica - gli MSSP hanno personale dedicato esperto di simulazioni di attacco e test d'intrusione - Strumenti avanzati - accesso a tecnologie costose per eseguire BAS e pentest su larga scala - Copertura 24x7 - possibilità di eseguire test continuativi grazie ai security operation center che operano senza sosta - Risparmio - i costi fissi vengono ammortizzati su molteplici clienti - Risultati migliori - competenze approfondite per fornire indicazioni di rimediation mirate e ad alto impatto - Conformità - servizi certificati ISO e compatibili con requisiti normativi Affidandosi ad MSSP qualificati, il BAS e il penetration test si integrano perfettamente in una strategia completa di miglioramento della postura di sicurezza, proteggendo l'organizzazione in modo proattivo e continuo.

Conclusione

Sia il Breach Attack Simulation che il penetration test ricoprono un ruolo importante nella valutazione della postura di sicurezza aziendale. Il BAS consente di validare l'efficacia delle difese contro avversari simulati ma altamente capaci. Il pentest aggiunge una conferma tecnica puntuale delle vulnerabilità. Per una visione davvero completa, le organizzazioni dovrebbero adottare un approccio ibrido che combini i due metodi in modo ricorrente. Affidandosi a fornitori qualificati di servizi gestiti di security, è possibile implementare programmi continuativi di BAS e penetration test per identificare e mitigare proattivamente i rischi, migliorando e mantenendo un'elevata postura di cybersecurity. - Penetration test vs. Breach Attack Simulation: differenze e vantaggi per una sicurezza informatica completa - Analisi della postura di sicurezza: guida completa per rafforzare la cybersecurity - BAS (Breach Attack Simulation): cos'è e come funziona Read the full article

Auditing IT della sicurezza: guida completa all'analisi proattiva di vulnerabilità e conformità

Estimated reading time: 6 minutes Eseguire controlli di sicurezza regolari e approfonditi sull'infrastruttura IT è fondamentale per identificare e mitigare rischi cyber ed eventuali vulnerabilità prima che vengano sfruttate dagli attaccanti. In questo articolo esaminiamo l'importanza di implementare un programma continuativo di auditing della sicurezza IT e come esternalizzarlo a fornitori specializzati.

Cos'è l'auditing della sicurezza IT?

L'auditing IT consiste nell'analizzare nel dettaglio configurazioni, policy, procedure e controlli di sicurezza implementati su reti, sistemi, applicazioni, dati e processi aziendali. Lo scopo è determinare: - Conformità con standard e best practice di sicurezza. - Presenza di falle e punti deboli sfruttabili dagli attaccanti. - Adeguatezza di strumenti e policy per garantire riservatezza, integrità e disponibilità delle informazioni. - Efficacia dei processi per prevenire, rilevare e rispondere a potenziali incidenti. L'auditing può assumere varie forme: - Vulnerability assessment - ricerca di vulnerabilità tecniche. - Penetration test - simulazione controllata di attacchi. - Compliance audit - verifica del rispetto di standard normativi. - Log analysis - monitoraggio di log ed eventi di sistema. Un programma efficace combina idealmente tutti questi approcci per una visione completa della postura di cybersecurity.

Perché è importante l'auditing IT proattivo?

Effettuare controlli di sicurezza in modo proattivo e continuativo comporta numerosi vantaggi: - Gestione del rischio - identificazione di vulnerabilità e correzione prima dello sfruttamento. - Miglioramento delle difese - validazione e ottimizzazione dell'efficacia di strumenti e policy. - Conformità normativa - assicurarsi di rispettare sempre requisiti e standard obbligatori. - Monitoraggio delle minacce - rilevamento rapido di attività anomale o sospette. - Prontezza di risposta - testare periodicamente capacità e tempi di reazione degli analisti. - Awareness - tenere alta l'attenzione del personale sull'importanza della sicurezza. - Tracciabilità - disponibilità di evidenze da presentare ad auditor esterni. In sintesi, l'auditing proattivo permette di identificare e risolvere problemi prima che abbiano un impatto negativo sull'organizzazione.

Approcci per l'auditing della sicurezza IT

Esistono varie tipologie di controlli che si possono implementare all'interno di un programma completo di IT auditing. Vulnerability assessment Il vulnerability assessment prevede l'esecuzione periodica di scansioni di sicurezza su infrastrutture IT per identificare falle o misconfigurazioni che potrebbero essere sfruttate dagli attaccanti per accedere ai sistemi. Gli strumenti di VA testano: - Vulnerabilità delle applicazioni web. - Endpoint non aggiornati e non conformi a policy di sicurezza. - Servizi di rete e porte aperte vulnerabili. - Errori di configurazione di server e dispositivi di rete. - Debolezze in perimetro, WAF, sistemi di autenticazione, etc. Penetration test Il penetration test prevede la simulazione controllata di attacchi reali per validare la capacità dell'organizzazione di rilevare ed impedire una compromissione dei propri sistemi da parte di malintenzionati. Sono effettuati da ethical hacker esperti usando le stesse tecniche di attacco di cybercriminali reali. Possono essere condotti sia da remoto che da insider. Log analysis La raccolta centralizzata e l'analisi dei log a livello di rete, server, sistema operativo, applicazioni, utenti e dispositivi endpoint consente di monitorare nel dettaglio tutte le attività sospette o anomale per identificare minacce interne ed esterne. Audit di configurazioni e policy Gli audit di configurazione verificano che siano implementate correttamente policy di sicurezza per patch management, hardening di sistemi e applicazioni, account e accessi con privilegi, gestione delle password, crittografia dati, backup e disaster recovery, uso accettabile degli asset IT e molto altro.

Vantaggi di un auditing continuativo

Tradizionalmente molte organizzazioni hanno eseguito controlli di sicurezza in modo sporadico, ad esempio su base annuale. Ma questo approccio presenta significative lacune. Solo eseguendo le verifiche in modo frequente e continuativo è possibile: - Identificare nuove vulnerabilità non appena vengono introdotte nei sistemi da cambiamenti e aggiornamenti. - Monitorare modifiche del rischio dovute a evoluzioni del panorama delle minacce. - Rilevare tempestivamente incidenti grazie alla vista in tempo reale sulle attività sospette. - Validare controlli periodicamente per garantire che mantengano la propria efficacia contro le minacce odierne. - Fornire visibilità al management con report frequenti sulla postura di cybersecurity. - Verificare la conformità in modo proattivo prima di audit esterni. In sostanza, solo controllando lo stato di sicurezza in modo continuativo è possibile identificare e risolvere i problemi prima che abbiano un impatto negativo.

Esternalizzazione dell'auditing IT

Per molte organizzazioni, implementare internamente un programma completo di auditing della sicurezza IT può risultare una sfida, a causa della carenza di competenze specialistiche, strumentazione dedicata e integrazione tra tool diversi. Una soluzione efficace consiste nell'esternalizzare le attività di auditing e monitoraggio proattivo della sicurezza a fornitori qualificati di Managed Security Services (MSSP). I principali vantaggi di questo approccio includono: Competenze specifiche - Gli MSSP dispongono di professionisti esperti di sicurezza dedicati alle attività di auditing. Strumenti avanzati - Accesso a tecnologie costose per vuln assessment, SIEM, threat hunting, sandboxing, NTA (network traffic analysis) e altro. Copertura 24x7 - Monitoraggio continuo da parte di analisti nel Security Operation Center. Approccio indipendente - Assessment imparziali condotti da terze parti. Economie di scala - I costi fissi di tool e piattaforme sono ammortizzati su più clienti. Conformità - Servizi certificati ISO e compatibili con requisiti di compliance. Reporting - Reportistica di sicurezza periodica per la direzione. Threat intelligence - Accesso a feed globali di intelligence sulle minacce informatiche. Per queste ragioni, la collaborazione con un MSSP specializzato consente di implementare in modo economicamente sostenibile un programma avanzato di monitoraggio e auditing della sicurezza, difficilmente realizzabile internamente.

Punti chiave di un servizio efficace di auditing

Per garantire un elevato livello di protezione, un servizio di sicurezza gestito per l'auditing e il monitoraggio proattivo della postura di cybersecurity dovrebbe presentare le seguenti caratteristiche: - Approccio omnicomprensivo - Combinazione di vulnerability assessment, penetration test, log analysis e verifiche di configurazione per una vista completa. - Esecuzione continua - Controlli di sicurezza pianificati e ripetuti frequentemente, non solo annuali o sporadici. - Analisi approfondita - Raccolta ed esame di tutti i log rilevanti per rilevare minacce. - Threat intelligence - Impiego di feed sulle minacce globali per identificare rischi emergenti. - Presidio professionale - Security analyst dedicati per monitoraggio, tuning di regole e analisi degli alert 24x7. - Incident response - Supporto specializzato in caso di rilevamento di una violazione effettiva. - Reportistica - Report tecnici periodici e executive report per il management. - Remediation - Indicazioni di mitigazione e contenimento per prevenire impatti negativi. - Integrazione - Correlazione dei dati con le altre soluzioni di sicurezza presenti. - Conformità - Supporto per il rispetto di normative rilevanti per il cliente.

Conclusione

Implementare un programma strutturato di monitoraggio e auditing della sicurezza IT è essenziale per identificare e risolvere vulnerabilità prima che vengano sfruttate in attacchi dannosi. Esternalizzando le attività di verifica a un Managed Security Service Provider qualificato è possibile ottenere competenze specialistiche, tecnologie avanzate e una vista 24x7 sullo stato dell'infrastruttura IT. I controlli di sicurezza regolari consentono di prevenire incidenti gravi, mantenere la conformità normativa e ridurre il rischio aziendale. Il nostro servizio di Netwrix Auditor consente di ridurre al minimo il rischio di violazione dei dati e garantisce la conformità normativa riducendo proattivamente l’esposizione di dati sensibili e rilevando tempestivamente violazioni delle policy e comportamenti sospetti degli utenti. - Due modi per implementare il tuo BaaS (Backup as a Service) - CIS Critical Security Controls Version 8: cosa sono e perché sono importanti per la sicurezza informatica - Analisi della postura di sicurezza: guida completa per rafforzare la cybersecurity - Come avere la propria rete informatica sotto controllo Read the full article

CIS Controls e Vulnerability Assessment: guida pratica all'adozione delle best practice

Estimated reading time: 6 minutes Le Critical Security Controls, note anche come CIS Controls, sono una serie di azioni e tecnologie di cybersecurity sviluppate per proteggere le organizzazioni da attacchi informatici comuni ed efficaci. Questo articolo spiega cos'è la CIS, i vantaggi dell'adozione delle CIS Controls e come integrarle nel processo di Vulnerability Assessment per migliorare la postura di sicurezza.

Cos'è la CIS (Center for Internet Security)?

La Center for Internet Security (CIS) è un'organizzazione no-profit che si occupa di migliorare la resilienza cybernetica a livello globale. La CIS gestisce vari programmi tra cui: - Le CIS Controls o Critical Security Controls. - L'MS-ISAC (Multi-State Information Sharing & Analysis Center) per condividere intelligence sulle minacce. - CIS Benchmarks per configurazioni sicure di sistemi informatici. La CIS è sostenuta da governi, aziende private, istituzioni accademiche e community tecniche per sviluppare best practice per la sicurezza informatica.

CIS Controls (Critical Security Controls)

Le CIS Controls, note inizialmente come SANS Top 20 Critical Security Controls, sono state sviluppate dalla CIS insieme ad esperti di cybersecurity di alto livello. Si tratta di una serie di azioni, policy e tool di sicurezza prioritizzati e consolidati in una lista di controllo standard. L'obiettivo è guidare le organizzazioni ad implementare le difese più critiche ed efficaci per bloccare gli attacchi informatici known ed emergenti. I vantaggi dell'adozione delle CIS Controls includono: - Approccio pragmatico e di alto impatto - si concentra sulle best practice di maggior valore. - Basato su dati concreti - deriva dall'analisi di milioni di attacchi reali. - Applicabilità trasversale - efficace per organizzazioni di ogni dimensione e settore. - Metriche misurabili - punteggio di implementazione per tracciare il miglioramento. - Aggiornamento costante - revisione continua da parte di esperti per riflettere il threat landscape.

Evoluzione delle CIS Controls

La prima versione delle Critical Security Controls risale al 2008. Nel corso degli anni sono state riviste e aggiornate regolarmente per mantenerle rilevanti contro le minacce emergenti. L'ultima release è la versione 8 (CIS Controls v8) pubblicata nel 2021, che comprende 20 controlli fondamentali. Ecco alcune delle principali novità: - Unificazione dei controlli di identità e accesso in un singolo dominio. - Nuovi controlli specifici per dispositivi mobili e IoT. - Maggiore focus sugli attacchi alla supply chain e ransomware. - Integrazione di tecnologie emergenti come microservizi e container. - Nuove metriche di implementazione per una misurazione più granulare.

I 20 Critical Security Controls CIS v8

Di seguito i 20 domini delle CIS Controls ver. 8 raggruppati nelle rispettive aree di gestione: Proteggere le informazioni e i sistemi critici - Inventario dei dispositivi autorizzati e non autorizzati - Inventory del software autorizzato e non autorizzato - Proteggere le configurazioni di hardware e software su dispositivi mobili, portatili, workstation e server - Valutazione e correzione continua delle vulnerabilità - Protezione degli stage di sviluppo e delivery dell'applicazione software Sviluppare una cultura di sicurezza e consapevolezza - Autorizzazione amministrativa - Manutenzione, monitoraggio e analisi degli audit log Potenziare la difesa e semplificare la sicurezza - Difesa contro malware - Limitazione ed il controllo dei porti di rete, protocolli e servizi - Protezione dei dati - Protezione della rete - Controllo dell'accesso sensibile Usare le analytics per rispondere agli eventi - Protezione dei dati e sistemi di analisi della sicurezza - Rilevamento degli eventi e risposta agli incidenti di sicurezza Ridurre la superficie di attacco e le opportunità per gli attaccanti - Implementazione di un architettura di sicurezza Zero Trust - Protezione dei dati e controllo degli accessi - Implemenazione di sicurezza per dispositivi di rete e mobility - Protezione dei dispositivi e del datacenter su on-premises, reti ibride e sistemi cloud Rispondere in modo adattivo per ripristinare la situazione - Piani di incident response e disaster recovery - Esercitazioni per valutare e migliorare i piani di incident response e disaster recovery

CIS Controls Self-Assessment Scanner

Per semplificare l'adozione delle CIS Controls, la CIS mette a disposizione uno strumento gratuito di autovalutazione, il CIS Controls Self-Assessment Scanner. Questo scanner permette di compilare online un questionario sullo stato di implementazione dei vari controlli all'interno della propria organizzazione. Al termine si ottiene un report che assegna un punteggio complessivo e identifica le aree di miglioramento prioritarie per rafforzare le difese in base alle CIS Controls. Lo strumento fornisce una panoramica di alto livello ma non testa direttamente la sicurezza o l'efficacia dei controlli. Per questo sono necessarie attività più approfondite come il Vulnerability Assessment.

Integrare le CIS Controls nel Vulnerability Assessment

Svolgere un Vulnerability Assessment periodico consente di identificare puntualmente tutte le vulnerabilità e falle di sicurezza all'interno dell'infrastruttura IT. Per coprire in modo completo i vettori di attacco, l'assessment dovrebbe verificare sia configurazioni errate che possono violare le CIS Controls sia vulnerabilità tecniche nei sistemi. Ad esempio, la scansione può: - Rilevare errori di configurazione che espongono porte di rete sensibili. - Identificare servizi non necessari attivi su server e workstation. - Trovare applicazioni software non aggiornate e soggette ad exploit. - Scoprire account con password deboli o credenziali predefinite. - Individuare sistemi operativi o database obsoleti e non più supportati. - Analizzare in dettaglio policy e impostazioni di sicurezza. Quindi, il report finale del Vulnerability Assessment può includere specifiche indicazioni di remediation per risolvere questi problemi, allineandosi alle CIS Controls violate. In questo modo l'organizzazione è in grado di: - Misurare il livello effettivo di conformità alle best practice CIS. - Prioritizzare le azioni correttive in base al rischio. - Monitorare i progressi nell'implementazione delle difese fondamentali. - Dimostrare l'impegno a seguire gli standard convalidati dalla community IT. - Il Vulnerability Assessment diventa uno strumento ancora più prezioso integrando le verifiche con le CIS Controls come framework di riferimento. - Hardening dei sistemi tramite CIS Controls - Le CIS Controls forniscono indicazioni operative per proteggere i sistemi informatici attraverso best practice di "hardening", ovvero il rinforzo della sicurezza. - Ecco alcuni esempi di attività di hardening guidate dalle CIS Controls: - Rimozione software non necessario - disinstallare componenti, feature e servizi non essenziali in base al Controllo 2. - Chiusura porte e servizi - bloccare porte di rete, disabilitare servizi obsoleti e non utilizzati applicando i Controlli 9 e 11. - Aggiornamenti periodici - mantenere sistemi operativi, software e firmware pienamente patchati come indicato nel Controllo 4. - Minimizzazione utenti e privilegi - assegnare i minimi privilegi amministrativi richiesti dal ruolo dell'utente come da Controllo 6. - Protezione dati - crittografare i dati sensibili sia in transito che at rest implementando il Controllo 10. - Autenticazione a più fattori - richiedere più credenziali per l'accesso agli asset critici come impone il Controllo 12. - Segmentazione rete - separare logicamente ambienti e flussi di dati sensibili come consigliato dal Controllo 11. - Log collection e retention - raccogliere, centralizzare e mantenere log di sistema, applicazioni ed eventi di sicurezza per il Controllo 7. - Verificando regolarmente la conformità a queste best practice durante il Vulnerability Assessment, le organizzazioni possono mantenere uno stato solido di sicurezza dei loro asset critici. - Vulnerability Assessment continuativo - Per mantenere costantemente aggiornata la conformità alle CIS Controls e la comprensione dei rischi di sicurezza, è essenziale eseguire il Vulnerability Assessment in modo frequente e continuativo. - I vantaggi di un programma continuativo di VA includono: - Visibilità in tempo reale - monitoraggio proattivo dell'esposizione a nuove minacce man mano che sistemi e applicazioni cambiano. - Rapidità di intervento - identificazione immediata di nuovi gap da risolvere secondo le CIS Controls. - Miglioramento progressivo - tracciamento dei progressi nel tempo verso una copertura completa dei controlli critici. - Gestione dinamica del rischio - valutazione dell'impatto di cambiamenti interni ed esterni sull'esposizione agli attacchi. - Prova di Diligenza - dimostrazione dell'impegno concreto a seguire framework riconosciuti di best practice. - Esternalizzando il Vulnerability Assessment continuativo a fornitori qualificati di servizi gestiti, aziende e organizzazioni possono trarre vantaggio da competenze specializzate e tecnologie avanzate per integrare in modo efficace le CIS Controls nel proprio programma di sicurezza. - Conclusione - Le CIS Critical Security Controls costituiscono una solida base di best practice cybersecurity sviluppata da esperti di alto profilo. - Integrandole nel processo di Vulnerability Assessment, le organizzazioni possono valutare in modo concreto la propria conformità a questi standard convalidati e identificare le aree di miglioramento prioritarie. - Un programma continuativo di verifiche consente di monitorare nel tempo lo stato di sicurezza e guidare attività di hardening e mitigazione del rischio in linea con le raccomandazioni delle CIS Controls. - Adottando un approccio proattivo, è possibile rispondere più rapidamente alle minacce in continua evoluzione, riducendo la superficie di attacco e rafforzando la postura complessiva di cybersecurity. - CIS Critical Security Controls Version 8: cosa sono e perché sono importanti per la sicurezza informatica - Vulnerability Assessment e Penetration test Read the full article

L'importanza della Cyber Threat Intelligence

Tempo di lettura stimato: 5 minuti In un altro articolo abbiamo già parlato della Cyber Threat Intelligence spiegando cos’è, come funziona e le sue varie tipologie. Oggi, invece, ci focalizzeremo più sull’importanza della Cyber Threat Intelligence, approfondendo come può essere utile alle aziende per fornire risposte in ambito di sicurezza, contenendo i rischi e fornendo informazioni che supportino la risposta agli incidenti.  

L'importanza della Cyber Threat Intelligence

In un mondo in cui le tecnologie e le minacce informatiche sono sempre in continua evoluzione, un’azienda non può permettersi di trascurare l’importanza della Cyber Threat Intelligence. Ogni giorno sul web avvengono innumerevoli attacchi informatici e furti di dati a danno di aziende e privati. Queste grandi quantità di informazioni, vengono poi catalogate e vendute illegalmente sul Dark Web. Gli hacker sono soliti vendere informazioni in questa parte del web perché garantisce loro l’anonimato. Infatti, a differenza del web tradizionale, per poter accedere a questi luoghi virtuali, bisogna utilizzare un browser che mascheri il proprio indirizzo IP. Questo complica le attività di tracciamento dei criminali da parte delle autorità e rende il dark web un posto completamente anonimo. Uno degli obbiettivi che si pone la CTI è quello di monitorare le informazioni presenti in questa grande parte del web a scopo analitico. Il fine è quello di prevenire e arginare i danni che questi dati potrebbero provocare.

Monitorare il Dark Web e il Deep Web

Spesso, quando parliamo di Deep Web e di Dark Web, pensiamo che siano presenti solo ed esclusivamente attività illegali, ma non è corretto. Ci sono anche forum, blog e siti web che hanno il fine di divulgare informazioni difficilmente reperibili sul web tradizionale. Purtroppo però, è anche vero che i criminali sfruttano questa sezione della rete per vendere ogni genere di informazione. Queste comprendono numeri di telefono, indirizzi email, dati bancari, documenti, passaporti, credenziali d’accesso amministrative di siti web. C’è praticamente di tutto. Questo genere di informazioni, nelle mani di un malintenzionato (o di un competitor), potrebbe compromettere l’integrità di un’intera azienda, dei suoi dipendenti e dei suoi clienti. Le conseguenze provocate da una violazione di dati, potrebbero inoltre manifestarsi anche sotto forma di danni alla reputazione dell'azienda. Quando un cliente fornisce ad un’azienda i suoi dati personali si aspetta che vengano trattati con il massimo rispetto. I clienti potrebbero sentirsi "traditi" dall’azienda che avrebbe dovuto garantire loro la sicurezza delle proprie informazioni personali. Un esempio clamoroso è stato il furto di dati avvenuto nel 2019 ai danni di Facebook Inc. (Fonte) Ben 533 milioni di dati personali appartenenti agli utilizzatori della piattaforma sono stati sottratti, suddivisi per 106 paesi e diffusi gratuitamente sul web portando nuovamente la società al centro di polemiche.

Le aziende che cercano di proteggere i dati dei propri clienti, fornitori e dipendenti investono in strumenti di analisi e monitoraggio. Affidandosi a dei professionisti, è possibile ricevere tempestivamente un avviso ogni qualvolta che un’informazione sensibile viene pubblicata su un forum o su un sito web presente nel Dark Web. Per questo l’importanza della Cyber Threat Intelligence gioca un ruolo chiave nel ramo della sicurezza informatica aziendale. Monitorare il Dark Web dunque, significa avere la possibilità di poter rilevare tempestivamente eventuali informazioni sensibili prima che esse possano causare problemi alle aziende.

Strumenti per monitorare il Dark Web

Essendo una porzione di internet difficilmente accessibile e non indicizzata dai motori di ricerca, analizzare e monitorare le risorse presenti sul Deep Web diventa più complicato. Per questo motivo ci vengono in aiuto diversi strumenti progettati con lo scopo di semplificare il processo di indagine e analisi. Un software che potrebbe essere d’aiuto durante un’attività d’investigazione è Onionscan, un programma Open Source completamente gratuito. Il progetto Onionscan e la CTI Il progetto Onionscan si pone due obiettivi: - Aiutare gli operatori a trovare e risolvere problemi di sicurezza operativa - Aiutare i ricercatori a monitorare e tracciare i siti presenti nel Deep Web Il software è scaricabile sulla pagina Github dedicata, contenente anche una guida per l’installazione e una lista delle dipendenze necessarie per eseguire il software. Una volta installato, per poterlo utilizzare basta semplicemente digitare nella riga di comando: onionscan nomesitowebdascansionare.onion Certamente, il solo accesso a uno strumento come questo non basta a fornire una copertura efficace. Infatti, l'importanza della Cyber Threat Intelligence risiede in gran parte nel saper effettuare le ricerche e interpretare i dati.

Conclusioni

Abbiamo visto cos’è e come funziona un’attività di monitoring del Dark Web e soprattutto abbiamo iniziato a comprendere l’importanza della Cyber Threat Intelligence. Investire in queste soluzioni garantisce un’ulteriore sicurezza all’azienda. Mettere al sicuro i dati dei propri clienti e dei propri dipendenti non può essere un optional, ogni azienda dovrebbe essere sensibile a queste tematiche ed investire le proprie risorse per prevenire spiacevoli situazioni. SOD offre un servizio apposito che si prefigge proprio di fornire informazioni di CTI preziose per la difesa proattiva e la risoluzione di criticità prima che diventino dei veri problemi. Se hai bisogno di ulteriori chiarimenti non esitare a contattarci, siamo pronti a rispondere ad ogni tua domanda. - La differenza tra il dark web e il deep web e l'importanza di monitorarli per la sicurezza aziendale - I dati esfiltrati durante un attacco ransomware a doppia estorsione non sono pubblici. Sfatiamo un mito Read the full article

Protect Your Business: Antivirus vs. SOC Service with EDR and Next Generation Antivirus (NGA)

Estimated reading time: 5 minutes Cybersecurity has become crucial for businesses of all sizes and industries. The growing complexity of cyber threats has made it necessary to use increasingly advanced tools and services to protect networks and devices. In this article, we will look at the differences between traditional antivirus software and a Security Operations Center (SOC) service with Endpoint Detection and Response (EDR) that also includes Next Generation Antivirus (NGA). We will discover how these two approaches differ and how the SOCaaS service of Secure Online Desktop can increase corporate security.

Antivirus: basic protection

Operation of antiviruses An antivirus is software designed to protect your computer or device from cyber threats such as viruses, malware, spyware and other forms of malicious software. Antiviruses work primarily by scanning the files on your system, comparing each file against a large database of known digital signatures associated with known malware. If a match is found, the antivirus can block or quarantine the file to prevent it from running. Limitations of (traditional) antiviruses Traditional antivirus offers basic protection and are generally effective at detecting and blocking the most common and well-known threats. However, they have some limitations: - Responsiveness: Antiviruses rely on digital signatures to identify malware, which means they are only effective against already known threats. New malware or existing malware variants can evade detection. - Lack of defense against advanced attacks: Antiviruses are not designed to defend against complex, targeted attacks, such as those perpetrated by expert hackers or organized cybercrime groups. - Signature-only detection: Antiviruses cannot detect suspicious behavior or anomalies in the system, which limits their ability to identify and block emerging and sophisticated threats.

SOC service with EDR and Next Generation Antivirus: advanced protection

What is a SOC service? A Security Operations Center (SOC) is a centralized command center responsible for an organization's cybersecurity. A SOC continuously monitors networks, devices and systems to identify and respond to cyber threats. A SOC service can be internal or external to the organization, as is the case with SOC-as-a-Service (SOCaaS), where an external vendor provides managed security services. Endpoint Detection and Response (EDR) EDR is a security technology that monitors and analyzes data from endpoint devices (such as computers, laptops and mobile devices) to detect, prevent and respond to cyber attacks. Unlike antivirus, EDR relies on behavioral analysis and machine learning techniques to identify known and unknown threats. Next Generation Antivirus (NGA) A Next Generation Antivirus (NGA) is an evolution of traditional antiviruses, designed to provide more complete and advanced protection against cyber threats. An NGA combines the signature-based detection capabilities of traditional antivirus with advanced techniques such as sandboxing, machine learning and behavioral analysis to identify and block a wide range of threats, including those that are unknown or evolving.

Differences between antivirus and SOC service with EDR and NGA

- Threat coverage: While antiviruses offer basic protection against known threats, an SOC service with EDR and NGA provides broader and more advanced coverage, including detection of unknown or evolving threats. - Behavioral analytics: Unlike antiviruses, which rely primarily on signature-based detection, an SOC service with EDR and NGA uses behavioral analytics to identify suspicious or anomalous activity on the system. - Proactivity: While antiviruses are typically reactive, an SOC service with EDR and NGA is proactive, continuously monitoring networks and devices to identify and prevent attacks before they can cause damage. - Managed Security: An SOC service offers a managed approach to security, with dedicated experts monitoring, analyzing and responding to threats 24/7. Antiviruses, on the other hand, require the end user to keep the software updated and intervene manually in case of problems. - Incident Response: An SOC service with EDR is designed to respond quickly to security incidents, limiting damage and reducing recovery time. Antiviruses, on the other hand, offer more limited protection against advanced or targeted attacks.

How Secure Online Desktop's SOCaaS service increases enterprise security

Il servizio di SOCaaS della Secure Online Desktop offre un livello avanzato di protezione per le aziende di tutte le dimensioni. Here are some of the main benefits of this service: - Comprehensive Protection: The SOCaaS service combines EDR and NGA capabilities to provide comprehensive protection against a wide range of cyber threats, including unknown or evolving ones. - 24/7 Monitoring: The SOCaaS service constantly monitors networks and devices to identify and prevent attacks before they can cause damage. - Rapid Incident Response: The SOCaaS service is designed to respond quickly to security incidents, limiting damage and reducing recovery time. - Dedicated Security Experts: The SOCaaS service offers access to dedicated security experts who monitor, analyze and respond to threats 24/7. - Scalable Security: The SOCaaS service is scalable to meet the evolving security needs of businesses, ensuring they are always protected from emerging threats. In conclusion, an SOC service with EDR and NGA offers advanced and comprehensive protection compared to traditional antivirus, protecting companies from a wide range of cyber threats. Secure Online Desktop's SOCaaS service is an ideal solution for increasing enterprise security, offering 24/7 monitoring, rapid incident response and access to dedicated security experts. - EDR (Endpoint Detection and Response) - Difference between a SOC with NGS (Next Generation SIEM) and a SOC with EDR (Endpoint Detection and Response): Which solution is best to protect your company from cyber threats? - Next Generation SIEM: where are we at? - MDR, EDR or NGS: Choose the perfect cybersecurity solution for your company! Read the full article

Kerberoasting: a threat to cybersecurity and how to mitigate it with Security Posture analysis

Estimated reading time: 5 minutes

Introduction

Cyber security is a crucial aspect for companies and organizations of all sizes. One of the most insidious attacks in the IT security landscape is Kerberoasting. This type of attack exploits weaknesses in the Kerberos protocol, used to authenticate users in network systems. In this article, we will explore in detail this threat, its consequences and how to mitigate it through Security Posture analysis. Additionally, we will discuss how Secure Online Desktop's Security Posture Analysis service can help protect your organization from this type of attack.

What is Kerberoasting?

The Kerberos protocol To understand Kerberoasting, it is important to first understand the Kerberos protocol. Kerberos is a ticket-based authentication protocol that is used in operating systems such as Windows and Linux to ensure the identity of users and resources on a network. The protocol was developed by MIT (Massachusetts Institute of Technology) in the 1980s and is based on the "trusted third party" principle, in which an authentication server (Key Distribution Center or KDC) acts as an intermediary between users and Network resources. The Kerberoasting attack Kerberoasting is an attack technique that exploits weaknesses in the Kerberos protocol to capture user credentials and access protected resources within a network. Attackers use this method to extract encrypted passwords of services associated with user accounts in the domain and then attempt to crack these passwords offline. Once the password is cracked, the attacker can use it to access protected resources and further compromise the network.

Security Posture Analysis to mitigate the risk of Kerberoasting

Security Posture analysis is a practice that consists of evaluating and monitoring the overall security of a network or organization. Through Security Posture analysis, it is possible to identify weaknesses and vulnerabilities that could be exploited by attackers, as in the case of Kerberoasting. Below, we will look at some key steps to mitigate the risk of Kerberoasting through Security Posture analysis. Identification of vulnerabilities The first step to protecting your network from Kerberoasting is to identify vulnerabilities in your system. This will include reviewing Kerberos protocol configurations, verifying service accounts, and analyzing passwords used. It is critical to identify areas where Kerberoasting attacks may occur and work to correct these weaknesses. Implementation of security measures Once vulnerabilities have been identified, you need to implement security measures to protect your network. This could include using strong and long passwords for service accounts, updating Kerberos protocol configurations, and implementing attack detection and monitoring solutions. Attack monitoring and detection Continuous monitoring of your network environment is critical to detecting and preventing Kerberoasting attacks. It is important to use security solutions that offer advanced threat detection and user behavior monitoring capabilities. This will allow you to quickly identify any attack attempts and take appropriate measures to mitigate the risk.

The Secure Online Desktop Security Posture analysis service

La Secure Online Desktop offers a Security Posture analysis service that can help protect your organization from Kerberoasting and other cybersecurity threats. This service provides a comprehensive analysis of your network, identifying vulnerabilities and making recommendations on how to improve overall security. Below are some of the benefits of using Secure Online Desktop's Security Posture analysis service: Dedicated security experts Secure Online Desktop's Security Posture Analysis service provides a team of security experts who will work closely with you to identify and fix vulnerabilities in your system. These professionals have extensive experience in protecting corporate networks and can provide targeted advice and customized solutions for your organization. Comprehensive safety assessment Secure Online Desktop's Security Posture Analysis service offers a comprehensive assessment of the security of your network environment. This includes identifying vulnerabilities related to the Kerberos protocol, analyzing security configurations and reviewing access and control policies. Additionally, the service can also evaluate other critical areas of cybersecurity, such as data protection, application security and access management. Proactive monitoring and detection Secure Online Desktop's Security Posture Analysis service provides proactive threat monitoring and detection, allowing you to quickly identify Kerberoasting attack attempts and other security threats. This proactive approach to cybersecurity helps prevent attacks before they cause significant damage to your organization.

Conclusion

Kerberoasting represents a significant threat to cybersecurity, but through a thorough Security Posture analysis, these vulnerabilities can be identified and mitigated. Secure Online Desktop's Security Posture Analysis service offers a broad range of tools and resources to protect your organization from these attacks and ensure a secure and reliable network environment. Investing in the protection of your IT infrastructure is essential to ensure continuity of operations and to protect the sensitive information of your customers and employees. By relying on Secure Online Desktop's Security Posture analysis service, you can be sure that you have adopted the best practices and solutions to protect your organization from the risks of Kerberoasting and other cybersecurity threats. - CTI (Cyber Threat Intelligence): How does it work? - Vulnerability Assessment and Penetration testing - Vulnerability Assessment & Penetration Test Read the full article

Active Defense Deception: cybersecurity that beats hackers with their own weapons

Estimated reading time: 6 minutes We pay hackers their own coin by using the same defenses and techniques that malware uses against computer systems by modeling the attackers' decision-making process.

What is Active Defense Detection

The Active Defense Deception is an innovative cybersecurity service offered by the Secure Online Desktop company to protect companies from the most sophisticated cyber attacks. It is a deception technology solution that uses preventive deception techniques to confuse and hinder hackers in the initial stages of an attack, even before they can compromise systems. How deception technology works Deception technology is based on the creation within the corporate network of virtual decoys and traps that look like real assets such as servers, workstations, IoT devices, etc. In reality, these are fictitious systems whose purpose is to attract the attention of hackers and mislead them. When a cybercriminal tries to compromise these false assets, the Active Defense Deception system gathers valuable information about his techniques and tactics, causing him confusion and leading him astray. In this way the threat is neutralized before it can even reach and damage the real corporate assets. The benefits of deception technology Active Defense Detection has several advantages over traditional cybersecurity solutions: - Proactive Protection - Prevents attacks instead of simply detecting and blocking them. Confuse hackers before they can do any damage. - Effectiveness against unknown threats - Works even against new and never-before-seen attacks, as it is not signature-based. - Intelligence Gathering - Observe and analyze hacker tactics by providing valuable threat intelligence data. - Ease of Deployment - Can be seamlessly integrated into existing IT infrastructure. - Low impact on performance - Does not burden the network with massive scans and continuous monitoring. How the Secure Online Desktop service works The Secure Online Desktop Active Defense Deception service operates in the following ways: - Installing sensors and deceiver software on customer systems to deploy virtual baits and traps. - 24/7 monitoring from Security Operation Center (SOC) to detect suspicious interactions. - Collection of information on the hacker's techniques to reconstruct the attack's kill chain. - Immediate blocking of the threat and alerting the customer. - In-depth analysis of what happened to learn and perfect defenses. The service is managed entirely by Secure Online Desktop experts, with no need for specific skills on the part of the customer.

Active Defense Deception: The kill chain of cyber attacks

To better understand how Active Defense Detection works, it is useful to know the concept of cyber kill chain. The kill chain describes the typical sequential stages that make up most advanced cyberattacks: Phase 1 - Reconnaissance In the initial phase, the hacker collects as much information as possible about the target company, its digital assets, networks and security systems adopted. The goal is to identify exploitable vulnerabilities. Phase 2 - Initial login By exploiting the identified vulnerabilities, the attacker tries to gain initial access to the corporate network, for example by infecting an endpoint with malware or exploiting compromised credentials. Phase 3 - Privilege Escalation Once initial access is gained, the cybercriminal attempts to elevate their privileges to access critical systems and data. For example by stealing administrator credentials. Stage 4 - Lateral movement The hacker moves laterally within the network to reach his ultimate goal, such as servers with sensitive or valuable data. Stage 5 - Final Goal In the final stage the attacker achieves his goal, for example by exfiltrating or encrypting data with ransomware.

How Deception Technology works

Active Defense Deception acts early in the kill chain, hindering and confusing the attacker so that he can never progress towards the advanced stages of the raid. During the reconnaissance phase, the system deceives the hacker into believing that the network contains non-existent or misleading resources that attract his attention, wasting time and energy. In the initial access phase, virtual traps trap the malware or attacker into dead-end paths that keep them away from critical systems. In the privilege escalation phase, false credentials lead the intruder into dead ends by preventing him from escalating his privileges. In this way the threat is constantly deflected, disoriented and finally neutralized before it can progress towards a malicious intrusion. In this way the threat is constantly deflected, disoriented and finally neutralized before it can progress towards a malicious intrusion.

Combine Deception and SOC for total protection

While Anti-Malware solutions and EDRs stop threats by detecting them, and SOC systems monitor and investigate alerts, Deception Technology prevents attacks by stopping them before they even happen. For this reason, Active Defense Deception is the perfect complement to complement SOC (Security Operation Center) services to create truly complete and effective multi-level protection. Secure Online Desktop managed SOC provides real-time monitoring, detection and incident response. Deception technology prevents and deceives attacks before they can compromise real assets. Used together, these defense capabilities make it possible to significantly improve the level of security of the IT infrastructure of client companies, against all types of cyber threats.

Conclusions on Active Defense Deception

The Active Defense Deception of Secure Online Desktop represents the evolution of cybersecurity towards a more proactive approach that predicts and hinders the hacker's moves rather than just reacting. Rivolgendosi alle fasi iniziali della kill chain degli attacchi informatici, la deception technology li impedisce sul nascere ingannando il criminale con trappole ed esche virtuali. Integrated with advanced SOC services, this active prevention capability allows for unmatched multi-layered protection against any type of cyber threat. Companies can thus prevent the damage caused by security breaches, which involve not only direct financial losses but also potentially disastrous reputational impacts. Thanks to Active Defense Deception, attacks are stopped even before they are completed, without compromising company operations and business continuity. The innovative approach of deception technology marks the evolution from a passive cybersecurity based on detecting and blocking threats, to an active one that sets traps for hackers to confuse and mislead them. In a landscape of increasingly sophisticated cyber risks, this ability to think and act like a cybercriminal is essential to protect the digital assets of companies. Secure Online Desktop has the know-how and skills to take companies into the future of IT security thanks to cutting-edge services such as Active Defense Detection, managed 24/7 by qualified professionals. The combination of proactive prevention, real-time monitoring, threat intelligence and rapid response enables comprehensive, multi-dimensional protection to counter today's and future threats. For more information on Active Defense Detection solutions and how to integrate them into your cybersecurity systems, contact the Secure Online Desktop experts. - SOAR and the automation of information security - Computer network security: PT vs. VA - Ethical hacking: defend knowing how to attack Read the full article

Decezione informatica: cos'è, come funziona e perché è fondamentale per la cybersecurity

Estimated reading time: 6 minutes Decezione informatica: cos'è e a cosa serve? La decezione informatica, nota anche come "decemption", è una tecnica di cybersecurity emergente che si sta diffondendo sempre più tra le aziende. In questo articolo vedremo nel dettaglio di cosa si tratta, come funziona e quali vantaggi offre per la protezione da minacce informatiche avanzate.

Cos'è la decezione informatica?

La decezione informatica o "decemption" consiste nel distribuire deliberatamente informazioni false all'interno di un sistema per ingannare un potenziale attaccante. L'obiettivo è confondere e distrarre il criminale informatico, facendogli perdere tempo prezioso ed ostacolandone l'attività. Si tratta di una tecnica proattiva di cyber defense che permette di tracciare e studiare il comportamento dell'intrusione, per poi rispondere e neutralizzare la minaccia. Il principio è quello di trarre in inganno l'hacker, sfruttando tecniche di social engineering al contrario. Invece di proteggere le informazioni reali, la decezione crea false risorse - file, reti, servizi - che sembrano reali. L'attaccante finisce per colpire esche e trappole che rivelano le sue intenzioni e consentono di fermarlo prima che raggiunga gli asset critici.

Come funziona la decezione informatica

L'implementazione della decezione avviene tramite specifici strumenti e tecnologie che permettono di distribuire informazioni false all'interno dell'infrastruttura IT. Queste false risorse vengono monitorate per rilevare qualsiasi tentativo di accesso non autorizzato. Trappole ingannevoli Si creano risorse fittizie come falsi file server, falsi database, pagine web finte, finti servizi di directory, finte credenziali di accesso. Queste trappole attirano l'attenzione dell'hacker che finisce per sprecare tempo prezioso cercando di accedervi. Allarmi e alert Ogni interazione con le risorse fake genera immediatamente un alert che segnala l'intrusione in corso. Gli strumenti di decezione sono in grado di classificare il livello di minaccia e fornire una risposta automatica. Tracciamento dell'attività Le trappole ingannevoli permettono di monitorare in tempo reale il comportamento dell'attaccante, raccogliendo preziose informazioni sulle tecniche utilizzate e sugli obiettivi. Rapidità di risposta Individuata una potenziale intrusione, la piattaforma di decezione è in grado di rispondere immediatamente, ad esempio isolando il sistema compromesso o l'IP sospetto tramite il blocco del traffico.

Quali vantaggi offre la decezione informatica?

L'utilizzo di tecniche di decezione presenta diversi vantaggi per elevare il livello di cybersecurity di un'organizzazione: - Rilevazione precoce delle minacce: le trappole permettono di individuare subito eventuali attacchi in corso, prima che raggiungano gli asset di valore. - Protezione proattiva: la decezione permette di passare da una postura reattiva ad una proattiva, ingannando l'attaccante ed ostacolandone l'attività. - Analisi delle tecniche di attacco: monitorando le trappole è possibile raccogliere informazioni preziose sulle tattiche, tecniche e procedure (TTPs) del criminale informatico. - Migliore allocazione delle risorse: la rapida individuazione della minaccia consente di ottimizzare l'utilizzo di risorse per la risposta, evitando inutili "cacce al tesoro". - Efficacia contro minacce avanzate: la decezione permette di rilevare e bloccare anche attacchi mai visti prima, molto sofisticati e senza firma. - Integrazione con altre difese: le tecniche di decezione possono integrarsi perfettamente con firewall, antivirus, sistemi di rilevamento delle intrusioni (IDS) e altro. - Costi contenuti: implementare la decezione richiede un investimento relativamente contenuto in termini economici, soprattutto considerando i benefici.

Casi d'uso della decezione informatica

La decezione informatica può essere impiegata efficacemente in diversi casi d'uso, tra cui: Protezione di asset critici Creando trappole ingannevoli intorno a server, database, applicazioni business critical si possono individuare subito eventuali attacchi mirati e proteggere questi asset. Rilevamento di attacchi interni Le tecniche di decezione permettono di identificare rapidamente accessi non autorizzati e attività anomale da parte di utenti interni compromessi. Protezione di ambienti OT e IoT In ambienti industriali con sistemi di controllo industriale (OT) e Internet of Things (IoT) la decezione aggiunge un ulteriore livello di sicurezza. Response a incidenti avanzati In caso di violazioni avanzate già in corso, le tecniche di decezione possono supportare efficacemente le attività di contenimento e risposta. Ambienti cloud e virtualizzati La natura dinamica e distribuita del cloud e dei data center virtuali rende complessa la sicurezza: la decezione può colmare gap e vulnerabilità.

Strumenti di decezione: Honeypot, Honeytoken, Honeyfile

Per distribuire informazioni false ed implementare la decezione informatica vengono utilizzati alcuni strumenti specifici, tra cui: Honeypot Si tratta di sistemi trappola progettati per attrarre gli attaccanti facendo credere che si tratti di vere risorse del sistema informativo. Un honeypot simula servizi e vulnerabilità per monitorare e studiare le tecniche di attacco. Honeytoken Informazioni false come credenziali fittizie, chiavi API non valide, password trappola. Sono disseminate nel sistema per essere monitorate e rilevare accessi non autorizzati. Honeyfile File non autentici posizionati come esche per attirare gli attaccanti e monitorarne il comportamento. Possono contenere anche codice dannoso per "infettare" chi cerca di utilizzarli senza autorizzazione.

Deception: un approfondimento sulle tecniche

Per comprendere più nel dettaglio il funzionamento della decezione informatica, analizziamo alcune delle principali tecniche utilizzate. Creazione di falsi servizi Si possono distribuire nella rete falsi servizi, come un finto server FTP o un servizio fittizio di directory LDAP, per attirare l'attenzione dell'attaccante. Questi cercherà di interagirvi rivelando le proprie intenzioni. Generazione di falsi errori Durante l'intrusione si possono generare falsi messaggi di errore per confondere l'attaccante e indurlo a perdere tempo prezioso. Ad esempio un finto "file non trovato" o "permesso negato". Creazione di honeyfile Come detto, gli honeyfile sono file-trappola progettati per attirare gli attaccanti. Possono essere nominati in modo accattivante, come "password.txt" o "credit card data.xlsx". L'accesso rivela l'intrusione. Mirroring del traffico La piattaforma di decezione può replicare e mirrorare il traffico di rete reale per confondere l'attaccante su quali siano le risorse autentiche. Camuffamento delle informazioni Alterando sottilmente dati come nomi utente, indirizzi IP, nomi di dominio è possibile ingannare l'hacker e indurlo a commettere errori rivelatori. Honeytoken negli stack tecnologici Si possono introdurre honeytoken nei vari livelli dello stack tecnologico: falsi account utente, finte API key, credenziali cloud non valide. Decoy document injection Consiste nell'introdurre nei sistemi delle esche sotto forma di documenti falsi contenenti codice dannoso. L'esecuzione del codice consente di rilevare e tracciare l'intrusione. Dynamic deception Le tecniche di deception possono essere applicate in modo dinamico modificando continuamente la superficie d'attacco per confondere l'avversario.

Conclusione: perché la decezione è fondamentale oggi

In uno scenario di minacce in costante evoluzione, con attacchi sempre più sofisticati, la sola protezione perimetrale non è più sufficiente. La decezione informatica rappresenta un nuovo indispensabile livello di difesa. Ingannando proattivamente gli avversari è possibile rilevare subito le intrusioni e rispondere rapidamente, prima che si verifichino danni. Gli strumenti di deception permettono di acquisire una superiore threat intelligence sul nemico per adattare le difese. Il servizio di Active Defense Deception della Secure Online Desktop, integrando tecniche di decezione con threat hunting e threat intelligence, può elevare significativamente il livello di sicurezza di un'azienda contro le minacce più evolute. - Mitre Att&ck ™: una panoramica - Tecniche spammer: come sfruttano la posta elettronica? - Ethical hacking: difendere sapendo come attaccare - Penetration test vs. Breach Attack Simulation: differenze e vantaggi per una sicurezza informatica completa Read the full article

What is really a cyber threat

Cyberattacks are numerous and do not distinguish between companies and individuals when targeting a target. You've most likely heard the term "cyber threat" in the media before, but what exactly are we talking about? Other ways you may have heard this are “cyberthreat”, “cyberattack” or similar.

What is a Cyber Threat?

Today the term "cyber threat" is used predominantly in the world of information security. A cyber threat is a malicious act conceived with the purpose of damaging systems, stealing data or any purpose that has the purpose of causing damage of any kind. Viruses, data breaches and DDoS attacks are included. Even if the threat is virtual, what is real is the attacker's intent as well as the potential impact. While many cyberattacks are mere nuisances, some are quite serious. Some even potentially threaten human lives. The potential impact that these kinds of attacks can have is often underestimated. Most of the time, the attacks are easily identifiable and do not pose much risk. Instead, other times it happens to come across some more sophisticated threats, difficult to identify, which represent a big problem even for many companies. Cyber threats are a major concern for businesses. Cyberattacks can lead to power outages, government equipment failures, and breaches of state secrets. They can manipulate telephone and computer networks or, as in the case of ransomware, they can cripple entire systems by making data inaccessible. Every day new companies and organizations set foot in the digital world with awareness of the risks associated with their technological infrastructures. In some cases, cyber threats are underestimated and this often means great economic and image damage for the company that has underestimated cyber threats and security. The increase in IT-related risks is real, as are data security solutions. The best thing to do is to take the necessary safety measures right away.

Types of Cyber Threats

The types of cyber threats are numerous, and it must also be considered that they are constantly evolving. The intent of hackers is usually to secure an economic gain by carrying out sabotage, espionage or data theft operations. As a result, they can be expected to do everything possible to achieve their ends. Virtually every cyber threat falls into one of the following ten types of risks. Hackers have an abundance of options to choose from in order to operate. Furthermore, computer literacy is all in all poor, so hackers often have an easy time, especially for small local realities.

The 10 most common types of computer threats

Malware It is a type of software that executes a malicious command on a device or within a computer network, corrupting data or taking control of the system. Phishing Phishing is an e-mail attack that consists of tricking the recipient into revealing confidential information or inviting him to download malware by clicking on a link in the body of the message. These are real scams, which we have talked about extensively in other articles. Often they don't even involve great IT skills on the part of the attacker, just a little social engineering. Vishing Vishing is a more sophisticated form of phishing in which the hacker uses VoIP technology to contact the victim, attempting to trick them. There is also a variant that instead uses text messages to attack, it is called smishing. Man in the Middle As the name suggests, this type of attack refers to when a hacker intervenes in a conversation posing as one of the two parties, with the aim of stealing sensitive information. What we often don't think about is that the conversation is between two machines and therefore not immediate to monitor. Trojan viruses The origin of its name is inspired by the famous Trojan Horse of ancient Greece. Trojan is a type of malware that infiltrates a computer system by hiding its true nature. For example, it could impersonate known software and then release malicious code once inside the host device. Ransomware Ransomware is an attack that uses encryption to make information on a system inaccessible. The aim is to demand a ransom in exchange for being able to access the data again. Possibilità che a volte, in realtà, non è nemmeno assicurata. DDoS attack It occurs when the attacker uses many devices to overload a target, such as a website, with requests, causing it to crash or become instabilities. Attacks on IoT devices This is an increasingly popular attack due to the nature of the targets. Devices such as sensors or industrial plants connected to the network are vulnerable to multiple types of cyber threats. The hacker could take control of the device and then later use it in a DDoS attack. Alternatively it could steal the information present in the device itself obtaining important data to continue the attack. Given their number of frequently out-of-date operating systems, IoT devices are a very attractive target. Malware in mobile applications Phones and tablets are just as vulnerable to malware as any other device. È possibile inserire malware all’interno di app, nei siti web o nelle e-mail sfruttando il phishing. Once compromised, a mobile device can provide access to personal information, location data, and financial accounts. A recent example of this type of eventuality is Pegasus software, which is used to monitor and collect data from journalists around the world. (Source: The Guardian)

Practical defense and prevention solutions

Cyber threats are always expanding and improving. Millions of them are created every year, many of them follow the aforementioned characteristics, but others are technologically more complex and more powerful. Fortunately, however, there are also more and more highly qualified companies in the field of IT security that offer cutting-edge tools and services that help prevent, identify and promptly block all kinds of IT attacks. Threat detection tools Threat detection tools are an essential part of a company's cybersecurity technology stack. Threat detection is also the first defense against any Cyber Threat. Specific solutions, such as the use of a SOCaaS, for example, are of vital importance for safeguarding an IT infrastructure, thanks also to the integration of the SIEM engine which includes UBA and UEBA, guaranteeing complete control also over the users. Another useful tool is definitely ACP. Acronis Cyber Protect is a solution that integrates data protection and management to safeguard your endpoints, data and systems. Its automation capabilities provide unparalleled protection, enabling businesses to increase their productivity and reduce risk. Vulnerability Assessment & Penetration Test (VA-PT) Services like VA & PT are field tests that test the infrastructure in a concrete context. Our teams of white hat hackers find vulnerabilities within the system to point the finger at weaknesses to fix.

Conclusions

We have learned what a cyber threat is and its most common types, also discovering which solutions can be adopted in order to guarantee better corporate and employee safety. What countermeasures has your company taken to protect your safety? If you would like more information about it, you can contact us by pressing the button below. We offer ad hoc services and solutions to strengthen corporate defenses. Useful links - Computer network security: PT vs. VA - What is Phishing? Understand and detect social engineering attacks - Ethical Phishing Attacks - Test your company! - What is a Network Lateral Movement and how to defend yourself Read the full article