L’attacco di cyber spionaggio agli USA sta mostrando pian piano tutti i suoi strascichi internazionali. Anche in Italia. Ed era prevedibile, visto l’utilizzo molto diffuso degli aggiornamenti automatici della piattaforma SolarWinds Orion e visto che gli attacchi sono avvenuti nel tempo (tra marzo e giugno).
In Italia la risposta è stata immediata. Poco prima di Natale il nostro Sistema di Sicurezza Nazionale, tramite il DIS e il reparto che si occupa di gestire gli incidenti informatici guidato dal vice direttore Roberto Baldoni, ha attivato il Nucleo per la Sicurezza Cibernetica e ha messo a disposizione il neonato CSIRT per tutte le aziende coinvolte e non solo.
Da una parte infatti si è riunito il Nucleo, per valutare ogni possibile impatto della campagna di attacchi informatici condotti in USA e dall’altra ha dedicato una sorta di faq da cui muoversi e capire il fenomeno. Questa comunione d’intenti si riassume in ulteriori due azioni.
L’impegno del DIS
La prima azione riguarda direttamente la sicurezza nazionale. Nel comunicato è evidente l’impegno diretto e pronto dei nostri servizi informativi su come in presenza di attacchi informatici di quel tipo, bisogna mantenere un’attenzione alta per un potenziale impatto sulla sicurezza nazionale. SolarWinds ha anche importanti aziende italiane tra i clienti, come Tim, a quanto risulta dal sito ufficiale (la pagina dei clienti è stata rimossa, ma internet archive ne ha fatto copia).
Il comunicato, sobrio e diretto peraltro, avverte che sono state avviate tutte le attività di supporto e contatto con i soggetti nazionali preposti a gestire le funzioni ed i servizi essenziali dello Stato. Ovvero quelli inclusi nel Perimetro di Sicurezza Nazionale Cibernetica, tutte le infrastrutture critiche e gli stessi operatori di servizi essenziali come previsti dalla Direttiva Europea NIS – Network Information System.
La notizia è importante di per sé poiché dimostra da una parte come il nostro paese si stia già avviando verso quel processo di sincronizzazione e intervento in real time verso incidenti informatici che era proprio nello spirito del CSIRT, Computer Security Incident Response Team, per salvaguardare la nostra Nazione dagli incidenti di tipo cibernetico.
Lo Csirt, proprio attraverso il Nucleo per la Sicurezza Cibernetica, sta agendo anche in questo caso in continuo contatto con “CyCLONe” (Cyber Crisis Liaison Organisation Network), la rete creata pe rispondere in maniera tempestiva ed efficace ad ogni tipologia di attacco informatico che dovesse colpire o coinvolgere uno qualsiasi dei paesi membri UE.
Quindi CSIRT e la Cyber Crisis Liaison Organisation Network per garantire una risposta seria e concreta a questo cyber attacco.
L’impegno delle aziende
La seconda azione è quella che il nostro DIS raccomanda alle aziende di alzare il livello di attenzione e dimostrare in maniera inequivocabile l’impegno e la trasmissione degli eventuali problemi riscontrati allo stesso organismo di controllo degli incidenti cibernetici, appunto il CSIRT.
Le stesse aziende, in un’azione tipica di responsabilità sociale e collegamento che si deve attuare proprio nello spirito di una collaborazione collegiale, devono impegnarsi partendo proprio da quelle faq sopra descritte e mettendo in atto la cosiddetta reverse engineering. Infatti se gli hacker hanno generato una backdoor nella piattaforma SolarWinds, tale backdoor rilascia un aggiornamento che oltre a selezionare le vittime, esegue comandi nel sistema della stessa vittima, rilasciando uno o più codici malevoli che permettono di spiare mail e bloccare servizi verso l’esterno.
L’impegno delle aziende deve essere quello di collaborare e nel caso attivare la procedura secondo cui gli esperti informatici del nucleo della sicurezza cibernetica nel nostro paese lavorino assieme con gli esperti informatici delle aziende e soprattutto con esperti di Crisis Management e Business Continuity nel caso di incidenti rilevati. Questo aspetto diventa cruciale nella verticalizzazione non solo delle attività di entrambi i settori coinvolti, ma anche un elemento di collaborazione tra Stato e aziende.
In tal senso le aziende dovrebbero sempre più leggere attentamente il Global Risks Report del 2020 del World Economic Forum. Questo report “classifica i cyber attacchi come il secondo rischio di maggiore preoccupazione per le imprese nel prossimo decennio. Lo scenario che abbiamo di fronte non è incoraggiante: gli strumenti e le tecniche di attacco diventano sempre più sofisticati e la frequenza dei cyber attacchi sempre più alta”.
In tal senso bisognerà partire dalla cultura del penetration tester. Ovvero scenari simulati per individuare i bug sulla sicurezza, in ogni applicazione e reti che riportano all’azienda stessa.
Cosa si sta facendo insieme, pubblico e privato
Questa collaborazione, anche in queste ore, sta individuando il codice malevolo e ciò permetterebbe agli esperti di capire da dove è nato il processo di produzione di quel software e ricavarne il codice sorgente per ricostruire l’architettura del programma.
Ovvero capire la struttura interna, il suo funzionamento ed eliminare eventuali danni.
Il processo si divide in tre parti: recupero del codice sorgente del software, comprensione delle regole di un protocollo di comunicazione e reazione di un metodo e modello. Lo scopo è ottimizzare il software, capirne gli “spifferi” che lo hanno modificato e correggerne gli errori di funzionamento, sviluppare, modificare e recuperare i file cancellati e proteggere in altro modo server, pc e traffico dati.
Per fare questo, non sapendo dove si è stati attaccati, bisogna utilizzare uno sniffer per capire il protocollo di comunicazione utilizzato. Lo sniffer farà l’analisi del traffico di dati mettendoli in correlazione di anomalie nello storico della trasmissione stessa di dati avvenuti in passato nei propri server.
La valutazione finale sarà capire quali protocolli e metodi di comunicazione saranno utilizzati per bloccarli in futuro. Questo per rispondere attivamente alle tutela dei sistemi informativi, rendendo la data protection un elemento dell’information security e della privacy stessa.
