SolarWinds, i rischi dell’infiltrazione digitale nella supply chain. Ecco quattro modi per difendersi

L’attacco Orion SolarWinds ha catapultato le vulnerabilità della supply chain sotto i riflettori, in particolare quelle che coinvolgono le applicazioni software di terze parti e i componenti hardware che compongono gran parte degli odierni ambienti IT aziendali.

L’attacco, che ad oggi ha potenzialmente colpito più di 18.000 aziende, deriva da una compromissione del software Orion di SolarWinds, fornitore di soluzioni per la gestione di reti di terze parti. Facendo leva proprio sui mezzi con cui le organizzazioni si proteggono da potenziali minacce, l’aggressore ha distribuito un codice sorgente malevolo all’’interno di un aggiornamento del software Orion. Questa operazione gli ha consentito di entrare nelle infrastrutture delle vittime, rubare e abusare di identità e credenziali legittime, aumentare i privilegi e muoversi lateralmente e verticalmente per accedere a beni preziosi – per poi mantenere un accesso persistente utilizzando la tecnica Golden SAML, mai vista prima d’ora.

L’evoluzione degli attacchi alla catena di approvvigionamento

Mentre la compromissione di SolarWinds è, sotto svariati punti di vista, senza precedenti, gli attacchi alla supply chain sono tutt’altro che nuovi. Gli attaccanti hanno a lungo preso di mira i fornitori attraverso le catene di approvvigionamento sia digitali che fisiche tentando di sfruttarli come backdoor per accedere alle reti di aziende ed enti governativi.

Secondo Bloomberg, la Cybersecurity and Infrastructure Security Agency (CISA) ha riferito nel 2019 che le agenzie federali hanno affrontato circa 180 diverse minacce alla sola catena di approvvigionamento digitale. E negli ultimi mesi, il mondo ha visto un’impennata di attacchi alla supply chain che mirano alle aziende sanitarie coinvolte nello sviluppo e nella consegna del vaccino COVID-19. L’attacco SolarWinds ci dimostra quanto i cybercriminali siano diventati capaci di attacchi mirati complessi.

Un approccio zero trust che non ostacolerà le attività della supply chain

Lavorare con numerosi fornitori è un aspetto inevitabile del business, ma crea anche punti ciechi di sicurezza che possono diventare pericolosi. Per proteggersi, molte aziende stanno abbracciando modelli Zero Trust – in cui non si fidano di nulla e verificano tutto. Ma man mano che gli ecosistemi dei fornitori crescono in dimensioni e complessità, una strategia di questo tipo lungo la catena di fornitura può inibire rapidamente le operazioni e rallentare l’innovazione. Una strategia di sicurezza di successo deve essere realistica e sostenibile.

Shay Nahari, Head of CyberArk Red Team Services, delinea i passi che le aziende possono intraprendere per ridurre significativamente l’impatto di un potenziale attacco alla supply chain in questo articolo di Dark Reading. Ecco quattro dei punti indicati:

1. Proteggere gli accessi privilegiati. Le sempre più diffuse migrazioni cloud e l’adozione di tecnologie digitali di trasformazione, fanno sì che account privilegiati e credenziali rappresentino una delle maggiori superfici di attacco per le organizzazioni odierne. Identificare e gestire l’accesso privilegiato è fondamentale per interrompere la catena di attacco – indipendentemente dal fatto che l’aggressore si sia infiltrato nell’ambiente attraverso la catena di fornitura o con altri mezzi – e massimizzare la mitigazione del rischio.
2. Abbracciare un approccio defense-in-depth. Non c’è una panacea per la sicurezza informatica, e nessun fornitore o strumento può prevenire completamente un attacco. Una mentalità che assume che la violazione possa essere già avvenuta presuppone più livelli di sicurezza, come il rilevamento e la risposta dell’endpoint, antivirus di prossima generazione, gestione degli accessi privilegiati e patch delle applicazioni e del sistema operativo. Ma ricordate, la cybersicurezza è un viaggio, e non deve accadere tutto in una volta. Un buon punto di partenza è quello di adottare un approccio basato sul rischio, investendo prima nei controlli di sicurezza che riducono il maggior numero di rischi (e di maggiore importanza possibile).
3. Applicare costantemente il principio di Least Privilege ovunque. Anche se le violazioni sono inevitabili, le organizzazioni possono prendere provvedimenti per limitare il raggio d’azione di un attacco eliminando i privilegi e i permessi non necessari in base al principio del minimo privilegio. L’adozione diffusa dei servizi cloud pubblici e delle applicazioni SaaS ha accelerato la necessità di controlli del minimo privilegio negli ambienti cloud. Infatti, un recente sondaggio ESG ha classificato i privilegi eccessivamente permissivi come il vettore di attacco più comune contro le applicazioni cloud. Una forte applicazione del minimo privilegio può aiutare a impedire che tutte le identità, sia in sede che nel cloud, raggiungano obiettivi sensibili.
4. Monitorare il furto di credenziali privilegiate. Come dimostra l’attacco SolarWinds, gli attaccanti fanno di tutto per nascondere la loro attività ed evitare il rilevamento, e può essere estremamente difficile individuare un’infiltrazione nella catena di approvvigionamento. Monitorando le sessioni privilegiate, le aziende possono individuare più facilmente comportamenti sospetti e modelli indicativi del furto di credenziali e capire meglio quali risorse critiche sono state prese di mira – consentendo una risposta più rapida e decisiva per proteggere l’organizzazione.

La supply chain rappresenta un vettore critico di attacco, tuttavia, con una mentalità “assume breach” e proteggendo l’accesso ai dati e ai sistemi sensibili, le imprese possono rendere molto più difficile per gli aggressori raggiungere i loro obiettivi.

Massimo Carlotti

Presales Team Leader di CyberArk