La gestione della superficie di attacco (ASM) è la scoperta, la valutazione e la mitigazione delle minacce all'ecosistema IT di un'organizzazione.
Sommario
La gestione della superficie di attacco (ASM) è un approccio alla cybersecurity che mira ad aiutare le organizzazioni a diventare più forti nella difesa dei propri dati e sistemi rendendo le minacce più visibili. Si tratta di sapere dove esistono i rischi, comprenderne la gravità relativa e agire per colmare le lacune di sicurezza relative a persone, processi e tecnologia.
ASM è un approccio tradizionale alla cybersecurity che include il rilevamento e il monitoraggio delle risorse. Considera le potenziali minacce come le considererebbe un aggressore: come opportunità per violare le difese di un'organizzazione e infliggere danni finanziari, operativi o di reputazione.
Per comprendere la gestione della superficie di attacco (ASM), è prima necessario sapere cosa si intende per superficie di attacco.
Qual è la superficie di attacco?
- La superficie di attacco digitale è costituita da tutto l'hardware, il software e i dati a cui è possibile accedere esternamente, anche se protetti da crittografia, protocolli di autenticazione, firewall o altre misure.
- La superficie di attacco fisica è costituita da tutte le apparecchiature fisiche e i dispositivi che possono essere rubati o con cui si può interagire fisicamente per causare una compromissione o una violazione.
- La superficie di attacco sociale o umano si riferisce a tutte le persone in un'organizzazione con accesso a sistemi e dati che potrebbero essere ingannati, ricattati o altrimenti manipolati (ad esempio, da uno schema di ingegneria sociale come il phishing) per causare una compromissione o una violazione.
Contro cosa protegge l'ASM?
L'ASM aiuta le organizzazioni a difendersi da un'ampia gamma di minacce, conosciute anche come "vettori di attacco". Questi includono, ma non sono limitati a:
Attacchi informatici
Ransomware, virus e altri malware possono essere iniettati nei sistemi aziendali, consentendo agli attaccanti di accedere alle reti e alle risorse, esfiltrare dati, dirottare dispositivi e danneggiare asset e dati.
Problemi di codifica e configurazioni errate
Le configurazioni errate delle tecnologie di rete e cloud come porte, punti di accesso, protocolli, ecc., lasciano "porte" aperte agli attaccanti e sono una causa comune di violazioni.
Schemi di phishing
Questi includono email fraudolente, messaggi di testo, messaggi vocali (e persino, oggi, con deepfake generati dall'IA, chiamate video) che ingannano gli utenti e li spingono a compiere azioni che compromettono la cybersecurity. Questo può includere la condivisione di informazioni sensibili, il clic su link che portano a malware, il rilascio di fondi che non dovrebbero essere pagati e altro ancora. L'IA ha reso il phishing più difficile da rilevare e più mirato.
Password deboli e crittografia
Le password facili da indovinare - sia perché sono ovvie, troppo semplici, o riutilizzate per più account - possono dare agli attori malintenzionati l'accesso alle risorse digitali di un'organizzazione. Le credenziali rubate sono anche molto richieste tra i cybercriminali per ragioni simili. La crittografia è pensata per nascondere le informazioni in modo che solo le persone autorizzate possano leggerle. Se non è abbastanza forte, gli hacker possono estrarre dati che possono poi usare per lanciare attacchi su larga scala.
Shadow IT
Gli strumenti utilizzati dai dipendenti di un'organizzazione che non fanno parte dell'ambiente IT conosciuto o approvato sono considerati "shadow IT" e possono creare vulnerabilità proprio perché il team di cybersecurity non ne è a conoscenza. Questi includono app, dispositivi di archiviazione portatili, telefoni e tablet personali e altro.
Come funziona l'ASM?
L'ASM prevede tre fasi principali: scoperta, valutazione e mitigazione. Poiché la superficie di attacco è in continua evoluzione, tutte e tre devono essere eseguite in modo continuo.
Scoperta
La fase di rilevamento definisce la superficie di attacco e tutte le risorse che la compongono. L'obiettivo del rilevamento è identificare tutti i dispositivi, software, sistemi e punti di accesso noti e sconosciuti che costituiscono la superficie di attacco, anche le app shadow IT, le tecnologie di terze parti connesse e le tecnologie che non sono state incluse negli inventari precedenti. Mentre molte soluzioni offrono la scoperta come parte della loro soluzione ASM, è necessario essere perspicaci: cercare una soluzione che integri la conformità e la quantificazione del rischio informatico per garantire di ottenere un quadro completo del rischio al di là del rilevamento delle risorse per mostrare la vera esposizione. Un processo di rilevamento continuo aiuta a rivelare come la superficie di attacco potrebbe cambiare nel tempo.
Valutazione
Dopo la scoperta, i team di sicurezza valutano ogni risorsa alla ricerca di potenziali vulnerabilità, da configurazioni errate ed errori di codifica a fattori sociali/umani come la suscettibilità a schemi di phishing o attacchi Business Email Compromise (BEC). Ogni rischio viene valutato, consentendo ai team di sicurezza di dare priorità a quelli che devono essere affrontati con maggiore urgenza.
La valutazione del rischio si basa generalmente sul livello di rischio, sulla probabilità di attacco, sui potenziali danni e sulla difficoltà di correzione. Idealmente, rappresenterà anche le informazioni sulle minacce globali su quali vulnerabilità vengono sfruttate più spesso e più facilmente.
Esempio: se un software dà accesso a dati sensibili, è connesso a Internet e ha una vulnerabilità nota che è già stata sfruttata dagli aggressori del mondo reale, l’applicazione delle patch sarà probabilmente una priorità assoluta.
Una volta valutati tutti i rischi, il totale viene calcolato per fornire un punteggio complessivo di rischio aziendale. Ciò consente all'organizzazione di confrontare e monitorare il proprio profilo di rischio nel tempo.
Mitigazione
Mitigare significa agire per affrontare le vulnerabilità che sono state scoperte. Ciò potrebbe significare eseguire aggiornamenti software o installare patch, impostare controlli di sicurezza e hardware o implementare framework di protezione come zero trust. Potrebbe anche includere l'eliminazione di vecchi sistemi e software. In ogni caso, è fondamentale disporre della soluzione giusta per affrontare la mitigazione in modo scalabile.
Gestione della superficie di attacco vs. gestione della superficie di attacco esterna (EASM)
La gestione della superficie di attacco esterna (EASM) si concentra specificamente sulle vulnerabilità e sui rischi associati ai dispositivi e ai sistemi rivolti verso l'esterno, compresi quelli connessi a Internet. La superficie di attacco interna, che può includere apparecchiature locali e risorse partizionate, non è coperta da EASM.
Perché l'ASM è importante?
L'ASM è diventato estremamente importante perché gli ambienti IT aziendali sono più dinamici e interconnessi che mai, rendendo la superficie di attacco più ampia e diversificata. Gli approcci tradizionali di rilevamento e monitoraggio degli asset e le soluzioni “puntuali” di cybersecurity non sono in grado di fornire la visibilità, l'intelligence e la protezione complete richieste. L'ASM, invece, consente ai team di sicurezza di ridurre il numero di percorsi nell'ecosistema IT aziendale e di ottenere una visione in tempo reale delle vulnerabilità emergenti e dei vettori di attacco.
Da cosa protegge ASM?
ASM aiuta le organizzazioni a difendersi da un'ampia gamma di minacce, note anche come "vettori di attacco". Questi includono, a titolo esemplificativo ma non esaustivo:
- Cyberattack: Ransomware, virus e altri malware possono essere inseriti nei sistemi aziendali, consentendo agli aggressori di accedere a reti e risorse, esfiltrare dati, dirottare dispositivi e danneggiare risorse e dati.
- Problemi di codifica e configurazioni errate: le configurazioni errate di tecnologie di rete e cloud come porte, access point, protocolli e simili lasciano aperte le porte agli aggressori e sono una causa comune di violazioni.
- Schemi di phishing: questi includono e-mail di truffa, messaggi di testo, messaggi vocali (e oggi, con deepfake generati dall'intelligenza artificiale, persino videochiamate) che ingannano gli utenti e li spingono a intraprendere azioni che compromettono la cybersecurity. Potrebbe trattarsi di condividere informazioni sensibili, cliccare su link che portano a malware, rilasciare fondi che non dovrebbero essere versati e altro ancora. L'IA ha contribuito a rendere il phishing più difficile da rilevare e più mirato.
- Tecnologie e applicazioni obsolete: i software, il firmware e i sistemi operativi dei dispositivi devono essere codificati correttamente e protetti da vulnerabilità e minacce note, altrimenti possono fornire agli aggressori un modo per violare un'organizzazione. Anche i vecchi dispositivi che fanno ancora parte dell'ambiente IT ma non vengono manutenuti o utilizzati attivamente possono fornire comodi punti di accesso agli aggressori, poiché spesso non vengono monitorati.
- Password e crittografia deboli: le password facili da indovinare, perché sono ovvie, troppo semplici o riutilizzate per più account, possono dare accesso ai malintenzionati alle risorse digitali di un'organizzazione. Anche le credenziali rubate sono molto ambite dai cyber criminali per motivi simili. La crittografia ha lo scopo di mascherare le informazioni in modo che solo le persone autorizzate possano leggerle. Se non è abbastanza forte, gli hacker possono estrarre i dati che possono utilizzare per lanciare attacchi su larga scala.
- Shadow IT: gli strumenti utilizzati dai dipendenti di un'organizzazione che non fanno parte dell'ambiente IT noto o autorizzato sono considerati "shadow IT" e possono creare vulnerabilità proprio perché il team di cybersecurity non ne è a conoscenza. Questi includono app, dispositivi di archiviazione portatili, telefoni e tablet personali e simili.
Tipi di Attack Surface Management
La gestione della superficie di attacco (ASM) si divide in diversi tipi che coprono diversi aspetti dell'ambiente digitale di un'organizzazione. Questi includono l'ASM esterna, l'ASM interna, l'ASM degli asset cyber e l'ASM open source. Ogni tipo svolge un ruolo cruciale nella sorveglianza e mitigazione dei rischi, offrendo alle organizzazioni un approccio completo per proteggere i propri asset digitali.
Gestione della Superficie di Attacco Esterna
L'ASM esterna si concentra sugli asset aziendali interni esposti a Internet pubblico, come applicazioni web, risorse basate su cloud, indirizzi IP e nomi di dominio che potrebbero essere sfruttati dagli attaccanti. Questi servizi accessibili a Internet pubblico sono spesso mirati dagli attaccanti che cercano di sfruttare vulnerabilità o configurazioni errate.
Gestione della Superficie di Attacco Interna
L'ASM interna affronta i rischi all'interno della rete privata di un'organizzazione, inclusi dispositivi, applicazioni e sistemi che non sono accessibili pubblicamente ma potrebbero essere sfruttati se gli attaccanti ottengono l'accesso. È particolarmente rilevante per combattere le minacce persistenti avanzate (APT) e le minacce interne, che spesso coinvolgono movimenti laterali e escalation dei privilegi all'interno della rete. I sistemi legacy o i server interni mal protetti possono fungere da vulnerabilità che gli attaccanti sfruttano una volta all'interno della rete.
Gestione della Superficie di Attacco degli Asset Cyber
L'ASM degli asset cyber si concentra sulla gestione e la sicurezza degli asset individuali all'interno di un'organizzazione, inclusi endpoint, account utente, istanze cloud e dispositivi mobili. Ciò è particolarmente critico negli ambienti di lavoro ibridi di oggi, dove gli asset sono distribuiti tra infrastrutture locali e basate su cloud. Le organizzazioni che operano in ambienti multi-cloud spesso hanno asset diversificati, come container, macchine virtuali e API.
Gestione della Superficie di Attacco Open Source
L'ASM open source si concentra sulla gestione dei rischi associati alle tecnologie open source e alle informazioni pubblicamente accessibili. Sebbene il software open source sia ampiamente utilizzato, introduce vulnerabilità a causa della sua trasparenza e della dipendenza dai contributi della comunità. Inoltre, gli attaccanti spesso sfruttano i dati esposti come credenziali trapelate, chiavi API o file di configurazione sensibili trovati in repository aperti come Github.
Gestione della superficie di attacco vs gestione del rischio informatico
La gestione della superficie di attacco (ASM) è un elemento essenziale della gestione del rischio informatico e, insieme, aiutano le organizzazioni a migliorare la loro consapevolezza in materia di cybersecurity, identificando, dando priorità e mitigando in modo proattivo le minacce.
La gestione del rischio informatico è un approccio globale alla cybersecurity che va oltre l'ASM, concentrandosi sulla conoscenza e sulla mitigazione dei rischi in tutta l'azienda. Un buon framework di gestione del rischio informatico aiuta a determinare quali sono i rischi più rilevanti, supportando un "processo decisionale basato sul rischio" per ridurre l'esposizione complessiva alle minacce. Ciò consente ai team di sicurezza di rafforzare le difese, ridurre al minimo le vulnerabilità e informare i processi di gestione del rischio e di pianificazione strategica delle organizzazioni.
Quali sono i vantaggi dell'ASM?
Una buona gestione della superficie di attacco offre un'ampia gamma di vantaggi per le organizzazioni, a partire dal rafforzamento dello stato di sicurezza complessivo, offrendo maggiore visibilità dell'intero ambiente IT e della superficie di attacco. Ciò a sua volta aiuta a ridurre il rischio, supportato da monitoraggio e rivalutazione continui per mantenere bassi i livelli di rischio.
Questo garantisce la tranquillità del team di sicurezza e offre vantaggi significativi all'azienda nel suo complesso. La visibilità della superficie di attacco consente una maggiore trasparenza e controllo sulle risorse, riducendo il rischio di attacchi informatici e aumentando i risparmi in termini economici. Quando i team di sicurezza sono in grado di agire in modo più rapido ed efficace, le organizzazioni possono essere meglio posizionate per garantire la continuità aziendale. Perché quando gli attacchi vengono identificati e mitigati prima, c'è meno rischio di interruzioni significative.
Come possiamo implementare l'ASM?
ASM richiede una soluzione di gestione dell'esposizione al rischio informatico integrata con una piattaforma di cybersecurity che adotti un approccio proattivo per eseguire le fasi di scoperta, valutazione e mitigazione.
La scelta di una piattaforma con solide funzionalità operative di sicurezza come la gestione delle informazioni di sicurezza e degli eventi (SIEM), il rilevamento e la risposta degli endpoint (EDR) e il rilevamento e la risposta estesi (XDR) è particolarmente importante. XDR in particolare fornisce dati e analisi essenziali sulle prestazioni delle attuali protezioni della superficie di attacco. Queste informazioni aiutano a rendere la fase di valutazione del rischio più accurata.
ASM e conformità
L’ASM svolge un ruolo importante nel soddisfare i requisiti normativi e di conformità, andando oltre il semplice rafforzamento delle difese di cybersicurezza. I framework come il NIST Cybersecurity Framework, la ISO/IEC 27001, il GDPR, l’HIPAA e il PCI DSS sottolineano tutti l’importanza della visibilità degli asset, della gestione delle vulnerabilità e del monitoraggio continuo delle funzioni essenziali rese possibili dall’ASM. Identificando gli asset esposti e correggendo le potenziali vulnerabilità, l’ASM aiuta le organizzazioni a mantenere la conformità ai controlli principali, ridurre i tempi di preparazione agli audit ed evitare costose sanzioni per non conformità.
Per le aziende che operano in settori regolamentati, l’ASM non è solo un potenziamento della sicurezza, ma un abilitatore di compliance che supporta la resilienza operativa e la responsabilità legale.
Dove posso trovare aiuto per la gestione della superficie di attacco?
La gestione della superficie di attacco non è sufficiente nell'odierno ed esigente panorama del rischio. Le organizzazioni richiedono funzionalità di gestione dell'esposizione al rischio informatico per prevedere, scoprire, valutare e mitigare in modo proattivo i rischi, al fine di ridurre significativamente l'impatto del rischio informatico.
Trend Vision One™ offre una soluzione di Cyber Risk Exposure Management (CREM) che adotta un approccio rivoluzionario combinando funzionalità chiave come External Attack Surface Management (EASM), Cyber Asset Attack Surface Management (CAASM), Vulnerability Management e Security Posture Management attraverso cloud, dati, identità, API, lA, conformità e applicazioni SaaS in un'unica soluzione potente e di facile utilizzo.
Scopri di più su come Cyber Risk Exposure Management può aiutarti nella gestione della superficie di attacco e oltre.
Domande frequenti (FAQ)
Cos’è la gestione della superficie di attacco?
È il processo di identificazione, monitoraggio e riduzione dei punti vulnerabili sfruttabili dagli hacker nei sistemi digitali.
Qual è la differenza tra ASM ed EASM?
ASM include risorse interne ed esterne, mentre EASM si concentra su sistemi esposti alle minacce Internet.
Cos’è il framework di gestione della superficie di attacco?
Comprende rilevamento risorse, valutazione rischi, monitoraggio continuo, correzione vulnerabilità e report per sicurezza informatica.
Cos’è il monitoraggio della superficie di attacco?
Monitoraggio continuo degli asset esposti, rilevamento vulnerabilità e avvisi per prevenire sfruttamento da parte di cybercriminali.
Quali sono i requisiti per la gestione della superficie di attacco?
Requisiti: inventario risorse, scansioni automatiche, gestione vulnerabilità, monitoraggio in tempo reale e conformità normativa.
Qual è un esempio di superficie di attacco?
- Esempi: applicazioni web, API, servizi cloud, dispositivi IoT e endpoint di rete vulnerabili.