“La sicurezza è un processo, non un prodotto. I prodotti offrono una certa protezione, ma l’unico modo per fare business in modo efficace in un mondo insicuro è mettere in atto processi che riconoscano l’insicurezza intrinseca nei prodotti.”

Questa citazione, tratta dal saggio di Bruce Schneier intitolato “Il Processo della Sicurezza” scritto nel 2000, riassume perfettamente gli obbiettivi e la missione della Sicurezza del Prodotto:

• I prodotti non possono essere considerati sicuri al 100% per definizione.
• Non possiamo affidarci ciecamente a loro senza una corretta analisi del rischio. Ecco perché la loro maturità di sicurezza intrinseca deve essere costantemente verificata e corretta per minimizzare i rischi di minacce.
• Per minimizzare tali rischi di minacce/vulnerabilità, è cruciale implementare la sicurezza in ogni fase del Ciclo di Vita del prodotto.

Nei paragrafi seguenti indagheremo più in dettaglio diversi aspetti della Sicurezza del Prodotto (i.e. ProdSec).

Partendo dalle definizioni formali di: Minaccia, Rischio & Vulnerabilità, approfondiremo le definizioni di SDLC Sicuro (Secure Software Development Life Cycle), SecDevOps, Threat Modeling e come adottarli e implementarli per migliorare i processi di R&S di un’azienda e la relativa postura di sicurezza. Infine, analizzeremo un case-study dal punto di vista di un fornitore di telecomunicazioni, e un case-study relativo a un tool di sicurezza (i.e. Zsniffer) sviluppato in-house per sopperire alle lacune delle controparti commerciali esistenti.

Stato dell’Arte della Sicurezza del Prodotto

Stiamo entrando in una nuova era in cui realtà e mondo digitale coesistono fianco a fianco, alimentati da progressi tecnologici come ICT, 5G, AI, Cloud, Machine Learning, etc. In questa rivoluzione digitale, la cybersecurity emerge come un attore altrettanto importante.

Dall’ultimo rapporto del World Economic Forum [1] emerge come la superficie di minaccia (i.e. Threat Surface) stia aumentando a livello globale. Tale analisi, illustra l’espansione del panorama della cybersecurity in tutte le sue sfaccettature e individua l’infrastruttura delle telecomunicazioni come fondamenta del mondo digitale, enfatizzando il suo ruolo critico nel garantire una postura corretta di sicurezza.

Lo stato dell’arte nella sicurezza del prodotto all’interno dell’industria delle telecomunicazioni è caratterizzato da un panorama in rapida evoluzione dove la sicurezza sta diventando una parte integrante del ciclo di vita del prodotto, guidata dalla crescente complessità delle minacce e dai rigorosi requisiti normativi (i.e. 5G Toolbox, PSNC, NIS2, etc.).

Le aziende di telecomunicazioni stanno integrando misure di sicurezza avanzate come la crittografia end-to-end, audit di sicurezza regolari e threat intelligence in tempo reale nei loro prodotti e infrastrutture.

L’adozione di pratiche di SDLC Sicuro, il dispiegamento di strumenti di sicurezza automatizzati nelle pipeline CI/CD e l’implementazione di strategie robuste di risposta agli incidenti stanno diventando uno standard.

Con l’ascesa della tecnologia 5G e dei dispositivi IoT, c’è un significativo focus sul potenziamento della sicurezza delle reti e dei dispositivi contro minacce informatiche sofisticate, garantendo l’integrità e la disponibilità dei servizi di comunicazione.

Vulnerabilità vs Minaccia vs Rischio

Nel campo della cybersecurity, è fondamentale distinguere tra rischio, vulnerabilità e minaccia, ognuno dei quali rappresenta un elemento critico nel panorama della sicurezza e della gestione del rischio.

L’immagine sopra è utile per comprendere al meglio questi tre concetti:

• La porta aperta simboleggia una Vulnerabilità: una debolezza o una lacuna (ad esempio, un punto di ingresso non sicuro nel sistema) che potrebbe essere sfruttata da un attore malevolo (i.e. Threat Actor).
• L’orso all’esterno rappresenta una Minaccia: un attore esterno che può sfruttare tale vulnerabilità, con il potenziale per causare danni o interruzioni di servizio.
• Il Rischio è la probabilità e l’impatto potenziale che l’orso (Minaccia) effettivamente passi attraverso la porta aperta (Vulnerabilità) e causi il caos. Esso considera la probabilità che la minaccia sfrutti quella determinata vulnerabilità e i danni conseguenti che potrebbero derivarne.

I professionisti della cybersecurity, quali CISO, Security Manager e team di Sicurezza dei Prodotti, lavorano diligentemente per identificare e chiudere le “porte aperte”, valutare la capacità e l’intento di potenziali “orsi” e implementare misure per ridurre il rischio complessivo a un livello accettabile, garantendo che venga rispettato il paradigma CIA (Confidentiality, Integrity & Availability), pilastro portante della sicurezza.

Zero-Day Vs n-Day e Patching Management

Dopo aver chiarito cosa si intende per vulnerabilità, approfondiamo ora le due tipologie in cui queste si suddividono e la differenza tra di loro:

– Vulnerabilità 0-day (Zero-Day): questo termine si riferisce a una falla di sicurezza che è sconosciuta sia ai produttori di software sia agli utenti. Dal momento che il produttore ha avuto “zero giorni” per affrontare la vulnerabilità, essa può essere sfruttata dagli aggressori prima che il produttore ne sia a conoscenza e possa correggerla. Gli aggressori sfruttano tipicamente le 0-day sviluppando o acquistando un malware creato per colpire la vulnerabilità specifica, il che spesso porta ad attacchi avanzati e mirati. Questa tipologia di vulnerabilità è molto preziosa per i threat actor in quanto non esiste una difesa nota contro di esse nel momento in cui vengono sfruttate. Al contempo però cercare di usare questa tipologia risulta sicuramente più dispendioso.

– Vulnerabilità n-Day: rappresentano vulnerabilità che al contrario sono già state divulgate pubblicamente e possono essere note sia al produttore che al pubblico, ma che per vari motivi non sono state ancora corrette dagli utenti. La “n” indica il numero di giorni da quando la vulnerabilità è stata resa pubblica. Le vulnerabilità n-day vengono comunemente sfruttate utilizzando metodi e strumenti noti disponibili nella comunità hacker, poiché i dettagli di queste vulnerabilità sono di solito di pubblico dominio.

Risulta dunque, evidente che una gestione adeguata delle Patch di sicurezza (i.e. Vulnerability Patch Management) è essenziale per le aziende al fine di mitigare i rischi associati alle vulnerabilità.

Implementando tempestivamente le patch, le aziende possono eliminare la finestra di opportunità che permette agli aggressori di sfruttare queste vulnerabilità.

Il dispiegamento tempestivo delle patch è dunque cruciale per proteggersi da violazioni di dati, attacchi ransomware e altri incidenti di sicurezza che possono derivare da vulnerabilità non mitigate. Una loro gestione efficace non solo protegge le reti aziendali, ma preserva anche la fiducia dei clienti e rispetta i requisiti normativi riguardanti la cybersecurity.

In sostanza, comprendere la differenza tra vulnerabilità 0-day e n-day è fondamentale non solo per i professionisti della cybersecurity, ma per tutti i soggetti coinvolti nello sviluppo dei prodotti, in quanto permette alle organizzazioni di modellare le strategie difensive da adottare per salvaguardare i loro asset digitali.

CISO (Assets Security) Vs CPSO (Products Security)

Nell’immagine sopra si può osservare il confronto tra i ruoli del Chief Information Security Officer (CISO) e del Chief Product Security Officer (CPSO), ognuno con responsabilità distinte. Il CISO è tipicamente quel dirigente responsabile per la strategia di sicurezza complessiva di un’organizzazione. Questo ruolo comprende la protezione sia degli asset fisici che digitali, inclusa l’integrità dei dati aziendali e dell’infrastruttura di rete. Esso è incaricato della gestione del rischio, dell’implementazione di politiche e procedure di sicurezza e della conformità agli standard e alle normative del settore.

Al contrario, il ruolo del CPSO, spesso presente nelle aziende degli Stati Uniti, è focalizzato sulla sicurezza dei prodotti. Esso assicura che gli aspetti di sicurezza dei prodotti rispettino standard e requisiti rigorosi.

Con l’evolversi del panorama della cybersecurity, l’aumento della connettività e della complessità dei prodotti, il ruolo del CPSO dovrebbe assumere sempre più importanza all’interno delle aziende produttrici. Questo perché la sicurezza del prodotto non riguarda solo la salvaguardia degli asset informativi, ma anche l’assicurazione dell’integrità dei prodotti stessi.

Rendendo il CPSO una posizione standard all’interno del consiglio di amministrazione dell’azienda, i produttori possono meglio garantire che i loro prodotti siano progettati e costruiti avendo la sicurezza come elemento fondamentale e non come un optional o requisito postumo.

A mio avviso, questo cambiamento è vitale per mantenere la fiducia dei clienti e soddisfare le esigenze di un’industria (tra le altre, le Infrastrutture Nazionali Critiche, come quella delle Telecomunicazioni) dove la sicurezza è una componente intrinseca dell’affidabilità del prodotto.

SDLC Vs Secure SDLC

Il classico SDLC (Software Development Life Cycle) è un framework che definisce il processo per creare software tradizionalmente focalizzato sulle fasi di raccolta dei requisiti, progettazione, sviluppo, test e dispiegamento. Ogni fase segue l’altra in una sequenza lineare o iterativa, dove l’obiettivo principale è la creazione di un software funzionale entro i vincoli di tempo e budget dettati dal mercato.

Il Secure SDLC è un approccio sistematico per sviluppare un software sicuro che integri la sicurezza in ogni fase del processo di sviluppo. Come illustrato nell’immagine qui sopra, esso inizia con la valutazione del rischio (Risk Assessment), la modellazione delle minacce (i.e. Threat Modeling) e la revisione della progettazione sicura (i.e. Security Architecture Review) per anticipare e mitigare potenziali problemi di sicurezza durante la fase di progettazione, l’analisi statica (SAST) durante lo sviluppo per individuare precocemente le vulnerabilità, i test di sicurezza e la revisione del codice per verificare le misure di sicurezza, e la valutazione della sicurezza e la configurazione sicura durante il dispiegamento per garantire la resilienza del software contro gli attacchi.

I benefici nell’addottare il Secure SDLC sono molteplici:

• Riduzione delle Vulnerabilità: affrontando la sicurezza dalle fasi iniziali, i produttori possono ridurre significativamente il numero e la gravità delle vulnerabilità nei loro prodotti consegnati ai clienti B2B e/o eventualmente agli utenti finali.
• Efficienza dei Costi: È risaputo che è più economico affrontare i problemi di sicurezza durante il processo di sviluppo piuttosto che dopo la messa-in-campo, poichè richiederebbe sforzi maggiori, più complessi e costosi. Per non parlare dei danni eventuali legati alle violazioni dei dati dei clienti e alla reputazione dell’immagine.
• Conformità e Fiducia: I prodotti sicuri sono più propensi a rispettare gli standard normativi, il che è essenziale per mantenere la fiducia dei consumatori e proteggere la reputazione del marchio aziendale.
• Vantaggio Competitivo: I prodotti sicuri offrono un vantaggio competitivo, poiché i clienti B2B, come i fornitori di servizi Internet (ISP) e gli operatori di rete mobile (MNO), preferiscono i fornitori che offrono prodotti con robuste caratteristiche di sicurezza.
• Protezione dell’Utente Finale: In ultima analisi, le misure di sicurezza radicate nei prodotti contribuiscono alla protezione dei dati sensibili degli utenti finali, riducendo la probabilità di violazioni dei dati e migliorando la sicurezza informatica complessiva.

Per un’azienda produttrice di telecomunicazioni, implementare il Secure SDLC significa che i suoi prodotti sono progettati co il rischio di potenziali minacce, le quali, se considerate e mitigate in tempo, portano a reti di comunicazione più sicure e affidabili, che è un pilastro fondamentale nella società digitalmente connessa di oggi.

DevOps Vs SecDevOps

In generale, implementare un processo di DevSecOps non è banale. All’interno del mondo delle telecomunicazioni non è affatto più semplice. Il passaggio da DevOps a DevSecOps è impegnativo e richiede cambiamenti e adattamenti.

La chiave sta nel personalizzare le pipeline per facilitare l’automazione. Inoltre, gli strumenti di scansione commerciali, a volte, sono troppo generici per la varietà di protocolli specifici del settore delle telecomunicazioni.

Questo è il motivo per cui si verifica spesso un’ampia personalizzazione e lo sviluppo di strumenti interni.

Principali differenze tra DevOps e SecDevOps

Con DevOps si intende l’insieme di pratiche che combina lo sviluppo software (Dev) e le operazioni IT (Ops) mirando a ridurre il ciclo di vita dello sviluppo.

DevOps enfatizza la collaborazione, l’automazione e l’integrazione tra sviluppatori e personale IT per migliorare la velocità e la qualità della consegna del software.

SecDevOps integra pratiche di sicurezza all’interno del processo DevOps. La principale differenza che si riscontra tra i due è il focus esplicito sulla sicurezza. Mentre DevOps potrebbe incorporare misure di sicurezza, SecDevOps garantisce che la sicurezza sia una priorità in ogni fase del processo di sviluppo e messa-in-campo. Esso comporta l’aggiunta di controlli di sicurezza nella pianificazione, codifica, pre-dispiegamento e anche dopo il dispiegamento, rendendo la sicurezza una responsabilità condivisa dei team di sviluppo, di operazioni e di sicurezza.

Questo approccio mira a individuare e affrontare le vulnerabilità in modo più proattivo, piuttosto che trattare la sicurezza come un passaggio finale o un processo separato che avviene dopo che sviluppo e operazioni hanno fatto la loro parte.

Implementazione di SecDevOps per lo Sviluppo del Prodotto

Implementare correttamente SecDevOps in un’azienda che crea prodotti richiede un cambiamento culturale per cui la sicurezza viene integrata nel modo di pensare e nelle responsabilità di ogni membro del team coinvolto nel ciclo di vita dello sviluppo del prodotto.

Ecco una breve panoramica su come un’azienda può implementare SecDevOps:

• Security-As-Code: La sicurezza dovrebbe essere integrata nel codice sorgente fin dall’inizio. Ciò implica l’utilizzo di strumenti di test di sicurezza delle applicazioni statiche (SAST) e dinamiche (DAST), all’interno della CD/CI pipeline, per scansionare automaticamente le vulnerabilità nel codice e negli ambienti di runtime.
• Test Precoce e Continuo: I test di sicurezza dovrebbero avvenire fin dalla fase iniziale e ripetuti periodicamente. I test automatizzati dovrebbero far parte del normale processo di build e dispiegamento per garantire un feedback immediato su nuovi problemi di sicurezza.
• Educazione e Formazione: Sviluppatori, personale delle operazioni e team di sicurezza dovrebbero ricevere una formazione regolare sulle migliori pratiche di sicurezza attualmente presenti ed essere incoraggiati a mantenere una mentalità orientata alla sicurezza. Un modo per farlo potrebbe essere quello di adottare la cosiddetta “Rete di Security Champions”, che verrà spiegata in dettaglio in seguito.
• Collaborazione e Comunicazione: andrebbe incoraggiata la comunicazione aperta tra sviluppatori, operazioni e team di sicurezza per promuovere un ambiente collaborativo in cui la sicurezza diventa un obiettivo condiviso.
• Incident Response Planning: Bisognerebbe dotarsi di un piano di risposta agli incidenti ben definito che coinvolga tutti gli stakeholder e venga regolarmente testato e aggiornato.
• Monitoraggio e Aggiustamento: l’azienda dovrebbe monitorare continuamente il prodotto e il processo SecDevOps per nuove minacce e inefficienze, adeguando strategie e strumenti di conseguenza.

In conclusione di questa breve panoramica, dovrebbe essere chiaro al lettore che implementare SecDevOps significa considerare la sicurezza non come un ostacolo ma bensì come un facilitatore.

Incorporando la sicurezza nella cultura DevOps, le aziende assicurano che i loro prodotti siano sicuri sin dalle prime fasi di progettazione, proteggendo così gli interessi dei loro clienti.

Case Study: Il Processo HPPD (High Performance Product Development)

Per fornire un esempio pratico al lettore, possiamo guardare all’approccio di ZTE al Secure SDLC (Secure Software Development Lifecycle). Per maggiori informazioni si rimanda il lettore al nuovo ZTE Cybersecurity White Paper rilasciato a dicembre 2023.

Un processo di R&S (Ricerca & Sviluppo) integrato con la sicurezza è essenziale per fornire prodotti di alta qualità e sicuri. Nel 2001, il Security Development Lifecycle (SDL) creato da Microsoft ridusse il numero di vulnerabilità insito nei suoi software di oltre il 50%, migliorando notevolmente la sicurezza e l’efficienza e diventando il modello per lo sviluppo del software di molte aziende in tutto il mondo.

In ZTE, lo High Performance Product Development (HPPD) è un processo comunemente adottato nel campo della R&S. Dopo anni di sviluppo, l’azienda ha integrato le migliori best-practises di Application Security e incorporato misure di controllo della sicurezza in varie fasi all’interno dell’HPPD e ha formulato il suo standard tecnico per applicare il concetto di progettazione sicura, aumentandone notevolmente l’efficienza.

Il Cybersecurity Act dell’UE del 2019 afferma che la sicurezza dovrebbe essere garantita per tutta la durata dei prodotti e servizi ICT per progettazione e processi di sviluppo che evolvono costantemente. Il GSMA NESAS (Network Equipment Security Assurance Scheme) stabilisce requisiti di sicurezza per lo sviluppo del prodotto e l’intero ciclo di vita, rendendolo una best practice per integrare la sicurezza nei processi di sviluppo e nel ciclo di vita delle apparecchiature di comunicazione.

Per questo motivo, il processo HPPD-2017 ha superato l’audit GSMA NESAS e lo Schema di Certificazione di Cybersecurity BSI NESAS – Implementazione Tedesca (NESAS CCS-GI).

Strumenti Sviluppati Internamente orientati al Testing di TelcoSec: ZSniffer

In merito a quanto affermato nei paragrafi precedenti riguardo l’importanza di avere strumenti automatizzati a supporto del Secure SDLC e del processo SecDevOps, possiamo brevemente menzionare un esempio pratico: lo Zsniffer. Una piattaforma di fuzzing sviluppata internamente dai laboratori ZTE, utilizzata per testare la sicurezza e la robustezza dei sistemi software, con un focus particolare sui protocolli di rete “esotici” quali 5GNR, BLE, WIFI, NFC, etc. che lo rendono particolarmente efficiente nel rilevare vulnerabilità relative al mondo delle telecomunicazioni.

Zsniffer ha svolto un ruolo importante nel colmare le lacune dei prodotti commerciali e nel fornire risorse innovative per i test di sicurezza, in particolare dando supporto per alcuni argomenti specifici: fuzzing di Web API, protocolli wireless & wired, business logic, 5G NR e NFC.

Tips & Tricks per le PMI Italiane

Arrivati a questo punto dell’articolo, dovrebbe essere chiaro al lettore che garantire la sicurezza dei prodotti richiede sforzi erculei ed esperienza pregressa. In breve, risorse.

Queste risorse non possono essere le stesse tra diversi attori, specialmente provenienti da diverse realtà industriali. Una domanda legittima sarebbe: “Come può una Piccola-Media Impresa Italiana far fronte a tale richiesta di risorse? Quali opzioni ha per migliorare?”

La risposta non è univoca, tuttavia proviamo ad approssimare alcuni punti che potrebbero fungere da innesco. Qui di seguito vengono forniti una serie di suggerimenti fattibili, scalabili e convenienti dal punto di vista del budget che potrebbero aiutare le PMI nella loro missione.

Rete di Security Champions

Una strategia consigliata, che ho personalmente implementato per anni mentre ricoprivo il ruolo di Responsabile della Sicurezza dei Prodotti per diverse aziende, è quella di implementare un concetto creato negli USA e promosso “dalle Grandi Aziende” del settore IT (come Microsoft): il cosiddetto “Security Champion”.

Chi è? E cosa fa?

Il Security Champion è la figura, all’interno di un team di sviluppo, che ha acquisito le necessarie competenze tecniche di sicurezza ed è in grado di agire come:

• Braccio destro e Punto di Contatto del Team di Sicurezza.
• Portavoce interno per le problematiche di sicurezza che il dev team potrebbe riscontrare, in grado di aiutare i diversi membri del team a migliorare la loro postura di sicurezza e quindi creare prodotti intrinsecamente piu affidabili.

A questo punto, una domanda legittima che il lettore potrebbe porsi è: “Come implementare tale idea, mantenendo i costi contenuti?”

• Ecco un esempio pratico: Si seleziona un membro di ogni singolo team di sviluppo
• Questo viene trasferito per due/quattro settimane presso il Team di Sicurezza, CyberLab, SOC, etc. (i.e. un gruppo composto da esperti di sicurezza).
• In questo contesto, all’individuo vengono forniti una serie di corsi di base relativi alla sicurezza delle applicazioni e, possibilmente, seguiti da esercizi pratici.
• Una volta completata la fase di formazione (i.e. in cui all’individuo viene insegnato che la sicurezza deve essere applicata in ogni fase del Ciclo di Vita di un prodotto), esso viene ricollocato nel team di appartenza.
• L’individuo riprende quindi le sue attività abituali, ma con una consapevolezza e conoscenza migliore delle possibili minacce che possono influenzare il codice del prodotto stesso e con una cultura più orientata alla sicurezza rispetto alla situazione iniziale.

Per concludere, il concetto di Security Champion può migliorare significativamente la postura di sicurezza dei prodotti delle PMI integrando direttamente competenze di sicurezza all’interno dei team di sviluppo.

Questo approccio garantisce una continua attenzione alla sicurezza durante il processo di sviluppo, portando all’identificazione e mitigazione precoce delle potenziali vulnerabilità. Inoltre, i Security Champions facilitano una comunicazione efficace tra sviluppatori e il team di sicurezza, promuovendo una cultura di sicurezza proattiva che si allinea strettamente con gli obiettivi e le pratiche di sicurezza dell’azienda.

Threat Modeling

Un’altro processo, fortemente raccomandato alle PMI, è il Threat Modeling. Esso può essere facilmente avviato con risorse limitate ed è scalabile.

Di cosa si tratta e quali benefici apporterebbe?

Il Threat Modeling è un approccio strutturato utilizzato nella sicurezza delle applicazioni per identificare, valutare e affrontare potenziali minacce alla sicurezza di un’applicazione software. Comprende l’analisi sistematica del design e dell’ambiente operativo di un’applicazione per anticipare e dare priorità a potenziali vulnerabilità o vettori di attacco.

La modellazione delle minacce, come la conosciamo ora, si è evoluta nel tempo come parte delle pratiche di gestione del rischio nella sicurezza delle informazioni e delle applicazioni. La sua formalizzazione specifica per la sicurezza del software ha iniziato a guadagnare rilevanza a cavallo tra fine anni 90 e primi del 2000. Uno dei primi framework fu STRIDE, sviluppato da due ignegneri della Microsoft: Loren Kohnfelder e Praerit Garg. Esso è presto diventato fondamentale per comprendere e categorizzare le minacce alla sicurezza nelle applicazioni software. A riguardo, si consiglia di consultare le seguenti risorse [2] [3]

I benefici del Threat Modeling sono molteplici: in generale, permette alle organizzazioni di identificare e dare priorità sistematicamente alle potenziali minacce relative ai loro prodotti. Questo approccio proattivo aiuta a comprendere la superficie di attacco, i profili dei potenziali aggressorie le aree più critiche ove effettuare maggiori controlli di sicurezza.

La sua implementazione da parte delle PMI dovrebbe iniziare fin dalla fase iniziale di progettazione del prodotto. Queste possono utilizzare approcci strutturati come STRIDE o PASTA per identificare le minacce. Sessioni regolari che coinvolgono team interfunzionali aiutano a garantire che, man mano che il prodotto si evolve, il Threat Model sia aggiornato per riflettere nuove funzionalità e potenziali vulnerabilità. Per una comprensione più approfondita delle sigle menzionate, si consiglia al lettore di consultare la seguente risorsa [4].

Scansione Automatizzata di Sicurezza all’interno della CD/CI Pipeline

Come menzionato nei paragrafi precedenti, includere la Sicurezza nei processi DevOps è un fattore chiave. In pratica, ciò può essere tradotto (tra gli altri modi) nell’implementazione di strumenti di scansione di sicurezza automatizzati all’interno delle CD/CI pipelines delle PMI che consentano il rilevamento precoce delle vulnerabilità. In questo modo la sicurezza non è una fase separata o finale, ma viene integrata in tutto il ciclo di vita dello sviluppo del software.

Nello specifico, le aziende dovrebbero integrare strumenti come il testing di sicurezza delle applicazioni statiche (SAST), il testing di sicurezza delle applicazioni dinamiche (DAST) e gli strumenti di scansione del Software-Bill-Of-Material (SBOM),attivando così scansioni automatizzate in punti chiave del ciclo di sviluppo.

Questo approccio proattivo riduce il potenziale per interruzioni significative e compromissioni che possono verificarsi quando le vulnerabilità vengono sfruttate. Inoltre, l’automazione porta coerenza e ripetibilità al processo di sicurezza, riducendo il potenziale di errore umano e aumentando l’efficienza complessiva.

Per un’azienda che sviluppa prodotti, specialmente in settori dove la sicurezza è fondamentale come i servizi finanziari, la sanità o le telecomunicazioni, la scansione di sicurezza automatizzata può salvaguardare non solo i dati e la proprietà intellettuale dell’azienda, ma anche quelli dei loro clienti.

Vulnerability Patch Management

Come già menzionato descrivendo le differenze tra gli exploit 0-day e n-day, un robusto processo di Vulnerability Patch Management è cruciale per mantenere l’integrità e la sicurezza dei prodotti software. Esso, riduce la finestra di esposizione agli attacchi assicurando l’applicazione tempestiva delle patch di sicurezza, proteggendo così contro le vulnerabilità note.

Nello specifico, le PMI dovrebbero implementare una strategia di gestione delle patch che includa una routine di monitoraggio delle nuove patch rilasciate dai vari vendors, un approccio di valutazione basato sul rischio per dare priorità alle attività di patching ed un sistema di distribuzione automatizzato per distribuire e applicare le patch. Inoltre, mantenere un inventario di tutti gli asset e dei loro attuali livelli di patch è fondamentale per una gestione efficace.

Coordinated Vulnerability Disclosure

Infine, una volta adottati i vari spunti elencati nei paragrafi precedenti e confermato che la postura di sicurezza sia capace di sostenere i ritmi dello sviluppo dell’azienda, si raccomanda l’implementazione di un processo di CVD (Coordinated Vulnerability Disclosure) al fine di ricevere, catalogare ed integrare tempestivamente eventuali vulnerabilità scoperte da clienti e/o ricercatori di sicurezza.

I benefici dell’implementazione del processo di CVD sono comprovati. Esso fornisce un percorso chiaro su come segnalare potenziali vulnerabilità, migliorando non solo la sicurezza dei prodotti, ma anche la fiducia dei clienti e della comunità di ricercatori e bug-hunters.

Le PMI dovrebbero creare e pubblicare linee guida di divulgazione delle vulnerabilità (CVD Rules & Scope), impostare un sistema di segnalazione sicuro (i.e. PGP) e stabilire un team di risposta (i.e. PSIRT – Product Security Incident Response Team). Nel mentre, al lorointerno, le aziende dovrebbero fornire linee guida su come vengono gestite le vulnerabilità segnalate, chi è responsabile per ogni parte del processo e comunicare le aspettative riguardo le tempistiche e la divulgazione alla parte che segnala (i.e. ricercatore o bug-hunter).

Conclusioni

Garantire la sicurezza dei prodotti non è banale e comporta molteplici sfide. Come menzionato da Bruce Schneier nel suo articolo, la chiave di volta è minimizzare i rischi e assicurarsi che la sicurezza sia considerata in ogni fase del ciclo di vita del prodotto.

I suggerimenti forniti in questo articolo potrebbero essere considerati onerosi, ma se approcciati nel modo giusto e con la mentalità divide-et-impera adeguata, risultano fattibili in una prospettiva a medio/lungo termine.

Ad esempio, già implementando la “Rete di Security Champions” e il processo “Threat Modeling” si potrrebbero evitare molti problemi postumi.

Certo è che tutti gli spunti visti risultano difficilmente implementabili in mancanza di personale di cybersecurity adeguatamente formato. Uno studio condotto da Cybersecurity Ventures ha evidenziato che entro il 2025 ci saranno 3.500.000 posti di lavoro vacanti nel campo della cybersecurity [5].

Affrontare questa problematica risulta quindi imprescindibile, in quanto il divario e la carenza di competenze nel settore rappresentano un ostacolo per lo sviluppo economico e per la sicurezza nazionale.

Negli ultimi anni dei passi avanti in questa direzione sono stati fatti: al fine di fornire alcuni spunti su come identificare, trattenere e formare il personale di cybersecurity, l’ENISA ha creato due opuscoli molto interessanti: l’European Cybersecurity Skills Framework (ECSF) [6], pubblicato nel settembre 2022, e l’European Cybersecurity Skills Framework Role Profiles’s User Manual [7].

L’ECSF è il risultato dello sforzo congiunto dell’ENISA e di un gruppo di lavoro ad hoc, formato da 17 esperti provenienti da 14 stati membri ed è importante nella costruzione di competenze specifiche per la cybersecurity. L’obiettivo del framework è quello di creare una cultura specifica sull’argomento e gettare le basi per la formazione e il riconoscimento di 12 diverse professioni nel campo della cybersecurity, di cui specifica gli obiettivi, i compiti, le competenze e le certificazioniI ruoli identificati sono: Chief Information Security Officer (CISO), Cyber Incident Responder. Cyber Legal, Policy and Compliance Officer, Cyber Threat Intelligence Specialist, Cybersecurity Architect, Cybersecurity Auditor, Cybersecurity Educator, Cybersecurity Implementer, Cybersecurity Researcher, Cybersecurity Risk Manager, Digital Forensics Investigator e Penetration Tester.

Il Manuale Utente dell’ECSF, fornisce orientamenti ed esempi pratici su come sfruttare il Framework e trarne vantaggio per reclutare persone nel campo della cybersecurity o per formare personale o individui interessati a lavorare nel settore. Questo manuale utente include 7 casi d’uso: 3 delle principali associazioni che forniscono certificazioni in cybersecurity ((ISC)², ISACA, SANS), uno dell’Istituto Nazionale di Cybersecurity Spagnolo (INCIBE), uno dell’Organizzazione Europea di Cybersecurity (ECSO) e 2 progetti di ricerca europei (Concordia e Sparta).

Note

[1] https://intelligence.weforum.org/topics/a1Gb00000015LbsEAE

[2] https://owasp.org/www-community/Threat_Modeling

[3] Threat Modeling: Designing for Security, Adam Shostack, Wiley, 2014

[4] https://cheatsheetseries.owasp.org/cheatsheets/Threat_Modeling_Cheat_Sheet.html

[5] https://cybersecurityventures.com/jobs/

[6] https://www.enisa.europa.eu/publications/european-cybersecurity-skills-framework-ecsf

[7] https://www.enisa.europa.eu/publications/european-cybersecurity-skills-framework-role-profiles

Scarica la versione completa del White Paper ZTE Cybersecurity.

Articolo a cura di Luca Bongiorni

https://www.ictsecuritymagazine.com/articoli/no-secure-sdlc-no-party-perche-e-fondamentale-implementare-la-sicurezza-in-ogni-fase-del-ciclo-di-vita-del-prodotto/

@import url(‘https://fonts.googleapis.com/css2?family=Nunito+Sans:ital,opsz,wght@0,6..12,400;0,6..12,500;0,6..12,600;0,6..12,700;1,6..12,400;1,6..12,500;1,6..12,600;1,6..12,700&family=Nunito:ital,wght@0,400;0,500;0,600;0,700;1,400;1,500;1,600;1,700&display=swap’); h3 { font-weight: bold; font-size: 18px; color: #C72026; } figure { padding: 4px; margin: auto; } figcaption { background-color: #F4F5F6; color: #404144; Nunito Sans’, Arial, sans-serif; font-size: 16px; padding: 2px; text-align: left; }
.w3-panel:after,.w3-panel:before{content:””;display:table;clear:both}
.w3-panel{padding:16px;margin-top:16px;margin-bottom:16px}
.w3-leftbar{border-left:6px solid #386994!important}
.w3-color,.w3-hover-color:hover{color:#386994!important;background-color:#eaf1f7!important}
.w3-large{font-size:20px!important}
.w3-sans-serif{Nunito Sans’,Arial,sans-serif}
.w3-opacity,.w3-hover-opacity:hover{opacity:0.60}

Digital trust has become the cornerstone of successful organizations in today’s data-driven and artificial intelligence-influenced world. Customers, partners, and employees alike are increasingly basing their decisions on how much they trust an organization to oversee their information securely and responsibly. ISACA’s 2024 State of Digital Trust report underscores this reality, highlighting both the critical role of security and the need for enhanced collaboration across digital trust functions.

The survey, which polled more than 5,870 ISACA professionals across various industries, found that security is the cornerstone of digital trust, ranking it second only to IT strategy/governance in its importance. This spotlights the pivotal role that security professionals play in fostering a trustworthy digital ecosystem. The importance of digital trust extends beyond the financial health of companies. As we survey major world events in 2024 – a polarizing presidential election in the United States, nation-state conflicts in multiple regions of the world, security concerns around the upcoming Summer Olympics – the implications of a trustworthy digital ecosystem are far-reaching for the well-being of all citizens and society as a whole.

The survey’s findings highlight the tangible benefits of cultivating a high degree of digital trust. More than half (59 percent) of respondents reported that organizations with strong digital trust practices experience fewer cybersecurity incidents. Conversely, those with low digital trust are more likely to suffer reputational damage, privacy breaches, and costly cyber-attacks. 

The survey, however, also unveils a critical gap: spotty collaboration among professionals responsible for building digital trust. Only around half (49 percent) of respondents felt that there was sufficient cooperation within their organizations among experts in security, risk management, governance, assurance, privacy, and quality control.

THE PILLARS OF DIGITAL TRUST

Security, Data Integrity, and Privacy continue to be the top three most important components of Digital Trust in 2024. The survey reinforces the enduring importance of the core components of digital trust. These three pillars must be interwoven to create a foundation of trust.

• Security: Organizations must implement robust security measures to protect sensitive information from unauthorized access, use, disclosure, disruption, modification, or destruction.
• Data Integrity: Data must be accurate, complete, and reliable. Organizations need processes in place to ensure the accuracy and validity of data throughout its lifecycle.
• Privacy: Individuals have the right to control their personal information. Organizations must be transparent about how data is collected, used, and shared, and they must obtain user consent where required.

Strong security practices are the foundation of data integrity and privacy. Secure systems reduce the risk of data breaches, ensuring data remains accurate and complete. This will also allow for granular control over access, empowering organizations to comply with privacy regulations and user expectations.

THE COLLABORATION IMPERATIVE

The survey’s call for stronger collaboration highlights the interconnected nature of digital trust. Building trust is not the sole responsibility of the security team. It requires a coordinated effort across various departments:

• Security: Leads the development and implementation of security policies and procedures.
• Risk Management: Identifies and assesses risks related to data security and privacy.
• Compliance: Ensures the organization adheres to relevant data privacy regulations.
• Privacy: Develops and implements data privacy policies and procedures.
• Legal: Provides guidance on data privacy laws and regulations.

By working together, these teams can create a comprehensive digital trust strategy. Regular communication and information sharing are crucial. Security teams need to share threat intelligence with risk management teams, who can then develop appropriate mitigation strategies. Legal and compliance teams can guide data collection and usage practices to ensure alignment with regulations and user expectations. Privacy teams can work with security to develop robust data access controls.

BREAKING DOWN THE SILOS

Several strategies can foster better collaboration within organizations:

• Cross-Functional Teams: Establish Centers of Excellence and Communities of Practices with representatives from security, risk, compliance, privacy, and other relevant departments. These teams can develop and implement digital trust initiatives and address emerging challenges.
• Shared Metrics and Goals: Define charters and key performance indicators (KPIs) that track progress toward digital trust goals. These metrics should be relevant to all involved departments, fostering a sense of shared responsibility.
• Training and Awareness Programs: Educate all employees on the importance of digital trust and their role in upholding it. This includes training on security best practices, data privacy regulations, and the potential consequences of non-compliance. By empowering employees with the necessary skills and knowledge, organizations can create a cohesive front against evolving cyber threats and privacy risks.
• Leadership Commitment: Senior management must demonstrate a strong commitment to digital trust. This includes allocating resources, championing collaboration initiatives, and holding departments accountable for meeting digital trust goals.

The Security Tightrope

Security professionals walk a tightrope – balancing the need for robust security with the imperative for collaboration across digital trust functions. Strong leadership, clear communication, and a shared vision are essential for fostering collaboration and building a foundation of trust. By working together, organizations can leverage the strengths of each department, creating a comprehensive digital trust strategy that protects data, safeguards privacy, and inspires confidence.

As the digital landscape continues to evolve, the importance of digital trust will only continue to grow. Companies that prioritize security, data integrity, and privacy while fostering collaboration among relevant teams will be better positioned to navigate the challenges ahead and maintain the trust of their customers and partners. Invest in collaboration, and unlock the true value of digital trust in today’s data-driven world.

https://www.securitymagazine.com/articles/100851-unlocking-digital-trust-the-power-of-collaboration-in-a-data-driven-world

Former U.S. President Donald Trump was rushed off the stage after shots rang out during a rally in Pennsylvania.

According to news sources, on Saturday, July 13 while speaking at a political rally, President Trump was pulled off of the stage by Secret Service agents. Multiple photos and videos show blood on the former president’s ear before being driven away.

“President Trump thanks law enforcement and first responders for their quick action during this heinous act. He is fine and is being checked out at a local medical facility. More details will follow,” Steven Cheung, Trump spokesperson, said in a statement.

According to the Associated Press, the shooter was not an attendee at the rally and was killed by U.S. Secret Service agents. NBC reports that one spectator from the rally is dead, and a second is in serious condition.

In a social media post on Truth Social, Trump thanked The United States Secret Service law enforcement, for their rapid response.

“Most importantly, I want to extend my condolences to the family of the person at the Rally who was killed, and also to the family of another person that was badly injured,” the post read. “It is incredible that such an act can take place in our country. Nothing is known at this time about the shooter, who is now dead. I was shot with a bullet that pierced the upper part of my right ear. I knew immediately that something was wrong in that I heard a whizzing sound, shots, and immediately felt the bullet ripping through the skin. Much bleeding took place, so I realized then what was happening.”

According to multiple news sources, the investigation is ongoing and the incident is being investigated as an assassination attempt.

“I have been briefed on the shooting at Donald Trump’s rally in Pennsylvania,” President Joe Biden said in a statement released by The White House. “I’m grateful to hear that he’s safe and doing well. I’m praying for him and his family and for all those who were at the rally, as we await further information. Jill and I are grateful to the Secret Service for getting him to safety. There’s no place for this kind of violence in America. We must unite as one nation to condemn it.”

In statement released by The White House, Vice-President Kamala Harris said she had been briefed on the shooting at former President Trump’s event in Pennsylvania.

“Doug and I are relieved that he is not seriously injured. We are praying for him, his family, and all those who have been injured and impacted by this senseless shooting,” she said. “We are grateful to the United States Secret Service, first responders, and local authorities for their immediate action. Violence such as this has no place in our nation. We must all condemn this abhorrent act and do our part to ensure that it does not lead to more violence.”

https://www.securitymagazine.com/articles/100852-former-president-donald-trump-injured-in-shooting-at-campaign-rally

Google is making it easier for people to lock down their accounts with strong multifactor authentication by adding the option to store secure cryptographic keys in the form of passkeys rather than on physical token devices.

Google’s Advanced Protection Program, introduced in 2017, requires the strongest form of multifactor authentication (MFA). Whereas many forms of MFA rely on one-time passcodes sent through SMS or emails or generated by authenticator apps, accounts enrolled in advanced protection require MFA based on cryptographic keys stored on a secure physical device. Unlike one-time passcodes, security keys stored on physical devices are immune to credential phishing and can’t be copied or sniffed.

Democratizing APP

APP, short for Advanced Protection Program, requires the key to be accompanied by a password whenever a user logs into an account on a new device. The protection prevents the types of account takeovers that allowed Kremlin-backed hackers to access the Gmail accounts of Democratic officials in 2016 and go on to leak stolen emails to interfere with the presidential election that year.

Until now, Google required people to have two physical security keys to enroll in APP. Now, the company is allowing people to instead use two passkeys or one passkey and one physical token. Those seeking further security can enroll using as many keys as they want.

“We’re expanding the aperture so people have more choice in how they enroll in this program,” Shuvo Chatterjee, the project lead for APP, told Ars. He said the move comes in response to comments Google has received from some users who either couldn’t afford to buy the physical keys or lived or worked in regions where they’re not available.

As always, users must still have two keys to enroll to prevent being locked out of accounts if one of them is lost or broken. While lockouts are always a problem, they can be much worse for APP users because the recovery process is much more rigorous and takes much longer than for accounts not enrolled in the program.

Passkeys are the creation of the FIDO Alliance, a cross-industry group comprised of hundreds of companies. They’re stored locally on a device and can also be stored in the same type of hardware token storing MFA keys. Passkeys can’t be extracted from the device and require either a PIN or a scan of a fingerprint or face. They provide two factors of authentication: something the user knows—the underlying password used when the passkey was first generated—and something the user has—in the form of the device storing the passkey.

Of course, the relaxed requirements only go so far since users still must have two devices. But by expanding the types of devices needed,  APP becomes more accessible since many people already have a phone and computer, Chatterjee said.

“If you’re in a place where you can’t get security keys, it’s more convenient,” he explained. “This is a step toward democratizing how much access [users] get to this highest security tier Google offers.”

Despite the increased scrutiny involved in the recovery process for APP accounts, Google is renewing its recommendation that users provide a phone number and email address as backup.

“The most resilient thing to do is have multiple things on file, so if you lose that security key or the key blows up, you have a way to get back into your account,” Chatterjee said. He’s not providing the “secret sauce” details about how the process works, but he said it involves “tons of signals we look at to figure out what’s really happening.

“Even if you do have a recovery phone, a recovery phone by itself isn’t going to get you access to your account,” he said. “So if you get SIM swapped, it doesn’t mean someone gets access to your account. It’s a combination of various factors. It’s the summation of that that will help you on your path to recovery.”

Google users can enroll in APP by visiting this link.

https://arstechnica.com/?p=2036985

AT&T today said a breach on a third-party cloud platform exposed the call and text records of nearly all its cellular customers. The leaked data is said to include phone numbers that AT&T subscribers communicated with, but not names.

An AT&T spokesperson confirmed to Ars that the data was exposed in the recently reported attack on “AI data cloud” provider Snowflake, which also affected Ticketmaster and many other companies. As previously reported, Snowflake was compromised by a group that obtained login credentials through information-stealing malware.

“In April, AT&T learned that customer data was illegally downloaded from our workspace on a third-party cloud platform,” AT&T announced today. AT&T said it is working with law enforcement and “understands that at least one person has been apprehended.”

AT&T said it does not believe the stolen call data has been made publicly available. “The call and text records identify the phone numbers with which an AT&T number interacted during this period, including AT&T landline (home phone) customers. It also included counts of those calls or texts and total call durations for specific days or months,” AT&T said.

Records of “nearly all” AT&T customers

The data does not include the content of calls or text messages, AT&T said.

“Based on our investigation, the compromised data includes files containing AT&T records of calls and texts of nearly all of AT&T’s cellular customers, customers of mobile virtual network operators (MVNOs) using AT&T’s wireless network, as well as AT&T’s landline customers who interacted with those cellular numbers between May 1, 2022 – October 31, 2022. The compromised data also includes records from January 2, 2023, for a very small number of customers,” AT&T said.

The carrier said the breach does not include Social Security numbers, dates of birth, other personally identifiable information, or the time stamps for calls and texts. “While the data does not include customer names, there are often ways, using publicly available online tools, to find the name associated with a specific telephone number,” an AT&T filing with the Securities and Exchange Commission said.

AT&T’s SEC filing said the “records identify the telephone numbers with which an AT&T or MVNO wireless number interacted during these periods, including telephone numbers of AT&T wireline customers and customers of other carriers, counts of those interactions, and aggregate call duration for a day or month. For a subset of records, one or more cell site identification number(s) are also included.”

AT&T said it has “clos[ed] off the point of unlawful access” and is notifying current and former customers of the breach. AT&T’s current and former customers can obtain the data that was compromised, and details on how to make those data requests are available on this page.

FBI and FCC comment

The Federal Bureau of Investigation said AT&T and law enforcement agreed to delay public reporting of the incident when the investigation began in April. The FBI provided this statement to Ars:

Shortly after identifying a potential breach to customer data and before making its materiality decision, AT&T contacted the FBI to report the incident. In assessing the nature of the breach, all parties discussed a potential delay to public reporting under Item 1.05(c) of the SEC Rule, due to potential risks to national security and/or public safety. AT&T, FBI, and DOJ worked collaboratively through the first and second delay process, all while sharing key threat intelligence to bolster FBI investigative equities and to assist AT&T’s incident response work.

The FBI declined to provide any information on the person who was apprehended. The Federal Communications Commission said it has “an ongoing investigation into the AT&T breach and we’re coordinating with our law enforcement partners.”

An AT&T spokesperson told Ars that the Snowflake breach is unrelated to another recent leak involving the data of 73 million current and former subscribers.

https://arstechnica.com/?p=2036854

Data is the lifeblood of every enterprise, so why does the task of managing and securing rapidly expanding volumes and types of data and new, modern threats continue to be a formidable challenge for most organizations? According to the Identity Theft Resource Center (ITRC), 2023 set a new record for data breaches, with data compromises jumping 78% over 2022. Malicious actors obviously see the value of data — but without visibility and controls into where data exists, who has access to it and its impact on the business, a security program will slow down the organization’s future growth while increasing security and compliance risks. 

For many organizations, improving data-driven business outcomes while ensuring data security in the era of cloud, artificial intelligence (AI), and the internet of things (IoT) comes with inherent friction. To handle these frictions, it’s important to understand a few key issues: the challenges related to unchecked data growth, how data backup and security needs have changed, how to evaluate the business impact of your data and why it’s imperative to secure data now and in the future.

Unchecked data growth

It’s not difficult to understand that data is not static — intuitively, people understand that data grows and changes. Data growth reflects the increasingly common use of computers and technological advancements in data collection and storage. There are more devices connected to the internet than ever before due to the ever-expanding Internet of Things (IoT), all generating and transmitting data. Plus, more businesses are undergoing digital transformation, shifting from paper-based and manual processes to digital ones. From user-generated content to social media to tracking steps and storing shopping preferences, every activity results in more data growth. 

Adding to the complexity of this growth is machine learning (ML) and AI, which both require large volumes of data to train algorithms and produce new data through their operations and output. In addition, Large Language Models (LLMs) pose unique challenges that cannot be ignored. Organizations must be vigilant both about the data inputted into LLMs and the information they output, in part because these models can inadvertently generate detailed and sensitive information. To manage these types of risk, organizations must evaluate and possibly integrate solutions that offer control over LLM outputs. These solutions may include proxy services or plugins (although current technologies may only provide partial control).

Data can also be stored longer (and more economically) in the cloud, resulting in larger data volumes and potentially multiple copies of data in different states due to the need for data backups for restore purposes and historical reference. Data is frequently updated or corrected based on latest information or when errors are identified, and it’s easy for users to share and create new copies of documents, videos, databases and everything in between. For all these reasons, both structured and unstructured data are growing at an astonishing rate.

Modern data backup and security needs

In the past, data was important, but a primary focus was backup and recovery; backup vendors enabled resiliency. For power outages or other natural disasters, disk failures and terrorist attacks, data backups were key to recovery. As ransomware attacks rose, backup vendors began to play a larger role in cybersecurity, enabling organizations to restore stolen files and potentially avoid paying to get access to encrypted information back. Now, attackers don’t just encrypt the data, they exfiltrate it and threaten to release sensitive information unless a ransom is paid. While a backup might still help in terms of recovery, it does nothing to protect sensitive data from being made publicly available. As attacks evolved, the needs of organizations changed, making backup vendors more involved in security than ever before.

And while production backups are vital for recovery, most data breaches occur in lower environments. Unfortunately, during the normal course of business, bits and pieces of data are copied around, diffusing into lower environments. This might occur when employees copy and paste from one document to another or a data scientist copies 10,000 rows from a database with billion rows. To eliminate the risk of exposing sensitive data in a lower environment data breach, organizations must implement advanced data detection technologies that can detect sensitive data, even when it is mixed with unrelated data. In addition, organizations must adopt tools that can detect similarities in source code, even if variables or functions are renamed. This capability helps to identify unauthorized copies or modifications to proprietary software.

With huge volumes of data distributed across various locations, organizations need more than what backup and recovery and traditional data security solutions can provide. Some organizations have turned to data security posture management (DSPM) solutions to gain visibility into all the data spread across their infrastructure. Unfortunately, many DSPMs provide only a bird’s eye view of the data. Users can see that their organization has a huge volume of data, but visibility without analysis and classification isn’t enough. Users need to know what to focus on: what exactly are the risks to each of these data sets, which machines hold what data and which users have access to what data, where and why. This is a huge undertaking.

Understanding the business impact of the data

With data spread across all business environments, there are multiple copies of data, and all an adversary needs is access to a single copy of sensitive data. With so many attack surfaces, attack methods have changed, and malicious actors are hitting with greater frequency and moving through networks faster than ever. When company infrastructure is breached and the organization has many users and a huge volume of requests, how do security professionals identify a few anomalous activities in this haystack of information? A quick response could mean the difference between quickly blocking the attack and a significant incident. 

It’s not just about protected health information (PHI), personally identifiable information (PII) or payment card information (PCI), either. While protecting PHI, PII and PCI is important and failing to do so can result in fines, reputation damage and even harm business partnerships, malicious access to other data also has a material impact on business. Security leaders must also include protection for source code, financial statements, proprietary formulas and engineering drawings, as these are also vulnerable to unauthorized access and leaks.

In every organization, there are also classes of data that become part of the core intellectual property (IP). Whether it’s information about buyer technology, model weights, investment strategies described in key files or something else, this IP is critical to the success of the business. To comprehensively protect this data, security leaders must develop a data classification strategy that precisely identifies and tags all the data. The main challenge here is the volume and variety of data; modern data lakes are multi petabytes in size. Regardless of how much data an organization has, using, analyzing and protecting all of the data is vital to creating and executing on the organization’s long-term strategic plans.

The urgency of protecting data now

Many organizations believe that the data security solutions they have in place are adequate to meet their needs. Unfortunately, rapid data growth means that if users can’t discover, identify and classify all data continuously now, the risk of a data breach within weeks is startlingly high. There are more nation-state actors than ever before, prepared to take advantage of any vulnerability or misconfiguration. Other malicious actors are becoming increasingly sophisticated, leveraging AI and ML themselves to make it easy to conduct more sophisticated attacks. 

Organizations must evolve their approach to data security just as quickly as attackers have changed their approaches. Backup solution providers and legacy data security solutions weren’t designed to assess petabytes of data, analyze and identify risks, and then take the appropriate remediation steps. Anything less delays data security efforts and puts organizations at risk. It’s time to embrace data sprawl and enable the secure use of data to power business success. 

https://www.securitymagazine.com/articles/100786-embrace-the-data-sprawl-securely

Nobody wants to invest in technology, only to have it go the way of the stationary bike that sits unused in the corner of a room. That holds true for healthcare organization leaders who are looking to invest in staff safety alarm systems that can help avert potentially dangerous situations.

With workplace violence against caregivers increasing 115% since 2021, many healthcare organizations are, indeed, looking to protect workers from harm — and to shield their organizations from resultant financial distress.

Not surprisingly, healthcare organizations are looking to protect their most valuable resource — their staff. As such, investing in a security system is pretty much a given for most. But, how can healthcare organization leaders ensure that the technology will actually be used as intended — and, perhaps more importantly, improve staff engagement and retention while also reducing staff injuries from incidents of workplace violence? Investing in the right technology, ensuring ease of use and providing end-user training can help. It is important to include staff in the evaluation and selection process to ensure they understand how the technology improves their safety and well-being. The more the staff is involved, the more they will embrace the solution.

Taking technological details into account 

To start, leaders should consider working with the existing infrastructure that they already have in place. For example, a real-time locating system (RTLS) that is used for nurse call and/or asset tracking functions might be the right platform for emergency response applications. Using an existing platform could help reduce the initial technology spend — and also reduce training costs, as users will already be familiar with the system’s basic functions.

With such a system, the network detects and displays staff members’ location information. Staff members can simply wear an RTLS badge on their uniform, press the button when a potentially dangerous situation presents itself — and security personnel and other co-workers immediately receive notifications, including who, when and where, so the situation can be immediately responded to and addressed. 

It’s important to use an RTLS solution that provides full, real-time visibility to the location of the staff member needing help — and all staff members on the floor. While knowing the location of the staff member who is in trouble is paramount, knowing the whereabouts of other caregivers, especially those in close proximity, is important to coordinate response efforts as well. 

In addition, a system that accurately identifies locations is more likely to elicit trust from the users. The quicker the response the better the outcome. As such, it’s important to implement systems that can update alerts when the person who is in duress changes locations. For example, if a serious incident is in progress, and a nurse is running from the attacker, the security response team can stay on top of the nurse’s movement and latest location.

Data provides insight into very complex issues and enables healthcare organizations to develop strategies to improve key performance indicator results. After the fact, a security response system that can help healthcare organizations better understand violent situations can empower leaders to create strategies that address safety in the workplace. Finally, analytics that offer insights on the who, when, where and what associated with disruptive situations as well as response and resolution times can help leaders know what their organizations are up against and ultimately create violence prevention and remediation strategies that work.

Working well with other healthcare systems

A security response system that integrates with existing technologies can also help improve violence prevention and remediation. For example, security personnel will be able to more effectively respond to situations if when staff members presses the duress button, signals are sent directly to the security system.

Security response systems also can be integrated to:  

• Middleware for distribution to mobile devices (not just an app from the vendor that doesn’t know who is on/off shift)
• The nurse call system
• Cameras, prompting the appropriate camera to point in the right direction and focus on unfolding situations 

Considering ease of use

Making sure that an RTLS is easy for staff members to use is also key. The Emergency Nurses Association study “2011 Emergency Department Violence Surveillance Report,” identified that 82% of incidents occur inside a patient’s room. Knowing the challenges clinicians face and how fast incidents can escalate, it is absolutely critical for staff to have the ability to quickly and discreetly call for help. Leaders should give preference to wearable devices, instead of desk or wall-mounted systems. With a wearable personal duress device, a staff member can discreetly press a button, whereas using a desk or wall-mounted system requires staff to have the ability and time to get to the location and ultimately take a more obvious action. This could actually escalate the situation. 

In addition, staff members are more likely to successfully use a system with just one duress button to press, as opposed to an overly complicated badge that includes multiple buttons for multiple purposes. In the middle of a workplace violence incident, the last thing staff members want to worry about is if they hit the right button or if they sequenced the button presses correctly.

Showing the way

Training staff to optimally leverage all of the technology’s bells and whistles can also help healthcare organizations get the most out of investments. To start, leaders should strive to align staff duress programs to existing processes (e.g., code gray process) to avoid unnecessary change management and signal to staff that they are taking their calls for duress seriously.

In addition, leaders should clearly explain to staff (both security and caregivers) that false button presses are apt to occur. However, they should also train staff on how to wear the badge to reduce accidental button pushes, and offer guidance on how to quickly cancel these erroneous alerts. 

By choosing the right security alert system, integrating the technology with other platforms and providing relevant training, healthcare leaders can ensure that they are implementing a system that staff members will optimally use. And, that could help to keep staff members out of harm’s way — an important consideration as ongoing staffing shortages in the healthcare industry threaten to hamper organizational success.

https://www.securitymagazine.com/articles/100849-keeping-staff-members-safe-and-sound-by-optimizing-security-technology

Lug 12, 2024 Marina Londei Approfondimenti, Attacchi, Campagne malware, RSS 0

---

Secondo l’ultimo Cyber Threat trends report di Cisco, il furto di informazioni è la minaccia più diffusa, seguita dai trojan e dai ransomware. L’analisi, basata sulle osservazioni dei dati della soluzione Cisco Umbrella, ha rivelato che, nel periodo compreso fra agosto 2023 e marzo 2024, ci sono stati 246 milioni di eventi legati al furto di informazioni, 175 milioni di trojan e 154 milioni di incidenti ransomware.

Gli information stealer vengono solitamente distribuiti tramite e-mail e campagne di malvertisiting. Questi programmi dannosi, pensati per raccogliere vari di tipi di informazioni, sono in grado di catturare sequenze di tasti, estrarre file e rubare dati del browser come password e cookie.

A seguire troviamo i trojan, malware che si fingono software legittimo per, una volta attivati, permettere ai cybercriminali di spiare l’utente, rubare i suoi dati sensibili e inserire backdoor sul sistema target. Una caratteristica importante del trojan è che può propagarsi attraverso le reti sfruttando le vulnerabilità dei sistemi, diffondendosi anche in quelle aziendali.

Al terzo posto troviamo il ransomware: questo tipo di malware continua a far tremare le organizzazioni e in molti casi i gruppi non si limitano a cifrare file per ottenere il riscatto, ma minacciano di pubblicare i dati raccolti sul web.

Con l’incremento del numero di attacchi, per proteggersi adeguatamente Cisco consiglia di applicare patch e aggiornare i sistemi per proteggersi dalle vulnerabilità ed eseguire regolarmente il backup dei dati, assicurandosi che siano archiviati in modo sicuro e possano essere ripristinati dopo un attacco ransomware.

Non può mancare poi la pianificazione di risposta agli incidenti, sviluppando e testando un piano efficace, e creare una strategia di difesa a più livelli che combina la sicurezza a livello di DNS con altri controlli come firewall, sistemi di rilevamento delle intrusioni (IDS) e sistemi di prevenzione delle intrusioni (IPS).

Infine, è fondamentale educare gli utenti, formandoli sulle pratiche di sicurezza per aiutarle a identificare i tentativi di phishing e altre tattiche di ingegneria sociale.

---

---

---

https://www.securityinfo.it/2024/07/12/il-furto-di-informazioni-e-la-minaccia-piu-diffusa/?utm_source=rss&utm_medium=rss&utm_campaign=il-furto-di-informazioni-e-la-minaccia-piu-diffusa

Per comprendere come difendersi da potenziali attacchi malevoli è necessario studiare come questi avvengano. Per fare ciò, esistono diversi modelli, tra questi uno dei più noti ed utilizzati è quello della “Cyber Kill Chain” ideato da Lockheed Martin nel 2011.

Questo modello descrive in sette fasi, si veda la figura 2, come un attaccante può compromettere un determinato target e di contro anche come identificare e prevenire potenziali attività malevole:

1. Reconnaissance: consiste nella raccolta di informazioni tramite tecniche di social engineering e/o OSINT per identificare e selezionare l’obiettivo. Questa fase può avvenire in due modalità:

• • Passiva: analisi e raccolta di informazioni tramite l’uso di siti web, annunci, Google, Shodan e simili.
  • Attiva: tramite l’uso di tool per effettuare scansioni dirette sul target (verifica delle porte aperte con i relativi servizi esposti e molto altro). Tra i tool più noti va sicuramente citato Nmap.

L’obiettivo di questa fase è trovare delle vulnerabilità che, potenzialmente, consentiranno agli attaccanti di entrare nella rete. Di contro la cyber defense dovrà occuparsi di mitigare e ridurre la superficie d’attacco utilizzabile dagli attaccanti.

2. Weaponization: trovata una vulnerabilità, gli attaccanti creano o cercano un exploit che consenta di sfruttarla. In questa fase vengono anche individuati possibili malware a supporto dell’attacco. Spesso per guadagnare l’accesso ad un sistema, vengono sfruttati anche gli zero day o vulnerabilità note ma non ancora “patchate” dagli amministratori del sistema.
3. Delivery: consiste nella trasmissione dell’exploit individuato all’obiettivo, di seguito alcuni esempi di come potrà essere consegnato:

• • Compromissione di un servizio esposto;
  • Invio di una mail malevola all’indirizzo della vittima;
  • Campagne di Social Engineering;
  • Chiavetta USB lasciata nei pressi dell’azienda, ad esempio nel parcheggio;
  • Compromissione di siti web terzi, abitualmente visitati dai dipendenti dell’azienda target (tramite l’uso, ad esempio, di attacchi di cross-site scripting (XSS)).

In questa fase, nella cyber defense, è fondamentale adottare un sistema di monitoraggio che consenta di individuare potenziali attività malevole e quindi strutturare un perimetro difensivo che comprenda almeno: firewall perimetrali, IDS/IPS, secure mail gateway, SIEM e un security operation center (SOC) per la gestione dei molteplici alert che verranno generati.

4. Exploitation: consiste nello sfruttamento di una o più vulnerabilità da parte dei malware introdotti nel sistema sotto attacco. Tendenzialmente si fa uso anche di tecniche di obfuscation per rendere queste azioni totalmente invisibili ai sistemi difensivi precedentemente elencati.
5. Installation: ottenuto l’accesso al sistema gli attaccanti cercheranno di mantenerlo tentando di installare ulteriori malware e backdoors che gli consentiranno successivamente di propagarsi nella rete e di accedere, tramite movimenti laterali, ad utenze con maggior privilegio.
6. Command and Control (C2 o C&C): in questa fase si tenta di stabilire una comunicazione stabile e duratura con l’obiettivo di utilizzare la macchina infetta. In questa fase un APT consentirà ad esempio di:
   • Esfiltrare informazioni sensibili;
   • Infettare altre macchine;
   • Effettuare “privilege escalation” su macchine amministrative;

In queste ultime due fasi, il monitoraggio delle attività sospette lato cyber defense è fondamentale. È molto importante in questo caso, ad esempio, avere sistemi come UEBA (User and entity behavior analytics) e regole di GPO (Group Policy Objects) che consentano di individuare comportamenti anomali e accessi non autorizzati.

7. Actions on objectives: in quest’ultima fase avverrà il vero e proprio attacco al sistema; Questo varierà in base al tipo di attaccante e alle sue motivazioni, ad esempio:
   • Finanziarie;
   • Politiche;
   • Militari;

L’attaccante avrà accesso a informazioni confidenziali e potrà interrompere servizi e/o avere capacità di bloccare l’ordinaria operatività.

In ogni fase del modello, come visto, è possibile individuare delle azioni per mitigare e quindi interrompere la catena d’attacco. Esistono diverse varianti al modello illustrato ma il cui obiettivo è sempre lo stesso; ovvero comprendere il modus operandi dell’attaccante allo scopo di moderare i rischi e quindi “rompere la catena” al fine di interrompere e/o mitigare la minaccia. Questo modello, infine, è anche utilizzato per comprendere al meglio le TTPs (Tecniche, tattiche e procedure) di un determinato “Threat actors” e/o “Malware”. Come visto, la consegna di un malware può avvenire tramite un’email malevola durante la fase di delivery.

Questo articolo è stato estratto dal white paper “Email Security: Intelligenza Artificiale, Protocolli e Best Practice Contro gli Attacchi Informatici” disponibile in maniera libera e gratuita al seguente link: https://www.ictsecuritymagazine.com/pubblicazioni/email-security-intelligenza-artificiale-protocolli-e-best-practice-contro-gli-attacchi-informatici/

Articolo a cura di Fabrizio Giorgione

https://www.ictsecuritymagazine.com/articoli/email-security-cyber-kill-chain-come-modello-di-difesa/

The 2024 Paris Olympics are quickly approaching, captivating the global sporting community. The promise of thrilling competition, and a spirit of international unity has ignited a digital firestorm. However, this surge in online activity presents a compelling opportunity for cybercriminals, as users increasingly engage with digital accounts such as travel, finance and online gambling. 

The 2020 Tokyo Games, for example, witnessed a staggering 450 million attempted cyberattacks, highlighting the vulnerability of major sporting events in today’s digital age. Now, with more advanced, AI-powered threats and an increasing number of digital platforms for users to engage with, fraudsters are presented with a golden opportunity to take advantage of unsuspecting Olympics enthusiasts. 

To ensure a secure environment, businesses must be prepared for an influx of sophisticated scams by exploring the key security concerns and strategies to safeguard their platforms and users’ identities during the Olympics and in general.     

Travel fraud

The 2024 Olympics are projected to draw in more than 15 million tourists to Paris. The chaos during major events like this one increases the vulnerability of travelers and means a higher risk of fraud for businesses. Criminals know that travelers are high-value targets, both for their personal information and loyalty program rewards. Travelers must repeatedly provide their passport or other ID to check in for flights and hotel reservations, making them vulnerable to identity theft. Additionally, their loyalty points can be stolen and sold on the dark web.     

Unfamiliar environments and the need to use unverified ATMs make travelers easy targets for credit card skimmers and pickpockets. Stolen cards can then be used to book tickets, car rentals and hotels. Crowded airports, flight delays and frantic rebooking on unsecured Wi-Fi connections also create opportunities for identity theft, account takeovers and fraud.

At the same time, travelers expect digital check-in options, adding another layer of complexity.

As user preferences evolve and cyber threats advance, businesses struggle to balance a seamless user experience with robust security to prevent fraudsters from exploiting online identities. 

AI-powered attacks

The 2024 Olympics presents a major security challenge fueled by the rise of AI. Cybercriminals are leveraging this technology to create intricate online schemes like deepfakes. These realistic manipulated videos and images pose a threat by spreading misinformation and enabling hackers to potentially bypass common biometric-based security strategies. 

However, the bigger concern lies with synthetic identity fraud. By stitching together real and fabricated data, criminals can bypass traditional security measures to access financial accounts or sensitive information related to online gambling, a sector expected to boom during the Olympics.

This accessibility, coupled with the complexity of digital environments, creates a ripe opportunity for scams. As online gaming and gambling expand and attract a wider audience, the pool of digital footprints for fraudsters to manipulate also grows, which leads to increasingly sophisticated synthetic identities.

Staying one step ahead of the threat

To stay ahead of these evolving threats, enterprises must embrace cutting-edge security strategies including the use AI-powered tools.

Biometric authentication

Facial recognition and other biometric technologies analyze unique physical characteristics, making them highly resistant to sophisticated attacks like deepfakes. This ensures a more secure and user-friendly experience, compared to having to remember complex passwords.

Advanced liveness detection

Advanced liveness detection employs sophisticated algorithms to analyze user actions and physical presence. This deters criminals attempting to create fake personas using photos or videos. By verifying that a real person is behind the screen, liveness detection significantly strengthens defenses against identity spoofing and theft attempts.

Predictive analytics

AI analytics systems examine vast amounts of data, including user behavior and transaction patterns. By identifying anomalies and suspicious connections, they can predict and prevent complex fraud rings from forming. This proactive approach ensures robust defense against potential risks, safeguarding user information and business assets.

Game on, threats off

As users digitally engage with travel platforms and online gambling sites, fraudsters will have their sights on a gold mine of identity theft opportunities. With AI-powered attack vectors, cyber threats are only becoming more complex.  

By deploying a combination of modern security techniques including biometrics authentication, advanced liveness detection and predictive analytics, businesses operating during the Paris Olympics can significantly reduce the risk of identity fraud and protect their customers’ critical information. 

https://www.securitymagazine.com/articles/100782-top-cyber-threats-targeting-the-paris-olympics