La cybersecurity non è più solo una questione tecnica: al contrario, è ormai diventata una componente critica della sicurezza comune e oggetto di normazione nazionale e internazionale.

Da diversi anni, l’Unione Europea ha promosso provvedimenti volti ad armonizzare il quadro normativo per costruire uno spazio digitale Europa sicuro e resiliente, in grado di reggere la competizione globale.

La recente direttiva NIS2 (Network and Information Security), che aggiorna la precedente NIS del 2016 (di seguito per comodità NIS1), rappresenta un passo significativo in tale direzione.

Vediamo in dettaglio quali sono i requisiti della normativa e come implementare le misure di sicurezza necessarie, nonché quali siano i controlli e le sanzioni previste in caso di inadempienze.

Cos’è la NIS2?

La NIS2 è una Direttiva comunitaria che mira a migliorare il livello di sicurezza delle reti e dei sistemi informativi dei soggetti ritenuti critici che operano sul territorio dell’UE. Definendo requisiti più rigorosi rispetto alla NIS1 e ampliando in modo significativo il campo di applicazione, la NIS2 si propone di uniformare a un livello elevato le capacità di resilienza e di gestione degli incidenti che potrebbero compromettere sistemi e reti dei soggetti pubblici e privati che sorreggono alla vita della comunità europea.

Approvata nel 2022 ed entrata in vigore nel 2023, la direttiva prevede come termine ultimo per la sua adozione da parte degli Stati membri entro il 17 ottobre 2024.

Settori Interessati dalla NIS2

In ragione delle crescenti e allarmanti minacce informatiche, NIS2 allarga il raggio d’azione previsto da NIS1 con l’obiettivo di mettere in sicurezza tutti quei settori i cui sistemi e le cui reti, se seriamente compromessi, potrebbero portare a impatti rilevanti sul tessuto sociale a livello nazionale e transfrontaliero.

In particolare, la direttiva include nel perimetro di applicazione 18 settori suddivisi fra soggetti altamente critici e ulteriori soggetti critici.

Fra i soggetti altamente critici troviamo gli operatori del settore energetico, sanitario, spaziale, bancario (ambito in cui la NIS2 cederà il passo al regolamento DORA), dei trasporti, delle infrastrutture digitali, della distribuzione dell’acqua unitamente a enti della pubblica amministrazione. Le grandi aziende che operano nei settori altamente critici sono considerate soggette essenziali mentre le medie imprese sono considerate soggetti importanti.

Operatori postali, produttori e distributori alimentari, gestori di rifiuti, enti di ricerca, aziende di manufacturing sono alcune delle categorie incluse fra gli ulteriori soggetti critici. In questo caso le medie e grandi imprese che operano in tali settori sono considerate soggetti importanti.

Salvo eccezioni, legate ad ambiti specifici (e.g. infrastrutture digitali), le piccole imprese al momento sono escluse (al netto delle ricadute in termini di supply chain).

Implementazione delle Misure di Sicurezza Necessarie

NIS2 definisce una serie di requisiti con cui le realtà coinvolte dovranno confrontarsi. È opportuno precisare che le prescrizioni normative riguardano sia i soggetti essenziali, sia i soggetti importanti, che differiscono invece per controlli previsti e valori massimi delle sanzioni applicabili.

Le misure richieste dalla direttiva dovranno essere in ogni caso attuate in virtù di un criterio di proporzionalità valutato in funzione della criticità dei servizi supportati e quindi in ultima analisi dei rischi effettivi che potrebbero inficiarne l’erogazione.

1. Valutazione e Gestione del Rischio

La valutazione del rischio è il primo passo per implementare le misure di sicurezza richieste dalla direttiva in esame. Gli enti convolti sono tenuti a definire politiche e procedure per identificare le risorse critiche, analizzare le minacce che potrebbero comprometterne la sicurezza, identificarne le vulnerabilità che potrebbero essere sfruttate. Grazie a questo processo, le organizzazioni coinvolte potranno individuare le misure di sicurezza da mettere in campo e il livello di implementazione più opportuno di ognuna.

2. Gestione degli incidenti

La NIS2 dedica particolare attenzione al processo di gestione degli incidenti, invitando de facto i soggetti in scope ad adottare misure proattive e reattive. Alla luce delle tempistiche stringenti previste per le notifiche verso lo CSIRT in caso di incidenti rilevanti (gli incidenti c.d. significativi) si rende inevitabile lo sviluppo di piani di IR (Incident Response), che definiscano le procedure per identificare e contenere le minacce, nonché garantire un rapido recupero della piena operatività a fronte di un evento critico.

3 Misure di sicurezza tecniche e organizzative

I soggetti in scope dovranno adottare una serie di misure tecniche e organizzative per mitigare i rischi identificati:

• gestione della continuità operative, definendo politiche di backup, piani di ripristino (DRP, Disaster Recovery Plan) per fronteggiare scenari di crisi;
• sicurezza della supply chain, garantendo la sicurezza dei propri fornitori di servizi definendo misure contrattuali adeguate e verifiche periodiche (e.g., assessment, analisi della superficie di attacco, etc.);
• politiche per la sicurezza applicata nelle attività di sviluppo, acquisizione e maintenance di reti, sistemi e, inevitabilmente, applicazioni;
• verifica dell’efficacia delle misure adottate per mitigare i rischi per la cybersecurity, ricorrendo, ad esempio, a simulazioni periodiche di attacchi informatici e incidenti di sicurezza;
• sicurezza nella gestione delle risorse umane, di cui garantire training & awareness, definendo piani di formazione estesi a tutto il personale: pillole di cybersecurity e campagne di phishing potrebbero essere strumenti utili per aumentare la consapevolezza in materia di rischi e sicurezza informatica;
• controllo degli accessi fisici e logici, da gestire in ottica multi-rischio: a tal fine si possono considerare, ad esempio, soluzioni IAM (Indentity Access Management) e PAM (Priviliged Access Management) e ricorrendo alla MFA (Multi-Factor Authentication) per proteggere il patrimonio informativo aziendale;
• gestione degli asset, indispensabile per avere il pieno controllo del perimetro da mettere al riparo dalle minacce più rilevanti;
• protezione dei dati a riposo e in transito attraverso politiche di crittografia e cifratura che garantiscano la sicurezza delle comunicazioni interne ed esterne.

Appare immediatamente evidente la necessità di incrementare la propria capacità di evitare o, quanto meno, di intercettare e gestire tempestivamente eventi critici. Si rendono allora raccomandabili misure per la protezione delle reti, quali

• implementazione di firewall avanzati;
• sistemi di rilevamento delle intrusioni (IDS);
• soluzioni di prevenzione delle intrusioni (IPS).

Unitamente a soluzioni per il monitoraggio continuo di reti e sistemi, cruciale per rilevare e rispondere prontamente a possibili incidenti di sicurezza, quali:

• Security Information and Event Management (SIEM) – impiego di soluzioni SIEM per aggregare, analizzare e correlare i dati di sicurezza in tempo reale;
• Threat Intelligence – integrazione di fonti di intelligence sulle minacce per migliorare la propria gestione del rischio e la capacità di rilevamento e risposta agli attacchi.

Governance, controlli e sanzioni in caso di inadempienza

La NIS2 riconosce un ruolo fondamentale alla governance aziendale: gli organi direttivi dovranno mantenersi aggiornati e dunque seguire percorsi formativi in materia di cybersecurity, assicurando al contempo analoga formazione al personale, in modo da incrementare la capacità di intercettare i rischi per l’Organizzazione. Non solo: gli organi di gestione hanno l’onere di valutare, approvare e supervisionare l’attuazione delle misure individuate per affrontare le minacce che potrebbero compromettere sistemi e reti. A conferma del grado di responsabilità, la direttiva prevede interventi sulle funzioni dirigenziali in caso di inadempimenti.

Controlli previsti dalla NIS2

Una volta che la Direttiva sarà stata recepita dai singoli Stati UE, spetterà alle autorità competenti a livello nazionale il compito di garantire che le aziende ne rispettino i requisiti.

Ecco come potrebbero avvenire i controlli:

• Ispezioni e Audit – per verificare la conformità delle aziende alla normativa europea è prevista la possibilità di condurre ispezioni e svolgere audit, che potranno essere condotti ex-ante per i soggetti essenziali ed ex-post sui soggetti importanti, a fronte di segnalazioni che li vedano coinvolti;
• Valutazioni di conformità – per assicurarsi che le organizzazioni rispettino i requisiti della direttiva, le autorità nazionali potranno eseguire valutazioni periodiche di conformità;
• Test di Sicurezza – si prevede l’esecuzione di test per valutare l’efficacia in concreto delle misure di protezione implementate dalle aziende;
• Monitoraggio continuo – gli enti preposti, infine, dovranno monitorare costantemente le reti e i sistemi informativi per individuare eventuali vulnerabilità o potenziali incidenti di sicurezza.

Sanzioni per inadempienza previste dalla Direttiva

Come si è visto, la NIS2 irrobustisce il quadro normativo vigente per garantire un elevato livello di sicurezza delle reti e dei sistemi che supportano lo spazio digitale europeo.

Tra le conseguenze per l’inadempienza alle nuove regole figurano multe dagli importi potenzialmente rilevanti e misure correttive: diviene essenziale per i soggetti a perimetro uno scrupoloso confronto con la norma, seguito dalla definizione di un percorso di adeguamento ai suoi requisiti, al duplice fine di evitare sanzioni e di garantire la migliore protezione dei propri sistemi.

I valori massimi delle sanzioni amministrative previste dalla NIS2 variano a seconda della tipologia del soggetto inadempiente:

• Multe fino a 10 milioni di euro o, se superiore, al 2% del fatturato mondiale annuo totale dell’azienda per i soggetti essenziali;
• Multe fino a 7 milioni di euro o, se superiore, al 1,4% del fatturato mondiale annuo totale dell’azienda per i soggetti importanti.

Conformità ed opportunità

La compliance alla NIS2 è certamente un percorso di adeguamento alle disposizioni normative introdotte dalla direttiva, ma rappresenta anche una non trascurabile opportunità per migliorare la security posture e, più in generale, la resilienza informatica aziendale.

Per raggiungere simili obiettivi, le aziende dovranno definire strategie di investimento in tecnologie di sicurezza avanzate, aggiornare le proprie politiche di sicurezza e formare adeguatamente tutto il personale: per quanto impegnative, tali misure contribuiranno a proteggere le organizzazioni da potenziali attacchi che potrebbero portare a conseguenze devastanti sul piano economico, reputazionale e sociale.

Implementare le misure di sicurezza necessarie: una guida pratica

Implementare le numerose misure di sicurezza richieste dalla Direttiva NIS2 richiede un approccio strutturato e metodico, di seguito esemplificato in una breve guida step-by-step.

1. Valutazione del rischio

La prima fase richiesta inizia con un’analisi dettagliata delle reti e dei sistemi informativi dell’organizzazione con un approccio multi-rischio, che non si limiti al solo ambito digitale, ma esplori anche gli aspetti fisici e ambientali, al fine di identificare tutte le potenziali minacce, determinare il proprio livello di esposizione e dare priorità alle aree che necessitano di interventi immediati.

2. Pianificazione delle misure di sicurezza

Per mitigare i rischi identificati, le organizzazioni dovranno sviluppare un piano di sicurezza che includa politiche, procedure e controlli specifici allineati con i requisiti della Direttiva e in grado di coprire in primis le aree critiche dell’infrastruttura IT. Raggiungere un simile risultato significa in primo luogo comprendere la propria security posture e individuare i gap da colmare per essere nelle condizioni di fronteggiare le minacce individuate.

3. Implementazione dei controlli di sicurezza

Le organizzazioni dovranno quindi adottare strumenti di controllo come firewall, sistemi di rilevamento delle intrusioni, autenticazione multifattoriale (MFA) e crittografia. Dovranno inoltre integrare controlli di tipo organizzativo, tra cui adeguate politiche di segregazione dei compiti, di gestione degli accessi alle informazioni, di change e patch management e, naturalmente, regolari backup del proprio patrimonio informativo.

4. Formazione e consapevolezza del personale

Sono auspicabili sessioni di formazione regolari per il personale (inclusi gli organi direttivi), dando particolare rilievo a temi quali la gestione delle password, il riconoscimento delle e-mail di phishing e le procedure di risposta agli incidenti: la formazione continua è strumento essenziale per mantenere alta la consapevolezza rispetto alle minacce e la propensione alla valutazione dei rischi.

5. Monitoraggio e revisione continui

Potrebbe risultare necessario implementare un sistema di monitoraggio continuo e automatizzato, per rilevare e rispondere rapidamente agli incidenti di sicurezza. Sono del resto da considerarsi indispensabili la gestione delle vulnerabilità e la revisioni periodiche di tutte le politiche e procedure di sicurezza, per appurarne l’efficacia e procedere laddove opportuno con gli aggiornamenti necessari all’emergere di nuove minacce.

6. Collaborazione e condivisione delle informazioni

Un aspetto spesso sottovalutato della direttiva è l’invito alla collaborazione inteso a diffondere informazioni rilevanti per aiutare la comunità europea a fronteggiare minacce cibernetiche. Le organizzazioni potranno stabilire canali di comunicazione con altre aziende, con le autorità competenti ed enti di settore per condividere e acquisire informazioni circa le minacce e le migliori pratiche di sicurezza: la collaborazione è fondamentale per poter dare una risposta efficace e coordinata agli incidenti informatici.

7.NIS2 e ISO/IEC 27001

Se la NIS2 definisce con un certo grado di precisione cosa aspettarsi dai soggetti coinvolti, certamente nulla dice su come le organizzazioni dovrebbero concretizzarne i requisiti. Il considerando 79 della direttiva ci viene tuttavia in soccorso, con un richiamo diretto alla famiglia di standard ISO/IEC 27000. In particolare, confrontando il testo della direttiva con le clausole e i controlli della ISO/IEC 27001:2022 appaiono evidenti le corrispondenze. Lo standard internazionale fornisce del resto preziose indicazioni su come affrontare, in un’ottica di sistema di gestione, il tema della sicurezza e può costituire un riferimento illuminante nel perseguimento e nel mantenimento della conformità alla direttiva europea.

“La NIS2 – ci dice Guido Arrigoni, Cybersecurity compliance manager di 7Layers – definisce requisiti stringenti la cui attuazione dovrà essere commisurata alla criticità dei sistemi e quindi agli scenari di rischio che i soggetti interessati dovranno affrontare. L’ultima versione della ISO/IEC 27001, particolarmente attenta alle tematiche di cybersecurity, offre gli strumenti metodologici per progettare e implementare un sistema a supporto della governance della sicurezza aziendale coerente con le disposizioni normative, a prescindere dal raggiungimento della certificazione”.

Benefici dell’implementazione della Direttiva NIS2

Conformarsi alla Direttiva NIS2 offre alle aziende numerosi vantaggi, tra cui:

• Maggiore resilienza, poiché migliora le capacità di prevenire, rilevare e rispondere agli incidenti di sicurezza;
• Fiducia dei clienti, in quanto sapere che la loro sicurezza è ritenuta una priorità rende più fiduciosi clienti, partner e collaboratori;
• Protezione finanziaria, grazie alla riduzione dei costi associati agli incidenti di sicurezza (come perdita di dati, interruzione del servizio e danni reputazionali);
• Vantaggio competitivo, perché garantire la conformità alle normative di sicurezza può trasformarsi in un vantaggio strategico rispetto agli altri competitor sul mercato.

La NIS2 in Italia

È di recente approvazione da parte del Consiglio dei Ministri lo schema del decreto di recepimento della NIS2 in Italia. Dalle informazioni attualmente disponibili non risultano significative variazioni sui requisiti tecnici e organizzativi, mentre vengono accuratamente definiti i compiti dell’autorità nazionale competente NIS, individuata nella Agenzia di Cybersicurezza Nazionale (ACN), che sarà supportata nella sua attività dai Ministeri quali autorità di settore. Le aziende potenzialmente coinvolte dalla Direttiva dovranno auto-segnalarsi nei primi mesi del prossimo anno sul portale digitale che sarà messo a loro disposizione (e che costituirà il principale anale di comunicazioni con le autorità). Sulla base delle informazioni raccolte, la ACN provvederà a comunicare l’inserimento, la permanenza o l’eliminazione dall’elenco dei soggetti essenziali o importanti.

Conclusioni

I soggetti che ritengono di rientrare nel perimetro di applicabilità della NIS2 dovranno inevitabilmente valutare la propria security posture e colmare l’eventuale gap che le separa da quanto richiesto dalla norma europea e, presto, nazionale. Riteniamo tuttavia che, nel panorama odierno, le aziende debbano in ogni caso prepararsi adeguatamente per proteggere i propri sistemi da minacce informatiche sempre più sofisticate: pianificare mirati investimenti in materia di cybersecurity, ancor prima che l’esito dell’applicazione di una norma, è da considerarsi una strategia vincente per garantire la propria continuità operativa, preservare la propria posizione sul mercato e assicurarsi la fiducia dei clienti.

Per ulteriori informazioni sulla Direttiva NIS2 e su come implementare le misure di sicurezza necessarie, puoi consultare le linee guida ufficiali della Commissione Europea e le informazioni offerte dalla Agenzia Nazionale di Cybersecurity, ACN.

https://www.ictsecuritymagazine.com/notizie/nis2-misure-controlli-e-sanzioni-previste-dalla-direttiva-europea-e-uno-spunto-di-7layers/

Workplace safety remains a critical issue, impacting more than 1 million Americans each year. In response to the challenge that employees face, California enacted S.B. 553 last fall, mandating that employers with more than 10 employees in the state of California develop workplace violence prevention plans, along with other requirements, by July 1, 2024. 

Laws like S.B. 553 are essential tools for safeguarding employees that ensure employers meet legal standards, implement preventive measures and foster a culture where reporting incidents is encouraged without fear of reprisal. While the challenge is in implementation of these laws, they do help establish clear guidelines and requirements, reducing employer liability, enhancing public image and promoting societal values of maintaining a violence-free and harassment-free workplace. Compliance with these regulations creates a secure work environment, boosts employee morale and supports organizational success and social responsibility.

Defining workplace violence

According to S.B. 553, workplace violence includes: 

• The threat or use of physical force against an employee that results in or is likely to result in injury, psychological trauma or stress. 
• Incidents involving the threat or use of firearms or other dangerous weapons, including common objects used as weapons. 

Workplace violence can involve employees, employers, customers, clients or visitors and can take various forms, such as verbal abuse, threats, physical assault, property damage or other aggressive behaviors. 

This is a significant concern for both employers and employees because of its impact on individual well-being and the overall workplace environment. Preventive measures often include developing and implementing policies, training programs and security measures to address and mitigate these risks. 

Key provisions of S.B. 553 

The new law requires California employers to create a workplace violence plan that includes: 

• Methods and protocols: Address unsafe or unhealthy conditions and work practices. 
• Hazard recognition: Regularly scheduled inspections to quickly identify and rectify unsafe conditions and practices. 
• Adherence to practices: Systems ensuring employees follow safe and healthy work practices, with disciplinary actions for non-compliance. 
• Emergency response procedures: Effective procedures for responding to potential or actual workplace violence, including alert protocols, evacuation plans and seeking assistance from security and law enforcement. 
• Program implementation: Identification of individuals responsible for program implementation. 
• Training programs: Occupational health and safety training for employees. 
• Communication system: Establishment of a communication system for occupational health and safety matters, emphasizing the reporting of workplace hazards without fear of reprisal. 
• Incident logs: Definition of logs recording workplace violence incidents, including details like date, time, location and type of incident. 
• Post-incident response: Procedures for responding to and investigating incidents. 

How to prepare your business  

As the deadline approaches, organizations that employ California residents must consider several factors: 

• Leadership: Larger organizations with dedicated security and risk management teams may lead these efforts, while smaller organizations may need external resources, such as consultants, to develop a plan. 
• Training: Collaboration between security and risk teams, as well as human resources, is critical for defining and implementing training. 
• Defining the role technology plays: Technology can streamline the gathering of information for post-incident response and investigation, integrating video, access control data, response notes and emergency communication logs to assist law enforcement. 
• Implement incident and case management: Using technology to gather and present critical information efficiently can help organizations comply with the new laws. 

There are a few steps that can be taken when preparing a workplace violence prevention plan for your company, regardless of whether you have a need to be compliant with the S.B. 553 law. They include, but are not limited to: 

1. Risk assessment: Conduct a thorough workplace violence risk assessment to identify potential hazards and vulnerable areas, as well as consult employees for insights on potential risks. 
2. Develop policies: Draft a clear, comprehensive workplace violence prevention policy to ensure the policy includes zero-tolerance statements, then communicate the policy to all employees. 
3. Establish prevention measures: Implement physical security measures (e.g., consider adding surveillance cameras, establishing controlled access areas, etc) and develop safety protocols for high-risk situations. Additionally, create procedures for reporting and responding to incidents. 
4. Engage in employee training: Develop and conduct regular training programs on recognizing and responding to workplace violence that include conflict resolution and de-escalation techniques. Train employees on emergency procedures. 
5. Enact an emergency response plan: Create a detailed emergency response plan that includes evacuation routes, shelter-in-place procedures and communication protocols. As part of this, designate roles and responsibilities for responding to incidents. 
6. Ensure you have incident reporting and investigation capabilities: Establish a clear incident reporting system and ensure employees can report incidents anonymously if preferred. Develop a procedure for investigating incidents promptly and thoroughly. 
7. Engage additional support resources: Provide support services for victims of workplace violence (e.g., counseling, legal assistance) and establish a peer support network. 
8. Regularly review and update planning measures: Schedule regular reviews and updates of the workplace violence prevention plan, incorporating feedback from employees and incident reports. Make sure you update the plan based on changes in the workplace or new risks. 
9. Develop a communication plan: Develop a communication plan to keep employees informed about safety policies and procedures using multiple channels (e.g., meetings, emails, intranet) to disseminate information. Going further, encourage open communication and feedback. 
10. Ensure proper documentation and record-keeping: Maintain detailed records of all incidents, reports and investigations; document training sessions, attendance and materials used; and keep logs of safety inspections and maintenance of security systems. 

Prioritizing workplace violence prevention ultimately supports organizational success and the well-being of your employees. While S.B. 553 might currently only apply to California employees, many states are elevating these conversations to protect employees from threats, which means having a plan in place on how to address and prevent incidents of workplace violence should be top of mind for security leaders.

https://www.securitymagazine.com/articles/100831-workplace-violence-prevention-how-to-formulate-a-plan

@import url(‘https://fonts.googleapis.com/css2?family=Nunito+Sans:ital,opsz,wght@0,6..12,400;0,6..12,500;0,6..12,600;0,6..12,700;1,6..12,400;1,6..12,500;1,6..12,600;1,6..12,700&family=Nunito:ital,wght@0,400;0,500;0,600;0,700;1,400;1,500;1,600;1,700&display=swap’); h3 { font-weight: bold; font-size: 18px; color: #C72026; } .w3-panel:after,.w3-panel:before { content: “”; display: table; clear: both } .w3-panel { padding: 16px; margin-top: 16px; margin-bottom: 16px } .w3-leftbar { border-left: 6px solid #386994!important } .w3-color,.w3-hover-color:hover { color: #386994!important; background-color: #eaf1f7!important } .w3-large { font-size: 20px!important } .w3-sans-serif { Nunito Sans’,Arial,sans-serif } .w3-opacity,.w3-hover-opacity:hover { opacity: 0.60 }

Competition for tech talent is hotter than ever, fueled by technological growth. As new research has found, security organizations are feeling this acutely, particularly in light of recent cyberattacks. High-profile hacks targeting organizations from the Ascension health system to the UK Ministry of Defence payroll system highlight the need for tech-savvy talent.

Beset by challenges such as outdated employee value propositions, prescriptive career paths, and low pay, security organizations often struggle to attract this type of talent. Even with improvements to purpose, progression, and pay, outmoded recruitment strategies, strict vetting procedures and reluctance to change staff entry levels can undermine efforts to upskill. So what’s the solution?

Addressing the elephant in the room

It’s a universally acknowledged truth that many security roles are stifled by stringent vetting policies. Originating in the 1940s, these policies don’t always reflect dynamic societal shifts. Recruits are left in limbo while security clearances are confirmed, and many drop out of the pipeline before they see the light at the end. Vetting is just as restrictive for those who leave security roles and want to return, but a “one-way door” for leavers can shut out new perspectives gained from outside experiences.

To revamp vetting, security organizations can look back to move forward, understand how vetting has evolved (or hasn’t), and update processes for a fast-paced world. In practice, this means adjusting clearances for less sensitive roles, and thinking about how to maintain clearances so people can be called on as required. Employees who leave well can rejoin well, and bring new skills with them to aid upskilling efforts.

Find skills in surprising places

In addition to revamped vetting, security leaders must remember that talent doesn’t always have to come from STEM grad schemes. Aptitude-based recruitment is a non-traditional approach that can help organisations obtain aligned and often surprising skillsets.

A keen crocheter, for example, can create patterns in a way that aligns to coding. Applying this type of aptitude lens to the recruitment process helps create a more diverse workforce, including for neurodiversity, gender and background. To reach diverse talent, tailoring the language used in job specifications, such as using inclusive language and reducing “must-have” requirements, is crucial. Organizations can also develop accessible learning models and upskilling programmes, such as immersive learning and gamification, that enable people to learn in “safe to fail” environments. Focusing on strengths in training — and, importantly, day-to-day work — will incentivise people to stay, boosting retention.

Talent can also be exported from citizens: just look at Bellingcat, the citizen-led research collaboration, or Sweden’s Total Defence approach, inspiring Swedes to become stakeholders in security. Taking a more holistic, whole-of-society approach helps organizations to spot inter-dependencies, find and upskill new talent, and draw on a wider range of resources.

For example, in the U.K., the government could consider adapting its existing military reserve model to enable civilian contributions as part of a whole-of-society security approach. If the vetting model became more flexible, civilian staff leaving full-time employment might still be able to contribute to national security through a lighter commitment. This could also allow those from outside government to share expertise on a minimal commitment basis, much like they do with other organizations through non-executive roles. This would widen the talent pool to include those later in their careers who want to add a national security contribution to their legacy, but are currently excluded by the focus on those at the start of their professional lives.

Use what you have

To take advantage of available talent, organizations can enhance the skills of current staff and those joining laterally from other departments or teams. Exporting talent between different departments and organizations requires changing defined career paths in favour of flexibility. This enables new thinking, different perspectives and beneficial cross-referencing between solutions applied elsewhere. It also allows staff to build on prior learning and pursue their unique areas of interest and strengths, which supports long-term upskilling.

Taking this approach to the wider security ecosystem, organizations could share skilled employees, aided by common career pathways, aptitude tests and joint selection frameworks co-developed through shared language and systems. The Defence Nuclear Enterprise’s latest strategy report, for example, looks at shifting from a talent ownership model to one of shared benefit, creating robust structures for individuals to move between teams. 

Don’t underestimate the power of new thinking

Upskilling is an important element of making use of available talent. Rather than one-off training days and click-through courses, effective upskilling focuses on continuous, whole-life learning — because the skills learned today don’t always answer tomorrow’s problems.&

To gain the necessary tech skills, security organizations must therefore revamp vetting, adopt non-traditional recruitment strategies and optimize existing talent through life-long upskilling. When recruitment policies were first created, the landscape was inherently different, which is why security organizations struggle to keep up with tech acceleration. But if they invest in optimizing their approach to closing the tech talent gap, they will strengthen the security ecosystem as a whole and create a secure future.

https://www.securitymagazine.com/articles/100830-how-security-leaders-can-close-the-tech-talent-gap-once-and-for-all

If space systems such as GPS were hacked and knocked offline, much of the world would instantly be returned to the communications and navigation technologies of the 1950s. Yet space cybersecurity is largely invisible to the public at a time of heightened geopolitical tensions.

Cyberattacks on satellites have occurred since the 1980s, but the global wake-up alarm went off only a couple of years ago. An hour before Russia’s invasion of Ukraine on February 24, 2022, its government operatives hacked Viasat’s satellite-Internet services to cut off communications and create confusion in Ukraine.

I study ethics and emerging technologies and serve as an adviser to the US National Space Council. My colleagues and I at California Polytechnic State University’s Ethics + Emerging Sciences Group released a US National Science Foundation-funded report on June 17, 2024, to explain the problem of cyberattacks in space and help anticipate novel and surprising scenarios.

Space and you

Most people are unaware of the crucial role that space systems play in their daily lives, never mind military conflicts. For instance, GPS uses signals from satellites. GPS-enabled precision timing is essential in financial services where every detail—such as time of payment or withdrawal—needs to be faithfully captured and coordinated. Even making a mobile phone call relies on precise coordination of time in the network.

Besides navigation for airplanes, boats, cars, and people, GPS is also important for coordinating fleets of trucks that transport goods to stock local stores every day.

Earth-observation satellites are “eyes in the skies” with a unique vantage point to help forecast the weather, monitor environmental changes, track and respond to natural disasters, boost agricultural crop yields, manage land and water use, monitor troop movements, and much more. The loss of these and other space services could be fatal to people vulnerable to natural disasters and crop failure. They could also put global economics and security at serious risk.

Factors in play

In our report, we identified several factors that contribute to the increasing threat of space cyberattacks. For instance, it’s important to recognize that the world is at the start of a new space race.

By all accounts, space is becoming more congested and more contested. Both nation-states and private companies, which are underregulated and now own most of the satellites in orbit, are gearing up to compete for resources and research sites.

Because space is so remote and hard to access, if someone wanted to attack a space system, they would likely need to do it through a cyberattack. Space systems are particularly attractive targets because their hardware cannot be easily upgraded once launched, and this insecurity worsens over time. As complex systems, they can have long supply chains, and more links in the chain increase the chance of vulnerabilities. Major space projects are also challenged to keep up with best practices over the decade or more needed to build them.

And the stakes are unusually high in space. Orbital trash zips around at speeds of 6 to 9 miles per second and can easily destroy a spacecraft on impact. It can also end space programs worldwide given the hypothesized Kessler syndrome in which the Earth is eventually imprisoned in a cocoon of debris. These consequences weigh in favor of space cyberattacks over physical attacks because the debris problem is also likely to affect the attacker.

Moreover, given critical space infrastructure and services, such as GPS, conflicts in space can spark or add more fuel to a conflict on Earth, even those in cyberspace. For instance, Russia warned in 2022 that hacking one of its satellites would be taken as a declaration of war, which was a dramatic escalation from previous norms around warfare.

https://arstechnica.com/?p=2035254

Lug 05, 2024 Marina Londei News, RSS 0

---

In un momento di forte digitalizzazione e dell’aumento del numero e della gravità degli attacchi informatici, ACN (Agenzia Nazionale per la Cybersicurezza) e DIE (Dipartimento per l’Informazione e l’Editoria) hanno dato il via a una campagna radio, tv e social per “rafforzare il fattore umano” nella cybersecurity.

“Accendiamo la cybersicurezza. Proteggiamo le nostre imprese“ è lo slogan con cui si presenta la campagna volta a diffondere la cultura di cybersecurity, specialmente tra le piccole e medie imprese che spesso non hanno la conoscenza e le risorse necessarie per contrastare i nuovi attacchi.

“Costruire la consapevolezza del crescente pericolo dei cyber-attacchi è uno dei target principali di questa campagna istituzionale. Con il nostro Dipartimento siamo impegnati a fornire a cittadini e imprese le informazioni fondamentali per la tutela della loro vita, sociale ed economica, e della loro produttività. Per questa ragione cerchiamo sempre di realizzare una coerenza di fondo fra tutte le campagne in modo che il Governo possa parlare con un tono di voce comunicativo omogeneo” ha spiegato Alberto Barachini, sottosegretario alla Presidenza del Consiglio alla guida del DIE.

“Il Dipartimento ha lavorato insieme all’Agenzia per la Cybersicurezza alla realizzazione dello spot per mettere a punto un messaggio chiaro, semplice nel quale la creatività sia al servizio del bene comune e della sicurezza del nostro Paese. Questa è solo la prima delle misure contenute nella più ampia Strategia Nazionale per la Cybersicurezza 2022 – 2026 che ci vedrà al fianco dell’Acn. Un’alleanza fondamentale grazie alla quale porteremo avanti anche una missione specifica contro la disinformazione e a tutela dell’integrità del sistema informativo nazionale“.

“In vista dell’imminente recepimento della Direttiva NIS 2 che amplierà notevolmente i settori coinvolti, è essenziale che le PMI aumentino il loro presidio di sicurezza riducendo l’esposizione alle minacce informatiche e mitigando gli impatti di eventuali attacchi cyber, al fine di salvaguardare la produttività e gli investimenti fatti” ha aggiunto Bruno Frattasi, direttore dell’ACN.

Dalle analisi effettuate da ACN attraverso il CSIRT, gli attacchi informatici ai danni delle PMI sono in aumento, sia in termini di numerosità che di impatti. Tra le principali minacce figurano la diffusione di malware e ransomware e l’utilizzo di tecniche di social engineering quali il phishing.

Barachini e Frattasi hanno sottolineato la centralità del fattore umano per il successo di queste tecniche, ribadendo l’importanza di rendere operatori e dipendenti più consapevoli dei rischi a cui le organizzazioni sono esposte.

L’iniziativa attua la misura numero 71 della Strategia Nazionale sulla “Promozione della cultura della sicurezza cibernetica” e verrà trasmessa su diversi canali (radio, tv, stampa e web) così da raggiungere dirigenti, capi d’azienda, professionisti ICT e dipendenti.

La campagna si divide in tre step: tra il 4 e il 18 luglio sono previsti 10 passaggi al giorno dello spot tv sulle reti RAI e diffusione dello spot sui social media DIE e ACN, oltre alla pubblicazione sul sito ACN della pagina promozionale con consigli sulla cybersicurezza delle PMI distinti per dirigenti, dipendenti, professionisti e fornitori IT.

In seguito, dal 15 settembre al 15 gennaio avverrà la diffusione della campagna social con diversi contenuti nativi. Infine, dal 15 settembre al 30 ottobre ci sarà una programmazione pubblicitaria dello spot sulle reti televisive commerciali, le radio nazionali e locali, contenuti social di approfondimento con alcuni consigli di cyber hygiene come la protezione dal Phishing, il backup sicuro dei dati aziendali e la gestione sicura delle password.

---

---

---

https://www.securityinfo.it/2024/07/05/da-acn-e-die-una-campagna-per-diffondere-la-cultura-di-cybersecurity/?utm_source=rss&utm_medium=rss&utm_campaign=da-acn-e-die-una-campagna-per-diffondere-la-cultura-di-cybersecurity

The U.S. Department of Labor has released a proposed rule to protect workers from the significant health risks of extreme heat. If finalized, the proposed rule would help protect approximately 36 million workers in indoor and outdoor work settings and substantially reduce heat injuries, illnesses and deaths in the workplace.

Heat is the leading cause of weather-related deaths in the U.S. Excessive workplace heat can lead to heat stroke and even death. While heat hazards impact workers in many industries, workers of color have a higher likelihood of working in jobs with hazardous heat exposure.

The proposed rule would require employers to develop an injury and illness prevention plan to control heat hazards in workplaces affected by excessive heat. Among other things, the plan would require employers to evaluate heat risks and — when heat increases risks to workers — implement requirements for drinking water, rest breaks and control of indoor heat. It would also require a plan to protect new or returning workers unaccustomed to working in high heat conditions.

Employers would also be required to provide training, have procedures to respond if a worker is experiencing signs and symptoms of a heat-related illness, and take immediate action to help a worker experiencing signs and symptoms of a heat emergency.

In addition, the agency is prioritizing programmed inspections in agricultural industries that employ temporary, nonimmigrant H-2A workers for seasonal labor. These workers face unique vulnerabilities, including potential language barriers, less control over their living and working conditions, and possible lack of acclimatization, and are at high risk of hazardous heat exposure.

https://www.securitymagazine.com/articles/100829-department-of-labor-announces-extreme-heat-protections-for-workers

Lug 05, 2024 Marina Londei Approfondimenti, Hacking, Hacking, In evidenza, News, RSS 0

---

Le botnet stanno spopolando tra i cybercriminali, anche per via del costo irrisorio a cui possono essere acquistate: secondo gli esperti di Kaspersky Digital Footprint Intelligence, gli attaccanti possono acquistare reti di dispositivi già pronte a partire da soli 99 dollari.

Il report ha analizzato le vendite di botnet sul dark web e sui canali shadow di Telegram e ha evidenziato anche che, oltre agli acquisti occasionali, queste reti possono essere noleggiate oppure acquisite come codice sorgente rilasciato da altri criminali a un prezzo basso e simbolico, compreso solitamente tra i 10 e i 50 dollari.

I dispositivi che fanno parte di queste reti possono essere disparati: dai device casalinghi intelligenti a quelli industriali avanzati. I device vengono poi utilizzati per eseguire attacchi di massa, in particolare i DDoS. “Mirai è uno dei più famosi esempi di botnet. Esegue una scansione di Internet alla ricerca di dispositivi IoT con password standard deboli, utilizza una serie di credenziali predefinite per ottenere l’accesso e li infetta. I dispositivi colpiti diventano quindi parte della botnet, che può essere controllata da remoto per eseguire vari tipi di cyberattacchi” ha spiegato Alisa Kulishenko, Security Analyst di Kaspersky Digital Footprint Intelligence.

Le botnet in vendita non offrono solo dispositivi infettati, ma anche diverse tipologie di malware e infrastrutture e tecniche di elusione personalizzate. La compravendita avviene nel cosiddetto “mercato ombra”, con prezzi che vanno dai 99 dollari a 10.000 dollari per le reti più avanzate e di qualità.

“I potenziali guadagni derivanti da attacchi che utilizzano botnet a noleggio o in vendita possono superare i costi associati. Permettono di svolgere attività come il mining illegale di criptovalute o attacchi ransomware e molto altro ancora. Alcune fonti pubbliche riportano che il pagamento medio di un riscatto è di due milioni di dollari americani! Al contrario, noleggiare una botnet costa molto meno e può essere ripagato anche con un solo attacco riuscito” ha aggiunto Kulishenko.

I ricercatori di Kaspersky spiegano che le botnet sono la scelta più gettonata dai cybercriminali meno esperti, in quanto hanno meno probabilità di essere rilevate dalle soluzioni di sicurezza.

Per contrastare questa minaccia, i ricercatori consigliano di scegliere soluzioni affidabili per la protezione degli endpoint in grado di individuare anomalie nel comportamento dei dispositivi e segnalare subito eventuali minacce.

---

---

---

https://www.securityinfo.it/2024/07/05/botnet-in-vendita-a-partire-da-soli-99-dollari/?utm_source=rss&utm_medium=rss&utm_campaign=botnet-in-vendita-a-partire-da-soli-99-dollari

Le vulnerabilità non sono isolate ma correlate tra di loro; ed esistono tipiche sequenze del loro sfruttamento per portare a compimento degli attacchi. Certamente avere barriere al confine tra parte IT e parte OT, così come adeguate policy di sicurezza, sono sfide ancora da vincere.

Boundary Protection: il confine tra le reti IT e OT in CPS sta svanendo a causa della maggiore connettività. I confini deboli rappresentano un grande rischio, come si è visto negli incidenti informatici del passato. Stabilire una DMZ che contenga meccanismi di protezione, incluso un firewall, è il primo passo per rafforzare questi confini. Tuttavia, anche la stessa DMZ può essere soggetta ad attacchi e deve essere attentamente progettata e implementata.

Least Functionality: la rete industriale eterogenea interconnessa contiene una varietà di potenziali punti di accesso (ad es. porta, protocollo, servizi) e non è necessario mantenerli tutti attivi. La Least Functionality si riferisce al divieto e alla limitazione dell’uso di questi per prevenire potenziali abusi: tenere “aperti” solo i punti di accesso strettamente necessari. Le aziende tendono a sottovalutare o addirittura ignorare la sicurezza perché si concentrano sulla riduzione dei costi, con conseguente presenza di vulnerabilità legate alla mancata implementazione di tale policy, che effettivamente ha un costo: ridurre al minimo necessario le funzionalità di un sistema, spegnendo quelle non necessarie, richiede un’analisi attenta e costante delle sue necessità, funzionalità e prestazioni. Costa meno lasciare i dispositivi configurati così come vengono forniti dal venditore, anziché entrare nel merito dell’uso che se ne farà una volta installati.

Identification & Authentication: l’applicazione di adeguati meccanismi di autenticazione in un ambiente industriale impedisce l’accesso non autorizzato a dispositivi e informazioni. L’autenticazione delle comunicazioni uomo-macchina o macchina-macchina (M2M) richiede l’identificazione preventiva. Alle entità non identificate in tali ambienti dev’essere proibito di agire. Un avversario che riesca a inserirsi in una comunicazione non autenticata può danneggiare il CPS modificando, da un lato, i valori comunicati dai sensori e/o agli attuatori nonché, al contempo, impedire il rilevamento dell’intrusione stessa.

Physical Access Control: l’accesso alle strutture industriali avviene tramite chiavi, schede elettroniche e tecnologie mobili. Mentre le chiavi fisiche sono soggette a furto, le carte elettroniche e le tecnologie mobili non sono inviolabili. Disporre quindi di sistemi di verifica continua degli accessi a tutti i livelli consente di prevenire eventuali abusi.

Audit Review and Analysis: le organizzazioni dovrebbero adottare il sistema ISM (Information Security Management) come meccanismo operativo di monitoraggio e analisi degli eventi in tempo reale, nonché tracciamento e registrazione dei dati di sicurezza per scopi di conformità o di auditing. Naturalmente il sistema ISM stesso dev’essere protetto perché, se manipolato da un attaccante, costui potrebbe renderlo inefficace, e non consentire l’individuazione degli abusi commessi.

Authentication Management: tre principi essenziali che devono essere regolati dai criteri di applicazione della password sono la modifica, la rimozione e la crittografia delle password.

1. Password Change: i dispositivi COTS (Commercial Off-the-Shelf ) per CPS, come i PLC, vengono forniti con una password predefinita assegnata dal fornitore. Ciò (vedi Stuxnet) rappresenta un grande rischio, pertanto dovrebbe essere impostata una nuova password prima della messa in funzione del dispositivo, cambiandola con frequenza regolare.
2. Password Removal: questo è, più in generale, il tema delle credenziali che devono essere rimosse dal sistema e rese inattive per tutti quei soggetti che, a vario titolo, non hanno più necessità od obbligo di usarle. Anche questa attività richiede un’attenzione continua al controllo degli accessi. Anche gli eventuali repository di credenziali devono essere protetti.
3. Password Encryption: è necessario applicare meccanismi di crittografia avanzata per proteggere le password a partire dalla fase di autenticazione. Se la password viene trasmessa o conservata come testo in chiaro, un malintenzionato può accedervi in caso di intrusione.

Least Privilege: il NIST suggerisce di applicare il principio del privilegio minimo come parte della strategia di difesa in profondità per il CPS. In base a tale principio, si fornisce un accesso minimo a un software/utente per attività essenziali e solo quando necessario, mentre il numero di attività viene mantenuto al minimo. Ciò determina sistemi facili da analizzare, con una maggiore sicurezza complessiva. Il privilegio minimo può essere fornito tramite l’applicazione del controllo degli accessi in base al ruolo (RBAC) che assegna ben precisi diritti di accesso a specifici ruoli.

Allocation of Resources: a causa della crescente interconnettività, fornire un ambiente sicuro per i CPS richiede sempre più risorse. Questo problema dev’essere affrontato anche a livello di management, per orientare anche verso la sicurezza gli investimenti da effettuare.

Account Management: gli account aggiuntivi nelle reti dei CPS vengono utilizzati in situazioni eccezionali (ad esempio, prima messa in funzione da parte del venditore/installatore). Questi account temporanei/di emergenza hanno in genere elevati privilegi di accesso Pertanto, devono essere rimossi/disabilitati una volta completato il loro utilizzo. Tale azione dovrebbe essere regolata da una rigorosa politica di controllo degli accessi.

Remote Access: la possibilità di accedere remotamente ai CPS ne aumenta indubbiamente la superficie di attacco; anche perché ormai l’accesso remoto non solo è utilizzato in modo passivo per scopi di monitoraggio, ma si vuole che consenta di operare sul sistema e i suoi dispositivi esattamente come se si fosse fisicamente presenti nell’impianto. A fronte di un’indubbia comodità in tal senso, una politica forte di controllo degli accessi a tutti i livelli, compreso quello remoto, è allora necessaria. I principali modelli di controllo degli accessi implementati negli ambienti industriali sono il DAC (Discretionary Access Control), MAC (Mandatory Access Control), RBAC (Role Based Access Control) e ABAC (Attribute Based Access Control). Ulteriori modelli sono stati sviluppati per l’IIoT e il Cloud.

I pilastri della sicurezza

Gli attacchi informatici più sofisticati della storia (ad es. Stuxnet, TRITON) prendono di mira i sistemi di controllo gestiti da CPS. Pertanto, il concetto di difesa in profondità deve essere applicato a tutti gli elementi del CPS. La difesa in profondità può essere fornita stabilendo diversi livelli di difesa in cui ogni livello ha un determinato scopo, mentre l’obiettivo comune è fornire un ambiente sicuro. Questi livelli possono differire per le risorse tecniche (ad es. hardware, software) pur mostrando somiglianze in termini di personale e procedure. Un ambiente industriale sicuro, progettato sulla base di un approccio di difesa in profondità, dovrebbe contenere le tre linee di difesa schematizzate in Figura 7.

In particolare, la prevention si basa su meccanismi capaci di impedire il successo di eventuali attacchi, quindi renderli inoffensivi. D’altro canto non è possibile poter sempre prevenire tutto ciò che è indesiderato, compreso ciò che ancora non si conosce; inoltre, in ambito cyber, la ricerca e lo sviluppo di nuove tecniche di attacco corrono persino più velocemente dell’attività opposta, sul fronte della difesa. Quindi, accanto alla prevention, occorre disporre di sistemi di detection che, utilizzando informazioni fornite dal monitoring, identifichi con la maggiore tempestività possibile i potenziali attacchi.

In che modo? Ad esempio riconoscendo deviazioni rispetto al comportamento atteso o agli standard del sistema. A quale livello? Tutti: dall’analisi del traffico di rete a livello di singolo pacchetto, ad anomalie nel consumo di energia da parte di attuatori in tempo reale, ma anche offline, ad esempio con la verifica di corretta implementazione nel sistema di determinate policy di sicurezza, o con l’analisi di prestazioni dei dispositivi impiegati per la sicurezza per accertare che siano compatibili coi requisiti prestazionali del sistema. La detection dunque prevede di disporre di una sorta di riferimento, che può anche essere un modello, rispetto al quale valutare il comportamento e/o la configurazione effettiva del sistema. In questo tipo di attività, oggi trovano largo impiego tecniche basate sull’intelligenza artificiale. La reaction rappresenta l’applicazione dei correttivi necessari a contrastare e possibilmente inibire quanto di (potenzialmente) malevolo o rischioso è stato individuato dalla detection, parallelamente all’eventuale ripristino delle funzionalità e prestazioni eventualmente già affette dall’attacco stesso. Chiaramente, detection e reaction sono attività che si possono sviluppare su tempi anche lunghi: ad esempio sequenze storiche che vanno molto indietro nel tempo per la detection, mentre la reaction, soprattutto quando non può essere totalmente automatica e richiede quindi un intervento umano, può portare a tempi assai lunghi per il recupero totale delle funzionalità e prestazioni del sistema attaccato, oltre al suo irrobustimento nei confronti delle criticità identificate.

Come appare quindi evidente, la sicurezza dei sistemi in generale è un processo sempre attivo, in continua esecuzione ed evoluzione, che può essere schematizzato come ISM (Information Security Management) in Figura 8, secondo i principali documenti sul tema che adottano modelli concettuali simili basati sui passaggi logici e temporali rappresentati nella parte sinistra della figura. Gli eventi che compaiono nella parte destra dell’immagine, invece, sono i responsabili del (ri)avvio e dell’iterazione del processo ISM fino al raggiungimento di una situazione soddisfacente e confermata dalla fase di validazione. La convalida ha lo scopo di dimostrare che il rischio complessivo è stato abbassato al di sotto di una soglia accettabile e di solito comporta sia attività offline (ovvero nuove sessioni di valutazione del rischio) che run-time (ovvero monitoraggio e misurazioni).

L’intera sequenza di passaggi viene quindi ripetuta ogni volta che:

1. i risultati verificati in fase di validazione non corrispondono alle aspettative (riduzione del rischio inadeguata);
2. vengono introdotte modifiche in qualsiasi parte/componente del sistema generale, comprese apparecchiature, policy, livelli di rischio, requisiti aziendali, normativi o legali, minacce o vulnerabilità scoperte di recente e così via;
3. le attività di monitoring e detection in fase di esecuzione rilevano un incidente di sicurezza con conseguenze superiori alla soglia di gravità accettabile (le conseguenze stimate fanno parte dei risultati prodotti durante la valutazione del rischio).

In sostanza, dunque, l’ISM riguarda l’intera organizzazione di una società, includendo i seguenti elementi:

• formazione e impegno dei dipendenti e dei dirigenti;
• rapporti con partner, fornitori e clienti;
• business continuity;
• requisiti legali e contrattuali;
• rispetto delle politiche e degli standard di sicurezza;
• conformità tecnica;
• gestione delle risorse;
• access control;
• gestione delle comunicazioni e delle operazioni;
• sicurezza fisica e ambientale.

Si noti che tutti gli aspetti sopra elencati sono strettamente correlati: ad esempio, l’impegno del management garantisce le risorse e gli investimenti necessari (formazione, attrezzature e audit), mentre la formazione dei dipendenti consente la comprensione di meccanismi e tecniche di sicurezza, così come la corretta attuazione delle policy e delle procedure.

Questo articolo è stato estratto dal white paper “Industrial Cybersecurity” disponibile in maniera gratuita al seguente link: https://www.ictsecuritymagazine.com/pubblicazioni/industrial-cybersecurity/

Articolo a cura di Luca Durante

https://www.ictsecuritymagazine.com/articoli/industrial-cybersecurity-gli-attacchi-piu-diffusi-e-le-contromisure/

Menlo Security released a report detailing three nation-state campaigns. These campaigns employed sophisticated techniques to target financial institutions (such as banking and insurance organizations), government agencies, legal firms and healthcare entities. The campaigns discussed in the report are LegalQloud, Eqooqp, and Boomer. 

Patrick Tiquet, Vice President, Security & Architecture at Keeper Security, says, “Nation-state cyber actors are constantly refining their methods to make their attacks more sophisticated and adaptable. Case in point, the recently uncovered and highly advanced HEAT campaigns — LegalQloud, Eqooqp and Boomer — that employ sophisticated evasion techniques capable of bypassing Multi-Factor Authentication (MFA) and using Adversary in the Middle (AiTM) kits. These campaigns have already compromised over 40,000 high-value users across critical sectors like banking, finance, insurance, legal services, government and healthcare. The fact that well-resourced nation-state actors are involved highlights just how serious these threats are.”

The report emphasizes the evolving nature of these campaigns, bypassing traditional security measures. 

“Bottom line is, you have to accept that some attacks will get through to your users and thus you must do your best to prepare them for that fateful moment,” states Mr. Mika Aalto, Co-Founder and CEO at Hoxhunt. “Security awareness and phishing training must keep pace with the latest threats so that people understand AitM and dynamic phishing, and they know how to spot these attacks and stay safe. These evasive techniques are fundamentally different from traditional static phishing attacks because they will intercept legitimate user traffic and deploy malware and malicious content that adjusts on-the-fly to the user’s context, making it very hard to identify. Despite this evolved tactic, users can stay safe if they understand that they must never let their guard down.”

As for the implications of the report, Callie Guenther, Senior Manager, Cyber Threat Research at Critical Start, says, “Menlo Security’s latest report validates and extends our previous findings on HEAT attacks. The detailed analysis of campaigns like LegalQloud, Eqooqp and Boomer highlights the advanced techniques used by nation-state actors and the critical need for adaptive and innovative cybersecurity measures. As attackers refine their methods, organizations must enhance their defenses with proactive, real-time security solutions and continuous monitoring strategies to counter these evolving threats effectively.”

https://www.securitymagazine.com/articles/100823-security-leaders-discuss-three-sophisticated-nation-state-campaigns

Lug 04, 2024 Marina Londei News, RSS, Vulnerabilità 0

---

Splunk, fornitrice di soluzioni software per il monitoraggio e l’analisi dati, ha pubblicato lo scorso lunedì sedici advisory di sicurezza con cui ha risolto altrettante vulnerabilità, di cui cinque a rischio elevato.

I bug individuati colpiscono Cloud Platform ed Enterprise, piattaforme che consentono di cercare, analizzare e visualizzare i dati e prendere decisioni informate in base a essi.

Le CVE-2024-36982 e CVE-2024-36983 colpiscono entrambe le soluzioni. La prima permette a un attaccante di eseguire una null pointer reference nell’endpoint REST “cluster/config” per interrompere il daemon di Splunk, risultando quindi in un Denial of Service; la seconda risiede invece in una funzione legacy (il comando deprecato “runshellscript”) e permette a un utente autenticato di sfruttare questa funzione per iniettare codice nella cartella di installazione delle piattaforme, e da qui eseguire codice arbitrario sull’istanza in esecuzione.

Questi due bug colpiscono le versioni di Enterprise inferiori alla 9.2.2, alla 9.1.5 e alla 9.0.10 e la Cloud Platform nelle versioni inferiori alla 9.1.2312.109 e alla 9.1.2308.207.

Le altre tre vulnerabilità colpiscono soltanto Splunk Enterprise. La CVE-2024-36984 permette a un utente autenticato di eseguire una query apposita per serializzare dati inattendibili ed eseguire poi codice arbitrario.

Troviamo poi la CVE-2024-36985, una vulnerabilità che consente a un utente con privilegi minimi, senza ruolo “admin” o “power”, di eseguire codice remoto tramite lookup esterno che referenzia l’applicazione “splunk_archiver”. Questa applicazione contiene uno script chiamato “copybuckets.py” che referenzia a sua volta il file “erp_launcher.py” che provoca l’esecuzione dello script “sudobash”; poiché questo script per l’apertura di una bash shell non esegue alcun controllo dell’input, gli attaccanti possono inserire argomenti appositi per eseguire codice remoto.

Infine, la CVE-2024-36991 è un bug che consente di eseguire un path traversal sull’endpoint /modules/messaging/ di Splunk Enterprise per Windows.

Questi ultimi bug colpiscono le versioni della piattaforma inferiori alla 9.2.2, alla 9.1.5 e alla 9.0.10; nel caso dei primi due, i bug sono presenti solo su Windows.

Splunk invita i suoi utenti ad aggiornare il prima possibile le due piattaforme a versioni non vulnerabili.

---

---

---

https://www.securityinfo.it/2024/07/04/splunk-risolve-16-vulnerabilita-in-enterprise-e-cloud-platform-di-cui-5-a-rischio-elevato/?utm_source=rss&utm_medium=rss&utm_campaign=splunk-risolve-16-vulnerabilita-in-enterprise-e-cloud-platform-di-cui-5-a-rischio-elevato