Autore: Stefano Pilla

Cisco Umbrella è l’unico strumento in grado di supportare il costante switch delle organizzazioni verso l’utilizzo del cloud per le attività quotidiane.

 

Prima di analizzarne nello specifico le caratteristiche, però, inquadriamo il contesto generale.

 

Come appena detto, si ha modo di vedere sempre più applicazioni e infrastrutture passare al cloud, con sempre più persone che lavorano fuori rete. Ciò rende necessaria una gamma di servizi e strumenti di sicurezza per tutelare il patrimonio aziendale che risiede nel cloud. Oggi, grazie a Cisco Umbrella, ogni azienda può soddisfare questa esigenza.

 

Unificando più servizi di sicurezza nel cloud, si può ora offrire ai clienti maggiore flessibilità e maggiore visibilità, ovunque gli utenti lavorino. L’obiettivo è semplice: semplificare le operazioni di sicurezza e ridurre la complessità ed i rischi, oltre ad accelerare l’adozione sicura del cloud.

 

Ecco alcuni esempi di innovazioni che Cisco Umbrella rende possibili, grazie alle sue caratteristiche:

Addio silos di sicurezza

La prima domanda da porsi è: le risorse di quanti uffici si ha il compito di proteggere? Nell’ambito di un passaggio delle risorse in cloud, spesso non è sostenibile costruire uno stack di sicurezza collocato in ogni filiale.

 

Spostando tali servizi di sicurezza di base in un’unica soluzione cloud, sarà possibile distribuire il giusto livello di sicurezza in modo coerente all’interno dell’organizzazione. Si ha inoltre la flessibilità di distribuirlo secondo necessità  (non si è quindi obbligati a delegare tutto o distribuire in un modo specifico). Ad esempio, è possibile iniziare con il DNS per una protezione rapida ovunque e sfruttare servizi di sicurezza aggiuntivi (gateway Web sicuro, firewall, CASB, ecc.) ovunque ve ne sia bisogno.

 

Con Cisco Umbrella la tecnologia è ben nota, ma l’approccio è nuovo di zecca

I tunnel IPSec sono in circolazione da sempre. Cisco ha sviluppato una nuova tecnologia per i tunnel IPSec che riduce al minimo i tempi di inattività ed elimina la necessità di costruire tunnel secondari, con un approccio in attesa di brevetto, utilizzando la tecnologia Anycast per il failover automatico.

 

È possibile ripartire un singolo tunnel IPsec per inviare traffico a Umbrella da qualsiasi dispositivo di rete, SD-WAN inclusa. Questo approccio integrato, combinato con il routing Anycast, può proteggere in modo efficiente gli utenti delle filiali, i dispositivi connessi e l’utilizzo delle applicazioni da tutte le interruzioni di Internet, con tempi di attività del 100%.

 

Rilevamento in tempo reale del tunneling DNS

Cisco sta osservando le tattiche degli aggressori e costruendo rapidamente contromisure basate sulle esigenze delle imprese: il tunneling DNS è un esempio.

 

Quest’ultimo utilizza il protocollo DNS per comunicare il traffico non DNS (ovvero HTTP) sulla porta 53.

 

Per meglio identificarlo e fermarlo, Cisco ha aggiunto le funzionalità Umbrella a funzionalità di rilevamento avanzate, euristica in tempo reale, firma e rilevamento dei dati codificati.

 

Il nuovo gateway Web (proxy completo) offre visibilità, controllo e protezione del traffico Web, con funzionalità come il filtro dei contenuti a livello di URL, il blocco di applicazioni o funzioni dell’app, la decrittazione HTTPS (sia per determinati siti che per tutti), il file ispezione con Cisco Advanced Malware Protection e antivirus, sandboxing di file sconosciuti con Cisco Threat Grid e avvisi retrospettivi su file che successivamente mostrano comportamenti dannosi.

 

Pensaci: il comportamento dei file può cambiare nel tempo o mettere in atto meccanismi per eludere il rilevamento iniziale. Se un file viene inizialmente ritenuto sicuro da Threat Grid e scaricato dal Web, ma in seguito viene considerato dannoso, Umbrella è l’unico strumento che ti consente di bloccarlo.

 

Tutti questi miglioramenti di Umbrella sono progettati per aiutare la tua organizzazione ad accelerare l’adozione del cloud in tutta sicurezza: devi avere la certezza che i tuoi utenti saranno al sicuro ovunque si connettano a Internet e questo è esattamente ciò su cui Cisco e FiveFold si stanno concentrando.

 

Vuoi ricevere maggiori informazioni su come difendere la tua rete aziendale?

Non esitare a contattarci!

 

#LetsDoITtogether

Questo articolo si propone di esaminare la differenza tra i due approcci firewall e il modo in cui Cisco ASA con i servizi Cisco Firepower affronta il continuum di un attacco completo.

 

Gli esperti di sicurezza spesso usano il termine “firewall di nuova generazione“, ma cosa significa esattamente e in cosa differisce da un firewall tradizionale?

Scenario firewall tradizionale

Un buon modo per spiegare la differenza tra i firewall tradizionali e quelli di nuova generazione è parlare delle porte comuni utilizzate su Internet.

 

La porta HTTP 80 è il protocollo utilizzato dai browser Web quando navighiamo in Internet.

 

Non solo questa porta è ben nota agli sviluppatori di applicazioni, ma purtroppo è anche ampiamente nota alle persone che scrivono malware dannosi. Dato che la porta 80 è sempre aperta in uscita sul firewall della tua organizzazione, che impatto ha sulla tua policy di sicurezza?

Prendiamo un caso d’uso tipico di un utente finale che sta navigando in Internet, senza Firepower. Chiameremo questa persona Mr. X, per semplicità.

Esempio

 

Ad esempio, Mr. X, mentre utilizza asset (hardware o sftware) aziendali, potrebbe catturare contenuti illegali che vengono piratati tramite Bit Torrent. 

 

Magari, invece, il suo desktop sta effettivamente eseguendo un Trojan che sta rubando informazioni e inviandole a persone che potrebbero danneggiare l’azienda.

 

Peggio ancora, senza Firepower, il desktop di Mr.X potrebbe essere controllato da un BotNet (che è successivamente controllato da un BotMaster da qualche parte su Internet) che fa sì che la macchina agisca da zombi e la costringe a prendere parte a un attacco di negazione del servizio che arresta le attività aziendali critiche . X pensa solo di star navigando innocentemente su Internet, ma come si può vedere da questo esempio, molte altre cose potrebbero succedere contemporaneamente.

 

Ciò che è importante rendersi conto è che tutte le diverse attività su Internet menzionate sopra (il legittimo e il non così legittimo) inviano traffico attraverso la porta HTTP 80 comune. Questo perché gli autori di applicazioni e malware sanno che quel traffico non verrà bloccato su quel particolare porto.

 

Qui sta l’enigma.

 

Gli amministratori del firewall devono scegliere di bloccare completamente la porta, influendo in tal modo sul business legittimo, oppure mantenere la porta aperta ed esporre il business al rischio. Sfortunatamente, i firewall tradizionali non hanno la capacità di distinguere tra traffico legittimo e traffico non legittimo quando passano attraverso la porta HTTP 80 comune.

 

È qui che entrano in gioco i firewall di prossima generazione di Cisco, poiché possono affrontare in modo specifico queste lacune.

I firewall di nuova generazione di Cisco

Sono in grado di filtrare i tipi specifici di applicazioni all’interno delle porte comuni che devono essere aperte per le normali attività quotidiane (ad esempio la porta 80).

 

I firewall Cisco di nuova generazione possono esaminare il traffico e determinare quale applicazione sta attualmente utilizzando quella porta specifica. Successivamente, è possibile prendere decisioni di filtraggio in base all’identità dell’applicazione.

 

Ciò offre agli amministratori del firewall la possibilità di prendere decisioni granulari sul controllo degli accessi e garantire che siano consentite solo le applicazioni approvate dalla società e le altre applicazioni non legittime (ad es. Condivisione di file P2P, ecc.).

Cisco ASA con FirePOWER

I nuovi firewall ASA 5500-X di Cisco con i servizi FirePOWER includono tutte le funzionalità di nuova generazione.

 

Cisco ASA con i servizi FirePOWER offre maggiore visibilità e automazione con una protezione di risposta superiore nell’intero continuum di attacco. Cisco offre il primo firewall adattivo di nuova generazione incentrato sulle minacce del settore che include il sistema NGIPS (Next Generation Intrusion Prevention) di Sourcefire e funzionalità avanzate anti-malware.

Le soluzioni di architettura tradizionale spesso costringono i clienti ad acquistare molteplici soluzioni diverse (Firewall, IPS, Web Gateway, VPN Gateway, Malware Analysis System, ecc.). Tutto questo solo per ottenere la protezione multistrato richiesta da un’azienda nel mondo di oggi.

 

Questi pezzi spesso non funzionano bene insieme e possono essere molto complessi da gestire.

 

La soluzione Cisco offre una protezione avanzata contro la protezione da malware contro minacce emergenti e persino sconosciute. Questi livelli integrati di sicurezza funzionano bene insieme, quindi è possibile individuare e bloccare minacce complesse che mancano ad altre soluzioni.

 

Cisco correla le minacce e le vulnerabilità per determinarne l’impatto o la valutazione dell’impatto. Seguendo questa logica, un ingegnere della sicurezza IT deve concentrarsi solo sulle valutazioni di impatto che hanno un punteggio di 1, le uniche che rappresentano un rischio per l’azienda.

Punti di differenziazione di Cisco ASA con i servizi FirePOWER

Il principale fattore di differenziazione di Cisco ASA con i servizi FirePOWER è il modo in cui gestisce le minacce prima, durante e dopo un attacco.

 

La soluzione di Cisco consente ai tecnici di fornire sicurezza retrospettiva, riducendo così al minimo l’impatto di un attacco.

 

L’ASA di Cisco con i servizi FirePOWER è in grado di identificare il punto esatto di entrata, dettagliare la portata del danno che ha subito, isolarlo completamente in modo che non possa più diffondersi e risolvere completamente la situazione. Questo tipo di visibilità è estremamente potente, fornendo protezione completa per le organizzazioni e consentendo al reparto IT di un’organizzazione di dormire un po ‘meglio la notte.

 

Sicurezza IT per la tua azienda con FiveFold

FiveFold è specializzata nell’implementazione e gestione di soluzioni di sicurezza IT che prevedono l’utilizzo di firewall di nuova generazione.

In questo periodo stiamo lanciando una nuova offerta che prevede una prova gratuita dei nostri servizi di supporto e monitoraggio.

 

Affrettati e prova le nuove soluzioni si sicurezza con FiveFold!

 

#LetsDoITtogether

Ogni hotel custodisce, nell’ambito delle sue attività, una serie di dati e contenuti importanti, generati oppure ottenuti nel corso dello svolgimento delle attività lavorative ordinarie.

 

Dal 2007, un gruppo criminale di hacker, ha intercettato questa miniera d’oro iniziando a compromettere le infrastrutture WiFi di alcuni hotel dell’Asia.

 

Utilizzando dei metodi via via più sofisticati, questo gruppo di criminali informatici inizia ad espandere i propri attacchi in Corea del Nord, Russia, Corea del Sud, Giappone, Bangladesh, Thailandia, Taiwan, Cina, Stati Uniti, India, Mozambico, Indonesia e Germania.

 

La prima campagna di spionaggio DarkHotel (questo il nomignolo che gli hacker si sono “guadagnati”) è stata scoperta dagli esperti di Cyber Security alla fine del 2014.

 

Come vengono attaccati gli hotel

Il modus operandi più frequente degli hacker di DarkHotel prevede delle campagne di spear-phishing, volte a sottrarre dati sensibili sia alla struttura che ai clienti business che soggiornano negli hotel di lusso. I bersagli preferiti sono CEO, Senior Vice-President, direttori vendite e marketing di varie organizzazioni.

 

Questi dirigenti di alto livello provengono principalmente dai settori manifatturiero, della difesa, dei capitali, farmaceutico, delle forze dell’ordine, dagli ranghi militari e di altri settori.

 

Una volta che gli utenti si connettono alla rete, vengono “accolti” da una finestra di dialogo che chiede loro di installare un falso aggiornamento.

 

L’aggiornamento falso è in realtà un pezzo di malware con firma digitale.

 

Il Malware usato dal gruppo di hacker, come se non bastasse, arriva equipaggiato con svariati keylogger che sottraggono tutto il possibile e lo trasmettono direttamente alla fonte dell’attacco.

 

Questo gruppo di Criminal Hacker sembra sapere in anticipo quando le vittime prescelte arriveranno nelle strutture di lusso e in che data lasceranno l’hotel.

 

È questo il modus operandi degli hacker: aspettare fino a quando le loro vittime giungono in hotel e si connettono a Internet, come è stato efficacemente analizzato dagli esperti di Cybersecurity che hanno studiato le attività di DarkHotel.

 

Per fare questo, il gruppo di Criminal Hacker viola tutti i sistemi degli hotel che registrano le informazioni di check-in e check-out degli ospiti. Accedendo all’elenco, gli aggressori sono in grado di raccogliere informazioni sui loro obiettivi principali. Questi possono accedere, tra l’altro, a informazioni quali l’orario di arrivo e di partenza previsto della vittima, il numero di camera e il nome completo.

 

Oltre ad inquinare le reti peer-to-peer per infettare le masse, DarkHotel utilizza una serie di certificati digitali per estendere il perimetro del loro attacco. Gli hacker sfruttano i certificati digitali scarsamente implementati per firmare il loro malcode.

 

Attualmente, stanno rubando e riutilizzando altri certificati legittimi per firmare il loro set di strumenti, per lo più backdoor e info stealer. La loro infrastruttura cresce e si restringe nel tempo, senza un modello coerente di configurazione. È allo stesso tempo protetta con una crittografia flessibile dei dati e mal difesa con funzionalità deboli e mal implementate.

 

Gli strumenti degli Hacker

Il gruppo di criminali ricorre a tecniche piuttosto ricorrenti nelle sue campagne.

 

Tra queste troviamo:

• Keylogger: Visto e considerato come la maggior parte degli hotel hanno computer e reti accessibili al pubblico;
• Malware: gli hacker li utilizzano installando un semplice downloader di malware o malware sul computer dell’ospite per raccogliere informazioni;
• Spear-phishing: DarkHotel utilizza questa strategia indirizzata alle vittime per diffondere malware

Come arginare la minaccia

Fortunatamente, per arginare le minacce del gruppo di hacker che imperversa in giro per il mondo, è possibile svolgere una serie di azioni volte a prevenire, bloccare ed eliminare le minacce.

 

Se la violazione è già avvenuta, il primo passo da fare è rivolgersi ad un Managed Service Provider per una procedura di Data Recovery.

 

Allo stesso tempo, è fondamentale monitorare costantemente lo stato del proprio network, grazie a servizi come il monitoraggio proattivo in cui FiveFold è specializzata.

 

Assicurata la “tenuta” della rete, si deve passare a un’attenta attività di Vulnerability Assessment. Si tratta di un’analisi di sicurezza che ha l’obiettivo di identificare tutte le vulnerabilità potenziali dei sistemi e delle applicazioni di un hotel.

 

Come?

 

Valutando il danno potenziale che l’eventuale “attaccante” può infliggere all’unità produttiva. Personale altamente qualificato, in un secondo momento, integra e verifica i risultati attraverso una meticolosa attività manuale. Queste attività hanno lo scopo di rifinire la ricerca evidenziando eventuali errori commessi durante il processo. Uno strumento buono di Vulnerability Assessment permette all’utente di avere un’overview aggiornata del livello di sicurezza degli asset IT.

 

Infine non c’è misura preventiva migliore del Penetration Test.

Cos’è il Penetration Test?

 

Si tratta di una “diagnosi” dei punti deboli relativi ad una infrastruttura IT di un hotel e, dopo averli scoperti, prova ad exploitarli in maniera sicura e controllata. Le vulnerabilità che sono oggetto d’esame da parte delle attività di Penetration Testing possono essere presenti nel software stesso in questi punti d’accesso:

 

• Flaws non intenzionali nel design del codice del software;
• Utilizzando il software in un modo per cui non è stato progettato;
• La non corretta implementazione della gestione della configurazione del software;
• Backdoor (porte sul retro) nel sistema operativo.

Le attività di Penetration Testing possono essere condotte sia attraverso processi automatici che manuali. Solitamente, il target di questa attività è focalizzato sui seguenti endpoint:

 

• Network endpoint;
• Dispositivi Mobile e Wireless;
• Network Security Device;
• Server;
• Altre aree esposte come il codice che sta dietro alle applicazioni.

Lo scopo di un Penetration Test, tuttavia, è quello di andare il più a fondo possibile nell’infrastruttura IT aziendale per arrivare agli asset elettronici di una azienda. L’obiettivo non è quello di colpire duramente il bersaglio al primo tentativo, ma è quelli di colpire anche più duramente nei tentativi seguenti.

 

Prendendo questo come punto di partenza, possiamo stabilire che l’obiettivo principale di un penetration test sia quello di identificare chiaramente le vulnerabilità di sicurezza di un hotel. Oltre a quanto appena detto, c’è una serie di altri obiettivi che il penetration test può raggiungere:

 

• Verificare la compliance delle policy di sicurezza;
• Testare la consapevolezza dello staff in materia di sicurezza;
• Controllare se e come un’organizzazione può affrontare un data breach.

 

FiveFold è a disposizione di tutte le aziende che necessitano di misure preventive volte a tutelare la struttura alberghiera dalle minacce che, come vediamo, sono all’ordine del giorno e sono sempre più pericolose sia per l’hotel che per i suoi ospiti.

Per maggiori informazioni e per fissare una consulenza gratuita, contattaci!