Cos'è la Deception Technology?

Perché la Deception Technology è importante?

Indipendentemente da quanto siano efficaci le difese perimetrali, vi è comunque la possibilità che i criminali informatici riescano a infiltrarsi nella rete. Grazie alla tecnologia di Deception però, perderanno tempo a esplorare risorse senza valore posizionate in modo strategico e saranno indotti a cadere in trappola. Una volta rilevata la loro presenza, otterrai un indicatore precoce del loro comportamento e potrai raccogliere preziose informazioni da usare a tuo vantaggio.

Le strategie di difesa della tecnologia di deception di oggi si basano in gran parte sui principi dell'inganno militare impiegati da personaggi come Chanakya, Sun Tzu, Napoleone e Gengis Khan per conquistare territori attraverso inganni, camuffamenti e sotterfugi. Nel contesto della sicurezza informatica, i difensori usano esche e trappole per indurre in errore gli aggressori, facendo credere loro di avere individuato un punto di accesso nella rete e portandoli a uscire allo scoperto.

I vantaggi della Deception Technology

In generale, il principale vantaggio della tecnologia di Deception è che il successo dipende dall'aggressore, e non dal difensore. Con la rete popolata di esche, gli aggressori, per avere successo, devono mettere in atto un attacco impeccabile, senza farsi ingannare da alcuna risorsa fittizia, deviazione o trappola. Se l'aggressore compie un qualsiasi tipo di errore, è il difensore ad avere la meglio.

Diamo un'occhiata ai cinque vantaggi concreti di questa tecnologia.

1. Migliore rilevamento delle minacce

Se si posizionano le classi di rilevamento su una scala di precisione, vi sono due estremi:

• Rilevamento basato sulla firma, che è estremamente preciso, ma molto specifico per un dato tipo di minaccia
• Analisi/euristiche comportamentali, che hanno un'ampia copertura delle minacce, ma sono soggette a falsi positivi

Le allerte di deception rappresentano il miglior compromesso, perché sono altamente accurate e coprono un ampio spettro di minacce.

2. Consapevolezza del rischio aziendale

La maggior parte dei controlli di sicurezza non prende in considerazione i rischi aziendali correnti: un antivirus non può sapere se in un'azienda è in corso una fusione. La deception, invece, è intrinsecamente in grado di allinearsi a questi rischi. Ad esempio, se l'azienda sta lanciando un nuovo prodotto, è possibile creare misure di deception pensate appositamente per questo scenario, con controlli di sicurezza mirati in base alle aree esposte a un rischio maggiore.

3. Maggiore copertura

La tecnologia di Deception può essere estesa a tutta l'azienda, anche agli ambienti che spesso costituiscono punti ciechi, ed è in grado di rilevare le minacce al perimetro, sugli endpoint, nella rete, in Active Directory e a ogni livello di applicazione, oltre a coprire gli ambienti che spesso vengono trascurati, come SCADA/ICS, IoT e cloud.

A differenza di altre soluzioni costituite da molteplici prodotti singoli, la deception copre inoltre l'intera kill chain, dalla ricognizione antecedente all'attacco a exploit, escalation dei privilegi, movimento laterale e perdita dei dati.

4. Numero estremamente ridotto di falsi positivi

I falsi positivi possono mettere in difficoltà qualsiasi team che si occupa di sicurezza. La tecnologia di Deception ne produce pochissimi, perché solo gli aggressori hanno motivo di interagire con un'esca. Inoltre, le allerte forniscono il contesto sulle intenzioni di un aggressore.

La maggior parte delle analisi comportamentali utilizza algoritmi di machine learning per segnalare le anomalie rispetto a una condizione di normalità, e ciò causa la generazione di falsi positivi. La tecnologia di Deception stabilisce uno scenario di riferimento ad attività azzerata (in modo che una qualsiasi attività, in qualsiasi caso, giustifichi un'indagine) e fornisce indicatori dettagliati di una compromissione.

5. Risposta orchestrata

La risposta orchestrata/automatica è più utile quando l'evento scatenante è sicuro al 100%. Anche in questo caso, le allerte di solito non necessitano di orchestrazione, perché i prodotti che le generano gestiscono già la correzione (ad esempio, la quarantena dell'antivirus).

Le allerte, nella tecnologia di Deception, sono altamente certe e contestuali, ed è quindi possibile orchestrare scenari più complessi (ad esempio, credenziali esca che reindirizzano a un ambiente esca e che sono bloccate nell'ambiente reale) o concentrarsi su applicazioni specifiche (ad esempio, un account che accede a un server bancario SWIFT falso, che viene bloccato nel server SWIFT reale).

Come funziona la tecnologia di deception

La tecnologia di deception moderna utilizza tecniche di difesa attiva per far sì che la rete risulti un ambiente ostile per gli aggressori. Simile agli honeypot (di cui parleremo tra poco), la tecnologia di deception di oggi popola la rete con risorse fittizie che appaiono come risorse di produzione reali, ma alle quali nessun utente legittimo può mai accedere. In seguito, invia avvisi per rilevare le attività dannose, raccogliere informazioni sulle minacce, bloccare il movimento laterale e orchestrare la risposta e il contenimento delle minacce, il tutto senza bisogno di supervisione umana.

Le piattaforme di deception moderne seguono un modello basato sul rilevamento proattivo che genera un numero ridotto di falsi positivi. Le analisi approfondite si concentrano sull'intento umano che si cela dietro un attacco, adattandosi alle nuove minacce prima ancora che si verifichino e offrendo orchestrazione e automazione per le attività di risposta. Dato che le tecniche di difesa della tecnologia di deception non dipendono da firme o euristiche per il rilevamento, sono in grado di coprire quasi tutti i vettori e di rilevare in tempo reale praticamente qualsiasi tipologia di attacco, come quelle basate su minacce persistenti avanzate (APT), minacce 0-day, ricognizione, movimento laterale, attacchi fileless, ingegneria sociale, attacchi Man-in-the-Middle e ransomware.

Una volta identificato un aggressore sulla rete, è possibile manipolare l'ambiente di deception in tempo reale in base alle informazioni raccolte sull'attacco. Ecco alcuni scenari possibili:

• Manipolare l'aggressore, generando o rimuovendo risorse esca.
• Generare traffico di rete, allerte o messaggi di errore per incoraggiare comportamenti specifici da parte degli aggressori.
• Implementare strumenti di dirottamento delle sessioni per il cloud o distorcere la percezione che gli aggressori hanno dell'ambiente.
• Creare situazioni che costringano un aggressore a comunicare informazioni sulla sua identità e sul luogo di provenienza per aggirare gli ostacoli percepiti.

La deception non si limita a dirottare i criminali informatici. Questo insieme di strategie sfrutta la conoscenza parziale che gli aggressori hanno dell'ambiente in cui stanno cercando di infiltrarsi e la loro incapacità di distinguere le entità reali da quelle fittizie. In questo modo, la dinamica di potere tra aggressori e difensori è invertita, e questi ultimi ottengono una prospettiva concreta su ciò che gli utenti malintenzionati vogliono ottenere, sul perché lo vogliono e su come intendono procedere.

Tecnologia di deception moderna e honeypot a confronto

Il primo strumento di deception nell'ambito della sicurezza delle informazioni, l'honeypot, è apparso diversi decenni fa ed è in uso ancora oggi. Gli honeypot sono risorse non protette ma monitorate, progettate per attrarre gli aggressori che hanno violato una rete. Una volta effettuato l'accesso all'honeypot, i team addetti alle operazioni di sicurezza possono agire per ottenere informazioni sull'aggressore o bloccare l'attacco.

Le tecnologie di deception più datate, come honeypot, honey credential (credenziali esca) e simili, sono essenzialmente tecniche statiche e reattive, diventano obsolete molto rapidamente e non sono in grado di stare al passo con tattiche di attacco in continua evoluzione. Per questo motivo, per gli aggressori è ancora più facile eludere il rilevamento e persistere sulla rete. Gli honeypot e le honeynet (reti esca) accessibili a Internet possono generare molti falsi positivi se la tecnologia non è in grado di distinguere tra ampie attività di scansione e ricognizione mirata.

Le sfide della tecnologia di rilevamento legacy

I metodi di deception in ambito informatico si basano sul presupposto che un utente malintenzionato abbia già aggirato la sicurezza perimetrale e ottenuto l'accesso alla rete, agli endpoint, ai sistemi operativi e alle applicazioni. Gli altri metodi di rilevamento sono progettati per avvisare i team di sicurezza della presenza di minacce, ma non sono efficaci per combattere i sofisticati attacchi di oggi

Gli strumenti di rilevamento legacy, come firewall e rilevamento degli endpoint, ciascuno progettato per un tipo specifico di sicurezza (rete, applicazione, endpoint, dispositivi IoT, ecc.), spesso operano in modo indipendente l'uno dall'altro. Ciò comporta diverse problematiche:

• Allerte a bassa attendibilità, in quanto questi strumenti sono in grado di vedere solo la loro specifica porzione dell'infrastruttura di sicurezza, senza contesto.
• Tempistiche più lunghe per le indagini, poiché gli analisti della sicurezza devono passare da uno strumento all'altro per scoprire la sequenza di attacco e l'entità dei danni.
• Numero elevato di falsi positivi che grava sulla procedura di segnalazione. Un'indagine del 2021 condotta da ESG ha riscontrato che i falsi positivi costituivano il 45% delle allerte provenienti dagli strumenti di sicurezza degli intervistati per le app web e le API.

Inoltre, molte tecnologie di rilevamento esistenti funzionano meglio contro i malware, anziché contro gli attacchi guidati da operatori umani, siano essi minacce esterne o interne. Gli aggressori avanzati sono molto più sofisticati degli hacker comuni e sono estremamente abili nell'imitare i comportamenti degli utenti legittimi per riuscire a passare inosservati. Quando si trovano di fronte a piattaforme di deception, tuttavia, questi aggressori escono allo scoperto non appena interagiscono con un'esca.

Casi d'uso della Deception Technology

Quali sono le tipologie di minacce che possono essere rilevate dalla tecnologia di deception?

È possibile utilizzare la tecnologia di deception per rilevare le minacce lungo tutta la kill chain, dalla ricognizione al furto dei dati. Esistono tre macrocategorie di casi d'uso:

• Deception per la difesa del perimetro: solitamente, non è possibile monitorare tutto il traffico in entrata alla ricerca di potenziali minacce. La creazione di risorse ingannevoli che si interfacciano con il pubblico può semplificare questo problema e fornire informazioni utili su chi sta prendendo di mira l'azienda.
• Deception per la difesa della rete: consiste nel posizionare esche in luoghi individuabili dagli aggressori, ma a cui gli utenti legittimi non possono accedere, al fine di consentire il rilevamento di un attacco in corso.
• Deception per la difesa degli endpoint: le esche sugli endpoint, agli occhi di un aggressore, appaiono risorse preziose da esfiltrare. Il monitoraggio di queste risorse può consentire il rilevamento di azioni sospette e di comportamenti che sarebbero normali sulla rete, ma che non dovrebbero verificarsi su un determinato endpoint in un dato momento.

Le aziende devono usare la Deception Technology?

Fino a poco tempo fa, era opinione comune del settore che la deception fosse utile prevalentemente per le aziende con funzionalità di sicurezza avanzate. Tuttavia, anche le aziende di medie e piccole dimensioni possono trarre importanti vantaggi da questa tecnologia; oggi, infatti, la deception sta diventando molto popolare tra organizzazioni di ogni dimensione.

Organizzazioni grandi e mature

Le aziende all'avanguardia che dispongono di un budget elevato, con funzioni di sicurezza ben sviluppate, utilizzano la tecnologia di deception per ottimizzare il rilevamento delle minacce, la raccolta interna di informazioni su di esse e le funzionalità di risposta.

Attraverso la deception, le aziende cercano di rilevare le minacce avanzate, e il basso numero di falsi positivi consente loro di ricercarle attivamente o fornire una risposta integrata attraverso le proprie tecnologie di applicazione dei controlli. Lo sviluppo di questo segmento di mercato ha portato a un'adozione sempre più diffusa di questa tecnologia.

Aziende di medie e piccole dimensioni

I CISO delle aziende di medie dimensioni e i team di sicurezza più snelli delle piccole organizzazioni lavorano con budget ridotti, ma spesso hanno a che fare con minacce e rischi importanti, come ad esempio quelli relativi ai problemi di conformità. Queste aziende possono essere dotate di una struttura di sicurezza di base, ma devono comunque essere in grado di rilevare le minacce più gravi. Hanno dunque bisogno di una soluzione:

• Veloce da adottare e con risultati immediati
• Facile da usare e a bassa manutenzione, adatta a un piccolo team addetto alla sicurezza interna
• Non isolata, dal momento che il budget è troppo basso per gestire più tecnologie
• Dotata di un'ampia copertura e che includa aree come il cloud e l'IoT

La tecnologia di deception è la risposta a tutte queste esigenze e permette a tali organizzazioni di avere il controllo sulle minacce più avanzate e mirate.

Zscaler: Deception Technology con un'architettura zero trust

Nessuna tecnica o policy di sicurezza informatica è efficace al 100% nel fermare gli aggressori. Per la massima protezione, sono necessarie più tecnologie che lavorino insieme e condividano le informazioni. L'idea è ridurre al minimo la superficie di attacco e accelerare la capacità di porre rimedio agli incidenti.

Una delle combinazioni più potenti consiste nell'integrazione della tecnologia di deception con la sicurezza zero trust. L'approccio zero trust presuppone che ogni accesso o richiesta dell'utente sia ostile fino a quando l'identità e il contesto della richiesta non vengono autenticati e autorizzati. In questo modo, è possibile consentire l'accesso solo alle risorse necessarie, un concetto noto come "accesso a privilegi minimi".

Le esche della tecnologia di deception svolgono la funzione di trigger in un ambiente zero trust e consentono di rilevare gli utenti compromessi o il movimento laterale sulla rete. Ogni movimento laterale è tracciato in un ambiente sicuro e isolato, e vengono inviate allerte sul tipo di risorsa a cui l'aggressore è interessato, rallentandolo e consentendo ai team di sicurezza di monitorare le sue tattiche, tecniche e procedure (TTP).

Difesa attiva con il framework MITRE Engage

MITRE Engage è un affidabile framework di settore per discutere e pianificare il coinvolgimento degli aggressori, la deception e le attività di denial (negazione), sulla base del comportamento dell'aggressore osservato nel mondo reale. La matrice di MITRE è una linea guida obiettiva e all'avanguardia sul modo in cui le organizzazioni possono implementare al meglio strategie di deception e di coinvolgimento degli aggressori nella propria strategia globale di sicurezza zero trust.

Zscaler è orgogliosa di collaborare con MITRE sul framework Engage. Fai clic qui per saperne di più.