Il Cybersecurity Annual Report frutto di analisi su fonti di dati reali e non OSINT e CLOSINT fa emergere che l’Italia non è più attaccata di altri Paesi e che ancora troppe minacce evitano le difese perimetrali con tecniche di evasione
In occasione dell’uscita del primo report annuale di Yoroi azienda di Cyber Defence, parte di MAM srl, abbiamo intervistato Marco Ramilli, CTO dell’azienda e fondatore, per commentare specificità e risultati emersi come frutto di tutta l’attività operativa di analisi e difesa che l’azienda persegue.
L’intervista
Quanti sono numericamente i dati campionati dal sistema di intelligence Yoroi?
I dati possono essere ricondotti a tre macro aree: la Digital Surveillance, la Threat Intelligence e i dati di mitigazione.
Nella Digital Surveillance (l’attivita’ di supervisione e controllo digitale n.d.r.), tutti i dati sono prelevati nel Dark Web (parte del web accessibile mediante software e accessi autorizzativi, formato da dark nets, reti oscure, spesso usate per compravendita di malware e strumenti digitali fraudolenti n.d.r.) attraverso attività di scraping (una tecnica informatica per prelevare dati dal web n.d.r.) e parliamo di un ordine di centinaia di giga di dati di testo compresso. Non ho un numero puntuale da rilasciare ad oggi. Un sottoinsieme di questi dati è stato utilizzato per l’osservazione relativa ai data leak, le sottrazioni fraudolente di dati, pari a 17.882.460 domini unici. Su tali domini è stata fatta una analisi di InfoLeak da cui risulta che 289.799 sono domini Italiani. Per questi sono state individuate 557.745.863 account (username e password) di cui 11.376.170 relativi ad aziende italiane.
I dati della threat Intelligence (le analisi effettuate sulle minacce informatiche n.d.r.) sono provenienti da IP, HASH, DOMAIN (indirizzi internet, insiemi di caratteri frutto di funzioni matematiche e domini web n.d.r.) individuati all’interno di attività e dati relativi ad attacchi informatici. Ad oggi questo numero lo condividiamo in home page per mantenerlo costantemente aggiornato poiché varia di giorno in giorno. Infine, i dati di mitigazione utilizzati per effettuare il report, sono provenienti dalle attività di analisi che hanno luogo in occasione di un incidente e/o un presunto incidente (la mitigazione consente di rifurre i danni di un attacco informatico n.d.r.). In effetti, per effettuare il report sono stati presi in considerazione tutti e soli i dati gestiti, ovvero analizzati e classificati, da un analista Yoroi e/o da analisti dei partners di Yoroi, ma è proprio questo il valore intrinseco dei dati: si tratta di informazioni su attacchi realmente accaduti e gestiti, per ognuno dei quali c’è un potenziale ticket di classificazione associato. Ad oggi produciamo dalle 900 ai 1200 analisi su base mensile (30 giorni).
Perché è importante che i dati su cui si basa il report non siano dati di tipo OSINT e CLOSINT?
Sempre più spesso dati OSINT (Open Source INTelligence, ovvero dati derivati da fonti aperte, come il web n.d.r.) e CLOSINT (CLOse to be OSINT n.d.r.) ricadono nelle casistiche di falsi positivi, poiché non vengono validati né post-processati al fine di favorire la velocità di informazione a discapito della qualità di informazione. Ad esempio, se un Malware esegue un “drop” del suo payload da un indirizzo IP e/o se un server effettua specifiche azioni di spamming, insomma se avvengono azioni malevole sulla rete, gli indirizzi IP di questi “attori” vengono percepiti da reti di HoneyPots (sistemi trappola che permettono di analizzare le minacce da cui vengono attaccati n.d.r.) ed inseriti automaticamente in dati condivisi e pubblici (appunto dati di tipo OSINT). Ma se tali IP appartengono ad un pooling (pool di dati, ovvero un set n.d.r.), più ampio come per esempio indirizzi appartenenti a DropBox e/o a server di posta Microsoft, questi non possono essere considerati come “malevoli” in assoluto, in quanto essi servono svariate utenze DropBox e/o molte caselle di posta elettronica. Considerare tali IP malevoli significherebbe rallentare l’analisi e/o generare una marea di falsi positivi. Per questo motivo i dati di OSINT possono essere considerati in uno scenario generale, al fine di definire trends di alto livello, bloccare server C2 (Command&Control n.d.r.) conosciuti e/o condividere hash malevoli, ma non possono essere considerati per effettuare azioni di enforcement (letteralmente rafforzamento n.d.r.) nella difesa di “Tutti i giorni”. Quindi riassumendo, avere reports basati su singoli dati OSINT/CLOSINT limita molto l’utilità del report stesso in termine di azione difensive nel quotidiano, mentre risulta essere molto utile in scenari generali e su considerazioni di carattere globale.
Poiché i dati che arrivano dalle sonde GENKU disseminate nelle reti clienti, ci può spiegare come siano confrontati e normalizzati mediante la cloud threat inteligence centrale ?
Al netto della osservazione sui data leaks, dove i dati sono internazionali e non necessariamente dipendenti dalla visibilità di Yoroi, tutti gli altri dati sono basati su “situazioni” reali e quindi gestiti direttamente o indirettamente da Yoroi. Ovviamente Yoroi può gestire solo i propri clienti e per questo i dati dipendono dal parco clienti di Yoroi che oggi si avvicina alle 48000 utenze e sono distribuiti in varie fasce di Business descritte nel report. Per ognuna di queste fasce nel report è possibile trovare considerazioni specifiche sulle minacce legate a quelle tipologie. Ovviamente i dati sono “normalizzati” per evitare che i clienti “grandi” influenzino le statistiche.
