Giacomo Lanzi
Insider threat: individuarle e combatterle
Tempo di lettura: 6 min
Le insider threat sono difficili da individuare perche’ provengono, appunto, dall’interno della vostra organizzazione. Dipendenti, contractor e partner richiedono diversi livelli di credenziali di accesso per poter svolgere il proprio lavoro. Gli aggressori possono ingannare questi insider per farli accedere o offrire loro denaro per sottrarre consapevolmente informazioni preziose all’azienda.
Le soluzioni di sicurezza tradizionali si concentrano sulla protezione dell’organizzazione da aggressori esterni. Questa strategia trascura i danni che una risorsa interna potrebbe fare all’organizzazione, consapevole o meno. Con una soluzione Nextgen SIEM si ha la possibilita’ di rilevare e rispondere alle minacce sia esterne che interne, con l’aiuto dall’UEBA per l’individuazione di comportamenti sospetti.
Insider threat, le motivazioni
I dipendenti o i contractor identificati come a rischio sono collegati al 60% dei casi di minaccia da parte di insider, aumentando la probabilita’ che tali incidenti comportino il furto di dati aziendali sensibili. Le insider threat si possono dividere in due gruppi: i distratti e gli ostili.
La meccanica di un attacco cambia significativamente in base alle motivazioni che lo generano. E’ quindi meglio capire a fondo quali caratteristiche sono tipiche delle motivazioni dietro agli attacchi, per poter fermare le potenziali minacce prima che diventino violazioni.
Guadagno economico
E’ chiaro per ogni dipendente quanto possano valere i dati che l’azienda custodisce. Ecco che, in caso di crisi, permettere la fuga dei dati in cambio di denaro potrebbe sembrare un rischio tutto sommato ridotto. Questo tipo di movente va considerato soprattutto quando, in tempi come quello attuale, un evento esterno (la pandemia di COVID-19) mette comunque a rischio il posto di lavoro. Con il rischio di un imminente licenziamento, la vendita dei dati a cui si ha accesso in qualita’ di dipendenti e’ una via di fuga piu’ che appetibile.
Incuranza
Il non rispetto delle regole di sicurezza e’ un rischio molto concreto e la causa piu’ comune di minacce interne. L’indolenza nel rispetto delle regole costa alle organizzazioni una media di $4.58mln all’anno. Le minacce arrivano, nello specifico, da alcune pratiche di sicurezza non rispettate, come per esempio il mancato logout dal sistema, la scrittura su carta delle proprie password o il loro riutilizzo. Non mancano poi in questa categoria violazioni nell’uso di software non autorizzati o una mancata protezione dei dati aziendali.
Le motivazioni dietro a questi comportamenti dannosi sono spesso, purtroppo, particolarmente semplici: si aggira la sicurezza per una presunta maggiore velocita’, produttivita’ o, peggio, per pigrizia.
Distrazione
Un tipo di dipendente negligente e’ quello distratto, che vale la pena trattare in modo isolato perche’ piu’ complicato da individuare. Mentre il comportamento seriale di violazione delle regole e’ facilmente individuabile, il distratto, che normalmente rispetta in modo diligente il regolamento, non viene individuato prima dell’unica, sfortunata, volta in cui la sua disattenzione non costa all’azienda un attacco andato a buon fine.
Danni all’azienda
Tra le insider threat piu’ subdole ci sono quelle di chi ha come unico scopo il danneggiamento dell’azienda. Il movente, in questi casi, e’ solitamente di tipo personale: un dipendente a cui viene rifiutato un aumento, uno screzio avvenuto con un superiore, etc. L’insider si muove quindi per screditare la propria azienda, provocando danni d’immagine che si traducono in investitori spaventati che ritirano i loro capitali o in perdita di clienti.
Sabotaggio e vendita di informazioni a terzi
Per le aziende che trattano dati sensibili, questo tipo di minaccia e’ un rischio concreto. Sia che l’azienda tratti proprieta’ intellettuali di valore o dati sensibili dei propri clienti, con grande probabilita’ c’e’ chi e’ interessato ad avere accesso a quei dati per usarli a proprio vantaggio. In questo scenario, l’attore che vuole entrare in possesso dei dati, recluta un insider per trafugarli.
I casi che rientrano nella definizione di spionaggio o sabotaggio mediatico sono in aumento negli ultimi anni. Gli attacchi partono da nazioni come la Russia o la Corea del Nord, spesso coinvolte in questo tipo di traffici per poter guadagnare vantaggi politici contro gli stati e organizzazioni occidentali.
Difesa contro gli insider threat
La difesa contro gli attacchi che partono dall’interno si basa sull’analisi dei comportamenti sospetti di chi ha accesso ai sistemi. La difficolta’ si riscontra nella natura non violenta degli attacchi. E’ facile che gli insider non abbiamo bisogno di violare alcun controllo di sicurezza, avendo accesso gia’ in partenza.
Ma allora come fare per cogliere immediatamente le minacce?
Monitorare l’accesso degli utenti
Gli insider con accesso legittimo scelgono di abusare dei loro privilegi di accesso. Spesso vengono concessi diritti di accesso eccessivi per ridurre lo sforzo che la gestione dei privilegi richiede. Evitare questo tipo di comportamenti e’ gia’ un primo passo in una direzione proattiva di difesa.
Con un sistema di Nextgen SIEM, inoltre, e’ possibile monitorare gli utenti con accesso ad alto privilegio a database, server e applicazioni critiche. A quel punto e’ piu’ semplice individuare chi abusa dei propri accessi.
Rilevare il comportamento sospetto degli utenti
Gli attacchi piu’ sofisticati si basano sulla furtivita’. A tal fine gli aggressori si affidano sempre piu’ spesso alla compromissione delle risorse interne esistenti. Una volta entrati nella rete, eseguono lateral movement e rubano dati sotto le spoglie di un utente interno.
Un sistema come quello offerto dal SOCaaS di SOD permette, tra le altre cose, di identificare rapidamente gli account sospetti rilevando il comportamento anomalo dell’utente rispetto ai normali modelli di base e all’attivita’ dei colleghi.
I vantaggi di un sistema moderno
Minore tempo di risposta
Utilizzando l’analisi comportamentale e’ possibile identificare azioni anormale in modo da poter indagare in tempi molto rapidi.
Analisi comportamentale avanzata: con il sistema UEBA (incluso nel SOCaaS), gli analisti della sicurezza sono in grado di monitorare l’accesso e l’attivita’ degli utenti alle risorse piu’ importanti dell’azienda, consentendo di trovare le minacce interne con il minimo rumore per un rilevamento e una risposta rapidi.
Riconoscimento rapido degli utenti a rischio
Per consentire il rapido rilevamento delle insider threat, i team di sicurezza necessitano la capacita’ di collegare tra loro gli account di un utente per creare un profilo universale dell’utente. Questo e’ possibile con un sistema Nextgen SIEM. L’analisi del comportamento degli utenti e’ anche comparata a quella di un gruppo di pari, per individuare con maggiore precisione i comportamenti anomali, comprendendo come l’attivita’ di un utente sia diversa da quella dei suoi colleghi.
Le minacce che partono dell’interno del perimetro aziendale sono forse le piu’ rischiose per la loro natura poco rumorosa. Per fortuna, con sistemi sempre piu’ capaci di individuare comportamenti sospetti e aggregare ingenti quantita’ di dati relativi ai dipendenti, e’ possibile prendere contromisure efficaci per la lotta contro questo tipo di attacchi.
Link utili:
Condividi
RSS
Piu’ articoli…
- Da Secure Online Desktop a Cyberfero: il rebranding dell’azienda leader nella cybersecurity
- NIS2 – Come il nuovo regolamento cyber potenzia la sicurezza dell’Europa
- Advanced persistent threat (APT): cosa sono e come difendersi
- Penetration Testing e MFA: Una Strategia Duplice per Massimizzare la Sicurezza
- SOAR e l’automazione della sicurezza informatica
- Penetration Testing: Dove Colpire per Proteggere la Tua Rete Informatica
- Ransomware: una piaga che mette in ginocchio aziende e istituzioni. Pagare o non pagare? Ecco la risposta.
- Perché l’audit IT e il log management sono importanti per la Cybersecurity
Categorie …
- Backup as a Service (25)
- Acronis Cloud Backup (18)
- Veeam Cloud Connect (3)
- Cloud CRM (1)
- Cloud Server/VPS (23)
- Conferenza Cloud (4)
- Cyberfero (15)
- Log Management (2)
- Monitoraggio ICT (4)
- Novita' (21)
- ownCloud (7)
- Privacy (8)
- Security (215)
- Cyber Threat Intelligence (CTI) (9)
- Deception (4)
- Ethical Phishing (10)
- Netwrix Auditor (2)
- Penetration Test (18)
- Posture Guard (4)
- SOCaaS (66)
- Vulnerabilita' (83)
- Web Hosting (16)
Tags
CSIRT
- Aggiornamenti per Ruby-SAML
(AL05/240918/CSIRT-ITA) Settembre 18, 2024Rilevata vulnerabilità – già risolta dal vendor – che interessa la libreria ruby-saml del noto linguaggio di programmazione Ruby, tipicamente utilizzata per implementare le modalità di autorizzazione SAML lato client. Tale vulnerabilità, qualora sfruttata, potrebbe consentire, a un attaccante non autenticato, di bypassare i meccanismi di sicurezza e accedere al sistema interessato.
- Sanata vulnerabilità su GitLab CE/EE
(AL04/240918/CSIRT-ITA) Settembre 18, 2024Rilasciati aggiornamenti di sicurezza che risolvono una vulnerabilità con gravità “critica” in GitLab Community Edition (CE) ed Enterprise Edition (EE).
- Risolte vulnerabilità in Google Chrome
(AL03/240918/CSIRT-ITA) Settembre 18, 2024Google ha rilasciato un aggiornamento per il browser Chrome al fine di correggere 9 vulnerabilità di sicurezza, di cui una con gravità “alta”.
- Aggiornamenti di sicurezza LibreOffice
(AL02/240918/CSIRT-ITA) Settembre 18, 2024Sanata una vulnerabilità con gravità “alta” in LibreOffice, noto software di produttività open source e multipiattaforma. Tale vulnerabilità, in determinate condizioni, potrebbe permettere l’esecuzione di macro malevole tramite documenti opportunamente predisposti.
- Risolte vulnerabilità in prodotti VMware
(AL01/240918/CSIRT-ITA) Settembre 18, 2024VMware ha rilasciato aggiornamenti di sicurezza per sanare alcune vulnerabilità, di cui una con gravità “critica” nei prodotti vCenter Server e Cloud Foundation, noto software di virtualizzazione.
- Vulnerabilità in FileSender
(AL02/240917/CSIRT-ITA) Settembre 17, 2024Rilevata una vulnerabilità di sicurezza, con gravità “alta” in FileSender, applicazione web open source utilizzata per inviare file di grandi dimensioni in modo sicuro.
- Aggiornamenti di sicurezza Android
(AL01/240703/CSIRT-ITA) - Aggiornamento Settembre 17, 2024Google ha rilasciato gli aggiornamenti di sicurezza di luglio per sanare 27 vulnerabilità che interessano il sistema operativo Android.
- Aggiornamenti Mensili Microsoft
(AL01/240814/CSIRT-ITA) - Aggiornamento Settembre 17, 2024Microsoft ha rilasciato gli aggiornamenti di sicurezza mensili che risolvono un totale di 85 nuove vulnerabilità, di cui 10 di tipo 0-day.
- Sanata vulnerabilità in Apache OFBiz
(AL02/240805/CSIRT-ITA) - Aggiornamento Settembre 17, 2024Apache Software Foundation ha rilasciato un aggiornamento di sicurezza per il prodotto OFBiz che sana una vulnerabilità con gravità “alta”. Tale vulnerabilità, qualora sfruttata, potrebbe consentire, in determinate condizioni, a un utente malintenzionato remoto di manipolare l’output dello schermo sull’istanza interessata.
- Ivanti September Security Update
(AL06/240911/CSIRT-ITA) Settembre 17, 2024Ivanti rilascia aggiornamenti di sicurezza che risolvono 12 vulnerabilità, di cui 10 con gravità “critica” e 2 con gravità “alta”, nei prodotti Ivanti EndPoint Manager.
darkreading
- Contractor Software Targeted via Microsoft SQL Server Loophole Settembre 18, 2024By accessing the MSSQL, threat actors gain admin-level access to the application, allowing them to automate their attacks.
- Packed With Features, 'SambaSpy' RAT Delivers Hefty Punch Settembre 18, 2024Thought to be Brazilian in origin, the remote access Trojan is the "perfect tool for a 21st-century James Bond."
- QR Phishing Scams Gain Motorized Momentum in UK Settembre 18, 2024Criminal actors are finding their niche in utilizing QR phishing codes, otherwise known as "quishing," to victimize unsuspecting tourists in Europe and beyond.
- FCC: AT&T Didn't Adequately Protect Customers' Cloud Data Settembre 18, 2024Regulators fine AT&T $13 million for failing to protect customer information held by a third-party vendor, and extend consumer data protections to the cloud.
- Phishing Espionage Attack Targets US-Taiwan Defense Conference Settembre 18, 2024Hackers sent a convincing lure document, but after 20 years of similar attacks, the target organization was well prepared.
- Thousands of ServiceNow KB Instances Expose Sensitive Corporate Data Settembre 18, 2024Despite security updates to protect data, 45% of total enterprise instances of the cloud-based IT management platform leaked PII, internal system details, and active credentials over the past year.
- How Shifts in Cyber Insurance Are Affecting the Security Landscape Settembre 18, 2024Ultimately, the goal of businesses and cyber insurers alike is to build more resilient IT environments to avoid cyberattacks and the ransom, downtime, and reputation hit that come along with them.
- Infostealers: An Early Warning for Ransomware Attacks Settembre 18, 2024Can cyber defenders use the presence of infostealers as a canary in the coal mine to preempt ransomware attacks?
- As Geopolitical Tensions Mount, Iran's Cyber Operations Grow Settembre 18, 2024Increasing attacks by the OilRig/APT34 group linked to Iran's Ministry of Intelligence and Security show that the nation's capabilities are growing, and targeting regional allies and enemies alike.
- CISA Urges Software Makers to Eliminate XSS Flaws Settembre 17, 2024The latest Secure by Design alert from CISA outlines recommended actions security teams should implement to reduce the prevalence of cross-site scripting vulnerabilities in software.
Full Disclosure
- Stored XSS in "Edit Profile" - htmlyv2.9.9 Settembre 19, 2024Posted by Andrey Stoykov on Sep 18# Exploit Title: Stored XSS in "Edit Profile" - htmlyv2.9.9 # Date: 9/2024 # Exploit Author: Andrey Stoykov # Version: 2.9.9 # Tested on: Ubuntu 22.04 # Blog: https://msecureltd.blogspot.com/2024/09/friday-fun-pentest-series-11-stored-xss.html Stored XSS #1: Steps to Reproduce: 1. Login as author 2. Browse to "Edit Profile" 3. In "Content" field add […]
- Stored XSS in "Menu Editor" - htmlyv2.9.9 Settembre 19, 2024Posted by Andrey Stoykov on Sep 18# Exploit Title: Stored XSS in "Menu Editor" - htmlyv2.9.9 # Date: 9/2024 # Exploit Author: Andrey Stoykov # Version: 2.9.9 # Tested on: Ubuntu 22.04 # Blog: https://msecureltd.blogspot.com/2024/09/friday-fun-pentest-series-10-stored-xss.html Stored XSS #1: Steps to Reproduce: 1. Login as admin 2. Browse to "Menu Editor" 3. In "Name" field add […]
- Backdoor.Win32.BlackAngel.13 / Unauthenticated Remote Command Execution Settembre 19, 2024Posted by malvuln on Sep 18Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2024 Original source: https://malvuln.com/advisory/d1523df44da5fd40df92602b8ded59c8.txt Contact: malvuln13 () gmail com Media: x.com/malvuln Threat: Backdoor.Win32.BlackAngel.13 Vulnerability: Unauthenticated Remote Command Execution Description: The malware listens on TCP port 1850. Third party adversaries who can reach an infected host can issue commands made available by […]
- Backdoor.Win32.CCInvader.10 / Authentication Bypass Settembre 19, 2024Posted by malvuln on Sep 18Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2024 Original source: https://malvuln.com/advisory/cb86af8daa35f6977c80814ec6e40d63.txt Contact: malvuln13 () gmail com Media: x.com/malvuln Threat: Backdoor.Win32.CCInvader.10 Vulnerability: Authentication Bypass Description: The malware runs an FTP server. Third-party adversarys who can reach infected systems can logon using any username/password combination. Intruders may then upload...
- Backdoor.Win32.Delf.yj / Information Disclosure Settembre 19, 2024Posted by malvuln on Sep 18Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2024 Original source: https://malvuln.com/advisory/f991c25f1f601cc8d14dca4737415238.txt Contact: malvuln13 () gmail com Media: x.com/malvuln Threat: Backdoor.Win32.Delf.yj Vulnerability: Information Disclosure Description: The malware listens on TCP port 8080. Third-party adversaries who can reach an infected system, can download screen captures of a victims machine by […]
- SEC Consult blog :: Microsoft Windows MSI Installer - Repair to SYSTEM - A detailed journey (CVE-2024-38014) + msiscan tool release Settembre 17, 2024Posted by SEC Consult Vulnerability Lab via Fulldisclosure on Sep 16The SEC Consult Vulnerability Lab published a new blog post titled: "Microsoft Windows MSI Installer - Repair to SYSTEM - A detailed journey" covering the recent Microsoft September 2024 patch for CVE-2024-38014. Blog URL: --------- https://r.sec-consult.com/msi Author: ------- Michael Baer, SEC Consult Vulnerability Lab Abstract: […]
- Stored XSS to Account Takeover - htmlyv2.9.9 Settembre 17, 2024Posted by Andrey Stoykov on Sep 16# Exploit Title: Stored XSS to Account Takeover - htmlyv2.9.9 # Date: 9/2024 # Exploit Author: Andrey Stoykov # Version: 2.9.9 # Tested on: Ubuntu 22.04 # Blog: https://msecureltd.blogspot.com/2024/08/friday-fun-pentest-series-9-stored-xss.html Description: - It was found that the application suffers from stored XSS - Low level user having an "author" role […]
- APPLE-SA-09-16-2024-10 macOS Ventura 13.7 Settembre 17, 2024Posted by Apple Product Security via Fulldisclosure on Sep 16APPLE-SA-09-16-2024-10 macOS Ventura 13.7 macOS Ventura 13.7 addresses the following issues. Information about the security content is also available at https://support.apple.com/121234. Apple maintains a Security Releases page at https://support.apple.com/100100 which lists recent software updates with security advisories. Accounts Available for: macOS Ventura Impact: An app may […]
- APPLE-SA-09-16-2024-9 macOS Sonoma 14.7 Settembre 17, 2024Posted by Apple Product Security via Fulldisclosure on Sep 16APPLE-SA-09-16-2024-9 macOS Sonoma 14.7 macOS Sonoma 14.7 addresses the following issues. Information about the security content is also available at https://support.apple.com/121247. Apple maintains a Security Releases page at https://support.apple.com/100100 which lists recent software updates with security advisories. Accounts Available for: macOS Sonoma Impact: An app may […]
- APPLE-SA-09-16-2024-8 iOS 17.7 and iPadOS 17.7 Settembre 17, 2024Posted by Apple Product Security via Fulldisclosure on Sep 16APPLE-SA-09-16-2024-8 iOS 17.7 and iPadOS 17.7 iOS 17.7 and iPadOS 17.7 addresses the following issues. Information about the security content is also available at https://support.apple.com/121246. Apple maintains a Security Releases page at https://support.apple.com/100100 which lists recent software updates with security advisories. Accessibility Available for: iPhone XS […]
Customers
Twitter FEED
Recent activity
-
SecureOnlineDesktop
Estimated reading time: 6 minutes L'impatto crescente delle minacce informatiche, su sistemi operativi privati op… https://t.co/FimxTS4o9G
-
SecureOnlineDesktop
Estimated reading time: 6 minutes The growing impact of cyber threats, on private or corporate operating systems… https://t.co/y6G6RYA9n1
-
SecureOnlineDesktop
Tempo di lettura stimato: 6 minuti Today we are talking about the CTI update of our services. Data security is… https://t.co/YAZkn7iFqa
-
SecureOnlineDesktop
Estimated reading time: 6 minutes Il tema della sicurezza delle informazioni è di grande attualità in questo peri… https://t.co/tfve5Kzr09
-
SecureOnlineDesktop
Estimated reading time: 6 minutes The issue of information security is very topical in this historical period ch… https://t.co/TP8gvdRcrF
Newsletter
{subscription_form_2}Prodotti e Soluzioni
Collaborazioni
Modelli Cloud
News
- Da Secure Online Desktop a Cyberfero: il rebranding dell’azienda leader nella cybersecurity Maggio 6, 2024
- NIS2 – Come il nuovo regolamento cyber potenzia la sicurezza dell’Europa Aprile 22, 2024
- Advanced persistent threat (APT): cosa sono e come difendersi Aprile 17, 2024
- Penetration Testing e MFA: Una Strategia Duplice per Massimizzare la Sicurezza Aprile 15, 2024
- SOAR e l’automazione della sicurezza informatica Marzo 27, 2024
Recensioni Google
Ottima azienda, servizi molto utili, staff qualificato e competente. Raccomandata!leggi di più
Ottimo supportoleggi di più
E' un piacere poter collaborare con realtà di questo tipoleggi di più
Un ottimo fornitore.
Io personalmente ho parlato con l' Ing. Venuti, valore aggiunto indubbiamente.leggi di più
Contatti
© 2024 Cyberfero s.r.l. All Rights Reserved. Sede Legale: via Statuto 3 - 42121 Reggio Emilia (RE) – PEC [email protected] Cod. fiscale e P.IVA 03058120357 – R.E.A. 356650 Informativa Privacy - Certificazioni ISO