Proteggere l’infrastruttura contro il ransomware – Leader di pensiero

Di Dr. Aviv Yehezkel, co-fondatore e CTO, Cynamics

Dagli ospedali alle scuole agli impianti di lavorazione della carne, nessun settore è insignificante per gli attaccanti di ransomware. Il ransomware costerà alle aziende statunitensi 3,68 miliardi di dollari quest’anno solo. Gli operatori di rete e sicurezza hanno bisogno di una copertura di rete di alto livello per prevenire e mitigare gli attacchi di ransomware. La crescente complessità delle architetture – che include componenti legacy on-premises, virtuali e cloud in esecuzione sulla rete – ha reso quasi impossibile ottenere una visibilità completa. Lo status quo non funziona. È necessario un nuovo approccio.

Le soluzioni attuali non possono soddisfare le esigenze della rete

In aggiunta alla crescente complessità, le reti sono anche aumentate in termini di dimensioni, scala e volume. In tutti i settori, queste reti gestiscono enormi quantità di dati che continuano a crescere in volume e coinvolgono più endpoint, più connettività (interna ed esterna) e più siti di rete (fisici e/o logici). Mentre le reti aumentano esponenzialmente in scala e complessità, la maggior parte delle soluzioni di sicurezza si basa ancora su approcci tradizionali come appliance e agenti. E questi non sono progettati per livelli di complessità e volumi di dati di questo tipo.

Le soluzioni di rilevamento e risposta della rete (NDR) attuali si basano ancora su un approccio progettato per reti appartenenti a un’epoca più semplice. Le soluzioni sono laboriose, costose da implementare e sempre meno efficaci. Richiedono il posizionamento di appliance, sensori e/o sonde che raccolgono e analizzano i dati di rete. Tuttavia, non è possibile coprire l’intera rete con queste appliance. Richiedono l’analisi del 100% dei dati di rete – il che non è pratico. Ciò costringe le aziende a compromettere ogni giorno la copertura e il rilevamento a piccole porzioni della rete, lasciando la maggior parte della rete come un punto cieco vulnerabile.

Inoltre, la maggior parte dei fornitori di NDR utilizza un approccio basato su appliance che utilizza porte o span per analizzare il traffico di rete. Ciò non si scala facilmente e aumenta la superficie di attacco di un’organizzazione come una porta di accesso diretto al cuore della rete del cliente, come è stato notato così tante volte lo scorso anno con gli attacchi “pandemici” della catena di approvvigionamento. In oggi ambiente digitale interconnesso, questo approccio non fornisce una trasparenza sufficiente attraverso reti intelligenti sempre più complesse e lascia le organizzazioni vulnerabili a punti ciechi.

Problemi di visibilità e novità

La maggior parte degli attacchi di ransomware inizia con una violazione della rete che è solitamente resa possibile attraverso una vulnerabilità nel perimetro di rete. E gli attaccanti inizieranno a muoversi attraverso la tua rete e cercheranno di massimizzare i danni, saltando da un posto all’altro, fino a infettare abbastanza host da essere utilizzati per l’attacco. Troveranno i punti ciechi che non sono monitorati – quando si lasciano aree non coperte, si crea molto spazio per i cybercriminali per infiltrarsi.

C’è un altro problema significativo: con la maggior parte delle soluzioni di rilevamento, la novità passa inosservata. Sono state addestrate per cercare firme e regole molto specifiche associate a attività di ransomware note. Ma nuove varianti e tipi di attacchi di ransomware vengono sviluppati tutto il tempo – e anche un piccolo cambiamento dalle firme che questi strumenti sono stati addestrati a rilevare e segnalare può far si che l’attacco passi inosservato.

Il ruolo dell’AI e del ML

Gli analisti umani, per quanto intelligenti e capaci possano essere, semplicemente non possono monitorare le reti di oggi da soli – e non è possibile coprire l’intera rete con appliance e agenti. Ma lasciare porzioni della rete non coperte non è un’opzione. Gli attaccanti e i cybercriminali sono sempre alla ricerca di modi per infiltrarsi e introdursi.

Come è possibile superare queste sfide? Le tecniche di intelligenza artificiale (AI) e apprendimento automatico (ML) possono svolgere un ruolo chiave nel rilevamento e nella risposta di rete. Il ML può essere utilizzato per dedurre il comportamento del 100% del traffico di rete, in base a un campionamento di solo una piccola frazione dei dati di rete. E poi, può automaticamente apprendere se un modello di rete è legittimo o sospetto e autonomamente “comprendere” le tendenze in evoluzione nella rete.

Ciò che rende il ML e l’AI così utili è la loro capacità di rilevare i modelli nascosti che segnalano gli attacchi – per rivelare cosa sta realmente accadendo nelle reti in tempo reale. Ciò elimina la necessità impratica e costosa di coprire l’intera rete. Ciò aiuta anche ad affrontare il problema notato sopra riguardo l’evoluzione continua di nuove forme di attacchi di ransomware.

È richiesta l’innovazione

Il ransomware è implacabile. È ovvio a questo punto che le soluzioni di sicurezza legacy non funzionano o non tengono il passo con il panorama di minacce in evoluzione. È una piaga che costa alle organizzazioni miliardi di dollari; sembra inarrestabile, eppure deve essere fermato. Ma è più facile a dirsi che a farsi quando la maggior parte delle reti diventa sempre più complessa e include una miscela di componenti legacy e nuovi.

I cybercriminali stanno sfruttando l’AI, quindi gli operatori di rete devono farlo anche loro. Una nuova strategia di sicurezza dovrebbe includere il rilevamento e la risposta di rete (NDR) basati su campioni e guidati dall’AI. Le soluzioni di questo tipo utilizzano una piccola porzione del traffico di rete per apprendere cosa è normale per l’intera rete, consentendo una visibilità che non è altrimenti possibile. È un esempio del tipo di soluzioni innovative necessarie per stare al passo con il ransomware e le molte altre minacce di rete in funzione oggi.