Articolo Pubblicazioni

Ransomware: ottimizzare detection e incident response

di · Pubblicato il 18 ottobre 2022 - Aggiornato il 14 novembre 2026 · Tratto da «Allarme Ransomware: ottimizzare Detection & Incident Response» e da «Ransomware: ridurre rischio e impatti – Cybersecurity Summit, Roma 2023»

Abstract

L’articolo riprende l’intervento «Allarme Ransomware. Ottimizzare Detection & Incident Response» al Cybersecurity Summit di Roma del 2022 e lo integra con la tavola rotonda dell’edizione 2023. Descrive come è cambiato il ransomware, fra catene d’attacco più brevi, doppio e triplo ricatto e modello criminale come servizio, spiega perché l’assessment viene prima degli strumenti, come si organizzano rilevamento, risposta e backup e perché l’identità digitale è la prima porta da proteggere. Chiude con gli errori più comuni delle organizzazioni.

Vincenzo Calabrò | Ransomware: ottimizzare detection e incident response
 

Una minaccia che si accorcia

Il ransomware è la minaccia principale per chi si occupa di sicurezza perché cambia di continuo. Nel 2022 l’intervento metteva in evidenza due tendenze. Gli attaccanti usano l’intelligenza artificiale e la catena d’attacco si è accorciata, tanto che spesso la vittima si accorge dell’intrusione quando ormai è tardi. Il doppio e il triplo ricatto aggiungono alla cifratura il furto dei dati e la minaccia di pubblicarli o di contattare i clienti. Anche dati che per l’azienda non hanno un grande valore economico ne hanno molto per i clienti, e il danno indiretto supera spesso quello diretto.
Nella tavola rotonda del 2023 il quadro si era ulteriormente definito. I vettori d’ingresso si erano spostati dal phishing allo sfruttamento delle vulnerabilità di software e infrastrutture. Il crimine si era organizzato come servizio, con gruppi che ottengono l’accesso iniziale e lo rivendono a chi esegue la cifratura, e con l’intelligenza artificiale usata sia per raccogliere informazioni sia per condurre gli attacchi. La redditività delle estorsioni stava calando, perché cresce la consapevolezza che pagare non garantisce il recupero dei dati ed espone a nuovi ricatti.

Prima l’assessment, poi gli strumenti

La difficoltà è togliere forza al ricatto anticipando la minaccia, senza rincorrere gli attacchi e senza comprare strumenti in modo reattivo. Le raccomandazioni operative partono da tre azioni.
  • Individuare e classificare gli asset, per stabilire le priorità di protezione e il valore dei dati;
  • Segmentare dati e rete, per limitare l’impatto sul cuore dell’attività in caso di violazione;
  • Cifrare i dati critici, per togliere valore a ciò che l’attaccante potrebbe sottrarre e pubblicare.

Rilevamento, risposta e backup

Dopo la preparazione servono strumenti di rilevamento e risposta, anche basati sull’intelligenza artificiale, per intercettare l’attacco nelle fasi iniziali, prima della cifratura. Il volume degli eventi da esaminare è tale che la tecnologia va affiancata da competenze umane, interne o esterne, per l’analisi e la ricerca attiva delle minacce. Il ripristino dipende da backup sicuri e verificati. Gli attaccanti cercano proprio le copie di sicurezza per cifrarle o cancellarle, quindi i backup devono essere separati, protetti da modifiche e controllati prima del ripristino, per non riportare in produzione un malware rimasto silente.
Nel 2023 l’accento cadeva sulla cyber resilienza. Bisogna partire dal presupposto che prima o poi l’attacco riuscirà, l’approccio assume breach, e misurare la propria capacità di ripristinare i sistemi in tempi compatibili con la continuità operativa. Al crimine come servizio va contrapposta una difesa condivisa, con lo scambio di informazioni fra organizzazioni e lo sviluppo di banche dati e modelli di intelligenza artificiale affidabili.

L’identità come prima porta

Il furto di credenziali e di identità è, insieme al phishing, la principale via d’accesso degli attacchi, e riguarda organizzazioni di ogni dimensione. Se ne sottovalutano gli effetti diretti, che possono avere rilievo penale come la sostituzione di persona, e quelli indiretti. Un esempio tipico è il prestito di credenziali fra colleghi quando un account viene bloccato dai sistemi di protezione. Assegnare credenziali aziendali è un atto di fiducia e di attribuzione di privilegi. Le organizzazioni devono mappare le identità digitali attive, eliminare sistemi misti o obsoleti e adottare soluzioni di gestione delle identità e degli accessi che garantiscano monitoraggio continuo, verificabilità e permessi limitati al necessario, così da circoscrivere i danni in caso di compromissione.

Misurare il rilevamento

La capacità di rilevamento si può misurare. Due indicatori sono particolarmente utili, il tempo medio che passa fra l’inizio di un’attività malevola e il suo rilevamento e il tempo medio necessario per contenerla. Calcolati sugli incidenti reali e sulle esercitazioni, mostrano se gli investimenti stanno producendo risultati.
Il modo più diretto per metterli alla prova è simulare un attacco. Un gruppo interno o esterno riproduce in modo controllato le tecniche tipiche delle campagne ransomware, descritte nel framework MITRE ATT&CK, come il furto di credenziali, l’uso di strumenti di amministrazione remota, la ricognizione del dominio e la copia massiva di dati verso l’esterno. Per ogni tecnica si verifica se i sistemi di monitoraggio hanno generato un allarme, se qualcuno lo ha visto e quanto tempo è servito per reagire. Quando difensori e attaccanti simulati lavorano insieme e confrontano i risultati passo per passo, le lacune emergono in pochi giorni e si possono correggere con regole di rilevamento mirate.
Le esercitazioni vanno ripetute, perché le tecniche cambiano e le configurazioni si degradano nel tempo, e i risultati vanno riportati alla direzione con lo stesso linguaggio usato per gli altri rischi.

Gli errori più comuni

Il primo errore è considerare chiuso il lavoro con l’acquisto di una soluzione, senza verificare se il rischio è davvero diminuito, se lo strumento funziona e se il personale sa usarlo. Le procedure di ripristino vanno provate con regolarità, misurando i tempi rispetto agli obiettivi di ripristino stabiliti. Il secondo errore è nascondere gli attacchi subiti. La condivisione delle esperienze è una delle leve principali della sicurezza collettiva, e con la direttiva NIS2, discussa anche nella tavola rotonda del 2023, la notifica degli incidenti significativi è diventata per molti soggetti un obbligo, con un preallarme entro 24 ore e una relazione finale entro un mese.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn