V-Valley Security: Advanced Persistent Threat

Inizia con questo articolo una serie che ripercorre le presentazioni che ho fatto per V-Valley, distributore aggiunto del gruppo Esprinet, al fine di poter dare la possibilità a chi non ha potuto partecipare all’evento, o non ha preso appunti :), di rivedere le slides con un minimo di commento.

Ovviamente per chi mi conosce non esiste una relazione biunivoca tra quanto detto dal vivo e questi articoli, che sono per forza di cose più generici rispetto alle versioni live, ma spero che siano comunque un utile compendio ed una piacevole lettura 🙂

Chiunque oggi segua il mondo dell’informatica, ed in particolare quello della sicurezza informatica deve essere incappato in tutta una serie di nuovi acronimi che vengono utilizzati dal marketing delle diverse aziende del settore. è noto come gli specialisti di informatica e quelli del marketing adorino porre tutto in acronimi, rende la discussione molto più “professionale”.

Dietro acronimi quali APT, AET, NGFW, MDM, IAM, IDD etc., spesso si celano vecchie tecnologie ripresentate come nuova panacea o nuovi soggetti effettivamente interessanti.

Recentemente quello, o uno di quelli, che va per la maggiore è APT, che nel gergo informatico attuale attribuito alla sicurezza significa Advance Persistent Threat.

ovviamente la precisazione è d’obbligo, infatti il generico acronimo APT copre almeno un migliaio di diverse definizioni, molte delle quali nulla hanno a che fare con l’informatica, molte..non tutte 🙂

la definizione che a noi interessa è quindi quella strettamente legata all’ambito della sicurezza informatica.

Advanced Persistent Threat

La prima domanda che ci dovremmo porre quando parliamo di Advanced Persistent Threat è che cosa voglia dire questa definizione.

Per cercare di rendere il termine meno oscuro sono andato su internet a cercare delle definizioni “ufficiali”. Apparentemente la migliore

definizione è la seguente:

Advanced= Avanzate. Significa che gli avversari possono operare nella gamma completa delle modalità di intrusione di un computer. Possono utilizzare il più banale exploit a disposizione del pubblico contro una vulnerabilità ben nota, oppure possono elevare il loro gioco alla ricerca di nuove vulnerabilità e sviluppare exploit personalizzati, a seconda della condizione del bersaglio.
Persistent =Persistente. Significa che l’avversario è formalmente incaricato di compiere una missione. Non sono attacchi opportunisti, dettati dal caso. Come una unità di spionaggio gli attaccanti ricevono direttive e lavorano per soddisfare i loro padroni. Persistente non significa necessariamente che hanno bisogno di eseguire costantemente codice dannoso sul computer vittima. Piuttosto mantengono alto il livello di interazione necessario per eseguire i loro obiettivi.
Threat = pericolo, minaccia. Significa che l’avversario non è un “inutile” pezzo di codice. Questo punto è cruciale. Alcune persone parlano del termine “minaccia” con riferimento al malware. Se il malware non avesse un individuo collegato ad esso (qualcuno per controllare la vittima, leggere i dati rubati, ecc), allora la maggior parte del malware sarebbe di poca preoccupazione (fintanto che non degrada le prestazioni o blocca l’accesso ai dati). Piuttosto, l’avversario qui è una minaccia perché è organizzato e finanziato e motivato. Alcune persone parlano di più “gruppi” costituiti da “squadre” dedicate a varie missioni.

In altre parole un APT non è un riferimento ad un attacco specifico, una tecnologia univoca o un bug chiaro. Con APT si intende un attacco mirato e volontario portato da un soggetto contro un bersaglio specifico, contro cui attiva tutte le azioni, le tecnologie e le tempistiche necessarie per portare a compimento il proprio obiettivo.

Un APT può essere portato avanti anche con metodi che sono esterni all’informatica in senso stretto, ma che sono coerenti con le esigenze dell’attacco. Le tecniche di social engineering sono un classico aspetto di un APT, tecniche che spesso sfruttano veicoli e canali che poco hanno a che fare con i classici strumenti di protezione informatica.

I bersagli di un APT sono quindi complessi ed articolati. Tipici target sono tra i più diversi.

Possiamo avere obiettivi Politici, sia mossi da uno stato o da gruppi di attivisti, Obiettivi economici, Tecnici e persino militari.

Obiettivi politici che includono continuare a reprimere la propria popolazione in nome della “stabilità”.
Obiettivi economici che si basano ad esempio sul rubare la proprietà intellettuale della vittima. Tale IP (Intellectual Property) può essere clonata e venduta, studiata e venduta ad un prezzo più basso per battere gli altri, o fusa con la ricerca locale per la produzione di nuovi prodotti e servizi più a buon mercato rispetto alle vittime.
Obiettivi tecnici che aumentano ulteriormente la capacità degli attaccanti di compiere la loro missione. Questi includono l’accesso al codice sorgente per sviluppare eventuali exploit, o imparare come funzionano le difese al fine di eluderele o bloccarle più efficacemente. Ancora più preoccupante è il pensiero che gli intrusi possano apportare modifiche per migliorare la loro posizione e indebolire la vittima.
Obiettivi militari che includono individuare carenze che permettano a forze militari inferiori di sconfiggere forze militari nominalmente superiori.

Basta sfogliare le notizie dei giornali di tutti i giorni per ritrovare queste casistiche.

La questione è reale e ben nota agli addetti al settore, tanto che lo stesso NIST (il National Institute of Standard and Technology americano) ha da tempo una sua definizione di APT:

“La minaccia avanzata persistente è un avversario con livelli sofisticati di competenza e risorse significative, che gli consentono, attraverso l’utilizzo di vettori di attacco multipli (come frode e metodi informatici e fisici), di generare opportunità per raggiungere i propri obiettivi: questi consistono
tipicamente nello stabilire e ampliare punti di appoggio all’interno dell’infrastruttura informatica delle organizzazioni, allo scopo di derivarne informazioni in modo continuativo e/o di compromettere o ostacolare aspetti critici di una missione, programma o organizzazione, o di mettersi in condizione di farlo in futuro. Inoltre, la minaccia avanzata persistente persegue i propri obiettivi ripetutamente per un periodo di tempo prolungato, adattandosi agli sforzi di un difensore per resisterle, e con lo scopo di mantenere il livello di interazione necessario per eseguire i propri obiettivi”.

Queste definizioni potrebbero far pensare che la problematica legata agli APT sia oggetto solo di grandi organizzazioni private o pubbliche, ma in realtà chiunque può essere soggetto ad un APT. Ovunque vi sia qualcosa che vale la pena di essere rubato, ovunque vi sia qualche vantaggio a provocare danni o mettere in cattiva luce un soggetto od una società, allora un APT può essere un rischio reale.

L’esempio tipico è il furto di propietà intellettuale o di informazioni per poter fare concorrenza sleale, che può colpire aziende di qualsiasi dimensione.

Come funziona un APT

Un APT utilizza, per la natura stessa della sua definizione, una serie non prevedibile di tecnologie ed attacchi, rendendo nei fatti ogni APT diverso l’uno dall’altro.

Nonostante ciò esistono alcuni step che sono generalmente considerati comuni a tutti questi attacchi che ne definiscono il ciclo di attivazione.

In prima istanza un attacco APT può essere descritto nella seguente maniera:

Esiste una prima fase in cui l’attaccante analizza l’ambiente da attaccare. Questa fase di riconoscimento serve all’attaccante per sapere quali siano gli eventuali punti deboli di una potenziale vittima. L’esplorazione può comportare da sopralluoghi fisici a tecniche classiche di social engineering o di truffa. Mail, telefonate, incontri come potenziali clienti..tutto può essere utilizzato all’inizio per raccogliere le necessarie informazioni. Ovviamente va considerato anche l’uso di social networks e normali ricerche web, persino le pagine istituzionali danno spesso preziose informazioni.

A questa fase poi si accompagna una fase più informatica, tesa a saggiare e valutare le difese in essere della potenziale vittima.

è interessante notare che, in questa fase, non è spesso necessario utilizzare tecnologie “esoteriche” o che richiedano conoscenze informatiche estreme. Spesso un buon tecnico informatico può trovare tutto quello che serve anche in prodotti commerciali assolutamente leciti. In questa fase di analisi è spesso anche possibile non valicare la sottile linea che divide ciò che è legale da ciò che non lo è. risulta spesso quasi impossibile poter intervenire a questo livello.

Il passo successivo è iniziare ad entrare nel sistema. qui le cose diventano più tecnologicamente complesse. spesso per iniziare ad entrare nel sistema occorre mettere in atto una serie complessa di azioni di cui la vittima predestinata è solo apparentemente uno dei bersagli. le casistiche sono molteplici ma lo scopo è sempre lo stesso iniziare ad avere una prima forma di accesso al sistema della vittima.

Una volta che si è finalmente entrati nel sistema occorre cercare di elevare il livello di intrusione al fine di ottenere i diritti, i permessi ed il livello di controllo necessari a svolgere il compito. In questa fase tipicamente vi sono la compromissione di server, applicazioni ed apparati di networking con lo scopo di “monitorare” e “controllare” le possibili vie di accesso.

Finita questa fase puòinziare l’attacco vero e proprio che può essere continuativo o, peggio, dormiente sino al momento opportuno.

In questa catena solitamente ci si accorge dell’attacco solo a cose fatte, infatti il problema di un APT non è fermare una specifica violazione, ma una serie di eventi tra loro correlati ad uno scopo. Per quanto possa sembrare strano fermare un evento anomalo, una intrusione, una infezione virale non è indice di un blocco dell’APT, anzi, potrebbe essere parte della strategia di attacco messa in atto, per testare le capacità di reazione della vittima, per distrarlo da altri fenomeni apparentemente meno gravi e cosi via.

Occorre sempre ricordare che l’APT non è legato a specifiche tecnologie, dove una fallisce si cerca una alternativa.

Questa cosa rende gli APT particolarmente insidiosi, di solito il riconoscimento di un APT in quanto tale arriva solo in una fase particolarmente avanzata, quando oramai le azioni da intraprendere non sono più preventive ma correttive.

Esplodendo il ciclo di un APT con un maggior dettaglio si può osservare che la fase iniziale di analisi è non tracciabile, il primo reale punto in cui si può intervenire è l’iniziale ingresso nel sistema.

é importante cercare, quindi, di fermare le attività il più presto possibile. intervenire nella fase di delivery, ossia di primo ingresso nel sistema, può consentire l’effettivo blocco della attività di attacco.

Questo intervento, però, non deve essere tout court un banale blocco di un tentativo di intrusione, ma un consapevole atto all’interno di una complessa strategia difensiva. In alcuni casi la detection viene utilizzata non per bloccare l’attacco ma per consentirne la continuazione, monitorata dalle difese, per scoprire quali siano le vulnerabilità che l’attaccante vuole sfruttare e quindi intervenire per ridisegnare le difese per rendere impossibili quei passi. esiste quindi un processo di sintesi che consente ai difensori di bloccare e aggiornare il proprio perimetro difensivo.

Questo comporta, tra l’altro, l’adozione di tecnologie di monitoraggio tra cui l’uso estensivo e progettuale di SIEM da integrare con i vari sistemi di monitoraggio logico e fisico della rete, definire baseline di riferimento per essere usati come parametri comparativi sull’andamento della rete, introdurre tecnologie di gestione degli account (IAM) e cosi via.

Come Difendersi da un APT

La parte di detection di un APT è fondamentale, prima avviene meglio è. rimane il fatto che più le difese di una rete sono labili maggiore sarà la facilità di un attaccante di portare a compimento una azione di intrusione e maggiore la difficoltà da parte della vittima di trovare una soluzione.

In linea di massima il primo consiglio da dare è: disegnare la rete in maniera opportuna, efficace ed efficiente ed amministrarla bene.

Per quanto possa sembrare ovvio, i criteri di un disegno corretto della rete sono largamente consoni ai meccanismi difensivi necessari da implementare in una rete per bloccare fegli APT.

come minimo questo comporta:

1. Complicare l’accesso iniziale
2. Ridurre il rischio di escalation dei privilegi in caso di compromissione di un account
3. Limitare il danno che può essere causato da un account compromesso, anche se privilegiato
4. Rilevare precocemente account compromessi e attività sospette
5. Raccogliere informazioni utili a un’indagine forense, per poter determinare quali danni si sono verificati, quando e a opera di chi

Il primo punto richiede di mettere in atto tutti quei suggerimenti che da anni vengono proposti dagli esperti del settore: dalla strong authentication degli utenti (ad esempio attraverso l’uso di token per sostituire almeno l’uso delle password), ai servizi di Network Access Control per monitorare sia chi entra in rete con sistemi wireless che wired. uno dei punti chiave in questa ottica è la formazione, a tutti i livelli, per aumentare il livello di consapevolezza sulle conseguenze di certe azioni all’interno della struttura aziendale.

Rendere complicato l’accesso iniziale non significa rendere la user experience un incubo, al contrario rendere i processi di accesso troppo farraginosi e complessi porta, dati alla mano, ad un drammatico incremento delle violazioni. Limitare l’uso di risorse deve essere accompagnato ad un attento studio della user experience.

il punto 2 è abbastanza autoesplicativo, assieme al punto 3 richiede che la gestione degli utenti sia attentamente vagliata, magari taramite sistemi o servizi IAM. risulta anche evidente che occorra intervenire pesantemente in termini di patching ed hardening delle piattaforme al fine di ridurre i rischi di tipo 3 e 2.

il punto 4 richiede che vengano messi in campo sistemi e processi di monitoraggio avanzati, quali NGFW, IPS\IDS, prodotti antimalware, anti Dos e via dicendo integrati con una solida struttura SIEM.

Il punto 5 nella sua ovvietà è il più disatteso: raccogliere dati che possano essere utili alla attività di sintesi e di eventuale analisi forense richiede non solo l’apporto di prodottie tecnologie ma, soprattutto di processi e competenze adeguate.

Ma tanto a me non mi beccano, non mi hanno mai beccato e, quindi, non mi beccheranno mai

il paradosso degli APT è che, siccome vengono raramente scoperti, vi è la falsa sensazione che sia sempre un problema degli altri.

vi lascio quindi con questa consolante statistica:

Gli APT sono difficili da individuare. Secondo il Verizon 2012 Data Breach Investigations Report, il 92% di tutte le organizzazioni e il 49% delle grandi organizzazioni è venuta a conoscenza di una violazione della sicurezza perché informata da un soggetto esterno.