Cyber kill chain e penetration testing: comprendere e mitigare le minacce

‘È importante comprendere la natura degli attacchi informatici e la loro evoluzione nel tempo, per adottare misure di sicurezza efficaci e proteggere le informazioni sensibili dell'azienda’ 

Eugene Kaspersky, CEO di Kaspersky Lab.

In sostanza il vecchio detto ‘prevenire è meglio che curare’, rimane trasversalmente valido in diversi ambiti, sicuramente anche in quello della cybersecurity.

In questo articolo approfondiremo la cyber kill chain e il penetration testing, argomenti di cui forse qualcuno di voi ha sentito parlare, ma che molti probabilmente non conoscono nel dettaglio. È importante capire questi due concetti legati alla sicurezza aziendale per comprendere meglio una tematica che, oggi più che mai, è diventata di attualità. In un contesto, infatti, in cui le aziende e le organizzazioni dipendono sempre più da sistemi informatici per le loro attività quotidiane, capire come gli attacchi informatici vengono orchestrati e come prevenirli è essenziale. 

Cos’è la cyber kill chain

La kill chain è un termine utilizzato in ambito militare, che descrive la sequenza di passaggi necessari per individuare, colpire e neutralizzare un bersaglio. È utilizzata nel contesto della guerra tradizionale e fa riferimento alle fasi di individuazione dell’obiettivo, decisione dell’attacco, esecuzione e valutazione del risultato.

La cyber kill chain è l’adattamento della kill chain all’ambito informatico. Si tratta di un modello originariamente sviluppato da Lockheed Martin – impresa statunitense attiva nei settori dell’ingegneria aerospaziale e della difesa - che descrive il ciclo di vita di un attacco informatico dal punto di vista dell’aggressore. Questo modello scompone un attacco in una serie di fasi ben definite (ricognizione, armamento, consegna, sfruttamento, installazione, comando e controllo, azioni sull’obiettivo) e viene impiegato per comprendere meglio il modus operandi degli aggressori e individuare punti di intervento per rilevare e bloccare le minacce. In altre parole, la cyber kill chain applica la logica e la struttura della kill chain militare al contesto della sicurezza informatica.

L’obiettivo è in sostanza trasformare l’apparente vantaggio dell’attaccante, che può pianificare e lanciare un’operazione in modo furtivo, in un punto debole: se l’organizzazione comprende come si struttura la kill chain, può interromperla in modo proattivo.

Le sette fasi della kill chain

La kill chain tradizionalmente è composta da sette fasi, sebbene esistano varianti e modelli leggermente diversi. Le sette fasi principali sono:

Ricognizione (Reconnaissance)

In questa fase iniziale, determinante per la riuscita dell’attacco, l'attaccante raccoglie informazioni sul bersaglio per identificare vulnerabilità e potenziali punti di ingresso. Questo può includere la raccolta di dati su indirizzi email, credenziali, indirizzi IP e altre informazioni pubblicamente disponibili.

Gli strumenti utilizzati nella fase di ricognizione possono essere suddivisi in due categorie principali: ricognizione passiva e ricognizione attiva.

La ricognizione passiva si basa sull'osservazione di informazioni pubblicamente disponibili senza interagire direttamente con il bersaglio. Gli strumenti utilizzati includono:

• Shodan: motore di ricerca specializzato che permette di individuare dispositivi connessi a Internet, organizzati per paese, sistema operativo e tipo di rete.
• SpiderFoot: automatizza la raccolta di dati da oltre 100 fonti pubbliche, inclusi domini, indirizzi IP ed email.
• Maltego: strumento potente per l'analisi delle relazioni tra dati (ad esempio domini, IP e nomi) attraverso trasformazioni avanzate.
• Wireshark: utilizzato per analizzare il traffico di rete intercettato, fornendo dettagli su IP e versioni software utilizzate dai sistemi bersaglio.

La ricognizione attiva, invece, implica l'interazione diretta con il sistema bersaglio, come la scansione o il probing. Gli strumenti più comuni includono:

• Nmap: noto scanner di rete che identifica dettagli sui sistemi e i servizi in esecuzione attraverso vari tipi di scansione.
• Nessus: scanner commerciale per identificare vulnerabilità nei sistemi target.
• OpenVAS: alternativa open-source a Nessus, utile per individuare vulnerabilità sfruttabili.
• Nikto: scanner web che rileva vulnerabilità nei server web, come configurazioni errate o software obsoleti.

Oltre agli strumenti specifici, gli attaccanti possono sfruttare altre risorse per raccogliere informazioni quali OSINT (Open Source Intelligence), che include siti web aziendali, articoli di notizie e social media per raccogliere informazioni pubbliche sul bersaglio; Cyber Threat Intelligence (CTI), che analizza dati provenienti da fonti multiple per identificare potenziali minacce e vulnerabilità.

Questi strumenti e tecniche consentono agli attaccanti di ottenere una comprensione dettagliata dell'ambiente del bersaglio, identificando punti deboli che possono essere sfruttati nelle fasi successive dell'attacco.

Armamento (Weaponization)

Dopo aver raccolto le informazioni necessarie, l'attaccante crea un malware o un payload malevolo progettato per sfruttare le vulnerabilità identificate. Questo può comportare la creazione di nuovi malware o la modifica di programmi esistenti per adattarli alle specifiche debolezze del sistema bersaglio. 

Consegna (Delivery) 

In questa fase, l'attaccante trasmette il malware al bersaglio. I vettori di consegna comuni includono email di phishing, siti web compromessi o allegati infetti.

Sfruttamento (Exploitation)

Il malware consegnato viene attivato nel sistema bersaglio per sfruttare le vulnerabilità esistenti. Questa fase permette all'attaccante di eseguire codice malevolo all'interno del sistema della vittima.

Installazione (Installation) 

L'attaccante installa il malware nel sistema della vittima per garantirsi un accesso persistente. Durante questa fase, vengono spesso create backdoor che permettono all'attaccante di rientrare nel sistema anche dopo che l'attacco iniziale è stato scoperto.

Comando e controllo (Command and Control)

Una volta installato il malware, l'attaccante stabilisce un canale di comunicazione con il sistema compromesso per controllarlo da remoto. Questa fase consente all'attaccante di inviare comandi al malware e ricevere dati esfiltrati.

Azioni sull’obiettivo (Actions on Objectives)

Nell'ultima fase, l'attaccante raggiunge i suoi obiettivi iniziali, che possono includere l'esfiltrazione di dati sensibili, la distruzione di dati o l'interruzione dei servizi del bersaglio.

Penetration testing: simulazione di attacchi informatici

Il penetration testing, noto anche come pen test, è un processo di sicurezza informatica che simula attacchi informatici reali per identificare e valutare le vulnerabilità nei sistemi, nelle reti e nelle applicazioni di un'organizzazione. Questo tipo di test è cruciale per garantire la sicurezza informatica, poiché permette di scoprire punti deboli prima che possano essere sfruttati da attaccanti malintenzionati.

Questo approccio permette di:

• Comprendere il livello di esposizione dell’organizzazione alle minacce.
• Validare l’efficacia dei controlli di sicurezza già in essere.
• Fornire raccomandazioni su come rafforzare le difese.

Le fasi del pen testing

Il processo di penetration testing può essere scomposto in diverse fasi, che spesso richiamano i passaggi della cyber kill chain:

Pianificazione e ricognizione

Questa fase iniziale prevede la definizione degli obiettivi del test, l'identificazione delle risorse da testare e la raccolta di informazioni sul sistema bersaglio. Si tratta di un'analisi preliminare che aiuta a comprendere l'ambiente di destinazione e a identificare potenziali punti di ingresso.

Scanning

In questa fase, vengono utilizzati strumenti specifici per raccogliere informazioni dettagliate sui sistemi bersaglio. Lo scanning aiuta a identificare le porte aperte, i servizi attivi e le vulnerabilità note che possono essere sfruttate.

Ottenimento dell'accesso

Una volta identificate le vulnerabilità, i penetration tester tentano di sfruttarle per ottenere accesso non autorizzato ai sistemi bersaglio. Questo può includere tecniche come il cracking delle password, l'ingegneria sociale o lo sfruttamento delle vulnerabilità del software.

Mantenimento dell'accesso

Dopo aver ottenuto l'accesso, i tester cercano di mantenere la loro presenza nel sistema per esplorare ulteriormente le vulnerabilità e valutare l'efficacia delle misure di sicurezza implementate.

Analisi e reporting

Infine, i risultati del test vengono analizzati e documentati in un rapporto dettagliato. Questo rapporto include le vulnerabilità identificate, il loro impatto potenziale e le raccomandazioni per la mitigazione o la correzione. 

Diversi strumenti sono comunemente utilizzati durante un penetration test per facilitare l'identificazione e lo sfruttamento delle vulnerabilità.

Nmap viene utilizzato per la scansione delle reti e l'identificazione dei dispositivi connessi e delle porte aperte; Metasploit è un framework completo per lo sviluppo e l'esecuzione di exploit; Wireshark è uno sniffer di pacchetti che analizza il traffico di rete in tempo reale; Burp Suite è utilizzato principalmente per il testing delle applicazioni web, offre funzionalità di scanning automatizzato e manuale; Sqlmap è specializzato nel rilevare e sfruttare vulnerabilità SQL injection nelle applicazioni web.

Protezione attraverso le fasi del modello kill chain

L’approccio della cyber kill chain, combinato con il penetration testing, consente di costruire una strategia di difesa stratificata, che offre diversi livelli di protezione. A livello di prevenzione è possibile utilizzare la cyber kill chain per identificare potenziali punti di ingresso e implementare misure preventive in ogni fase dell'attacco. Per quanto concerne il rilevamento, l’esecuzione di penetration test regolari permette di scoprire nuove vulnerabilità e testare l'efficacia delle difese esistenti.

L’approccio integrato garantisce un incremento delle capacità di risposta agli incidenti, comprendendo meglio le tecniche degli attaccanti e preparando piani di risposta basati sui risultati dei penetration test. Inoltre, un aggiornamento continuo delle strategie di sicurezza in base ai risultati ottenuti dai penetration test e alle nuove minacce identificate attraverso l'analisi della cyber kill chain, offre il vantaggio di implementare un adattamento continuo al sistema.

Vediamo nel dettaglio come è possibile agire in ognuna delle fasi che abbiamo già descritto.

Fasi di Ricognizione e Armamento

Attraverso intelligence di sicurezza e controlli preventivi, è possibile identificare e bloccare tentativi di raccolta informazioni. Misure come limitare le informazioni esposte pubblicamente e utilizzare filtri anti-phishing possono ridurre significativamente la superficie d’attacco.

Fasi di Consegna e Sfruttamento

Un solido sistema di difesa perimetrale, patch management regolare, sistemi IDS/IPS e filtri e-mail avanzati possono ostacolare la consegna di malware. I pen-tester, simulando le tecniche d’attacco, aiutano a verificare l’efficacia di queste misure.

Fasi di Installazione e Comando e Controllo

L’implementazione di soluzioni di endpoint detection & response (EDR), controlli sugli accessi, segmentazione della rete e monitoraggio continuo dei log possono rilevare e bloccare tentativi di installazione di malware e collegamenti con server C2.

Fase Azioni sull’obiettivo

Un rigoroso controllo degli accessi, politiche di accesso privilegiato (PAM) e monitoraggio costante dei sistemi fondamentali possono prevenire l’esfiltrazione dei dati e la compromissione finale.

In conclusione, comprendere la cyber kill chain e integrare metodologie di penetration testing nel proprio programma di sicurezza informatica permette alle aziende di anticipare e mitigare le minacce con maggiore efficacia. Questa visione olistica della sicurezza, centrata sull’individuazione precoce dei segnali d’allarme e sulla correzione delle vulnerabilità, aiuta a mantenere l’integrità, la disponibilità e la riservatezza dei dati nell’attuale panorama di minacce informatiche, che rimane comunque in costante evoluzione.

Se sei consapevole dell’importanza della prevenzione per la sicurezza della tua azienda, contattaci per una consulenza e studieremo la migliore strategia per la tua realtà.