La Cybersecurity and Infrastructure Security Agency ha una nuova idea per difendere centrali elettriche, servizi idrici e altre infrastrutture critiche: smettere di cercare di tenere fuori ogni attaccante e iniziare a somministrare a chi entra una dieta di dati falsi. Le linee guida appena pubblicate da CISA consigliano agli operatori delle infrastrutture critiche di implementare esche informatiche e honeytoken, trappole digitali a basso costo progettate per rilevare gli intrusi precocemente e rallentarli prima che raggiungano i sistemi reali. Si tratta di un cambio di tono notevole da parte di un'agenzia che per anni si è concentrata quasi interamente su patch, difesa perimetrale e controllo degli accessi.

Cosa raccomandano effettivamente le linee guida di CISA

Nel loro nucleo, le linee guida descrivono due strumenti correlati. Gli honeytoken sono file falsi, credenziali, record di database o segreti piantati all'interno di una rete che non hanno alcuno scopo aziendale legittimo. Il loro unico compito è restare lì a sembrare preziosi. Se qualcuno vi accede o tenta di usarli, è un immediato campanello d'allarme, perché nessun dipendente o sistema autorizzato dovrebbe mai toccarli. Gli honeypot portano il concetto più avanti, allestendo interi sistemi esca progettati per sembrare server reali, workstation o asset di controllo industriale, attirando gli attaccanti lontano dall'ambiente effettivo e dando ai difensori il tempo di osservare le loro tattiche.

CISA li presenta come opzioni accessibili per organizzazioni a qualsiasi livello di maturità nella cybersecurity, non solo per agenzie con grandi budget per la sicurezza. Questo è importante per gli operatori delle infrastrutture critiche, molti dei quali gestiscono team IT e di sicurezza ridotti e non possono permettersi piattaforme di rilevamento delle minacce di livello enterprise. Un honeytoken, al contrario, può essere semplice come una credenziale falsa inserita in una condivisione file. Costa poco da implementare ma può generare un avviso ad alta affidabilità nel momento in cui qualcuno interagisce con esso.

Come le esche operano accanto a VPN e segmentazione di rete

La tecnologia di inganno non è pensata per sostituire gli strumenti su cui le organizzazioni già fanno affidamento, come VPN, firewall e segmentazione di rete. È pensata per colmare il divario che quegli strumenti lasciano dietro di sé. Le VPN e i controlli di accesso sono costruiti per tenere fuori gli utenti non autorizzati in primo luogo. Ma gli attaccanti trovano sempre più spesso modi per aggirare queste difese sfruttando credenziali compromesse o vulnerabilità nella stessa infrastruttura di accesso remoto. L'avviso di CISA sul ransomware Gunra che prende di mira le VPN è un chiaro esempio: gli attori delle minacce stanno attivamente sondando le debolezze dell'accesso remoto per ottenere un punto d'appoggio, il che significa che le difese perimetrali da sole non sono più sufficienti.

Gli honeytoken e le esche operano sul presupposto che gli attaccanti determinati alla fine violeranno il perimetro, che sia attraverso una credenziale VPN rubata, un'email di phishing o una vulnerabilità non corretta. Una volta dentro, le esche agiscono come fili di inciampo. Se un intruso si muove attraverso una rete segmentata in cerca di dati o sistemi di valore, un honeytoken piantato nel posto sbagliato può catturarlo quasi immediatamente, spesso prima che abbia causato danni significativi. È un approccio a strati: le VPN e la segmentazione rallentano gli attaccanti e limitano la loro portata, mentre le esche rendono loro molto più difficile muoversi inosservati una volta dentro.

Perché gli operatori delle infrastrutture critiche sono il bersaglio prioritario

La decisione di CISA di indirizzare queste linee guida direttamente agli operatori delle infrastrutture critiche riflette dove la posta in gioco è più alta. I sistemi idrici, i fornitori di energia e altri servizi essenziali spesso gestiscono un mix di reti IT moderne e tecnologia operativa più vecchia che non è stata progettata pensando alla cybersecurity. Questa combinazione li rende bersagli attraenti e difficili da difendere con i soli strumenti tradizionali. Il recente cyberattacco all'acqua del Minnesota che ha colpito più di 30 sistemi nell'arco di appena due giorni illustra quanto rapidamente gli attacchi coordinati possano diffondersi tra fornitori di infrastrutture che potrebbero non avere le risorse di un grande team di sicurezza aziendale. La tecnologia di inganno offre a queste organizzazioni un modo per competere al di sopra delle proprie possibilità, generando avvisi ad alta fedeltà senza richiedere monitoraggio costante o piattaforme di rilevamento costose.

Cosa significa per il rilevamento del movimento laterale dopo una violazione

Uno dei problemi più difficili nella risposta agli incidenti è capire quanto lontano si sia spinto un attaccante all'interno di una rete dopo la violazione iniziale. Gli attaccanti che ottengono un punto d'appoggio spesso trascorrono giorni o settimane muovendosi silenziosamente lateralmente, escalando privilegi e mappando sistemi di valore prima di lanciare un payload ransomware o esfiltrare dati. Gli strumenti di sicurezza tradizionali possono avere difficoltà a distinguere questa silenziosa ricognizione dall'attività di rete normale.

Gli honeytoken cambiano questo calcolo. Poiché non hanno alcun uso legittimo, qualsiasi interazione con essi è un segno quasi garantito di attività malevola, facendosi strada attraverso il rumore che normalmente seppellisce i primi segnali d'allarme. Per gli operatori delle infrastrutture critiche che cercano di catturare gli intrusi prima che raggiungano la tecnologia operativa o i dati dei clienti, quel segnale precoce può essere la differenza tra un incidente contenuto e un'interruzione su vasta scala.

Cosa significa per te

Se lavori nell'IT o nella sicurezza per una utility, un sistema municipale o un altro operatore di infrastrutture, le linee guida di CISA meritano di essere lette integralmente e trattate come un'aggiunta a basso costo alle tue difese esistenti, non come un loro sostituto. VPN, autenticazione a più fattori e segmentazione di rete restano essenziali per tenere fuori gli attaccanti. Le esche e gli honeytoken servono a catturare coloro che superano comunque quelle difese. Anche le organizzazioni senza personale di sicurezza dedicato possono iniziare in piccolo, piantando una manciata di credenziali o file falsi in posizioni sensibili e impostando avvisi per qualsiasi interazione con essi.

Per gli utenti quotidiani e le organizzazioni più piccole, il messaggio più ampio è un promemoria che nessun singolo strato di sicurezza è infallibile. Gli attaccanti stanno costantemente sondando gli strumenti di accesso remoto, come si vede nelle campagne ransomware in corso che sfruttano le debolezze delle VPN, il che significa che la difesa in profondità conta più che mai.

Punti chiave

  • Le linee guida di CISA su esche informatiche e honeytoken offrono agli operatori delle infrastrutture critiche un modo a basso costo per rilevare gli intrusi precocemente.
  • Le esche completano, anziché sostituire, VPN, controlli di accesso e segmentazione di rete.
  • Gli honeytoken sono particolarmente efficaci nel segnalare il movimento laterale dopo una violazione, poiché gli utenti legittimi non interagiscono mai con essi.
  • Gli operatori di infrastrutture più piccoli con budget di sicurezza limitati sono un pubblico prioritario per questo approccio.
  • Le organizzazioni dovrebbero abbinare la tecnologia di inganno a solide difese perimetrali, poiché gli attaccanti continuano a prendere di mira le debolezze dell'accesso remoto per ottenere punti d'appoggio iniziali.