01Punti chiave
- 01
Il tempo di esposizione è il numero totale di ore in cui un sistema resta raggiungibile da una rete che potrebbe ospitare un aggressore. È una delle poche variabili di cyber-rischio che si possono effettivamente misurare e controllare.
- 02
Molti asset “always on” non hanno bisogno di esserlo. Repository di backup, interfacce ILO e iDRAC, telecamere IP, VPN di manutenzione dei fornitori: tutti hanno finestre di utilizzo legittime molto più brevi delle 24 ore su 24.
- 03
Ridurre il tempo di esposizione riduce all'incirca nella stessa proporzione il rischio opportunistico e quello basato sulla scansione. Questo copre la maggior parte delle violazioni.
- 04
La disconnessione imposta via hardware funziona indipendentemente dal fatto che il vostro stack di rilevamento sia configurato alla perfezione o meno.
02Perché l'“always online” è diventato l'impostazione predefinita
L'IT aziendale ha passato due decenni a considerare la connettività costante come impostazione predefinita. Server, array di storage, telecamere, lettori di badge, repository di backup. Tutto finisce in rete, tutto il giorno, tutti i giorni. Il compromesso tra connettività ed esposizione entra raramente nella discussione.
I conti non favoriscono questo approccio. Ogni ora in più in cui un sistema resta raggiungibile da una rete che potrebbe ospitare un aggressore è un'altra ora di esposizione. E poiché oggi la maggior parte degli attacchi è automatizzata, quelle ore si sommano in un modo che si può misurare.
Il tempo di esposizione è l'insieme delle condizioni che permettono alla violazione di avvenire, non ciò che accade dopo.
03Cosa significa realmente il tempo di esposizione
Il tempo di esposizione è il tempo totale in cui un sistema, un servizio, una porta o un'interfaccia di gestione resta raggiungibile da una rete in cui potrebbe annidarsi un aggressore. Si misura per asset, di solito in ore a settimana o come percentuale di uptime.
Tre cose che non è:
- Finestra di esposizione
- l'intervallo tra la divulgazione pubblica di una vulnerabilità e l'applicazione di una patch.
- Dwell time
- quanto a lungo un aggressore resta all'interno prima che ve ne accorgiate.
- MTTD e MTTR
- metriche di risposta. Descrivono ciò che accade dopo che qualcosa è andato storto.
Tutti e tre descrivono ciò che accade dopo una violazione. Il tempo di esposizione descrive le condizioni che permettono alla violazione di avvenire in primo luogo.
04Come il tempo di esposizione moltiplica il rischio
Riducendo il cyber-rischio alle sue variabili, si ottiene qualcosa di questo tipo:
La superficie di attacco e la vulnerabilità ricevono la maggior parte dell'attenzione. Chiudere le porte, dismettere i servizi, applicare le patch: sono discipline mature, con framework e stack di fornitori alle spalle. Il tempo riceve pochissima attenzione. È anche la variabile più facile da modificare.
La maggior parte degli attacchi contro sistemi raggiungibili dall'esterno non prende di mira voi in particolare. Provengono da infrastrutture di scansione che setacciano l'intero spazio IPv4, 24 ore su 24. Gli honeypot del SANS Internet Storm Center rilevano i primi tentativi di brute-force contro SSH o RDP esposti entro cinque-dieci minuti dalla messa online.
Per questo tipo di attività opportunistica, la probabilità di essere scansionati in una data ora è pressoché costante. Un sistema online 168 ore a settimana assorbe 168 ore di scansione. Lo stesso sistema online 8 ore a settimana, solo durante un job di backup, ne assorbe 8. La riduzione è lineare.
05Tre modi in cui gli aggressori traggono vantaggio dal vostro uptime
Scansione opportunistica e sfruttamento di massa
Quando una vulnerabilità grave emerge in un prodotto ampiamente diffuso, chi si occupa di scansione riattrezza gli strumenti nel giro di poche ore. Log4Shell è passato dalla divulgazione allo sfruttamento di massa nello stesso giorno. MOVEit Transfer ha violato centinaia di organizzazioni nel giro di pochi giorni. Le CVE degli appliance Fortinet, Ivanti e Citrix hanno, più di una volta, subito sfruttamento su vasta scala prima che i difensori potessero completare l'applicazione delle patch. Ciò che separava le vittime da tutti gli altri era di solito una cosa sola: se la macchina vulnerabile fosse raggiungibile da internet durante la finestra di 24-72 ore tra divulgazione e patch.
Movimento laterale dopo il primo punto d'appoggio
Una volta che un aggressore ha un punto d'appoggio, il movimento laterale dipende dalla capacità di quel punto d'appoggio di raggiungere l'obiettivo. Repository di backup, domain controller e interfacce di gestione sono obiettivi prediletti come seconda tappa, quasi sempre raggiungibili da workstation compromesse. Un repository di backup raggiungibile 24 ore al giorno dà all'aggressore 24 ore al giorno per distruggerlo. Un repository raggiungibile solo durante una finestra notturna di 4 ore lo costringe o a temporizzare l'operazione con precisione, o ad attendere.
Comando e controllo persistente
La maggior parte degli strumenti di post-exploitation ha bisogno di un canale in uscita verso l'aggressore. I beacon C2 operano secondo una pianificazione periodica, con minuti o ore tra un callback e l'altro, e presuppongono una connettività in uscita continua. La disconnessione programmata in uscita interrompe quelle sessioni, anche quando le finestre sono brevi, e il ripristino tende ad apparire più anomalo di un beaconing a regime costante. L'aggressore deve impiegare più sforzo per mantenere viva la persistenza.
06Perché le difese tradizionali non riducono il tempo di esposizione
La maggior parte dei controlli di sicurezza riduce la superficie di attacco o migliora il rilevamento. Pochi di essi incidono sul tempo di esposizione in sé.
- I firewall
- filtrano il traffico. Non disconnettono nulla.
- I WAF
- proteggono applicazioni specifiche. Non hanno nulla da dire sul piano di gestione.
- EDR / XDR
- sono strumenti di rilevamento. Hanno bisogno che l'attacco inizi prima di poter svolgere il loro compito.
- Lo zero trust
- migliora le decisioni di accesso basate sull'identità. L'asset resta raggiungibile a livello di rete.
- La segmentazione
- limita fino a dove un aggressore può spostarsi una volta all'interno. Gli asset segmentati restano raggiungibili dalle loro reti autorizzate.
Tutti questi sono utili. Molti sono necessari. Nessuno di essi incide sulla variabile tempo.
07Il caso a favore dell'isolamento su base temporale imposto via hardware
Disconnettere fisicamente un asset quando nessuno lo sta usando rientra in una categoria diversa. Non state mitigando la raggiungibilità. La state eliminando per tutta la durata della disconnessione.
Tre cose rendono diversa la disconnessione imposta via hardware:
- Nessuna superficie di errore di configurazione.
- Un'interruzione fisica non può essere aggirata da una regola di firewall sbagliata o da un errore di routing.
- Nulla in rete da sfruttare.
- Se il meccanismo di commutazione è controllato out-of-band, tramite un canale cellulare separato, non esiste un percorso in-band che un aggressore possa usare per influenzare lo stato di disconnessione.
- Verificabile in termini fisici.
- Ogni connessione e disconnessione è un evento discreto che si può registrare, marcare temporalmente e riesaminare.
È questo il principio di funzionamento alla base del dispositivo AIRGAPNET di AirGapNet: uno switch di rete brevettato pilotato da un canale GSM indipendente, con supporto per la disconnessione manuale, programmata e attivata da eventi.
Il cavo è aperto o chiuso. Non c'è nulla da configurare male.
08Dove la riduzione del tempo di esposizione produce risultati
Dove la riduzione del tempo di esposizione produce risultati
Tocca una colonna per ordinare. I sistemi rivolti al pubblico sono intenzionalmente esclusi dall'ambito.
| Classe di asset | Tempo online effettivamente necessario | Esposizione tipica oggi | Riduzione possibile |
|---|---|---|---|
| Repository di backup | 2–6 h/giorno (finestra di backup) | 24 h/giorno | 88% |
| ILO / iDRAC / BMC | < 2 h/mese di manutenzione | 24/7 | 99% |
| Manutenzione remota del fornitore | Interventi di assistenza pianificati | VPN sempre attiva | 99% |
| Telecamere IP (luogo di lavoro) | Solo in orario lavorativo | 24/7 | 65% |
| Automazione degli edifici / IoT | Solo in orario lavorativo | 24/7 | 65% |
| Ambienti di sviluppo e test | Solo in orario lavorativo | 24/7 | 65% |
09Mettere in pratica il principio “online quando serve”
Un programma pratico di riduzione del tempo di esposizione ha tre passi, e non sono complicati.
-
Inventariare e classificare.
Elencare ogni asset e chiedersi qual è la sua reale esigenza operativa di connettività. Molte cose sono always-on per impostazione predefinita, non per progettazione. L'impostazione predefinita viene raramente riesaminata.
-
Scegliere una modalità operativa.
Per ciascun candidato, decidere se la disconnessione debba essere manuale (avviata da un amministratore), programmata (finestre temporali in stile cron) o attivata da eventi (per esempio, disconnettere dopo che il job di backup segnala il completamento).
-
Gestire il controllo out-of-band.
Il canale che pilota lo switch non dovrebbe condividere il destino con il piano dati dell'asset. Un canale di controllo cellulare significa che una compromissione della rete dati non dà all'aggressore alcuna influenza sullo stato di disconnessione.
L'hardware AirGapNet fa tutti e tre out of the box. Gli eventi di connessione e disconnessione vengono registrati, il che vi fornisce la traccia di audit che i regolatori richiedono sempre più spesso nell'ambito di NIS2, DORA e ISO 27001:2022.
10Tre obiezioni comuni
“Ci serve un monitoraggio 24/7 su tutto.”
Per i sistemi rivolti alla produzione, sì. Per i repository di backup e le interfacce di gestione, no. Un repository di backup non ha bisogno di monitoraggio mentre è offline: è offline per progettazione. Comunque la maggior parte del valore del monitoraggio deriva dalle ore attive, che sono esattamente le ore in cui l'asset è connesso.
“L'automazione si romperà.”
La maggior parte delle moderne piattaforme di backup, monitoraggio e gestione gestisce nativamente la connettività programmata. Veeam, Acronis, Veritas, Synology e le altre si aspettano questo tipo di schema. Gli strumenti IPMI e BMC hanno sempre presupposto una raggiungibilità intermittente.
“Questo non è un vero air gap se si riconnette.”
Corretto. Non è un air gap tradizionale. È una finestra di esposizione controllata, una primitiva di sicurezza diversa, che affronta le minacce che effettivamente guidano la maggior parte delle violazioni: scansione opportunistica, ransomware che prende di mira i backup, compromissione della supply chain dei fornitori. A una frazione del costo dell'isolamento permanente.
11Considerazione conclusiva
Il cyber-rischio si riduce a tre variabili misurabili: superficie di attacco, vulnerabilità e tempo. Il settore ha costruito discipline mature attorno alle prime due. La terza riceve pochissima attenzione, il che è strano, perché è quella che si può modificare più facilmente.
La disconnessione su base temporale imposta via hardware riduce il tempo di esposizione per gli asset che non hanno bisogno di essere raggiungibili 24 ore su 24. AIRGAPNET lavora a fianco del vostro stack di sicurezza esistente, non al suo posto. Funziona senza richiedere una configurazione perfetta o un rilevamento perfetto.
Pronti a ridurre il vostro tempo di esposizione?
AIRGAPNET: implementalo in un pomeriggio, verificalo in termini fisici.
Switch di rete brevettato e controllato via GSM. Disconnetti fisicamente qualsiasi asset Ethernet secondo una pianificazione o su richiesta. Lavora a fianco del tuo firewall e del tuo stack di backup.