[N.d.T.: questo articolo è stato pubblicato dal CEO e fondatore di TAG Ed Amoroso].
Il supporto alla cybersecurity comprende un'ampia gamma di obblighi, che vanno dalla documentazione di conformità alla formazione degli utenti. Ma l'aspetto più impegnativo ed essenziale della sicurezza di Microsoft Active Directory (AD) riguarda il rilevamento degli attacchi, prima, durante e dopo il loro inizio. Senza questa capacità, i team di tutti i settori, compresi gli enti statali e locali e l'istruzione (SLED), avranno gravi carenze operative in termini di sicurezza.
Il nostro team di ricerca e consulenza di TAG segue regolarmente i problemi sollevati dai nostri clienti dei team di sicurezza aziendali. Senza dubbio, le sfide legate alla sicurezza di Active Directory sono tra i problemi più sentiti dai team guidati dai Chief Information Security Officer (CISO). Questo non dovrebbe sorprendere nessun professionista che esamini gli attacchi più comuni, molti dei quali utilizzano AD come risorsa di compromesso essenziale.
L'AD è la spina dorsale della gestione delle identità e degli accessi (IAM) per la maggior parte delle aziende, il che lo rende un obiettivo primario per gli attacchi. Poiché l'AD controlla le autorizzazioni e l'accesso a sistemi, applicazioni e dati critici, qualsiasi compromissione può portare a violazioni della sicurezza, tra cui l'escalation dei privilegi, il furto di dati o persino il ransomware. Il rafforzamento della sicurezza dell'AD è quindi essenziale per salvaguardare le operazioni aziendali, in particolare quando le organizzazioni si spostano verso reti ibride.
Inoltre, gli aggressori spesso sfruttano configurazioni errate dell'AD, vulnerabilità non patchate o credenziali rubate, consentendo loro di spostarsi lateralmente e ottenere il controllo delle risorse. Dato il ruolo che AD svolge nell'accesso degli utenti, garantire la sicurezza è essenziale per mantenere una postura sicura. In TAG abbiamo imparato che le moderne strategie di sicurezza devono dare priorità all'hardening dell'AD, al monitoraggio continuo e al rilevamento rapido per prevenire gli accessi non autorizzati.
Che cos'è il rilevamento degli attacchi AD?
Il rilevamento degli attacchi AD comporta il monitoraggio e l'identificazione dei segni di attività dannose che hanno come obiettivo l'AD. Ciò include il rilevamento di comportamenti anomali, escalation di privilegi o tentativi di sfruttare le vulnerabilità dell'AD. Le soluzioni di rilevamento degli attacchi sfruttano il monitoraggio in tempo reale, l'intelligenza artificiale e l'analisi comportamentale per individuare gli indicatori di compromissione (IOC), come modifiche non autorizzate ai criteri di gruppo, accessi anomali o concessioni di privilegi inaspettate.
Questi metodi di rilevamento sono fondamentali per mitigare gli attacchi in anticipo, in particolare data la persistenza di minacce avanzate come il ransomware, in cui l'AD è spesso un obiettivo di alto valore. Un rilevamento efficace degli attacchi all'AD consente ai team di sicurezza di rispondere rapidamente alle potenziali violazioni, limitando i danni e preservando la sicurezza delle risorse critiche all'interno di un'organizzazione. Per sottolineare questi punti, TAG classifica la sicurezza AD come una categoria di soluzioni a sé stante.
Le attuali minacce informatiche per le amministrazioni statali e locali e il settore dell'istruzione
Sebbene per ogni settore la sicurezza dell'AD rappresenti un problema di importanza cruciale, abbiamo osservato che un settore critico, quello delle amministrazioni statali e locali e dell'istruzione, si trova ad affrontare una serie di sfide particolarmente difficili. Vale la pena ricordare che il nostro team di analisti di TAG intrattiene stretti rapporti in questo settore grazie a cattedre e altri incarichi in varie istituzioni statali ed educative.
In questo settore si assiste a un numero crescente di minacce informatiche, dovute a risorse spesso limitate e all'invecchiamento dell'infrastruttura. Il ransomware rimane una minaccia significativa, in cui gli aggressori sfruttano le vulnerabilità dell'AD per ottenere l'accesso e chiedere il pagamento in cambio della decriptazione dei dati. Gli enti pubblici e locali e le istituzioni scolastiche sono anche bersaglio frequente di phishing finalizzato al furto di credenziali, che può compromettere l'AD e consentire agli aggressori di muoversi lateralmente attraverso le reti.
Una gestione insufficiente delle patch e politiche deboli in materia di password espongono inoltre le istituzioni SLED a un'ampia gamma di attacchi. Con l'aumento dei modelli di lavoro ibridi e delle iniziative di trasformazione digitale, gli enti pubblici e locali e gli ambienti educativi stanno espandendo l'uso della tecnologia, anche nelle aule scolastiche, il che li rende ancora più suscettibili agli attacchi. Date queste vulnerabilità, un approccio proattivo alla sicurezza di Active Directory è essenziale per mantenere la resilienza di questi servizi critici.
Supporto delle agenzie federali statunitensi per la sicurezza AD negli enti statali e locali e nell'istruzione
Sebbene nessuna agenzia federale o ente normativo degli Stati Uniti imponga esclusivamente la sicurezza dell'AD, molte normative e framework del settore pubblico, compresi gli ambienti di governo statale e locale e dell'istruzione, enfatizzano le pratiche di cybersecurity che coprono intrinsecamente la sicurezza dell'AD. Ciò implica che i team di sicurezza del settore SLED devono prendere l'iniziativa di sfruttare le normative chiave per promuovere una più solida sicurezza informatica dell'AD. Ciò include i seguenti framework:
- (Politica di sicurezza dei servizi di informazione sulla giustizia penale (CJIS). Gestita dall'FBI, questa politica delinea i controlli di sicurezza per i sistemi che gestiscono informazioni sulla giustizia penale. Dato che AD è spesso utilizzato in questi sistemi per il controllo degli accessi, la protezione di AD è essenziale per la conformità.
- Health Insurance Portability and Accountability Act (HIPAA). Negli ambienti sanitari pubblici (ad esempio, ospedali statali o di contea), l'HIPAA impone misure di sicurezza rigorose per la gestione delle informazioni sanitarie protette (PHI). La protezione dell'AD è fondamentale in questi ambienti per gestire l'accesso alle informazioni sanitarie protette.
- NIST 800-53 e NIST Cybersecurity Framework. Questi framework, ampiamente adottati dalle agenzie governative, forniscono controlli di sicurezza che hanno un impatto sugli ambienti AD, come IAM, risposta agli incidenti e monitoraggio continuo.
- Federal Information Security Management Act (FISMA). Sebbene si applichi principalmente alle agenzie federali, il FISMA ha un effetto a valle sulle amministrazioni statali e locali che ricevono finanziamenti federali. Richiede misure di sicurezza adeguate per i sistemi informativi, rendendo la sicurezza AD essenziale per la conformità.
- Regolamenti specifici per ogni Stato. Alcuni stati, come la California (tramite il California Consumer Privacy Act [CCPA]) e New York (tramite lo SHIELD Act), hanno proprie normative sulla cybersecurity che riguardano gli ambienti SLED. La sicurezza degli AD diventa spesso una componente chiave della conformità a questi più ampi mandati di cybersecurity.
In sintesi, anche se non esiste un requisito esplicito e diretto per la sicurezza di AD negli ambienti SLED (almeno per quanto ne sappiamo noi di TAG), la conformità con le più ampie normative federali, statali e settoriali sulla cybersecurity lo richiede indirettamente a causa del ruolo centrale che AD svolge nella gestione delle identità e degli accessi degli utenti.
Utilizzo di Semperis per la sicurezza AD nel settore SLED
Per le amministrazioni statali e locali e per l'istruzione sono disponibili soluzioni avanzate di sicurezza di Active Directory per proteggere, rilevare e ripristinare gli attacchi legati all'AD.
L'azienda di cybersecurity Semperis, fondatanel 2014 da un team di esperti di cybersecurity guidati da Mickey Bresman, Guy Teverovsky e Matan Liberman, si concentra specificamente sulla cybersecurity guidata dalle identità, con soluzioni per la protezione di Active Directory. Semperis ha sviluppato una serie di strumenti di livello mondiale, tra cui Directory Services Protector ( DSP), progettati per fornire un monitoraggio continuo e una protezione in tempo reale degli ambienti AD.
La piattaforma di resilienza delle identità di Semperis offre funzionalità di rilevamento automatico delle minacce, monitoraggio in tempo reale e risposta che aiutano a mitigare rischi quali l'abuso di privilegi, il ransomware e lo sfruttamento dell'AD. La piattaforma garantisce che qualsiasi modifica non autorizzata all'AD venga identificata e segnalata immediatamente ai team SLED.
Oltre al rilevamento e al monitoraggio, Semperis offre alle organizzazioni governative ed educative statali e locali la possibilità di utilizzare strumenti di disaster recovery per ripristinare rapidamente gli ambienti AD compromessi, una priorità ovvia in questo settore. Date le risorse IT limitate che sono comuni in molti ambienti SLED, l'automazione e la facilità d'uso di Semperis sono fondamentali per garantire che i team di sicurezza possano mantenere il controllo e ripristinare gli incidenti con tempi di inattività minimi.
Piano d'azione per i leader della cybersecurity nello SLED
TAG consiglia ai CISO delle istituzioni SLED di dare priorità a un approccio alla sicurezza su più livelli che enfatizzi la sicurezza dell'AD. Questo inizia con audit e valutazioni regolari per identificare e correggere le vulnerabilità all'interno di AD, come configurazioni errate o policy obsolete. L'implementazione di soluzioni di monitoraggio continuo come Semperis per rilevare le attività anomale in tempo reale è fondamentale per mantenere una difesa proattiva.
I CISO degli enti pubblici e locali e del settore dell'istruzione devono anche assicurarsi che i loro team siano formati e preparati a rispondere alle violazioni dell'AD. Questo è il modo migliore per farlo insieme all'implementazione di una piattaforma di sicurezza AD di livello mondiale, e il nostro consiglio è che Semperis fa al caso nostro. I lettori sono invitati a contattare gli analisti di ricerca e consulenza di TAG per ricevere assistenza nella scelta della fonte, oppure possono contattare direttamente Semperis.
Avete bisogno di aiuto per migliorare la sicurezza dell'AD nella vostra agenzia governativa statale o locale o nella vostra scuola? Contattate il nostro team di esperti di AD.
Informazioni su TAG: Riconosciuta da Fast Company, TAG è una società di ricerca e consulenza di nuova generazione che utilizza una piattaforma SaaS alimentata dall'intelligenza artificiale per fornire approfondimenti, indicazioni e raccomandazioni su richiesta a team aziendali, agenzie governative e fornitori commerciali nei settori della cybersicurezza, dell'intelligenza artificiale e della scienza del clima.
Altre risorse
