Descrivere la difesa in profondità

Una strategia di difesa avanzata usa un approccio a più livelli per la sicurezza, invece di basarsi su un singolo perimetro. Invece di dipendere da un meccanismo per evitare gli utenti malintenzionati, la difesa in profondità combina più livelli sovrapposti di controlli. Ogni livello fornisce protezione in modo che, se un livello viene violato, il livello successivo impedisce a un utente malintenzionato di ottenere l'accesso non autorizzato ai dati.

Si pensi alle misure di sicurezza che proteggono un caveau ad alta sicurezza: una porta esterna bloccata, telecamere, sensori di movimento, un tastierino di accesso, la porta del caveau stesso e quindi contenitori protetti all'interno. Se un attaccante supera la porta esterna, deve comunque affrontare diverse altre barriere. Lo stesso principio si applica alla sicurezza IT.

Livelli di difesa in profondità

Una strategia di difesa avanzata include in genere i livelli di sicurezza seguenti:

• La sicurezza fisica limita l'accesso all'infrastruttura di elaborazione. Questo livello include strutture bloccate, guardie di sicurezza, lettori di badge e telecamere di sorveglianza. Garantire che solo il personale autorizzato possa accedere fisicamente a server, apparecchiature di rete e hardware di archiviazione impedisce agli utenti malintenzionati di manomettere o rubare componenti fisici.

• I controlli di identità e accesso autenticano e autorizzano gli utenti prima di concedere loro l'accesso alle risorse. Questo livello include l'autenticazione a più fattori (MFA), il controllo degli accessi in base al ruolo e i criteri di accesso condizionale che valutano i segnali, ad esempio la posizione di accesso, la conformità dei dispositivi e il livello di rischio, prima di consentire l'accesso. Anche se un utente malintenzionato ottiene una password valida, i controlli di identità sicuri a questo livello possono impedire l'accesso non autorizzato.

• La sicurezza perimetrale protegge il limite di una rete da attacchi esterni su larga scala. Questo livello include la protezione DDoS (Distributed Denial of Service), che filtra il traffico di attacco prima di poter interrompere i servizi per gli utenti e i firewall perimetrali che controllano e controllano il traffico che entra e lascia la rete.

• La sicurezza di rete controlla la comunicazione tra le risorse all'interno di una rete. Questo livello include la segmentazione di rete, dividendo la rete in zone isolate, in modo che una compromissione in una zona non esponga automaticamente tutto il resto, insieme ai gruppi di sicurezza di rete (NSG) che limitano il flusso del traffico in base alle regole definite. Limitando i sistemi che possono comunicare con gli altri sistemi, la sicurezza di rete riduce il danno che un utente malintenzionato può causare dopo aver compromesso una singola risorsa.

• La sicurezza di calcolo protegge macchine virtuali, contenitori e altre risorse di calcolo. Questo livello include il mantenimento di sistemi operativi e software con patch e aggiornamenti, la chiusura di porte di rete non necessarie, la limitazione dell'accesso amministrativo e il monitoraggio delle risorse di calcolo per comportamenti insoliti. Gli utenti malintenzionati hanno spesso come destinazione risorse di calcolo non crittografate o non configurate correttamente come punto di ingresso.

• La sicurezza delle applicazioni garantisce che le applicazioni siano progettate e distribuite senza vulnerabilità sfruttabili. Questo livello include procedure di sviluppo sicure, convalida dell'input per evitare attacchi comuni, ad esempio SQL injection e scripting tra siti (XSS) e l'autenticazione e l'autorizzazione a livello di applicazione. I test di sicurezza durante lo sviluppo, prima che il codice raggiunga la produzione, è molto più conveniente rispetto all'individuazione delle vulnerabilità dopo la distribuzione.

• La sicurezza dei dati è il livello più interno e più critico, incentrato sulla protezione delle informazioni più importanti per un'organizzazione. Questo livello include controlli di accesso che limitano chi può leggere o modificare i dati, la crittografia che rende i dati illeggibili senza le chiavi appropriate e la classificazione dei dati che identifica i dati che richiedono le protezioni più complesse.

Perché la difesa a più livelli è importante

Ogni livello in una strategia di difesa avanzata rallenta un utente malintenzionato e offre ai difensori maggiori opportunità di rilevare e rispondere a una minaccia prima che vengano eseguiti danni. Un singolo controllo di sicurezza, anche un controllo sicuro, può non riuscire a causa di una vulnerabilità software, di una configurazione errata o di un processo aziendale che richiede un'eccezione. Quando sono presenti più livelli, l'errore di un livello non comporta immediatamente una violazione.

La difesa in profondità supporta anche un principio chiave della sicurezza moderna: progettare la strategia come se gli attaccanti supereranno eventualmente le difese esterne e concentrarsi sulla limitazione di ciò che possono fare una volta all'interno. I perimetri vengono testati costantemente, quindi ogni livello aggiuntivo di protezione aggiunge resilienza significativa.

Riservatezza, integrità e disponibilità (CIA)

I livelli di difesa avanzata descritti in precedenza lavorano verso un set comune di obiettivi di sicurezza, acquisiti nella triade della CIA: riservatezza, integrità e disponibilità. Queste tre proprietà rappresentano ciò che la sicurezza efficace è progettata per proteggere in ultima analisi.

Riservatezza

La riservatezza si riferisce alla conservazione delle informazioni riservate accessibili solo a coloro che sono autorizzati a visualizzarlo. Sono inclusi i record dei clienti, i dati finanziari, le password, le comunicazioni private, la proprietà intellettuale e tutti gli altri dati che non devono essere leggibili da utenti non autorizzati.

La protezione della riservatezza richiede più della semplice crittografia, anche se la crittografia è uno dei controlli tecnici più importanti. Sono necessari anche controlli di accesso che limitano chi può leggere i dati, proteggere i metodi di trasmissione e i criteri che definiscono chi è autorizzato a visualizzare quali informazioni e in quali circostanze.

Una violazione della riservatezza, comunemente denominata violazione dei dati, si verifica quando le parti non autorizzate ottengono l'accesso alle informazioni protette. Questi incidenti possono avere gravi conseguenze per gli individui i cui dati sono esposti e per le organizzazioni responsabili della protezione, incluse sanzioni normative, responsabilità legale e perdita di fiducia dei clienti.

Integrità

L'integrità significa mantenere i dati accurati, completi e non modificati, ad eccezione dei processi autorizzati. Quando si invia un messaggio o si archiviano i dati in un database, è necessario assicurarsi che ciò che il destinatario legge, o quello che si recupera in un secondo momento, sia esattamente quello che è stato originariamente inviato o archiviato.

L'integrità può essere violata da attori malintenzionati che intenzionalmente manomissione dei dati, da bug software che causano il danneggiamento dei dati o da problemi durante la trasmissione. L'eliminazione non autorizzata, ovvero la rimozione di record che devono esistere, è anche una forma di violazione dell'integrità.

I controlli che proteggono l'integrità includono l'hash crittografico, che genera un'impronta digitale univoca dei dati che cambiano se i dati vengono modificati, firme digitali, log di controllo che registrano modifiche ai dati e controlli delle transazioni di database. Quando si verifica l'hash di un file software scaricato sul valore previsto dell'editore, si esegue un controllo di integrità.

Disponibilità

Disponibilità significa garantire che i dati e i sistemi siano accessibili agli utenti autorizzati quando ne hanno bisogno. I sistemi di un'organizzazione non servono alcuno scopo utile se gli utenti legittimi non possono accedervi.

La disponibilità può essere minacciata da attacchi DDoS che inondano i servizi con il traffico fino a quando non smettono di rispondere, ransomware che crittografa i dati fino a quando non viene pagato un riscatto, errori hardware, bug software e calamità naturali. I controlli che supportano la disponibilità includono infrastruttura ridondante, bilanciamento del carico, failover automatico, backup regolari e piani di ripristino testati e servizi di protezione DDoS.

Bilanciamento della triade CIA

In pratica, la riservatezza, l'integrità e la disponibilità possono talvolta andare in direzioni diverse. Ad esempio, la crittografia di tutti gli elementi protegge fortemente la riservatezza, ma se le chiavi di crittografia vengono perse, i dati diventano definitivamente inaccessibili, danneggiando la disponibilità. La richiesta di autenticazione complessa protegge la riservatezza e l'integrità, ma aggiunge attriti che possono influire sulla produttività.

I team di sicurezza lavorano per trovare il giusto equilibrio in base alla riservatezza dei dati, al potenziale impatto di una violazione e ai requisiti operativi dell'azienda. Comprendere i compromessi tra queste tre proprietà aiuta le organizzazioni a prendere decisioni di sicurezza informate e basate sui rischi.

La Triade CIA aiuta anche a incorniciare l'impatto degli attacchi: gli attaccanti che rubano i dati mirano alla riservatezza, gli attaccanti che modificano i dati mirano all'integrità e gli attaccanti che mettono i sistemi offline mirano alla disponibilità. Tenere a mente la triade della CIA aiuta le organizzazioni a pensare alla gamma completa di minacce che devono difendersi.