La maggior parte degli aggressori ha bisogno di meno di 10 ore per trovare i punti deboli

L’hacker etico medio può trovare una vulnerabilità che consente la violazione del perimetro della rete e quindi sfruttare l’ambiente in meno di 10 ore, con i penetration tester concentrati sulla sicurezza del cloud che ottengono l’accesso più rapidamente alle risorse prese di mira. Inoltre, una volta individuata una vulnerabilità o un punto debole, circa il 58% degli hacker etici riesce a penetrare in un ambiente in meno di cinque ore.

Questo è quanto emerge da un sondaggio condotto su 300 esperti dal SANS Institute e sponsorizzato dalla società di servizi di sicurezza informatica Bishop Fox, che ha anche scoperto che i punti deboli più comuni sfruttati dagli hacker includono configurazioni vulnerabili, difetti software e servizi Web esposti, hanno affermato gli intervistati.

I risultati rispecchiano i parametri relativi agli attacchi dannosi nel mondo reale ed evidenziano il tempo limitato a disposizione delle aziende per rilevare e rispondere alle minacce, afferma Tom Eston, vicepresidente associato della consulenza di Bishop Fox.

"Cinque o sei ore per entrare, come hacker etico, non sono una grande sorpresa", dice. "Corrisponde a ciò che vediamo fare dai veri hacker, in particolare con l'ingegneria sociale, il phishing e altri vettori di attacco realistici."

I sondaggio è l'ultimo dato ricavato dai tentativi delle aziende di sicurezza informatica di stimare il tempo medio a disposizione delle organizzazioni per fermare gli aggressori e interrompere le loro attività prima che si verifichino danni significativi.

La società di servizi di sicurezza informatica CrowdStrike, ad esempio, ha scoperto che l’aggressore medio “esce” dalla compromissione iniziale per infettare altri sistemi in meno di 90 minuti. Nel frattempo, il periodo di tempo in cui gli aggressori sono in grado di operare sulle reti delle vittime prima di essere rilevati è stato di 21 giorni nel 2021, leggermente migliore rispetto ai 24 giorni dell’anno precedente. secondo la società di servizi di sicurezza informatica Mandiant.

Le organizzazioni non tengono il passo

Nel complesso, secondo il sondaggio Bishop Fox-SANS, quasi tre quarti degli hacker etici ritengono che la maggior parte delle organizzazioni non abbia le capacità di rilevamento e risposta necessarie per fermare gli attacchi. I dati dovrebbero convincere le organizzazioni non solo a concentrarsi sulla prevenzione degli attacchi, ma a mirare a rilevarli rapidamente e a rispondere agli attacchi come un modo per limitare i danni, afferma Eston di Bishop Fox.

"Prima o poi tutti verranno hackerati, quindi tutto dipende dalla risposta agli incidenti e dal modo in cui si risponde a un attacco, anziché dalla protezione contro ogni vettore di attacco", afferma. “È quasi impossibile impedire a una persona di fare clic su un collegamento.”

Inoltre, si legge nel rapporto, le aziende stanno lottando per proteggere molte parti della loro superficie di attacco. Terze parti, lavoro remoto, adozione dell’infrastruttura cloud e aumento del ritmo di sviluppo delle applicazioni hanno contribuito in modo significativo all’espansione delle superfici di attacco delle organizzazioni, hanno affermato i penetration tester.

Eppure l’elemento umano continua ad essere di gran lunga la vulnerabilità più critica. Secondo gli intervistati, gli attacchi di ingegneria sociale e phishing insieme rappresentano circa la metà (49%) dei vettori con il miglior ritorno sugli investimenti di hacking. Gli attacchi alle applicazioni web, gli attacchi basati su password e i ransomware rappresentano un altro quarto degli attacchi preferiti.

“[Non] dovrebbe sorprendere che gli attacchi di ingegneria sociale e di phishing siano rispettivamente i due principali vettori”, afferma il rapporto. "Lo abbiamo visto più e più volte, anno dopo anno: le segnalazioni di phishing aumentano continuamente e gli avversari continuano a trovare successo all'interno di questi vettori."

Solo il tuo hacker medio

L'indagine ha inoltre sviluppato un profilo dell'hacker etico medio, con quasi due terzi degli intervistati che hanno tra un anno e sei anni di esperienza. Solo un hacker etico su 10 ha esercitato meno di un anno nella professione, mentre circa il 30% aveva tra i sette e i 20 anni di esperienza.

Secondo il sondaggio, la maggior parte degli hacker etici ha esperienza nella sicurezza di rete (71%), nei test di penetrazione interna (67%) e nella sicurezza delle applicazioni (58%), con il red teaming, la sicurezza del cloud e la sicurezza a livello di codice come i più recenti. tipologie popolari di hacking etico.

L’indagine dovrebbe ricordare alle aziende che la tecnologia da sola non può risolvere i problemi di sicurezza informatica: le soluzioni richiedono la formazione dei dipendenti affinché siano consapevoli degli attacchi, afferma Eston.

"Non esiste una singola tecnologia in grado di respingere tutti gli attacchi e mantenere la tua organizzazione al sicuro", afferma. “È una combinazione di processi umani e tecnologia, e questo non è cambiato. Le organizzazioni gravitano verso la tecnologia più recente e migliore… ma poi ignorano la consapevolezza della sicurezza e la formazione dei propri dipendenti affinché riconoscano l’ingegneria sociale”.

Poiché gli aggressori si concentrano esattamente su questi punti deboli, afferma, le organizzazioni devono cambiare il modo in cui sviluppano le proprie difese.