Intergrazione di diverse funzioni di sicurezza è la parola nuova per ottenere una concreta protezione delle reti.
Da un lato, infatti, ci sono la crescita delle minacce informatiche e lo sviluppo del cybercrime come vera e propria industria che oggi muove qualcosa come 400 miliardi di dollari, pari allo 0,8 percento del PIL mondiale.
Dall’altro ecco le nuove normative europee come la GDPR e, per la PA nazionale, le raccomandazioni AgID su come proteggere la rete: dopo i “pannicelli caldi” delle vecchie e depotenziate leggi italiane, un richiamo forte (e coercitivo) alla sicurezza IT che sta cogliendo evidentemente impreparate le imprese.
Nel mezzo ci sono proprio loro, le aziende italiane, con meno di un anno davanti per affrontare concretamente il problema della sicurezza IT e della protezione dei dati. Ben sapendo tra l’altro che il panorama delle minacce cambia così velocemente che è impossibile starci dietro. Anche volendolo fare, come dimostra il caso Wannacry.
Così parlare di gestione del rischio, asset management, patching, riduzione della superfcie di attacco, monitoraggio continuo delle vulnerabilità, esame dei log tracciabilità dell’accesso alle informazioni o difese comportamentali – tutti elementi prescritti dalle nuove normative, anche se magari non espliticamente – ha certamente senso dal punto di vista tecnico, ma lo scenario è più complesso.
Se gli analisti dicono che in Italia il 39 percento degli attacchi ransomware va a buon fine (quindi la percentuale reale è molto più alta, visto che le aziende non comunicano volentieri le falle della sicurezza) e globalmente la media tra una breccia e la sua scoperta è cinque mesi, il gap tra teoria e pratica è ampio.
Secondo Bitdefender e SGBox il modo più efficace per colmarlo è non cercare di fare tutto da soli ma puntare sulle funzioni che può offrire un sistema di protezione esteso a tre livelli di intervento: la rilevazione delle minacce, la reazione immediata e la successiva analisi degli eventi per trarne ulteriore conoscenza. Il punto critico è che il sistema deve essere appunto esteso e per questo le due aziende hanno definito una integrazione tecnologica tra le rispettive piattaforme GravityZone e SGBox.
Dialogo e integrazione
In estrema sintesi, GravityZone porta in dote le sue funzioni per il rilevamento delle minacce e degli attacchi agli endpoint, che sono diventati il punto critico della protezione IT con la scomparsa del concetto di difesa perimetrale.
Nell’integrazione con SGBox si punta in particolare all’applicazione di algoritmi di machine learning per la valutazione del rischio, sull’analisi dei file sospetti in macchine virtuali, sulle funzioni di protezione degli ambienti virtualizzati e sulle funzioni di controllo mirate agli attacchi fileless.
SGBox recepisce tutti gli eventi segnalati da GravityZone e in primo luogo, come piattaforma SIEM, può memorizzarli e analizzarli in ottica di gestione del rischio e di compliance, oltre che applicarvi funzioni di Business Intelligence che permettono di correlare eventi apparentemente distinti.
Sono le funzioni che il SIEM offre per qualsiasi altro sistema con cui può interfacciarsi, il passo in più consentito dall’integrazione tecnologica con GravityZone è che il cerchio segnalazione-analisi-intervento può essere chiuso automaticamente e nel più breve tempo possibile.
SGBox e GravityZone dialogano infatti direttamente via API e questo permette alla prima piattaforma di indicare autonomamente alla seconda cosa fare.
In base alle policy definite dall’amministratore di sistema, il SIEM di Securegate può ad esempio indicare a GravityZone di isolare un endpoint, esaminarlo più in profondità o mettere in quarantena interi segmenti di rete.
L’obiettivo è realizzare una sorta di rete che si difende da sola, automatizzando determinate operazioni laddove non sia indispensabile un controllo o una autorizzazione dei responsabili umani.
