Le Advanced Persistent Threats (APT), o in italiano minacce persistenti avanzate, rappresentano uno dei pericoli più insidiosi per le aziende moderne.
Advanced Persistent Threats: cosa sono
Per comprendere a fondo cosa sia una Advanced Persistent Threat (APT), è essenziale analizzare ciascuna componente dell’acronimo.
Advanced (avanzata)
L’autore di un’APT è dotato di competenze tecniche evolute e dispone di risorse economiche e tecnologiche significative. Questo significa che non si limita allo sfruttamento di vulnerabilità informatiche pubblicamente note né all’uso di strumenti standard, bensì impiega tool e tattiche sofisticati, progettati e sviluppati appositamente per quel determinato attacco con una precisione chirurgica, pertanto difficili da rilevare e neutralizzare.
Persistent (persistente)
A differenza di un attacco opportunistico, l’obiettivo di un’APT è mantenere l’accesso ai sistemi il più a lungo possibile senza essere rilevati. Più tempo gli attaccanti riescono a rimanere all’interno della rete aziendale, maggiori sono le informazioni che possono raccogliere, e maggiore è il danno che possono infliggere. Il ciclo di vita di un’APT può essere di anni.
Threat (minaccia)
Un’APT non è una minaccia casuale. È il risultato di un’organizzazione ben strutturata con obiettivi strategici, risorse e una chiara volontà di danneggiare l’azienda o ottenere vantaggi economici o geopolitici. Non si tratta di un attacco automatizzato, tipico dei criminali informatici comuni (come gli script kiddies, che hanno conoscenze informatiche di base e utilizzano strumenti già esistenti), né di un attacco ideologico, come quelli promossi dagli hacktivisti. È una minaccia organizzata, deliberata e mirata a ottenere il massimo risultato possibile.
Advanced Persistent Threats: i bersagli
Come visto, una minaccia persistente avanzata richiede tempo, nonché ingenti risorse tecnologiche ed economiche, la scelta del bersaglio deve dunque giustificare tale investimento. Gli obiettivi delle APT sono infatti sempre di alto profilo; si tratta nello specifico di:
- grandi aziende e multinazionali, soprattutto quelle attive nei settori della finanza, dell’energia, della tecnologia e della difesa;
- enti governativi, specialmente in contesti di cyber-guerra o spionaggio industriale, al fine di accedere a informazioni dal valore geopolitico strategico, come dati militari o diplomatici;
- organizzazioni non governative, in particolare quelle coinvolte in questioni politiche o umanitarie di rilievo internazionale.
Sebbene non siano il bersaglio principale di un’APT, le piccole e medie imprese (PMI) possono diventare vittime indirette. Ciò accade quando le PMI fanno parte della supply chain di grandi imprese, ma non dispongono degli stessi standard di sicurezza informatica aziendale. In quei casi, gli autori delle APT utilizzano le piccole e medie imprese come punto di ingresso per poi risalire la catena di fornitura fino a colpire il vero obiettivo strategico.
Advanced Persistent Threats: come avvengono
Un attacco APT segue diverse fasi ben pianificate che possono essere così sintetizzate:
- ricognizione, è la fase di studio dell’azienda bersaglio, utile a predisporre un piano d’azione su misura;
- infiltrazione, è la fase in cui l’hacker si introduce nel network della vittima tramite l’uso di malware, trojan o exploiting di vulnerabilità zero-day, cioè che non sono ancora state identificate e risolte;
- mantenimento dell’accesso, è la fase durante la quale viene creato un punto d’appoggio che garantisca un accesso futuro continuo e permanete; durante questo periodo, gli hacker possono sfruttare tecniche di pivoting e movimento laterale, espandendo gradualmente il loro controllo su diverse parti dell’infrastruttura aziendale, il tutto eludendo e depistando le investigazioni di sicurezza interne;
- esfiltrazione dei dati, è la fase, lunga, durante la quale gli hacker copiano le informazioni critiche e le trasferiscono fuori dalla rete aziendale, utilizzando canali di comunicazione criptati.
Advanced Persistent Threats: come difendersi
Le Advanced Persistent Threats (APT) rappresentano una sfida estremamente complessa per la sicurezza informatica di qualsiasi azienda. Tuttavia, adottare misure preventive mirate può ostacolare notevolmente il successo di tali attacchi. Ecco alcune strategie chiave.
Logging e monitoraggio
Uno degli strumenti più efficaci nella difesa contro le APT è un sistema di auditing e logging accurato. Registrare eventi critici permette di rilevare comportamenti sospetti e di fornire alle squadre di incident response e forensi le informazioni necessarie per intervenire tempestivamente.
Controllo degli accessi
La gestione degli account è un pilastro della sicurezza. Implementare i principi di least privilege (minimo privilegio), separation of duties (separazione dei compiti) e need-to-know (accesso limitato solo alle informazioni necessarie) aiuta a ridurre drasticamente il rischio di incappare in un’ATP.
Sicurezza dell’Active Directory (AD)
Poiché l’Active Directory (AD) – ossia il sistema che gestisce gli account e le autorizzazioni degli utenti in una rete aziendale – è spesso un bersaglio primario delle APT, proteggerlo è fondamentale. A tal fine, sarebbe utile:
- implementare i SID filtering, ossia quelle misure in grado di ostacolare il furto dei privilegi d’accesso;
- disabilitare la full delegation Kerberos, ossia quella funzione di autenticazione che in mano agli hacker consentirebbe loro di espandersi nella rete.
Rafforzamento degli endpoint
Gli endpoint – ovvero i dispositivi come computer, tablet o smartphone che gli utenti utilizzano per connettersi alla rete aziendale – sono spesso la porta d’ingresso delle APT. Per proteggerli è opportuno:
- disabilitare protocolli obsoleti;
- bloccare l’uso di estensioni pericolose, sia nei documenti che nelle e-mail (come .py o .rb);
- implementare i firewall host-based, cioè quelle “barriere di sicurezza” che controllano il traffico in entrata e in uscita, sono utili a segmentare la rete e impedire il movimento laterale degli hacker;
- configurare criteri di sicurezza, per limitare l’esecuzione di codice dannoso.