APT – Advanced Persistent Threat, di cosa si tratta?

Se state cercando il significato di APT informatico e un articolo semplice ma completo sull’argomento, siete atterrati sulla pagina che fa per voi.

Spesso ci ritroviamo a spiegare questo genere di attacchi informatici solo dopo che il nostro cliente è stato colpito. E credeteci, in questo caso non si tratta di danni di poco conto, bensì di centinaia di migliaia di euro persi.

Per una volta ci piacerebbe che foste messi al corrente sull’argomento per tempo: sappiate che il 2019 (e purtroppo i casi si protrarranno nel 2020) è stato l’anno della crescita esponenziale degli Advanced Persistent Threat o APT.

Ecco per quale motivo abbiamo voluto scrivere questo articolo, perché possiate scoprire se siete nel mirino di questo attacco informatico e pianificare, insieme al vostro fornitore cyber security, la vostra sicurezza anti APT.

L’attacco informatico APT si colloca di diritto fra le infezioni informatiche, attualmente esistenti, più difficili da identificare e da debellare.

Sappiamo che l’attacco APT ha due caratteristiche imprescindibili:

• è un attacco informatico che dura per molto tempo: da alcuni mesi fino qualche anno (l’attacco APT più lungo finora rilevato è durato circa un quinquennio).
• è un attacco informatico difficile da identificare: anche i più moderni sistemi faticano ad identificarlo.

Ci teniamo a fare questa premessa perché stiamo parlando di tecnologie di attacco particolarmente avanzate, che richiedono arguzia e ingegno di hacker formati e particolarmente abili. Possiamo dire con certezza, che le tecnologie impiegate negli APT sono accessibili a pochi e selezionati criminali web.

Un attacco APT è letale in ogni sua forma. La sua pericolosità è data dall’assoluta certezza dell’obiettivo. L’attacco informatico ATP è studiato in ogni sua fase e adattato al soggetto da colpire.

Le aziende vittima di questi attacchi vengono scelte con cura dall’hacker e la loro struttura informatica viene studiata per mesi prima di essere valicata. Nella totalità dei casi di attacco advanced persistent threat, il motivo del crimine è spionaggio industriale.

APT non è solo una tipologia di attacco informatico, gli APT sono gruppi di hacker o criminali informatici che sfruttano la tecnica del advanced persistent threat per colpire le vittime.

Esistono diversi attori APT in circolazione e sono hacker estremamente tecnici che hanno a disposizione grandi risorse (sia tecnologiche che economiche).

Gli attacchi APT si distinguono da ogni altra minaccia informatica. L’obiettivo di queste azioni è quasi sempre la sottrazione di informazioni aziendali: brevetti, progetti, segreti economici o qualsiasi altro dato di elevato valore.

Quasi sempre i soggetti prediletti dai gruppi APT sono grosse aziende e multinazionali, ma di recente questa minaccia si è diffusa ampiamente nei settori con ad elevata competitività.

A questo scopo, gli advanced persistent threat non vengono diffusi tramite campagne malware. All’hacker che si serve di questa modalità di attacco interessa uno e un solo obiettivo. Per riuscire nell’intento di infettare, un attacco APT prevede 8 fasi.

1. Ricognizione iniziale
2. Compromissione iniziale
3. Creazione di un punto di appoggio
4. Acquisizione dei privilegi
5. Ricognizione interna
6. Movimento laterale
7. Mantenimento della presenza
8. Missione completata

Tecnicamente e storicamente, gli attacchi ATP sono di difficile identificazione. Tuttavia, esistono degli indicatori chiave inequivocabili della presenza di hacker nella rete:

• Accessi alla rete in orari inusuali (notte fonda ad esempio)
• Flussi di dati imprevisti
• Scoperta di trojan backdoor diffusi (mantengono l’accesso all’hacker)

Quasi certamente un APT inizia grazie alla presenza di vulnerabilità nei sistemi informatici. L’hacker utilizza una vulnerabilità nota per confondersi con la normale attività di hacker e virus informatici.

Una volta entrato all’interno della rete al contrario dei normali malware opera con codice interamente personalizzato.

Inoltre, un hacker che sfrutta tecniche APT per attaccare il sistema informatico di un’azienda preferisce attaccare il computer di un impiegato o di un utente qualsiasi che si trovi all’interno della rete, invece che puntare al dispositivo del CEO.

Questo perché come è facile intuire, i dispositivi degli amministratori delegati vengono presidiati da interi team di sicurezza IT.

Advanced persistent threat – Come sottolineato nell’articolo, è estremamente difficile identificare un’attacco ATP in corso.

Possiamo tuttavia, continuare a tutelare la salute della rete informatica aziendale applicando diversi accorgimenti. Il principale strumento di prevenzione degli attacchi ATP è il Vulnerability Assessment.

Il test di vulnerabilità o Vulnerability Assessment è  lo strumento fondamentale per comprendere lo stato di salute di un sistema informatico. Come una qualsiasi analisi del sangue, l’attività di Vulnerability Assessment è un “campanello di allarme” che permette un rapido check up e consente una panoramica veloce dell’intero sistema informatico.

Un test di vulnerabilità è in grado di indicare la presenza di vulnerabilità nel sistema informatico aziendale. Poiché le vulnerabilità note sono considerate il primo punto di accesso dell’hacker ATP, trovarle e porvi rimedio è un buon primo passo per difendersi da questi attacchi.

Il Vulnerability Assessment andrebbe eseguito normalmente almeno una volte all’anno.

Dopo aver implementato un sistema di monitoraggio della rete e del sistema informatico nel suo complesso, gli attacchi ATP vengono mitigati anche grazie al alcuni servizi cyber security: in primis, la protezione perimetrale di rete.

Sicuramente il controllo e la protezione centralizzata del sistema aziendale è uno step fondamentale per la difesa dagli attacchi APT. Tuttavia, c8i teniamo a sottolineare che prima di implementare qualsiasi soluzione di sicurezza informatica è bene sottoporre il proprio sistema ad un’analisi completa delle vulnerblità e dei punti deboli: solo grazie a questi risultati sapremmo con esattezza dove e in che modo intervenire.

Un Vulnerability Assessment è un test informatico veloce e poco invasivo per prevenire un attacco APT. Per un’azienda è essenziale effettuarlo perché:

• Previene gli attacchi advanced persistent threat;
• Conferma la presenza di vulnerabilità informatiche e ne definisce il livello di rischio
• E’ necessario prima di qualsiasi intervento di sicurezza informatica
• Monitora l’efficacia dei servizi cyber security presenti