Endpoint security: le novità nelle aziende nei prossimi anni

Molti più dispositivi, e soprattutto di natura sempre più differente. Un’esplosione di applicazioni intelligenti, progettate per supportare le più disparate esigenze personali e di lavoro, e in grado di interagire fra loro, utilizzando anche il cloud. Hacker che continueranno sempre più a puntare sugli utenti come anello più vulnerabile per sottrarre dati e per manomettere processi di business. Nello studio The Future of Endpoint Security, la società di analisi Forrester sottolinea questi cambiamenti, iniziati già da qualche tempo, ma in decisa accelerazione, e fa luce su quelle che saranno le nuove scelte per la protezione dei dispositivi utilizzati dalle persone o nell’ambito dell’Internet of Things (IoT) da parte dei professionisti della sicurezza aziendali e dei security vendor.

Molti più dispositivi diversi utilizzati contemporaneamente

Già da alcuni anni si è moltiplicato il numero di device utilizzabili dalle persone in un dato momento per connettersi a internet, navigare e accedere ad applicazioni personali o di lavoro, situate nel data center della propria azienda o in cloud. Dal 2020 si prevede che in ogni momento della giornata ogni utente avrà oltre sei device connessi a qualche applicazione o risorsa online, con diversi gradi di accesso a dati sensibili.

Intanto sono in stabile aumento i dispositivi non ad uso degli utenti, ma di altre tecnologie in cui sono incorporati, in grado di connettersi alle reti cellulari, parti di un universo di sistemi di connettività sempre più convergenti. Poi, appunto, ci sono gli oggetti dell’Internet of Things, che secondo lo studio Forrester ammonteranno a più di due terzi delle tecnologie connected a partire dal 2024.

Il lato positivo della medaglia dei diversi device

I vecchi e nuovi dispositivi utilizzati direttamente dagli utenti (pc, smartphone, tablet, POS, etc.), e quelli cellular-connected embedded o IoT, mostrano due aspetti che gli esperti di security aziendale e i vendor di security solution devono considerare positivi. E su cui fare leva:

• il primo è che la loro eterogeneità a livello di hardware e software rende più improbo l’obiettivo degli hacker di sviluppare tecniche di attacco in grado di funzionare nei confronti di tutti questi differenti device;
• il secondo è che ormai i produttori di hardware hanno iniziato a incorporare nei loro prodotti misure di sicurezza che, nel linguaggio degli esperti di security, sono definite “native”, e che suppliscono all’impossibilità di installare sistemi di endpoint security tradizionali, per i quali non c’è sufficiente spazio di memoria e capacità computazionale.

Uno dei primi passi che i responsabili della sicurezza e gli sviluppatori di soluzioni per la sicurezza degli endpoint devono compiere, secondo Forrester, è far sì le misure di sicurezza native dei device siano utilizzate. Ottenuto questo, esperti e vendor si security possono spendere le loro energie nello sviluppo di funzionalità di un livello più alto: ad esempio, quelle per la definizione, distribuzione e controllo della compliance delle policy di sicurezza.

Quando anche le applicazioni si autoproteggono

Un discorso analogo a quello delle misure di protezione device-native si riscontra sul piano delle applicazioni, per qualunque tipo di dispositivo, sistema operativo e ambiente di esecuzione siano concepite. Sempre più sviluppatori software dedicano alla security by design buona parte del codice delle nuove applicazioni.

Che questo sia vero lo vediamo soprattutto con le applicazioni su cui girano i servizi internet e con le app per i device mobili. Un esempio è l’implementazione di un meccanismo di tokenization, consistente nella richiesta di confermare l’identità di chi sta accedendo a un’applicazione su un certo client digitando un codice, o premendo su un’icona, mostrati su un altro dispositivo che si suppone essere accessibile all’utente in quel momento. Anche l’introduzione di questi security control direttamente negli applicativi consente agli esperti e produttori di sicurezza di farne tesoro e sviluppare nuove soluzioni a maggiore valore aggiunto, che non si sovrappongono inutilmente a quanto già esiste.

Mettere gli utenti nel mirino

Come già abbiamo accennato, di fronte alla crescita della complessità dell’universo device e alla maggiore presenza di tool di security embedded sia nell’hardware sia nel software (Os e applicazioni), i cybercriminali spostano sempre di più i loro mirini sugli utenti e sui processi applicativi e business che possono essere compromessi.

Il furto di credenziali era e resta ancora un tema all’ordine del giorno. Una volta acquisiti username e password di un utente, gli hacker possono acquisire il controllo di un device da cui prelevare ulteriori dati sensibili, e potenzialmente scalare all’interno delle risorse on-premises o in cloud a cui quell’end-user ha accesso, per il furto di dati e l’installazione di malware.

Come noto, il furto di identità digitali solitamente avviene con attacchi di social engineering, miranti a sfruttare la buona fede dell’utente nel credere alla legittimità di messaggi che rinviano a siti fasulli, i quali che richiedono l’inserimento di credenziali per sottrarle. Dal momento che continuano a crescere i controlli di sicurezza nativi in device e singole applicazioni, fra le funzionalità a maggiore valore aggiunto che i professionisti e i vendor di sicurezza hanno convenienza oggi a sviluppare, ci sono quelle legate all’autenticazione degli utenti: sia con la definizione di policy sull’utilizzo delle identità digitali e il controllo della loro compliance, sia sfruttando al meglio, aggiungiamo noi, i controlli nativi a livello hardware a bordo degli endpoint.

API security e behavioral analysis

Benché molte applicazioni abbiano accresciuto la loro sicurezza by design, non va dimenticato che sempre più application di tipo diverso e prodotte da vendor differenti sono utilizzate in modo integrato fra loro da parte degli utenti. E così può succedere che, utilizzando un’applicazione in massima protetta, ma che è stata recentemente integrata con un’altra di cui non sono stati accuratamente valutati tutti gli aspetti di sicurezza, l’utente possa trovarsi esposto a qualche minaccia inattesa, come il furto di dati sensibili (rubrica, calendario, file etc.) o l’utilizzo di qualche dispositivo hardware (Gps, microfono, videocamera etc.) all’insaputa dell’utente. Secondo Forrester, quindi, nel panorama delle funzionalità di cyber security cresce l’importanza del controllo della sicurezza delle API, che diventa quindi anche uno dei fattori differenzianti delle security solution offerte dai vendor.

Con l’ormai evidente diffusione delle tecnologie per l’implementazione dell’intelligenza artificiale (AI), inoltre, sono in crescita applicazioni che utilizzano il machine learning (ML) e i bot (questa volta intesi come oggetti che simulano il comportamento umano e interagiscono con gli utenti utilizzando il linguaggio naturale). A sviluppare applicazioni basate su AI e bot sono sia aziende, sia sviluppatori singoli o in community, sia i cybercriminali. Trattandosi di tecnologie di nuova generazione, i tradizionali software di endpoint security, basati sul riconoscimento dei malware tramite signature, o su quello di applicazioni da approvare o inibire in base alle porte utilizzate (firewalling), non risultano efficaci.

In un contesto endpoint sempre più complesso, caratterizzato da diversi tipi di device, applicazioni che interagiscono fra loro a vari livelli e utilizzando diversi protocolli, e application e malware AI-based, Forrester conclude che la strada da imboccare da parte di chi si occupa di sicurezza preveda un rafforzamento di due fattori:

• il primo è la capacità di raccogliere tutti i dati che i sistemi di sicurezza nativi di device e applicazioni possono inviare, in modo da poter ricostruire i contesti in cui utenti e applicazioni agiscono;
• il secondo è analizzare, in modo sempre più automatizzato, e anche con l’aiuto del ML, i comportamenti e i traffici di dati che si verificano in questi contesti, con una precisione talmente crescente al punto da poter lasciare tranquillamente alle security solution anche il compito di dare risposte (response) immediate a scenari e rischi inediti.