Last Updated on January 25, 2011

E’ stato da poco pubblicato il report Cisco relativo ai trend di sicurezza del 2010 e contenente le previsioni per il 2011. Rispetto alle previsioni analizzate sino ad ora (a cui si sono recentemente aggiunte le previsioni di Sophos), il report Cisco offre una interessante lettura dell’anno passato e delinea gli scenari di sicurezza per l’anno appena entrato dalla prospettiva di chi possiede una offerta di sicurezza network-centrica (la rete per il colosso californiano costituisce l’intelligenza sopra la quale vengono costruiti tutti i servizi della propria offerta), il cui approccio differisce notevolmente da quello dei colossi sino ad ora analizzati. Questi ultimi difatti (con la parziale eccezione di McAfee nato dall’endpoint ma estesosi successivamente verso tutti i settori tramite acquisizioni strategiche) pongono l’endpoint al centro della propria offerta.

Il report di Cisco nasce dall’immane quantità di dati raccolti dalla rete di sensori sparsa nel mare di bit che si estende attraverso i cinque continenti e che sono stati analizzati dal proprio Centro di Security Intelligence Operations.

Ecco le minacce per il 2011 evidenziate dal colosso di San Jose:

Network sempre più Social (soprattutto per il malware)

Ormai sembra un refain immancabile (ma non è il solo) quando si parla di sicurezza informatica). Anche a detta del brand californiano, il Social Network sarà, nel corso del 2011, sotto i poco ambiti riflettori dei malintenzionati. Purtroppo si concretizzerà il fenomeno che Cisco ha definito “Exploitation Of Trust“, ovvero lo sfruttamento della relazione di fiducia che si crea tra individui collegati all’interno di un social network (di tipo personale o professionale) come veicolo di malware o altri mezzi per compiere atti illeciti.

Il motivo è presto detto: da un lato il Social Network consente di raggiungere contemporaneamente molteplici utenti in tempo quasi reale, dall’altro la filosofia del social network richiede che le amicizie (o i contatti) siano esplicitamente accettati, creando una relazione di fiducia tra gli utenti che costituisce il vettore che i malintenzionati sono interessati ad utilizzare per la diffusione dei propri  fini illeciti (mediante spam, malware, etc.).

Un malware o una frode propagati tramite Social Network hanno maggiore probabilità di riuscita (e un impatto più devastante in un minor intervallo temporale) sia per i famosi sei gradi di separazione che consentono una rapida propagazione, sia perché un messaggio (vettore di contenuto malevolo) proveniente da una persona “fidata” (a sua volta vittima) ha già superato il naturale muro di precauzione e diffidenza (già troppo basso in condizioni normali) che costituisce la prima forma di difesa di ciascuno (mai dimenticare che la sicurezza informatica  di ogni individuo comincia dal proprio comportamento sociale)

Se a questo si aggiungono le ulteriori complicazioni:

• Il social network costituisce una vetrina, per cui le “difese naturali”  dei  contatti sono ulteriormente abbassate (e chi costruisce malware tende a sfruttare atteggiamenti e debolezze di chi si mette in vetrina e segue pedissequamente l’equazione: più contatti = più visibilità);
• La nota allergia per la privacy (soprattutto da parte di Facebook) che rende possibile ad una applicazione malevola la lettura dei dati personali da un profilo vittima.

Si deduce come nel corso del 2011 dovremo abituarci alle infezioni provenienti dal Social Network, sulla falsa riga di Koobface. Come fare per difendersi? Educazione all’utilizzo del Social Network, mantenimento di un atteggiamento circospetto e ricordarsi che:

If it sounds too good to be true, it probably is

APT

Le minacce di tipo Advanced Persistent Threat, subiranno una metamorfosi nel corso del 2011, diventando sempre più specifiche e soprattutto costruite per scopi ben precisi (ad esempio per rubare informazioni) e con uso massiccio delle vulnerabilità 0-day. Inutile ribadire che anche le minacce APT “trarranno giovamento “dell’involontario supporto infrastrutturale del Social Network per aumentare il livello di diffusione.

Vulnerabilità

Gli exploit di vulnerabilità applicative (soprattutto da parte di Java e PDF) sono destinate a confermare il proprio peso nel corso del 2011. Curiosamente, il colosso di San Jose ritiene che Java turberà maggiormente i sogni degli IT Manager a causa di tre caratteristiche insite nella natura del linguaggio:

• Java è evasivo: il metodo più affidabile di rilevazione per gli exploit java consiste nel farli girare in una macchina virtuale, ma questo è estremamente intenso dal punto di vista dell’utilizzo delle risorse;
• Java è pervasivo: spesso il linguaggio SUN Oracle gira in background e questo rende più difficile identificare eventuali comportamenti illeciti da parte di applicazioni Java;
• Java è invasivo: la natura multipiattaforma del linguaggio che ha costituito la forza per la sua diffusione, ha costituisce anche una sgradita leva per la diffusione del malware che può propagarsi rapidamente tra architetture differenti.

Curiosamente, la previsione è suffragata dai dati raccolti dal proprio Centro di Intelligenza secondo il quale Java si è piazzato al primo posto della poco ambita classifica relativa alla tipologia di Web Malware maggiormente bloccata dal proprio servizio Scansafe, con il 7%, seguito da PDF (in calo) e Flash, relativamente con il 2% e l’1%.

Dispositivi Mobili e Mai Sicuri

Immancabile, anche nelle previsioni del Colosso di San Jose, la presenza delle piattaforme mobili tra gli obiettivi 2011 dei malintenzionati. L’Androide e il Sistema Operativo della Mela saranno i più colpiti dalle infezioni informatiche, sia perché, a detta di Cisco, i sistemi operativi standard hanno raggiunto uno standard di sicurezza elevato che sta spingendo i creatori di malware verso questi siti mobili, sia perché la maggiore attenzione del mondo enterprise verso questi dispositivi li rende una fonte importante di informazioni (e guadagni diretti e indiretti) in caso di compromissione. Come prevedibile le applicazioni (soprattutto se scaricate da Store paralleli) saranno il vettore di infezione privilegiato, mentre le precauzioni rimangono le stesse indicate dagli altri produttori: occhio alla mela con il jailbaco e all’Androide dirootato che aumentano notevolmente le probabilità di una infezione, occhio inoltre ai permessi quando si installano le applicazioni (perché un lettore multimediale dovrebbe accedere agi SMS?). Tra le precauzioni da adottare nel 2011 per i dispositivi mobili anche il ricorso a tecnologie di virtualizzazione che consentiranno di rinnovare il focus su tecnologie di DLP per questi dispositivi.

Da notare come la rete di sensori Cisco abbia rilevato nel corso del 2011 un picco delle vulnerabilità rivolte verso il mondo Apple.

Botnet e Hacktivism

Sebbene Cisco abbia osservato, nel corso del 2010, una leggera riduzione del numero di macchine compromesse (estremamente più diffuse in ambito consumer che in ambito enterprise) si assisterà nel corso del 2011 ad un aumento dello schema di utilizzo delle Botnet, sempre meno per “semplice SPAM” (in diminuzione nel 2011) e sempre più per scopi politici (sulla falsa riga di quanto accaduto nell’affaire Wikileaks) o per mere questioni economiche (ad esempio per la diffusione di spyware per il furto di dati sensibili). Non manca ovviamente il riferimento a Stuxnet (vincitore del premio Evil Award 2010), come esempio di nuova minaccia concepita per scopi politici e aventi obiettivi delimitati e ben definiti.

E’ importante notare come il Colosso di San Jose auspichi iniziative congiunte dei governi per affrontare la nuova emergenza del Cibercrimine, augurandosi nel contempo che la frammentazione delle normative tra i vari paesi non sia un ostacolo per la diffusione delle tecnologie di protezione.

Conclusioni

Anche secondo Cisco nel 2011 saranno in bella (si fa per dire) vista le minacce rivolte al Social Network e al mondo mobile. Il riferimento a Stuxnet, in questo caso indicato come capostipite di una nuova famiglia di minacce informatiche organizzate, non manca mai. Curiosa, anche in questo caso, l’assenza di minacce rivolte alle infrastrutture virtuali.