Kaspersky Lab, con Kata proteggiamo le aziende dagli attacchi mirati

Kaspersky Lab ha scelto l’Italia per presentare in anteprima la nuova offerta Kata (Kaspersky Anti Target Attack Platform) a sottolineare, come spiega Veniamin Levtsov, Vice President Corporate Sales and Business Development di Kaspersky Lab, l’importanza rivestita dal nostro Paese all’interno dell’organizzazione aziendale.
Uno step importante quello di Kata e della gamma di servizi di Security Intelligence nella nuova era delle soluzioni del vendor russo, che, punta ad arricchire la propria offerta a livello enterprise. Un’offerta che ha richiesto anni di ricerca dell’enterprise security team al fine di creare un framwork di cui oggi sono stati presentati alcuni tasselli, a partire dalla Sandbox che poggia su un decennio di ricerca e oggi resa disponibile. “Non si tratta di un prodotto, ma di una piattaforma costituita da un set di moduli differenti, progettata per essere fully isolated cloud e orientata ai servizi”, sottolinea Levtsov.
David Emm, Principal Security Researcher del Centro di Ricerca Europeo di Londra
David Emm, Principal Security Researcher del Centro di Ricerca Europeo di Londra, Kaspersky Lab inquadra i principali trend relativi agli attacchi mirati: “Anche se le minacce tradizionali rappresentano ancora il grosso degli attacchi nell’intorno del 90% del totale e siano in costante aumento – Kaspersky continua a contrastarle con tecnologie testate di protezione del perimetro aziendale - è fondamentale occuparsi di quelle minacce come gli attacchi mirati che pur rappresentando oggi meno dell’1% costituiscono il rischio più grande per le aziende. Sono attacchi complessi e sofisticati, formati da molte componenti diverse, anch’essi in crescita costante e il cui prezzo di ogni singolo attacco sta diminuendo, diventando molto appetibili per il cybercriminali”.
Il principale obiettivo di un attacco mirato è quello di ottenere l’accesso a informazioni sensibili senza essere rilevato: “Si calcola che la perdita media causata da un attacco mirato si attesta sui 2,54 milioni di dollari per le grandi aziende e 84mila dollari per le piccole imprese e il tempo medio per cui un attacco mirato può passare inosservato in un’azienda è di oltre 200 giorni”, afferma.



Le informazioni sensibili
Gli attacchi mirati hanno come obiettivo qualsiasi informazione sensibile e vengono portati avanti su aziende di ogni dimensione: “Non è la dimensione aziendale il fattore discriminante ma le sue informazioni”. Non a caso i target attack registrati nel 2015 hanno riguardato sistemi POS e ATM, ma anche sistemi di pagamento virtuali e la prossima frontiera sarà rappresentata da sistemi di pagamento alternativi quali Apple Pay e Android Pay o gli Stock Echange. Kaspersky Lab prevede che nel 2016 si verificherà un cambiamento significativo nel modo in cui gli attacchi saranno strutturati e opereranno; in particolare prevede un calo dell’importanza della ‘persistenza’, con un maggior focus sui malware residenti sulla memoria o fileless, che riducono le tracce lasciate sul sistema infettato e quindi evitano la rilevazione. Inoltre, ci si aspetta un incremento  del riutilizzo di malware commerciali piuttosto che investimenti in bootkit, rootkit e malware su misura che vengono bruciati dai team di ricerca. Venendo inoltre a cadere la necessità di dimostrare capacità informatiche superiori, il ritorno sull’investimento avrà molta importanza nelle decisioni prese dai criminali informatici finanziati dai governi e niente supera un basso investimento iniziale nella massimizzazione del Roi. 
“Sono solo alcuni degli esempi di un panorama di sicurezza che si fa sempre più complesso e sofisticato a cui occorre farsi trovare pronti”, sottolinea Emm che ribadisce: “Se finora è stato sufficiente valutare i rischi, gestire la rete e mettere in sicurezza i propri sistemi dotandosi di prodotti di sicurezza multilivello che andassero oltre la protezione dell’endo point, oggi tutto ciò non è più sufficiente; occorre mettere a punto una strategia di sicurezza che chiama in aiuto esperti del settore come Kaspersky in grado di offrire capacità di assessment, incident response e analisi evolute e sofisticate”.  

La nuova piattaforma Kata per gli attacchi mirati
Entra nel dettaglio delle novità Artem Serebrov, Head of Targted Attack Detection, Kaspersky: “Un attacco mirato non è un pezzo di malware o un nuovo malware, ma un processo complesso pensato, preparato e costruito. Per questo va affrontato con tecnologie diverse per i differenti step che lo costituiscono”.
L’attacco mirato procede in questo modo: dopo una fase  di preparazione che individua il target, si crea la strategia e sviluppa il set di tool, a cui segue la fase di infiltrazione che usa le vulnerabilità e penetra il perimetro per poi passare all’attacco per ottenere i privilegi e rubare le credenziali fino ad arrivare al furto - senza farsi notare si raccolgono le informazioni aziendali per inviarle ai criminali.
Artem Serebrov, Head of Targted Attack Detection, Kaspersky Lab
La nuova architettura Kata colleziona informazioni di rete, email ed end point attraverso sensori; dopodiché li archivia e rileva anomalie attraverso meta-data analysis - modelli statistici, machin learning e reputation data - correla l’attività con i dati dell’endpoint e combina i differenti eventi in una singola attività e utilizza l'expertise sulle minacce. 
Nello specifico, i sensori della soluzione permettono di effettuare l'acquisizione dei dati attraverso il traffico di rete, web e posta elettronica così come l’endpoint. Ciò consente alla soluzione di scoprire attacchi complessi ad ogni livello, anche quando non c’è nessuna attività dannosa in corso, come ad esempio la fuoriuscita dei dati. Le attività sospette vengono quindi elaborate attraverso diversi motori, compresi un Advanced Sandbox - ambiente sicuro, isolato e virtualizzato per analizzare oggetti sospetti e scoprirne le intenzioni, e il Targeted Attack Analyzer per un giudizio finale. Quest’ultimo utilizza le tecnologie di data processing e machine learning per valutare e incrociare i giudizi provenienti da diversi motori di analisi. Tra le tecnologie supplementari che aiutano a ridurre gli alert di falsi positivi c'è anche il motore anti-malware proprietario di Kaspersky Lab, capace di escludere attacchi generici che possono essere bloccati dalle soluzioni tradizionali, analisi delle URL; data feed delle minacce provenienti dal cloud security network di Kaspersky Lab, un sistema di rilevamento delle intrusioni e il supporto per definire regole personalizzate in grado di rilevare attività specifiche all'interno della rete aziendale.
La capacità di applicare la più recente intelligence del panorama delle minacce in costante evoluzione per l'attività attraverso l'intera rete corporate consente alle aziende di aggiungere funzionalità di rilevazione necessarie al loro arsenale di cyber-security.   

Approccio Intelligent-driven
Per garantire che la soluzione risponda alle necessità specifiche dei clienti, Kaspersky Lab, inoltre, offre servizi di intelligence a corredo della piattaforma Kata che aiutano a gestire la piattaforma Anti-Targeted Attack nel modo più efficiente: “Vogliamo aiutare i clienti in tutte le fasi di gestione di un attacco mirato: dalla prevenzione e mitigazione del rischio alla rilevazione, a quella di risposta a eventuali incidenti e nella prevenzione di attacchi futuri”, spiega Alessio Aceti Head of Pre-Sales di Kaspersky Lab Italia.

Alessio Aceti Head of Pre-Sales di Kaspersky Lab Italia 
Prevenire, curare e prevedere, in sostanza. Per esempio, come illustra Aceti: “Molti incidenti partono da un errore dell’utente per cui cerchiamo di aiutare le aziende a incrementare la security awarness. Per questo abbiamo sviluppato una piattaforma di security awarness costituita da micro-moduli generali o specifici per industry oppure abbiamo sviluppato cyber security game,attività in aula in cui si simulano situazioni reali dividendo i team dei clienti in squadre per insegnare alcune tecniche”.  

Education e training rappresentano una fetta importante dell’offering: “Effettuiamo corsi di malware analisys e digital forensic della durata di qualche giorno molto pratici su casi reali recenti, facciamo training su come fare investigation prima che gli incidenti avvengano - gratuiti per chi acquista la piattaforma Kata - e collezioniamo una serie estesa di dati e la forniamo ai clienti per arricchire il loro Siem per fare correlazioni e inoltre forniamo una serie di servizi di reportistica al fine di identificare in maniera proattiva gli attacchi”.
Per i clienti che non vogliono operare in cloud Kaspersky fornisce la propria Kaspersky Private Security Network, una copia in casa del database di reputation - KPSN, consentendo al cliente di non portare in esterno i propri dati. “E’ un elemento differenziante rispetto ai competitor, inoltre la nostra offerta è compatibile con gli end point di altri vendor”.
“Quando gli incidenti  sono avvenuti siamo in grado di fornire servizi di malware analysis, digital forensic, incident response mentre la fase di prevenzione prevede servizi di assessment di applicazioni Web, Erp, mobile, infrastrutture,… A questo si aggiungono servizi di penetration testing”.
Questi, infine, solo alcuni dei servizi offerti da Kaspersky Lab per aiutare le aziende a far fronte agli attacchi dei criminali informatici.