Che cos'è la difesa in profondità?

Il settore della cybersecurity ha preso in prestito il concetto di DiD dall'esercito, che ha storicamente creato più perimetri fisici attorno a un obiettivo. Un castello medievale, ad esempio, aveva un fossato, alte mura in pietra, finestre speciali progettate per lanciare le frecce e passaggi sulle mura da cui si poteva versare acqua bollente su chiunque si arrampicava sul castello. Il fossato, le mura, le frecce, ecc. erano tutti componenti di una strategia di difesa in profondità. Da soli, non avrebbero ottenuto lo stesso risultato, ma insieme creavano un'efficace barriera difensiva.

Lo stesso avviene nel campo della cybersecurity. Un obiettivo preso di mira da un attacco, come un database, ha un sistema di difesa in profondità che include barriere fisiche contro la manipolazione di hardware, controlli di accesso alla rete, password e sistemi di rilevamento delle minacce, tutti componenti che equivalgono ai perimetri concentrici di un esercito. Queste contromisure creano una sicurezza migliore di quella che potrebbero offrire da soli Ecco perché si parla di difesa DiD.

Non esiste un modo unico e standardizzato di implementare la difesa DiD perché si tratta di un metodo dinamico che cambia con l'insorgere di nuovi metodi e con il variare dei requisiti dei carichi di lavoro. I diversi carichi di lavoro e le priorità di sicurezza di un'organizzazione stabiliscono in che modo un team addetto alla sicurezza configura la propria architettura DiD. In generale, tuttavia, la difesa DiD, di solito, utilizza una combinazione dei seguenti tipi di controlli:

• Fisico: in questa epoca del cloud computing, è facile dimenticare che i componenti hardware, inclusi server, array di storage, switch di rete e simili, sono vulnerabili alle interferenze fisiche. Con l'accesso fisico a un server, ad esempio, un criminale può installare un rootkit sul posto ed eseguire l'hijacking del computer. Per evitare questo problema, i data center utilizzano controlli fisici come scanner biometrici, allarmi, sistemi di videosorveglianza e così via.
• Tecnico: in questo tipo, rientrano i controlli basati su software e hardware che mitigano le minacce provenienti dalla rete, come attacchi DDoS (Distributed Denial-of-Service), malware, phishing e ransomware. Tecnologie come firewall, SWG (Secure Web Gateway) e soluzioni XDR (Extended Detection and Response) contribuiscono a fornire i controlli tecnici che possono mitigare le minacce provenienti dalla rete.
• Amministrativo‌: questa è l'area di controllo delle policy di sicurezza e degli accessi degli utenti. I controlli amministrativi includono la gestione delle identità e degli accessi (IAM), i ruoli utente e le policy relative alle password. Se distribuite i carichi di lavoro sull'Akamai Cloud, dovrete implementare e gestire questi controlli in linea con la policy di sicurezza stabilita.

La difesa DiD viene applicata perché i responsabili della sicurezza applicano i controlli sopra descritti, secondo i principi dominanti della cybersecurity. Gli elementi fondamentali della difesa DID sono:

• Accesso basato sul privilegio minimo: l'impostazione di una policy secondo cui un utente deve disporre solo del minor numero possibile di privilegi è un modo per eseguire una strategia di difesa approfondita. Pertanto, se un criminale ottiene l'accesso alla rete, la sua capacità di violare dati sensibili o di interrompere le operazioni aziendali sarà limitata.
• Protezione delle operazioni di sviluppo e supply chain: il software deve essere soggetto a controlli di sicurezza in quanto procede dalle fasi di sviluppo e test fino alla produzione. Questa pratica impedisce ai nuovi programmi software di creare eventuali vulnerabilità. Anche la supply chain del software deve essere protetta in modo simile. Bloccare il percorso di criminale tramite i programmi software aggiunge un livello di difesa in un'architettura DiD.
• Segmentazione della rete: la separazione di applicazioni e dati sensibili in diversi segmenti di rete rappresenta un modo efficace per evitare il movimento laterale dei criminali in una rete. Questa pratica agisce come le mura di un castello. Se un criminale attraversa il fossato, deve comunque scalare le mura.
• Monitoraggio e analisi comportamentali: anche con più livelli di contromisure, i criminali possono comunque penetrare nella rete. Anche gli utenti interni rappresentano una minaccia. Per mitigare questo rischio, è necessario eseguire il monitoraggio e l'analisi costanti del comportamento degli utenti e del sistema. Questo processo è in grado di identificare eventi anomali che potrebbero indicare un attacco in corso.
• Zero Trust: basata sul principio del "verificare sempre, senza fidarsi", la rete Zero Trust impedisce la gran parte degli accessi non autorizzati, aggiungendo efficacia ad un'architettura DiD.
• Resilienza: la capacità di ripristinare le operazioni IT è un altro livello di DiD. Grazie a solide funzioni di backup e ripristino, un'organizzazione può recuperare anche da un grave incidente informatico, come un attacco ransomware.

La difesa DiD viene descritta da alcuni come "sicurezza multilivello", ma, mentre ogni area del sistema DiD può essere definita come un livello, il termine "sicurezza multilivello" significa qualcosa di diverso nel settore della cybersicurezza perché si riferisce all'implementazione di più strumenti di sicurezza per gestire una sola area di sicurezza. Ad esempio, un firewall e un sistema di prevenzione delle intrusioni (IPS) bloccano gli accessi indesiderati, ma raggiungono questo obiettivo in modi diversi, ciascuno dei quali è un livello di sicurezza che impedisce ai criminali di penetrare nella rete.