Vectra ha annunciato oggi che il settore dell'istruzione superiore ha registrato un aumento allarmante di attività di mining di criptovalute potenzialmente dannose, come emerge dai principali risultati emersi nella nuova edizione 2018 del suo rapporto settoriale sul comportamento degli hacker, presentata in occasione della RSA Conference.
Il rapporto illustra i dati relativi al rilevamento degli attacchi informatici e le tendenze emerse da un campione di 246 clienti aziendali che hanno acconsentito alla partecipazione e utilizzano la piattaforma Vectra Cognito, in 14 diversi settori. Da agosto 2017 a gennaio 2018, Cognito ha monitorato il traffico e raccolto metadati da oltre 4,5 milioni di dispositivi e carichi di lavoro provenienti da ambienti cloud, data center e aziendali dei clienti. Analizzando questi metadati, la piattaforma Vectra Cognito ha rilevato comportamenti nascosti degli aggressori e identificato rischi aziendali, consentendo ai propri clienti di evitare violazioni dei dati catastrofiche.
Man mano che gli autori di attacchi informatici sempre più sofisticati automatizzano e ottimizzano le proprie tecnologie, emerge l'urgente necessità di potenziare la sicurezza delle informazioni con strumenti di rilevamento e risposta basati sull'intelligenza artificiale, al fine di contrastare le minacce con maggiore rapidità. Il rapporto di settore di Vectra sul comportamento degli autori di attacchi adotta un approccio multidisciplinare che abbraccia tutte le fasi strategiche del ciclo di vita di un attacco, presentando dati specifici per settore che mettono in luce le differenze rilevanti tra questi ultimi.
Tra i principali risultati emersi dal rapporto figurano:
- Il mining di criptovalute rappresenta un problema in crescita: considerato un'attività opportunistica, il mining ha registrato un'impennata con l'aumento del prezzo di criptovalute come Bitcoin, Monero ed Ethereum. Tra tutti i casi rilevati di mining di criptovalute, il 60% si è verificato nel settore dell'istruzione superiore, seguito da intrattenimento e tempo libero (6%), servizi finanziari (3%), tecnologia (3%) e sanità (2%). Il mining di criptovalute consiste nel convertire l'energia elettrica in valore monetario attraverso risorse computazionali. L'energia elettrica gratuita e l'accesso a Internet per gli studenti potrebbero spiegare il picco registrato nel settore dell'istruzione superiore.
- Il numero più elevato di attività degli autori degli attacchi per settore è stato registrato nell'istruzione superiore (3.715 rilevamenti ogni 10.000 dispositivi), seguita dall'ingegneria (2.918 rilevamenti ogni 10.000 dispositivi). Ciò è dovuto principalmente alle attività di comando e controllo (C&C) nel settore dell'istruzione superiore e alle attività di ricognizione interna nel settore dell'ingegneria.
- L'attività di C&C nel settore dell'istruzione superiore, con 2.205 rilevamenti ogni 10.000 dispositivi, è quattro volte superiore alla media del settore, pari a 460 rilevamenti ogni 10.000 dispositivi. Questi indicatori precoci di minaccia precedono solitamente le altre fasi di un attacco e sono spesso associati a comportamenti opportunistici delle botnet nel settore dell'istruzione superiore.
- I settori pubblico e tecnologico registrano i tassi di rilevamento più bassi, con rispettivamente 496 e 349 rilevamenti ogni 10.000 dispositivi. Ciò potrebbe indicare l'adozione di politiche più rigorose, capacità di risposta consolidate e un migliore controllo della superficie di attacco.
- Se si normalizzano i rilevamenti ogni 10.000 dispositivi rispetto all'anno precedente, si osserva un forte aumento in tutti i settori: C&C (37%), ricognizione interna (31%), movimento laterale (24%) e un aumento marginale dei rilevamenti di esfiltrazione dei dati (6%).
«L'architettura della piattaforma di analisi e operazioni di sicurezza (SOAPA) sta contribuendo ad accelerare l'innovazione tecnologica, a facilitare l'integrazione e a valorizzare le tecnologie di sicurezza esistenti», ha affermato Jon Oltsik, analista senior principale presso Enterprise Strategy Group. "Secondo una recente ricerca di ESG, il 12% delle organizzazioni aziendali ha già implementato su larga scala analisi di sicurezza basate sull'intelligenza artificiale (AI), mentre il 27% le ha implementate in misura limitata. Questo ultimo rapporto di Vectra offre una visione approfondita dei comportamenti degli aggressori all'interno delle organizzazioni, che hanno aggirato i controlli di sicurezza perimetrali, e delle osservazioni sull'evoluzione dell'attacco dopo una compromissione iniziale".
La piattaforma Cognito automatizza la ricerca delle minacce informatiche nascoste analizzando costantemente i registri del traffico di rete e cloud per individuare i comportamenti degli aggressori all'interno della rete. Oltre a correlare automaticamente le minacce rilevate con i dispositivi host sotto attacco, Cognito fornisce un contesto unico sulle azioni degli aggressori e assegna la priorità alle minacce che presentano il rischio maggiore. Grazie all'intelligenza artificiale, Cognito combina la scienza dei dati, l'apprendimento automatico e l'analisi comportamentale per individuare i comportamenti degli aggressori senza ricorrere a firme o elenchi di reputazione.
«La combinazione dell'analisi della sicurezza con la comprensione umana ci offre nuove e preziose informazioni sui comportamenti degli aggressori su scala globale, in contesti che spaziano cloud ai data center fino agli ambienti aziendali», ha affermato Chris Morales, responsabile dell'analisi della sicurezza presso Vectra. «In definitiva, queste informazioni consentono ai clienti di Vectra di prendere decisioni più consapevoli, in grado di rafforzare il livello di sicurezza e ridurre i rischi aziendali».
I dati contenuti nel presente rapporto si basano su metadati resi anonimi provenienti dai clienti di Vectra che hanno scelto di condividere le metriche di rilevamento. La piattaforma Cognito identifica i comportamenti indicativi di attacchi in corso monitorando direttamente tutto il traffico e i log pertinenti, compreso il traffico da e verso Internet, il traffico interno tra i dispositivi di rete e i carichi di lavoro virtualizzati nei data center privati e nei cloud pubblici. Questa analisi offre una visibilità fondamentale sulle fasi avanzate degli attacchi.
