Forum Banca 28/9/2016, Milano. L'intrusione è inevitabile. L'attacco può essere fermato.

1. La vostra rete è compromessa
Marco Gioanola
Services Architect, Arbor Networks
Milano, 28 Settembre 2016

2. © Arbor Networks 2016 3
Fondata nel 2000 all’Università
del Michigan a Ann Arbor.
Leader mondiale nella DDoS
mitigation.
Ora parte di NETSCOUT.
(Nasdaq:NTCT)
Il Security Engineering Response
Team di Arbor (ASERT) si occupa
di analizzare botnet e malware.
Da qui l’evoluzione verso gli
Advanced Threat.
Arbor Networks

3. 4© Arbor Networks 2016
4 Febbraio 2016
Ignoti ordinano pagamenti per 951 milioni di USD
via SWIFT dalla Banca del Bangladesh. La
Federal Reserve Bank di New York approva
pagamenti per 101 milioni di USD. Gli altri
movimenti vengono bloccati per caso.
Gli attaccanti si erano introdotti nei sistemi della
banca almeno due settimane prima dell’attacco
vero e proprio.
Le indagini post mortem sono proseguite fino a
giugno, coinvolgendo altre banche.
Altri incidenti analoghi sono emersi in seguito.
23 Dicembre 2015
Tre centrali elettriche in Ucraina vengono
disconnesse dalla rete attraverso un attacco
informatico, lasciando circa 225.000 persone
senza energia elettrica per diverse ore.
Una quarta centrale, già compromessa, ha
evitato l’attacco per caso.
Gli attaccanti si erano introdotti nei sistemi
informatici almeno 6 mesi prima.
Le indagini post mortem sono durate quattro
mesi.
IL PROBLEMA

4. © Arbor Networks 2016 5
“Dwell time”

5. © Arbor Networks 2016 6
L’intrusione non è evitabile.
Una volta individuato e sfruttato un punto d’ingresso, gli attaccanti si
muovono all’interno della rete (“lateral movement”) alla ricerca
dell’obbiettivo e in modo da coprire le proprie tracce, un modus operandi
descritto come “kill chain”.
E’ quindi necessario andare a caccia (“hunting”) degli intrusi, in modo da
bloccarli prima che raggiungano lo scopo.
Il danno (“breach”) è evitabile.
La vostra rete è già stata compromessa.

6. © Arbor Networks 2016 7
Migliaia di alert, eventi, log, al
giorno.
Migliaia di “forensic artifacts” per
ogni workstation.
"the bad guys are monitoring your
email - they know your network
better than you do”
“prepare to spend hours reviewing
your timeline”
“Forensicators” oggi

7. © Arbor Networks 2016 8
Incident response oggi

8. © Arbor Networks 2016 9
SPECTRUM

9. Grazie
Marco Gioanola
mgioanola@arbor.net
10