Invece di criptare semplicemente i sistemi dell’MSP, i cybercriminali usano credenziali compromesse dei dipendenti dell’MSP per dirottare gli strumenti software dell’MSP e usarli per distribuire il ransomware a tutti i clienti dell’MSP in una volta sola. <\/p>\n
A partire dal 2019, i cybercriminali sono riusciti ad accedere agli apparecchi di varie aziende di MSP e ad abusare di una serie di comuni software incentrati sugli MSP, tra cui Kaseya VSA, Webroot, Connectwise ScreenConnect<\/a> e Continuum<\/a>. In quell’anno, i cybercriminali hanno anche ottenuto l’accesso ad un piccolo numero di clienti MSP di NinjaOne<\/a> tramite metodi che non avevano nulla a che fare con Ninja. In questi casi, non abbiamo avuto alcuna indicazione che NinjaOne veniva violato. Invece, le prove suggeriscono che gli MSP sono stati compromessi attraverso altri canali e i cybercriminali hanno poi utilizzato le credenziali degli MSP per condurre azioni non autorizzate con i loro strumenti.<\/p>\n Per il merito della comunit\u00e0 di MSP, questi episodi hanno spinto ognuno ad applicare protocolli di sicurezza pi\u00f9 rigorosi. In particolare, imporre l’adozione dell’autenticazione a 2 fattori<\/a> ha avuto un impatto notevole sulla riduzione degli attacchi riusciti (durante il nostro recente 2020 MSP Security Summit<\/a>, il CEO di Coveware Bill Siegel ha detto che la sua azienda non ha, per ora, dovuto affrontare un imprevisto in cui la 2FA era stata abilitata su tutta la linea).<\/p>\n Anche se sono stati fatti molti progressi, c’\u00e8 ancora preoccupazione reale a riguardo. Il successo iniziale del dirottamento di account MSP ha incoraggiato i cybercriminali a continuare a concentrarsi fortemente sulla compromissione delle reti MSP. Se sei un MSP purtroppo devi operare sotto l’ipotesi che \u00e8 solo una questione di tempo prima che tentativi di attacco simili siano diretti verso di te.<\/p>\n \u00c8 vitale che gli MSP abilitino quanto presto la 2FA <\/strong>su qualsiasi software che stanno usando, insieme alla posta elettronica, ma non \u00e8 tutto. Abbiamo creato la seguente lista di controllo per fornire agli MSP un elenco di cose specifiche da fare per ridurre la loro vulnerabilit\u00e0 e migliorare la loro capacit\u00e0 di prevenire, rilevare e rispondere agli attacchi<\/a>.<\/p>\n L’obiettivo non \u00e8 quello di agire su tutti questi consigli allo stesso tempo. Al contrario, vogliamo semplicemente fornire una lista a cui si possa fare riferimento man mano che il tempo e le priorit\u00e0 lo permettono. Dopotutto, migliorare la sicurezza non \u00e8 un’attivit\u00e0 da fare una volta sola, \u00e8 un processo continuo. Ricorda solo che qualsiasi miglioramento che si pu\u00f2 fare ora sar\u00e0 molto meno dispendioso in termini di tempo e denaro rispetto ad un attacco attivo, quindi non rimandare il processo. <\/p>\n Nota:<\/strong> Questi suggerimenti ovviamente non sono esaustivi. A seconda delle particolarit\u00e0 della tua attivit\u00e0 (dimensioni, infrastruttura, ecc.), alcune potrebbero non essere appropriate per te. La sicurezza non \u00e8 uguale per tutti e ci\u00f2 che \u00e8 fondamentale per alcuni pu\u00f2 essere ridondante per altri. Fai ci\u00f2 che \u00e8 pratico, adotta un approccio a pi\u00f9 livelli e ricorda che quando si implementano nuovi controlli \u00e8 sempre una buona idea testarli prima per evitare interruzioni involontarie.<\/p>\n <\/p>\n “La terra non \u00e8 piatta e nemmeno la vostra rete dovrebbe esserlo”.<\/p>\n \u2014 Catherine Pitt, VP Information Security Officer at Pearson<\/p>\n<\/blockquote>\n <\/p>\n Molti degli attacchi di oggigiorno sono concepiti per approdare ed estendersi nelle reti delle vittime. Per prevenirli \u00e8 necessario stabilire delle barriere tra gli utenti e le risorse.<\/p>\n Non solo le capacit\u00e0 di accesso remoto sono essenziali per il tuo business, ma ci sono poche cose che un cybercriminale vorrebbe dirottare di pi\u00f9.<\/p>\n \n<\/li>\n Proteggere l’RDP pu\u00f2 essere l’ABC della sicurezza di base, ma non farlo continua ad essere una delle principali cause di compromissione. Una rapida scansione di Shodan <\/a> mostra milioni di sistemi che attualmente espongono l’RDP. Sono senza dubbio sottoposti ad attacchi di forza bruta<\/a>. Una volta crackato, l’accesso agli account compromessi pu\u00f2 essere acquistato per una manciata di dollari <\/a> sui mercati del dark web.<\/span><\/p>\n La compromissione tramite RDP \u00e8 stato il vettore di attacco per numerose varianti di ransomware, compresi CrySiS\/Dharma, Shade e SamSam<\/a>, il ransomware usato per infettare Allscripts, numerosi ospedali e la citt\u00e0 di Atlanta.<\/p>\n Risorse addizionali:<\/strong><\/p>\nCosa fare ora (se non l’hai gi\u00e0 fatto)<\/h2>\n
\nVuoi una copia PDF di questa lista di controllo a cui puoi fare riferimento pi\u00f9 tardi ? Scaricala qui<\/a>.<\/strong><\/p>\n![\"msp](\"https:\/\/www.ninjaone.com\/wp-content\/uploads\/2023\/10\/msp-cybersecurity-checklist-blog-banner.png\")
<\/a><\/p>\nSommario della lista di controllo<\/h2>\n
\n
\n
\n
\n
Limitare l’accesso in tutta la rete<\/strong><\/h2>\n
\n
\n
\n
\n
\n<\/strong>Ecco una guida <\/a> per cominciare.<\/li>\n
\n<\/b>Dovrebbero essere sensibili alle maiuscole e composti da lettere, numeri e simboli. Non dovrebbero essere condivise o riutilizzate. Da un punto di vista pratico, questo significa che usare uno strumento adeguato per la gestione delle password \u00e8 imperativo (un foglio di calcolo non conta). Ci sono moltissime opzioni che permettono di memorizzare in modo sicuro le password, gestire i permessi, controllare l’uso e monitorare le sessioni. Risolvono anche il problema di cosa fare quando si deve licenziare un tecnico o che improvvisamente se ne va. <\/span><\/li>\n
\nLa Local Administrator Password Solution (LAPS) <\/a> <\/b>di Microsoft pu\u00f2 aiutarti a gestire tutto questo.<\/li>\n
\n<\/strong>\u00c8 molto comune che i cybercriminali\/malware estraggano informazioni dalle cache dei browser.<\/li>\n
\nQuesto \u00e8 particolarmente importante per prevenire l’attuale ondata di attacchi ransomware che dirottano gli strumenti software degli MSP. <\/strong> C’\u00e8 un’ampia variet\u00e0 di strumenti 2FA\/MFA da considerare.<\/li>\n
\n<\/b>Niente “admin”, “amministratore”, “default”, “root”, “utente”, ecc.<\/li>\n
\n Rispetta<\/span> il principio del minimo privilegio.<\/span><\/a> Es: i tecnici dovrebbero usare un account standard non amministratore per default, e un account amministratore separato solo se necessario, idealmente da <\/span> una postazione di lavoro con accesso privilegiato<\/span><\/a>.<\/span><\/li>\n
\n<\/b>Microsoft consiglia di adottare un modello a livelli <\/a> composto da tre livelli di account admin che controllano ciascuno una diversa categoria di risorse (domini, server e workstation).<\/li>\n
\n Creare account di servizio per applicazioni specifiche pu\u00f2 aiutarti a isolare i danni in caso di compromissione di un singolo account, ma solo a condizione <\/span> di evitare gli errori pi\u00f9 comuni <\/span><\/a>. Disattiva i servizi che non sono necessari e considera <\/span> l’uso di account di servizio gestiti dal gruppo (gMSA) <\/span> per rendere la gestione degli account di servizio pi\u00f9 facile e pi\u00f9 sicura. <\/span><\/li>\n
\n<\/span> Un altro dei controlli di sicurezza pi\u00f9 comuni che viene abitualmente trascurato o minato nella vita reale. Ecco una semplice guida dettagliata su <\/span> come rimuovere gli amministratori locali utilizzando un GPO<\/span>, insieme a consigli su come affrontare qualsiasi malinteso o rifiuto che si possa incontrare da parte di dirigenti e altri. <\/span><\/span><\/li>\n
\n<\/b> Si stima che <\/span> un terzo degli account utente sia inattivo ma ancora abilitato.<\/span><\/a> Tutti quei punti di accesso incustoditi rappresentano un grande rischio per la sicurezza. Effettua regolarmente dei controlli e elabora una politica chiara per disabilitare ed eliminare gli account quando gli utenti lasciano l’azienda.<\/span><\/span><\/li>\n
\n<\/b><\/span>Un numero crescente di attacchi odierni non infetta solo singole postazioni di lavoro. Sono concepiti per atterrare e diffondersi. Usando Active Directory, Criteri di gruppo e Windows Firewall puoi impedire la comunicazione workstation-to-workstation,<\/a> pur consentendo l’accesso dalla workstation ad accesso privilegiato.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n
\nRendi sicuri i tuoi strumenti di gestione remota <\/strong><\/h3>\n\n
\n
\n
\n<\/b> Limita la loro disponibilit\u00e0 strettamente alle persone che non possono farne a meno per raggioni di lavoro.<\/span><\/span><\/li>\n
\n<\/b> Pensa sempre al <\/span> minimo privilegio<\/span><\/a>, specialmente quando lavori con clienti in settori verticali regolamentati o che trattano informazioni personali o sensibili. Potresti trovarti a dover dimostrare che i tuoi tecnici non hanno mai avuto la possibilit\u00e0 di accedere a quelle informazioni.<\/span><\/li>\n
\n<\/b> Facendo cos\u00ec si rischia che i cybercriminali <\/span> raccolgano le credenziali DA <\/span><\/a> nel caso in cui una qualsiasi di quelle stazioni di lavoro sia compromessa. Gli account di amministratore di dominio dovrebbero essere pochi e lontani tra loro e usati esclusivamente per accedere ai controller di dominio (non alle postazioni di lavoro).<\/span><\/li>\n
\n<\/b> Applica regolarmente gli aggiornamenti e presta particolare attenzione a qualsiasi patch che affronti le vulnerabilit\u00e0 che potrebbero fornire ai cybercriminali l’esecuzione di codice remoto o l’accesso non autorizzato.<\/span><\/li>\n
\n<\/b>Catturare le informazioni sulle sessioni e le attivit\u00e0 di accesso remoto ti permetter\u00e0 di condurre audit, individuare anomalie e indagare e rispondere a qualsiasi attivit\u00e0 sospetta.<\/span><\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<\/ul>\nRendi sicura l’opzione Desktop da remoto (RDP)<\/strong><\/h3>\n
\n
\n
\n
\n<\/b> Anche in questo caso, chiediti se c’\u00e8 un modo di fare migliore. <\/span><\/li>\n
\n<\/b> Usa strumenti di scansione come <\/span>Nmap<\/span><\/a>, <\/span>masscan<\/span><\/a>, o <\/span>Shodan<\/span><\/a>. Stia certo che i cybercriminali lo stanno gi\u00e0 facendo, quindi prenditi qualche minuto per vedere la tua rete attraverso i loro occhi. Un altro strumento che ti guida attraverso la scansione di base delle porte \u00e8 <\/span>ShieldsUP<\/span><\/a>. <\/span><\/li>\n
\n<\/b> Uno dei modi pi\u00f9 comuni per ottenere una backdoor \u00e8 <\/span> abusando della funzione Windows Sticky Keys<\/span><\/a>. Due diversi strumenti di scansione per identificare i server RDP backdoor sono disponibili <\/span>qui<\/span><\/a> o <\/span>qui<\/span><\/a>. <\/span><\/li>\n
\n<\/b> Questo riduce il rischio che i cybercriminali sfruttino un dispositivo compromesso per accedere ad altri apparecchi della stessa rete. <\/span><\/li>\n
\n<\/b> Tutti gli amministratori sono in grado di accedere a Remote Desktop per impostazione predefinita.<\/span><\/li>\n
\n<\/b> L’autenticazione multifattore 2FA \u00e8 una buona idea a prescindere, ma se devi assolutamente avere l’RDP esposto, \u00e8 un must.<\/span><\/li>\n
\n<\/b> Il numero di tentativi falliti necessari per innescare un blocco dipende da voi, ma in generale, <\/span>Microsoft raccomanda<\/span><\/a> 15 minuti dopo 10 tentativi falliti.<\/span><\/li>\n
\n<\/b> Questa soluzione pu\u00f2 non essere apprezzata, ma \u00e8 una mitigazione importante per <\/span> impedire che le sessioni vengano dirottate<\/span><\/a>. <\/span><\/li>\n
\n<\/b> Puoi <\/span>limitare l’accesso RDP agli indirizzi IP inseriti nella lista bianca tramite un firewall <\/span><\/a>. I gateway RD sono pi\u00f9 completi. Ti permettono di limitare non solo chi ha accesso, ma a cosa ha accesso, senza bisogno di configurare connessioni VPN. <\/span> Maggiori informazioni sui gateway RD qui<\/span><\/a>. <\/span><\/li>\n
\n<\/b> La NLA fornisce un ulteriore livello di autenticazione prima di stabilire una connessione remota. Maggiori informazioni su <\/span> come controllare le impostazioni dei Criteri di gruppo per confermare che la NLA sia abilitata qui.<\/span><\/a>.<\/span><\/li>\n
\n<\/b> Questo non nasconder\u00e0 il RDP dai cybercriminali determinati, ma alzer\u00e0 la guardia e aiuter\u00e0 a proteggerti dagli attacchi automatici e da quelli semplici. <\/span> Microsoft spiega come fare il cambiamento qui.<\/span><\/a><\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n