Hack The Lab Xperience, questo il titolo di un workshop di due giorni nella sede storica dell’azienda Stonesoft, ad Helsinki in Finlandia. Dati, tecniche, esperienze e una storiella molto istruttiva.
HELSINKI - Il reale pericolo di un attacco informatico su larga scala non si percepisce appieno. C'è poco da fare. Come già accaduto in passato nella storia dell’uomo, potrebbe essere necessario un evento catastrofico reale e tangibile (milioni di persone senza elettricità o azzermento globale delle carte di credito, tanto per fare due esempi) perché i governi si rendano conto dell’effettiva gravità della situazione. E' questo il concetto con cui di Ari Vänttinen (VP Marketing diStonesoft, azienda finlandese all’avanguardia nelle tecniche e nei prodotti per la difesa dei network aziendali da tali attacchi), ha aperto il suo intervento al Hack The Lab Xperience tenutosi nei giorni scorsi a Helsinki. Parole da brivido, le sue.
Vänttinen ha spiegato come gli attacchi informatici siano, purtroppo, quasi invisibili ai normali software di difesa, in quanto scopo principe degli hacker è proprio quello di rimanere silenti e indisturbati all’interno di un network per poi colpire all’improvviso e dileguarsi senza lasciare traccia. Ecco perché molto spesso le grandi aziende che rilasciano dichiarazioni dell’avvenuto attacco infromatico non hanno quasi mai idea di cosa sia successo nei loro sistemi. Sono solo in gradi di dire che c’è stata un’intrusione.
Di sicuro l'attenzione nei confronti del cyber-crime ha avuto un'impennata: basti pensare che nel 2011 il "guadagno" illegale dei crimini informatici ha molto probabilmente superato quello del traffico internazionale di stupefacenti. Di contro che dal punto di vista strategico l’attenzione ai sistemi di difesa comincia a entrare a pieno titolo nelle voci di un bilancio aziendale: spendere per firewall o antivirus non è più sotto la voce costi ma sotto quella investimenti. Perché prevenire è meglio che curare.
E' una fresca giornata di dicembre, a Helsinki sono le 8 e il termometro segna -18°. Un veloce passaggio in taxi per arrivare alla sede centrale su un’soletta dell’arcipelago antistante la capitale finlandese. Qui ci accoglie Otto Airama, Senior Network Security Specialist dell'azienda. Con lui, seduti ai nostri banchi come fossimo a scuola, apprenderemo, i rudimenti degli attacchi alle reti. Del resto Stonesoft è una dell’aziende europee all’avanguardia nelle tecniche e nei prodotti per la difesa dei network aziendali, con una sedi anche a Milano (il responsabile è Emilio Turani) e ad Atlanta (Stati Uniti).
Dopo pochi minuti già ci accorgiamo di quanto sia semplice per un occhio ben allenato scoprire le falle di un sito o di un portale non ben protetto. Subito un esempio: ad Otto bastano pochi semplici passaggi per ottenere l’intera lista dei dati - nomi, cognomi, indirizzi, telefoni e numeri di carte di credito - di un portale per acquistare musica. Ma c'è di più: per ottenere queste informazioni, il nostro "prof" non ha fatto altro che utilizzare script e software assolutamente legali e scaricabili gratuitamente da internet, software a disposizione di chiunque per eseguire proprio test di vulnerabilità sui propri network. Ovviamente queste tecniche funzionano solo ladovve i gestori del sito abbiano sbadatamente lasciato porte aperte. Ma a dirla tutta - sorride Otto - non esistono network completamente sicuri.
Per dimostrarcelo invita il vero hacker della situazione - un giovane dipendente della Stonesoft che sembra uscito da un libro di Gibson o Sterling con i suoi sandali ai piedi e il laptop ricoperto di adesivi pirateschi - a raccontare un episodio significativo di come spesso le aziende credono di essere davvero sicure nei confronti degli attacchi informatici. Si parla di un'azienda che si vantava della sua inattaccabilità poiché nessuna delle sue reti interne e nessuno dei suoi computer era connesso ad internet e quindi, secondo loro, invulnerabile per gli hacker. Ma questi decidono di adottare una tecnica evergreen che fa leva sull’atavica curiosità del genere umano. Non potendo entrare via rete, i pirati informatici caricano il loro virus su una chiavetta usb e poi con una fionda la lanciano dalla strada oltre il muro di cinta dell’azienda fino al parcheggio interno e si mettono in attesa. Non è necessario attendere molto, per altro: un dipendente mentre va in ufficio nota questa chiavetta usb abbandonata in terra e non resiste alla tentazione di connetterla al pc sulla scrivania. Un gesto, questo, che dura un attimo. Un attimo in cui la tanto decantata sicurezza va a farsi benedire: il virus entrato da quel pc comincia a diffonderesi a tutti i gli altri computer del palazzo collegati dalla rete interna. L'incubo è appena cominciato.
Vänttinen ha spiegato come gli attacchi informatici siano, purtroppo, quasi invisibili ai normali software di difesa, in quanto scopo principe degli hacker è proprio quello di rimanere silenti e indisturbati all’interno di un network per poi colpire all’improvviso e dileguarsi senza lasciare traccia. Ecco perché molto spesso le grandi aziende che rilasciano dichiarazioni dell’avvenuto attacco infromatico non hanno quasi mai idea di cosa sia successo nei loro sistemi. Sono solo in gradi di dire che c’è stata un’intrusione.
Di sicuro l'attenzione nei confronti del cyber-crime ha avuto un'impennata: basti pensare che nel 2011 il "guadagno" illegale dei crimini informatici ha molto probabilmente superato quello del traffico internazionale di stupefacenti. Di contro che dal punto di vista strategico l’attenzione ai sistemi di difesa comincia a entrare a pieno titolo nelle voci di un bilancio aziendale: spendere per firewall o antivirus non è più sotto la voce costi ma sotto quella investimenti. Perché prevenire è meglio che curare.
E' una fresca giornata di dicembre, a Helsinki sono le 8 e il termometro segna -18°. Un veloce passaggio in taxi per arrivare alla sede centrale su un’soletta dell’arcipelago antistante la capitale finlandese. Qui ci accoglie Otto Airama, Senior Network Security Specialist dell'azienda. Con lui, seduti ai nostri banchi come fossimo a scuola, apprenderemo, i rudimenti degli attacchi alle reti. Del resto Stonesoft è una dell’aziende europee all’avanguardia nelle tecniche e nei prodotti per la difesa dei network aziendali, con una sedi anche a Milano (il responsabile è Emilio Turani) e ad Atlanta (Stati Uniti).
Dopo pochi minuti già ci accorgiamo di quanto sia semplice per un occhio ben allenato scoprire le falle di un sito o di un portale non ben protetto. Subito un esempio: ad Otto bastano pochi semplici passaggi per ottenere l’intera lista dei dati - nomi, cognomi, indirizzi, telefoni e numeri di carte di credito - di un portale per acquistare musica. Ma c'è di più: per ottenere queste informazioni, il nostro "prof" non ha fatto altro che utilizzare script e software assolutamente legali e scaricabili gratuitamente da internet, software a disposizione di chiunque per eseguire proprio test di vulnerabilità sui propri network. Ovviamente queste tecniche funzionano solo ladovve i gestori del sito abbiano sbadatamente lasciato porte aperte. Ma a dirla tutta - sorride Otto - non esistono network completamente sicuri.
Per dimostrarcelo invita il vero hacker della situazione - un giovane dipendente della Stonesoft che sembra uscito da un libro di Gibson o Sterling con i suoi sandali ai piedi e il laptop ricoperto di adesivi pirateschi - a raccontare un episodio significativo di come spesso le aziende credono di essere davvero sicure nei confronti degli attacchi informatici. Si parla di un'azienda che si vantava della sua inattaccabilità poiché nessuna delle sue reti interne e nessuno dei suoi computer era connesso ad internet e quindi, secondo loro, invulnerabile per gli hacker. Ma questi decidono di adottare una tecnica evergreen che fa leva sull’atavica curiosità del genere umano. Non potendo entrare via rete, i pirati informatici caricano il loro virus su una chiavetta usb e poi con una fionda la lanciano dalla strada oltre il muro di cinta dell’azienda fino al parcheggio interno e si mettono in attesa. Non è necessario attendere molto, per altro: un dipendente mentre va in ufficio nota questa chiavetta usb abbandonata in terra e non resiste alla tentazione di connetterla al pc sulla scrivania. Un gesto, questo, che dura un attimo. Un attimo in cui la tanto decantata sicurezza va a farsi benedire: il virus entrato da quel pc comincia a diffonderesi a tutti i gli altri computer del palazzo collegati dalla rete interna. L'incubo è appena cominciato.
