In un mondo software defined, il crimine informatico si serve di strumenti “sartoriali” per sfruttare a proprio vantaggio i dati su cui si fonda la nostra economia. Per Trend Micro la risposta deve essere altrettanto “su misura”. E non solo tecnologica
Nell’era della dematerializzazione, le informazioni, i dati che risiedono o circolano sulle reti aziendali sono sempre più direttamente correlati con i risultati di business e la competitività delle imprese. Per questo diventano bersaglio di attacchi e tentativi di compromissione mirati a carpire informazioni che sono a loro volta monetizzabili, o a rendere i dati irraggiungibili per lo stesso proprietario, attraverso forme di “sequestro virtuale” seguite da una richiesta di riscatto: le vittime sono costrette a pagare, o non potranno mai più accedere ai dischi che le bande di cyber-criminali hanno congelato in una cassaforte virtuale cifrata di cui solo loro hanno la chiave. «La caratteristica principale di questi episodi – spiega Gastone Nencini, country manager di Trend Micro in Italia, è la loro “sartorialità”.
Oggi, a differenza delle prime generazioni di virus, il malware è molto più mutevole e fa parte di una strategia d’attacco estremamente mirata. Per questo Trend Micro ha impostato le sue tecnologie di difesa all’insegna della personalizzazione: non c’è una risposta generica, ma una formula unica che le soluzioni Trend Micro distillano sulla base di un’accurata analisi del codice maligno utilizzato per colpire un target specifico e centrare determinate vulnerabilità. Ad attacco sartoriale, Custom Defense: difesa su misura».
Difese ad personam
Il percorso di adattamento a questi nuovi scenari ostili, spiega Nencini, è iniziato per Trend Micro già due anni fa, quando lo specialista della sicurezza di end point e reti, incorporato in Giappone, ma con radici a Taiwan e in California, festeggiava il suo primo quarto di secolo di vita. Oggi, Custom Defense è una realtà di mercato. Nencini la descrive come una «appliance capace di analizzare il malware in arrivo, produrre l’antidoto direttamente on-prem non solo per ripulire gli eventuali danni, ma anche per bloccare gli attacchi futuri. Una capacità che al momento ci differenzia da tutti gli altri player». Il mercato, evidentemente, apprezza e Trend Micro chiude il suo anno fiscale 2014 con un fatturato record, per la prima volta superiore al miliardo di dollari e un ragguardevole utile netto di 210 milioni di dollari. Il focus sulla natura ormai avanzata del malware assume in Trend Micro risvolti che non sono semplicemente tecnologici. L’azienda è tra le più attive sul fronte della divulgazione e della formazione degli utenti della rete e dei nuovi strumenti informatici. «I dipendenti di un’azienda – chiarisce Nencini – non devono capire soltanto come agisce il malware, ma le motivazioni alla base degli attacchi e anche il modo in cui – per esempio – i dati che vengono carpiti dagli hacker possono essere riutilizzati da un mercato che genera milioni, se non miliardi di dollari».
La sicurezza va in Web Tv
Tra i segnali di allarme che Trend Micro ha lanciato dai suoi portali, uno riguarda la nuova tipologia di minacce che vanno a colpire la strumentazione elettromedicale negli ospedali Usa. «Sono macchine diagnostiche che possono custodire dati molto sensibili» – spiega Nencini. «Quasi sempre, della sparizione di questi dati non rimane traccia, fino a quando non si scopre che anche per queste informazioni c’è un mercato. Gli hacker possono rivenderle a chi vuole realizzare “studi scientifici” basati su sperimentazioni reali. Dobbiamo abituarci all’idea di un mercato underground che lucra letteralmente su tutto. Per non parlare degli scontri in atto tra governi e servizi di vario genere». Anche per questo, Trend Micro collabora molto strettamente con Interpol e altre agenzie di indagine ed enforcement delle normative anti-pirataggio. Senza rinunciare a format e linguaggi tipici della comunicazione per rendere ancora più efficace la valenza educativa del suo messaggio a favore di una sicurezza informatica più consapevole, rivolta non solo ai sistemi hardware e software, ma al vero punto debole della catena: gli utenti finali.
Nencini cita due esempi recenti: la serie web “2020” e il gioco online “Targeted Attack”. Il primo è una vera e propria fiction ispirata agli scenari descritti su un rapporto della International Cyber Security Protection Alliance redatto da Europol e Trend Micro. Il secondo è un gioco didattico interattivo disponibile anche in italiano, che permette a chiunque di mettersi nei panni di un chief security officer per definire, in modo molto realistico, la migliore strategia di sicurezza.
Il malware nel recinto
La necessità di una sicurezza personalizzata e informata, del resto, è sempre più impellente secondo Nencini. «Il primo quarto del 2015 ha visto un riacutizzarsi degli attacchi mirati, in particolare verso gli Stati Uniti e l’Asia. In Italia, non sono stati segnalati casi eclatanti dalle aziende, ma qui ancora non esiste, come altrove, l’obbligatorietà della denuncia per furto di dati. È curioso osservare, in questa nuova ondata di malware, un ritorno a tecniche che sembravano ormai obsolete, come i macrovirus nascosti nei documenti di Word. Volendo restare nella metafora sartoriale, direi che il cybercrimine ama vestire vintage». Ma non è affatto vintage la risposta di un provider come Trend Micro, che si rende invece ben conto della necessità di sorvegliare un “territorio” digitale molto più complesso che in passato. Le reti aziendali non sono più delimitate dai firewall, e spesso devono tenere a bada le vulnerabilità di diverse famiglie di sistemi operativi, alcuni dei quali su apparati mobili e di uso molto promiscuo, tra attività professionali e vita personale. «Da qui, deriva un approccio alla sicurezza che deve essere su misura e funzionale al fattore rischio. Non si può pensare di proteggere tutto: in azienda, una soluzione di sicurezza deve rispettare i vincoli di budget. Bisogna però identificare le aree più esposte, i dati più critici e intorno a questi cucire l’abito protettivo della Custom Defense».
Uno dei ritrovati tecnici più diffusi nei sistemi che gestiscono sulle reti aziendali i flussi che contengono codici potenzialmente maligni è la cosiddetta “sandbox”, un recinto di sabbia isolato rispetto alla rete, dove il software di sicurezza può fare i suoi esperimenti e verificare l’effettiva pericolosità del malware intercettato quando la natura dello stesso non sia già conosciuta. «La particolarità esclusiva della sandbox implementata da Trend Micro – spiega Nencini – deriva dal suo livello di customizzazione. È un ambiente che riproduce fedelmente il tipo di rete del cliente, i sistemi operativi utilizzati. Questo consente di capire meglio il funzionamento del malware attraverso le vulnerabilità dell’ambiente stesso. Un altro fattore è la capacità di studiare un attacco anche attraverso i suoi segnali anticipatori. Non dimentichiamo che gli attaccanti agiscono solo dopo una lunga fase di studio del loro target, è importante monitorare una rete alla ricerca degli eventi che sembrano persi nel rumore di fondo della normale attività, ma che possono essere il segnale di qualcosa che sta cercando di aggirare le nostre barriere».
Ricerca e alleanze tecnologiche
Il focus di Trend Micro sulla content security, sulla protezione dei dati che risiedono sui server fisici, virtuali e in the cloud, e sugli apparati fissi e mobili degli utilizzatori, spiega il successo del paradigma delle “3C” che raggruppa le tre grandi famiglie di soluzioni di sicurezza: Complete user protection, Cloud and data center e Custom Defense. A supporto di questo paradigma ci sono i laboratori di ricerca con le informazioni costantemente monitorate dalle due task force globali – TrendLabs e Forward-looking Threat Research (in questo gruppo ci sono anche due esperti italiani) – che analizzano gli scenari tecnologici per anticipare il cybercrime del futuro. «Un altro punto di forza – aggiunge Nencini – è il sistema di alleanze tecnologiche che consentono di sviluppare soluzioni di sicurezza integrate veramente avanzate. Con Hewlett-Packard abbiamo per esempio un accordo Oem per l’installazione di Deep Discovery, la nostra soluzione per le minacce “persistenti” sui prodotti Hp, mentre con Ibm Security, Deep Discovery si unisce come componente di rilevamento del malware al sistema di difesa dinamica QRadar Siem (Security information event management)».
Con VMware, ricorda inoltre Nencini, prosegue da anni il rapporto di collaborazione che consente a Trend Micro un presidio avanzato anche sul fronte della protezione degli ambienti di virtualizzazione alla base del cloud computing, ambito in cui – proprio grazie ai consolidati rapporti con VMware e con i provider del cloud pubblico – Trend Micro può godere di un significativo vantaggio.
Per l’azienda di sicurezza giapponese il cloud diventa anche un’arma competitiva commerciale. «Tutti i nostri prodotti ormai sono disponibili anche in versioni direttamente usufruibili come cloud service» – spiega Nencini. «Anzi, abbiamo recentemente introdotto una strategia di vendita che consente al cliente di installare le soluzioni Trend Micro on prem, on cloud o in formula as a Service tramite i nostri servizi web. Una formula flessibile di abbonamento permette di salvaguardare ulteriormente i propri investimenti perché la protezione Trend Micro viene automaticamente estesa a tutte le macchine sia quelle che prima erano prodotte come sistema fisico sia quelle che in seguito vengono virtualizzate nel data center».
Intelligenza in azione
Maurizio Martinozzi, responsabile in Trend Micro della sales engineering, identifica le tre aree che l’industria della sicurezza deve presidiare. «La prima è quella delle minacce avanzate, in particolare Cryptolocker, il virus ricattatore appartenente alla categoria dei ramsonware. L’evoluzione di queste tecnologie è molto rapida e le contromisure convenzionali non sono più sufficienti» – afferma Martinozzi. Un’altra area di notevole sviluppo dal punto di vista della sicurezza riguarda il data center sempre più “software defined”, il «data center che dimentica l’hardware» – come lo definisce il capo del team di prevendita di Trend Micro in Italia – e che richiede per questo un approccio alla protezione radicalmente diverso. «Infine, c’è un altro aspetto che non riguarda direttamente la tecnologia, ma la compliance e interessa fasce di utenza come la pubblica amministrazione. Sulla cautela nella difesa dei dati, l’Autorità Garante della privacy in Italia non si limita più alle raccomandazioni generiche, parlando in modo esplicito di aggiornamenti almeno semestrali per le infrastrutture di sicurezza hardware e software». Un punto che si riallaccia alle considerazioni iniziali di Gastone Nencini: «Imprese e organizzazioni devono diventare sempre più responsabili dell’incolumità dei loro dati».
Soffermandosi sugli aspetti più tecnologici dell’offerta Trend Micro, Martinozzi mette soprattutto in luce gli aspetti innovativi di Custom Defense e di altre soluzioni messe a punto, partendo dal notevole grado di imprevedibilità che caratterizza gli attacchi malware. «Combinando il rilevamento di Deep Discovery e il “sand-boxing” dinamico, Trend Micro non si limita a isolare il malware ma si analizza il comportamento che aiuta a ricostruire i punti di origine del codice maligno e a contenere i danni. È quella che definiamo “actionable intelligence”, un lungo lavoro di correlazione di eventi raccolti localmente o segnalati dall’insieme della Smart Protection Network, che ci permette di individuare le vulnerabilità e le modalità di attacco».
Il cloud protetto dall’interno
Integrata nel software defined data center già a livello di hypervisor, Deep Discovery crea uno strato applicativo che – oltre a dare protezione contro le stesse vulnerabilità delle macchine fisiche – facilita il gestore nei servizi di compliance e governance. Traducendo tutto questo nell’attuale struttura di soluzioni, Trend Micro dispone di tre grandi famiglie di prodotti. «Nella Complete User Protection rientra la protezione dell’end-point, dei gateway e dei dispositivi mobili, in una modalità che prevede tra l’altro una forte integrazione e un dialogo con le appliance della Custom Defense, a sua volta centrata su Deep Discovery Inspector e le sue sonde per la detection del malware potenzialmente nascosto nei flussi di traffico web e nella messaggistica. Infine, Cloud and Data Center Security rappresenta la sicurezza per il cloud. Una protezione estremamente efficace e a basso consumo di risorse grazie all’integrazione “agentless” di Deep Security nel motore di virtualizzazione VMware».
Il team di prevendita guidato da Martinozzi ha un ruolo importante nel supportare il brand e le competenze dell’azienda al di là degli specifici prodotti e delle loro implementazioni. Per esempio a Martinozzi spetta il compito di fornire supporto ai partner, per gli aspetti implementativi e a seguire anche il percorso relativo alla formazione tecnica e all’aggiornamento del canale, la fondamentale leva di Trend Micro sul mercato. Tra queste attività, c’è per esempio l’organizzazione di una quindicina di webinar annuali, dove vengono messi in evidenza i passi di una efficace strategia di sicurezza e di un dispiegamento corretto delle soluzioni Trend Micro a copertura delle varie criticità. Oltre alla formazione online, all’ufficio tecnico spetta la regia di specifici eventi nel mondo fisico, come il recente “Cryptolocker Tour” espressamente dedicato alla formazione anti-ransomware, una serie di incontri che hanno già toccato alcune città del Centro-Nord.
Anche il canale “su misura”
Uno spaccato sulle strategie che Trend Micro sta mettendo in campo per veicolare al meglio il messaggio di una sicurezza personalizzata attraverso la sua solida rete di partner indiretti arriva da Parigi, da dove interviene in videoconferenza Martina Mulas, senior manager distribution and volume per il Sud Europa. «L’obiettivo è raggiungere i massimi livelli di specializzazione sull’intero insieme dei nostri tremila rivenditori in Italia attraverso il nuovo partner program che è stato lanciato lo scorso anno, in sintonia con la strategia 3C, Cloud, Complete User Protection e Custom Defense. Il piano prevede la possibilità, per tutti i partner dalla categoria Bronze, Silver e Gold – nonché i Platinum, importanti organizzazioni che Trend Micro recluta “su invito” – di approfondire la conoscenza delle nostre soluzioni.
La specializzazione è uno sforzo che Trend Micro premia con una migliore marginalità» – spiega Mulas. Il nuovo programma, unificato a livello globale, prevede un notevole impegno da parte di Trend Micro, che ha rivisitato i portali web e le attività di relazione con i partner, rafforzando molto i contenuti tecnici. «Il nuovo programma prevede che il partner possa decidere su quali prodotti specializzarsi. Questo nuovo impegno sul fronte delle tecnologie 3C non annulla quello che stiamo già facendo per coloro, tra i partner, che sono rivolti verso il segmento delle PMI che potranno specializzarsi sulle tematiche adatte alla loro clientela e che continueranno a usufruire di una ricca offerta di corsi di approfondimento gratuiti sul web. Il messaggio che vogliamo dare è che sicuramente le soluzioni a volume rivolte al mercato delle microimprese e SoHo continueranno a essere importanti, ma che il nostro impegno maggiore va verso il mercato mid-size, dove sono necessarie competenze più evolute». Anche il team commerciale interno alla sede italiana, sottolinea Mulas, è stato potenziato e i tre distributori Trend Micro in Italia, Arrow, Computer Gross ed Esprinet, hanno aumentato il loro livello di specializzazione sull’offerta tecnologica 3C.
Meglio essere pronti
Se Martina Mulas presidia quello che può essere definito il braccio commerciale del provider di tecnologie di sicurezza sul territorio, Vincenzo Ciancaglini, senior threat researcher, è l’uomo-radar, l’inviato di Trend Micro nei minacciosi sotterranei del Deep Web.
Ciancaglini, insieme a un altro italiano, Marco Balduzzi, fa parte di uno swat team di venticinque persone, incaricato della cosiddetta Forward-looking Threat Research, l’analisi dei comportamenti futuri degli hackers. «Siamo una delle articolazioni dell’R&D di Trend Micro – spiega Ciancaglini – e il nostro specifico incarico è studiare non solo i possibili sviluppi della tecnologia da qui a tre o quattro anni, ma soprattutto quali opportunità potranno offrire ai cybercriminali». Sotto lo sguardo di questi analisti troviamo attualmente tutti i concetti più di moda dell’informatica, dalla Internet of Everything alle cryptovalute. Questa “squadra speciale” lavora tendenzialmente da casa, senza rispettare un preciso orario, e uno dei loro compiti è rispondere, 24 ore su 24, alle eventuali richieste che arrivano dai responsabili della Smart Protection Network quando gli attacchi diventano davvero sofisticati. Un altro incarico è quello dei rapporti con gli organi di polizia internazionali e locali.
«Siamo pochi, ma tendiamo ad agire per specifiche aree. Io per esempio – continua Ciancaglini – sono focalizzato sia sulla ricerca accademica sia sullo sviluppo di prototipi e simulazioni. Altri si occupano in senso più astratto dell’evoluzione tecnologica, dei nuovi sistemi di individuazione ed elaborazione. Infine, c’è anche chi svolge una mansione analitica nella cosiddetta “attribution”, individuando in modo più preciso il funzionamento e le origini del malware. Siamo sempre in contatto con gli altri componenti del team su Internet, ma almeno tre volte all’anno cerchiamo di riunirci di persona, scegliendo a rotazione località in Europa, Nord America e Sud-Est asiatico» – racconta Ciancaglini a Data Manager. Parlare con lui equivale a spalancare una porta nascosta su un mondo parallelo e denso di insidie. Le ricerche condotte da questi esperti riguardano sistemi che possono non essere ancora direttamente raggiungibili attraverso la rete, ma che già rappresentano una “superficie d’attacco” in grado di generare un guadagno economico per i cybercriminali. In particolare, Ciancaglini cita i sistemi industriali a controllo numerico e le nuove reti di sensori utilizzati nella domotica. E poi, c’è l’universo oscuro di Deep Web, la rete clandestina isolata dai protocolli anonimizzatori di Tor, dove si annidano veri e propri marketplace di prodotti e servizi illegali.
Marketing e impegno sociale
Il lavoro svolto da Vincenzo e dai suoi colleghi della Forward-looking Threat Research enfatizza il focus principale delle attività di Trend Micro rivolte ai partner, al mercato e ai clienti. L’obiettivo è fare divulgazione puntuale e aperta dei futuri sviluppi del cybercrime. Ma soprattutto – come rileva in conclusione Lisa Dolcini, channel marketing manager – «essere un advisor affidabile per le nostre soluzioni e per il mercato in generale, contribuendo a rafforzare la percezione dei rischi e dei relativi sistemi di protezione, in tutte le possibili sfaccettature, a 360 gradi». Una profonda vocazione alla cultura della sicurezza che – secondo Dolcini – si traduce anche nei tanti progetti di volontariato e azione sociale che Trend Micro promuove tra i suoi dipendenti, chiamati a intervenire in tutto il mondo a sostegno di popolazioni locali colpite da situazioni di crisi. La voglia di far conoscere il mondo delle minacce informatiche e gli strumenti utilizzati per proteggere le risorse hardware e software anima iniziative come la già citata serie web “2020”, progetto sponsorizzato personalmente da Rik Ferguson, global vicepresident della security research.
«Iniziative più propriamente marketing sono, a livello macro, il nostro Global Partner Summit, dove tutti i maggiori partner del mondo vengono invitati insieme alle grandi aziende con cui siamo alleati. Al summit si affianca una miriade di eventi focalizzati sui mercati locali, dove interveniamo anche in questo caso in modo sartoriale, cucendo addosso alle aziende che collaborano con noi webinar, incontri, iniziative congiunte presso i clienti». Una parte consistente e poco conosciuta di questo capillare lavoro di formazione include – ricorda Lisa Dolcini – attività pensate per i livelli manageriali delle imprese destinate a essere protette dalle soluzioni Trend Micro. «È al cosiddetto C-level che bisogna arrivare maggiormente per costruire una corretta percezione del rischio aziendale e delle possibili conseguenze di un attacco. Per coinvolgere le persone che guidano l’economia, Trend Micro organizza meeting e tavole rotonde, partecipando anche a gruppi di discussione e osservatori promossi dal mondo universitario». La nostra realtà economica sempre più “software defined” è un territorio complesso e ricco di interconnessioni. Era fatale che anche su questo territorio finissero per scontrarsi le forze contrapposte delle regole e dell’illegalità, in una lotta che vede il crimine informatico sempre meglio attrezzato, con armi che sono al tempo stesso tecnologiche e psicologiche, capaci di fare breccia nelle vulnerabilità delle macchine ma soprattutto sulla debolezza del fattore umano. Il merito di Trend Micro è di aver anticipato la necessità di combattere entrambe le tipologie di armamento, dispiegando arsenali che non si limitano a fronteggiare e prevenire i colpi sferrati dal codice maligno, ma intervengono sulla consapevolezza di determinati meccanismi e sulla nostra innata distrazione. Per fare in modo che tutti abbiano il loro personale scudo di tecnologie e conoscenza.
Foto di Gabriele Sandrini
