La malware e la threat analysis sono attività molto importanti perché permettono di identificare i malware e, volendo, anche il loro reverse engineering. Attraverso il reverse engineering gli analisti possono capire chi cerca di attaccare un’azienda e i suoi obiettivi. Grazie a queste informazioni, i responsabili della sicurezza possono quindi adottare misure proattive contro determinati metodi di attacco, eventualmente inserendo specifici domini web nelle blacklist (liste nere che impediscono la navigazione nei siti contenuti) o scrivendo signature (sorte di impronte digitali che identificano determinati file o indirizzi internet malevoli) personalizzate per finalità di intrusion prevention. Perché l’utilizzo di applicazioni cloud per la sicurezza di queste attività può dare maggiori vantaggi rispetto all’on premise? Vediamo nello specifico.
Malware analysis
Per evitare il rischio del propagarsi di infezioni negli ambienti IT di produzione, la malware analysis andrebbe condotta su un network isolato o in un sistema sandbox (una sorta di zona di quarantena). Senza queste precauzioni, basterebbe un errore di configurazione di una rete, o l’esistenza di qualche scorciatoia creata dagli amministratori per propria convenienza, per permettere a un malware di penetrare e compromettere i servizi IT di tutta un’azienda. Va considerato, comunque, che anche una sandbox all’interno dell’ambiente IT aziendale non è poi uno strumento molto sicuro: un malware inserito in tale sistema, infatti, prima di essere identificato ed eliminato potrebbe inviare periodicamente (azione nota come beaconing) informazioni sul suo percorso al server di partenza: questo sentiero potrebbe essere utilizzato dall’attaccante per altre azioni future.
Una soluzione per evitare questi rischi è l’utilizzo di applicazioni cloud di sicurezza per la malware analysis e alle quali gli esperti di sicurezza si possono connettere con un’interfaccia web, un’applicazione di remote desktop o una connessione di virtual network computing, senza dover stabilire altri tipi di connessioni fra il network di produzione e la piattaforma cloud. Cisco e FireEye sono fra i security vendor che integrano le proprie soluzioni on premise con la malware analysis in cloud.
Penetration testing
Per svolgere questi test si simulano attacchi che partono da un sistema che si trova all’esterno del network dell’azienda target. Le società di sicurezza che effettuano queste simulazioni possono trarre vantaggio dall’utilizzo di piattaforme cloud. Se un red team (una squadra di finti hacker) usa come punto di partenza il network della propria società di sicurezza, infatti, c’è il rischio che i sistemi di security dell’azienda target inseriscano, alla prima minaccia identificata, il numero IP dell’azienda di sicurezza nella propria lista nera e impediscano così la prosecuzione dei test. Per evitare rischi di compromettere l’operatività aziendale, nessun responsabile della sicurezza configura i propri sistemi di security in modo che possano divenire inaccessibili gli IP range e le subnet dei grandi cloud provider quali Amazon o Azure. Così oggi questi operatori offrono possono offrire vulnerability scanner noleggiabili sotto forma di virtual machine image da cui far partire diversi tipi di test verso un network.
Secure storage
Lo storage in cloud rappresenta un esempio di applicazione cloud per la sicurezza di ovvia utilità per i responsabili della sicurezza che hanno l’esigenza di mantenere integri i propri log. Questi log (che devono essere utilizzati per riscontrare e analizzare eventuali violazioni a un sistema IT) sono infatti a rischio di essere essi stessi compromessi in caso di intrusione nel network in cui si trovano. Sfruttare un servizio di storage in cloud per archiviare i log non è molto costoso, dato che questi documenti occupano poco spazio. Un altro vantaggio della conservazione dei log off-site è che gli hacker che sono riusciti a penetrare in un sistema IT non possono cercare di nascondere le loro tracce attaccando il log. I servizi di Security Information and Event Management as a service (SIEMaaS) e Security Operation Center as a Service (SOCaaS) offrono per loro stessa natura cloud security application.
Proof of concepts e Virtual labs and training
Le piattaforme cloud possono rappresentare un ambiente ideale per chi deve sviluppare e testare sistemi di sicurezza e deve mantenersi aggiornato sulla sicurezza, in generale, e sulla sua applicazione in determinati contesti IT, in particolare. Per entrambe queste attività, le cloud platform evitano di dover chiamare in causa l’ambiente IT di produzione, magari anche con l’acquisto o il noleggio di tecnologie.
Grazie allo spazio, alla capacità computazionale e ai tool di security virtuali reperibili sul cloud, gli sviluppatori e gli esperti di sicurezza possono provare in un ambiente non di produzione la sicurezza di nuove applicazioni o la validità di determinate configurazioni di security senza dover acquistare o noleggiare dell’hardware ad hoc. Per quanto concerne le applicazioni cloud di virtual labs and training, la loro utilità nasce dal fatto che oggi la security richiede un aggiornamento continuo che, nella maggior parte dei casi, non può che essere fruito virtualmente. Molti vendor forniscono, già integrati nelle loro soluzioni, documenti e corsi interattivi; non bisogna comunque dimenticare che questi consumano risorse hardware, la disponibilità di laboratori, corsi e test sul cloud aumenta le possibilità di scelta per gli utenti e fa risparmiare le aziende.
