Il patch management, cioè la gestione degli aggiornamenti di sicurezza, è sempre stata una delle preoccupazione dei responsabili IT, sia in generale sia in particolare di quelli specializzati in security.
Con l’aumento di sistemi che potevano entrare nel mirino degli hacker e dei cybercriminali (desktop, laptop, stampanti, server, smartphone, tablet, apparati di networking per quanto riguarda l’hardware; sistemi operativi, applicazioni, database, per il software) gli staff IT e gli stessi vendor si sono sforzati di automatizzare i processi di verifica degli aggiornamenti e di installazione delle contromisure per risolvere le vulnerabilità scoperte (patch). Ecco quindi diffondersi nelle aziende di ogni dimensione una soluzione come Windows Server Update Services (WSUS), un tool gratuito di Microsoft che fornisce ai server con sistemi operativi datati e recenti dell’azienda di Redmond un automated patch management che è una via di mezzo fra il più semplice Windows Update a bordo dei pc e le funzionalità di security opzionali più avanzate incluse in Windows Server e utilizzate dalle aziende più grandi. A questi si aggiungono altri tool offerti da security o operating system vendor i quali, però, coprono soprattutto (se non esclusivamente) le esigenze di protezione dei sistemi IT tradizionali. Ma oggi (complici anche l’esplosione del cloud e dell’interesse per l’analisi dei big data, prodotti, fra le altre fonti, dai sensori a bordo di una miriade di tipi di device) si assiste a una crescita esponenziale dei dispositivi connessi a internet e/o, attraverso questa rete, alle reti IT aziendali e, di conseguenza, anche ai data center.
Se era già necessario in passato, con gli endpoint informatici classici (cui in seguito si sono aggiunti quelli mobile), a fronte dell’Internet of Things (IoT), cioè il mondo dei device più eterogenei che si è aggiunto negli ecosistemi IT, riuscire ad automatizzare il patching delle vulnerabilità di sicurezza diventa ancora di più un’esigenza.
Gli oggetti dell’Internet of Things e la sicurezza
I device che le aziende mirano a integrare nei loro processi di business, sottoposti a profondi interventi di digital transformation, con il fine di controllarli e di utilizzarli come fonti di big data, sono molti e diversissimi fra loro. Come fanno notare alcuni esperti del settore, si va dai sistemi HVAC (Heating, Ventilation and Air Conditioning), utilizzati negli edifici, per obiettivi di comfort climatico, o nei data center, per proteggere le tecnologie informatiche che producono calore, a moltissimi oggetti comuni della vita quotidiana. Persino uno spazzolino elettrico ricaricabile è ormai un oggetto controllato da un firmware (sistema operativo che fa funzionare un dispositivo, ma che non è normalmente accessibile e utilizzato dall’utente dell’oggetto) che ha una determinata versione e, probabilmente, vulnerabilità. Per quanto riguarda i device gestiti da firmware, solitamente non ci si preoccupa di verificare periodicamente se esiste una versione del software più aggiornata, che si potrebbe sostituire a quella già esistente, soprattutto se l’oggetto fa il suo lavoro e non abbiamo scoperto che alcune funzionalità potrebbero migliorare con un nuovo firmware. Allora si va a vedere sul sito web del produttore e si scopre, magari, che il software installato sul proprio dispositivo ha già qualche anno di età e che, dal momento dell’acquisto, sono state rese disponibili per il download svariate nuove major release. Però nessuno ci ha avvertiti, per esempio, con un’email, né tanto meno è stato possibile effettuare aggiornamenti automatici: o perché il device non è connesso a Internet o perché, pur essendo collegato, non esiste un meccanismo di automated update. La gravità di queste problematiche varia a seconda che i mancati aggiornamenti mettano i dispositivi IoT (o addirittura le reti IT cui sono collegati) alle mercé di qualche spione, hacker o cybercriminale, o possano aver procurato mancati aumenti di produttività e di business.
Da che cosa iniziare? Dall’inventario
Un dato gli esperti di sicurezza lo dichiarano senza tema di smentita: la maggior parte dei dispositivi attivi, o attivabili – per IoT, che sono oggi connessi alle reti, non sono gestiti dal punto di vista della sicurezza perché utilizzano sistemi operativi, linguaggio, protocolli di comunicazione e metodologie di connettività che non sono finora state prese in considerazione dai vendor di IT security. E anche il censimento di questi dispositivi è spesso lacunoso o difficile, perché i tradizionali software di system management non sempre li riconoscono o riescono a interagire con loro. Il primo passo consigliato dagli specialisti di security ai team IT e di business è quello di dedicare tempo e risorse per effettuare un inventario dei device IoT. Senza un accurato inventario, sottolineano, non è nemmeno possibile iniziare a progettare una strategia di automated patch management dei dispositivi dell’Internet delle cose.
Controllare e stimolare i vendor
Nel corso di un censimento dei device IoT si potrebbe essere fortunati a scoprire che, in realtà, per un determinato dispositivo il produttore aveva già, o ha sviluppato in tempi più recenti, un servizio di update automatico del software. In questo caso, per prima cosa, si può iniziare ad attivare tale funzionalità e poi verificarne periodicamente l’attività. E nel caso di device per cui non esiste questa possibilità? Per questa eventualità di può pianificare un’attività che preveda una frequente consultazione dei sito del vendor per verificare quando vengono emesse comunicazioni circa vulnerabilità, patch e nuove release dei firmware. Quindi scaricare gli aggiornamenti e installarli rapidamente. Non bisogna sottostimare il potenziale di ampliamento della superficie di attacco che rappresentano le tecnologie IoT, siano esse webcam, cuffie con microfono wireless, dispositivi medicali, sistemi HVAC o centraline di auto. Infine, si può cogliere l’opportunità di questa sfida per stimolare e aiutare i vendor di IT security a evolvere anche in questo nuovo teatro di cyberwar.
