Cybersecurity: una diagnosi con Cyber Expert è ormai necessaria

Dal momento che un giorno sì e l’altro pure gli studi dei professionisti sono bersagliati da attacchi informatici ritengo sia indispensabile un’analisi razionale della situazione riguardante la cybersecurity per poter procedere nella giusta direzione.

Da qualche anno a questa parte non si fa altro che sottolineare come gli attacchi cyber siano in costante aumento e sia pertanto necessario contrastarli. Il punto però è che non basta analizzare solo quello che fa l’avversario, bisogna anche analizzare cosa manca o cosa non funziona nell’approccio di contrasto dell’avversario.

Bisogna richiamare la necessità di un atteggiamento mentale diverso per essere efficaci nella cybersecurity, vale a dire quello che in inglese è definito come mindset. Per risolvere un problema bisogna prima di tutto riconoscere di averlo, ammettere che non si è grado di gestirlo e trovare la strategia giusta per affrontarlo.

Lo "slow Http Attack"

Gli attacchi “HTTP lenti”  sono attacchi denial-of-service (DoS) dove l’attaccante invia le richieste HTTP a pezzi, molto lentamente, una alla volta ad un server Web.  Se una richiesta HTTP non è completa, o se la velocità di trasferimento è molto bassa, il server mantiene le sue risorse occupate in attesa che arrivino il resto dei dati.  Ma quando il pool di connessioni simultanee del server raggiunge il massimo delle allocazioni, il server collassa su se stesso generando un DoS.  Gli attacchi HTTP lenti sono facili da eseguire perché richiedono risorse minime da parte dell’attaccante e questo fa comprendere come l'”asimmetria” tra chi attacca e chi difende le infrastrutture, sempre di più si sta acutizzando.

Per proteggere il tuo server Web da attacchi HTTP lenti, si consiglia quanto segue:

• Rifiutare/eliminare connessioni con metodi HTTP (verbi) non supportati dall’URL;
• Limitare l’intestazione e il corpo del messaggio a una lunghezza minima ragionevole. Imposta limiti specifici dell’URL più severi e appropriati per ogni risorsa;
• Impostare un timeout di connessione assoluto, qualora risulti possibile. Ovviamente, se il timeout è troppo breve, rischi di far cadere le connessioni legittime e se è troppo lungo, non ottieni alcuna protezione da questo genere di attacchi. Impostare un valore di timeout basato sulle statistiche sulla lunghezza della connessione, ad esempio un timeout leggermente maggiore della durata mediana delle connessioni dovrebbe soddisfare la maggior parte dei client legittimi;
• Il backlog di connessioni in sospeso consente al server di mantenere le connessioni che non è pronto ad accettare, e questo gli consente di resistere a un attacco HTTP lento più grande, oltre a dare agli utenti legittimi la possibilità di essere serviti sotto un carico di richieste elevato. Tuttavia, richieste non soddisfatte e quindi un backup di grandi dimensioni può prolungare anche l’attacco, poiché esegue il backlog di tutte le richieste di connessione indipendentemente dal fatto che siano legittime o meno;
• Definisci la velocità minima dei dati in entrata ed elimina le connessioni che sono più lente di quella velocità. Bisogna fare attenzione a non impostare il minimo troppo basso, o si rischia di far cadere le connessioni legittime:
• Seguire le ulteriori raccomandazioni specifiche del server.

Conclusioni

È necessario quindi un cambiamento di approccio nella gestione della cybersecurity. Comprendendo la difficoltà di ammettere errori e mancanze, ma se non partiamo da questo si continuerà solo a “mettere toppe” qua e là, senza riuscire a costruire una struttura solida per poter affrontare attacchi che, per un motivo o per l’altro, continueranno a crescere in termini di numero e di qualità.

Far finta di niente o sovrapporsi con ipotesi su cosa sia realmente avvenuto non solo crea confusione, ma alimenta l’incertezza. Purtroppo, da questo punto di vista c’è ancora molta strada da fare. Senza contare che anche minimizzare attacchi cyber dichiarandoli blandi o magari, ad esempio, non è funzionale ad un’efficace gestione della cybersecurity. Considerata la portata di quello che può accadere meglio stare sempre in allerta.

Quella che si sta combattendo in questo periodo storico è una guerra a tutti gli effetti, anche se con armi diverse, ma potentissime soprattutto in termini di comunicazione e le realtà più fragili sono proprio quelle che non possono permettersi investimenti significativi come gli Studi professionali.

Se si è bravi ad anticipare le minacce è possibile attuare per tempo le adeguate misure di contrasto.