Il Cybersecurity & Infrastructure Security Agency degli Stati Uniti ha pubblicato recentemente un report che "provides information on multiple intrusion campaigns conducted by state-sponsored Russian cyber actors from 2011 to 2018 and targeted U.S. and international Energy Sector organizations".
Come accade relativamente spesso (vedi ad esempio l'ultimo post), questo report è direttamente legato ad argomenti che ho trattato proprio nei giorni scorsi nelle lezioni di "Computer Networks 2 and Principles of Cybersecurity":
- Attacchi con motivazioni non monetarie (information stealing o disruption).
- Attacchi diretti a ICS (Industrial Control Systems).
- Attacchi descritti con il framework MITRE ATT&CK. La descrizione è nella Appendix A. Le "tactics" e le "techniques" non sono quelle del framework Enterprise visto a lezione, bensì quelle del framework ICS. Dal punto di vista didattico non ci sono differenze sostanziali tra i due.
Credo che sia una lettura molto utile ed interessante per gli studenti e per chi si occupa di cybersecurity.
Più in generale, è interessante osservare che il report descrive attacchi "from 2011 to 2018" ma è stato pubblicato in questo momento. E' certamente un effetto collaterale della guerra in corso in Ucraina. E' anche da notare che: "CISA, the FBI, and DOE responded to these campaigns with appropriate action in and around the time that they occurred". L'interpretazione che mi pare più logica è che all'epoca sono state eseguite azioni cyber più o meno di rappresaglia.
Un altra notizia recentissima, legata alla guerra e ad argomenti trattati nelle lezioni di questi e dei prossimi giorni è questa: How the FBI took down "Cyclops Blink," a Russia state botnet infecting network firewalls. E' un esempio molto rilevante ed interessante di:
- Vulnerabilità in router, sfruttabile da remoto.
- Botnet (argomento che tratteremo nelle prossime lezioni)
Questo evento specifico è molto interessante anche per un altro motivo: "The FBI remotely accessed and disinfected US-located devices". In altre parole, una forza di polizia ha operato in maniera diretta ed autonoma su numerosi dispositivi senza la collaborazione o autorizzazione dei rispettivi proprietari. Ovviamente l'intervento è stato effettuato con tutte le autorizzazioni necessarie da un punto di vista giuridico ed aveva fondate motivazioni di sicurezza nazionale. Ma è un evento su cui è importante riflettere. Il mondo in cui viviamo è sempre più complicato.
Appendice: relazione tra "cyber" e guerra
Gli "effetti cyber" della tragica guerra in corso sono enormemente inferiori rispetto a quelli che alcuni si aspettavano. Ad esempio, Boris Johnson ha affermato solo pochi mesi fa che "cyber is how warfare of the future is going to be".
Se qualcuno fosse interessato ad approfondire la relazione tra "cyber" e "guerra tradizionale", consiglio caldamente la lettura di questo breve saggio, a mio parere un piccolo capolavoro, scritto di recente da un professore dell'Università di Oxford, fondatore e direttore del National Cyber Security Center UK (cito spesso il sito web di questa organizzazione, a mio parere una risorsa indispensabile per chiunque si occupi di sicurezza informatica): Cyber Realism in a Time of War.
Commenti