Il rapporto Symantec sulla sicurezza per la prima volta dedica ampio spazio all'analisi delle vulnerabilità di browser e sistemi. Dalla conoscenza dei propri utenti alla creazione di una rete di informazioni condivise.
L'undicesima edizione dell'Internet Security Threat Report realizzata da Symantec fotografa l'attuale panorama della sicurezza sul Web per la prima volta soffermandosi su una serie di dati nuovi riguardanti i sistemi e i browser utilizzati dagli utenti. I computer domestici, infatti, sono sempre più sotto tiro: mentre aziende ed enti cercano di dare risposte concrete ai problemi di sicurezza informatica, gli utenti sono un passo indietro. E i malintenzionati puntano su di loro.
La ricerca
La ricerca si riferisce al secondo semestre 2006 e si basa su dati raccolti in Paesi di tutto il mondo. Alcuni dati sono presi in considerazione per la prima volta, come la finestra di esposizione dei Web browser, allo scopo di fornire informazioni ancora più dettagliate. Il report analizza minuziosamente tali prospettive a livello mondiale, con un duplice obiettivo: creare informazione a proposito della sicurezza e migliorare le tecnologie e le tecniche difensive.
Allarme bot
Sulla base dei dati ricavati, il rapporto Symantec mette in luce alcuni aspetti allarmanti: in primo luogo, nel secondo semestre del 2006, in tutto il mondo oltre 6 milioni di computer risultavano infettati da programmi bot, con un incremento del 29% rispetto al periodo precedente. I bot sono applicazioni che simulano la presenza di un utente in Rete compiendo una serie di azioni automatiche (in questo caso criminali). Per contro, diminuiscono del 25% i server di "comando e controllo" delle reti bot, a conferma della tendenza alla riduzione di numero e all'ingrandimento per dimensioni di queste reti. Poche persone riescono, attraverso appositi malware, a controllare migliaia, forse milioni di computer in tutto il mondo.
Gli altri pericoli
I trojan, i cavalli di troia, programmi con cui si può prendere controllo di un computer o di determinate applicazioni da remoto, costituiscono il 45% dei cinquanta codici maligni più diffusi identificati da Symantec nei secondi sei mesi del 2006, quasi raddoppiando la loro percentuale rispetto alla prima metà dell'anno. Si tende ad abbandonare i worm inviati con mailing di massa a favore dei trojan. Attenzione, però, anche a fenomeni in forte crescita come lo spam e le frodi online basate su phishing.
Cambio di strategia
Gli aggressori, inoltre, cercano tecniche sempre nuove, come i codici maligni rivolti specificatamente ai client, compresi Web browser, e-mail client e altre applicazioni per i desktop. Nella prima metà del 2006, le vulnerabilità delle applicazioni Web hanno rappresentato il 69% di tutte le vulnerabilità documentate da Symantec. Anche le vulnerabilità dei Web browser sono sempre più diffuse: ne sono state documentate 47 in Mozilla (contro le 17 del periodo di osservazione precedente), 38 in Microsoft Internet Explorer (contro 25) e 12 in Apple Safari (contro 6).
I cambiamenti nei pericoli
Nel rapporto, inoltre, sono state documentate dodici vulnerabilità "zero-day", con un drastico incremento rispetto alla prima metà dell'anno quando era stata identificata soltanto un caso di questo tipo. Questa tendenza accentua l'esposizione di aziende e consumatori a minacce ignote. All'inizio degli anni Novanta c'erano minacce (file-virus, macro-virus ed e-mail worm) per le quali il tempo di infezione variava da settimane a giorni, per poi ridursi a ore verso la fine del decennio. All'inizio del 2000 invece il tempo di infezione è sceso da ore a minuti, e si sono riscontrati virus e worm per i quali la reazione umana non sempre è possibile e che necessitano di una maggiore automatizzazione. Nel futuro le minacce "zero-day" saranno lo standard operativo dei codici maligni, con tempi di reazione per fermare l'infezione abbattuti a pochi minuti se non secondi.
Le reazioni
In particolare il tempo di latenza tra la scoperta di una vulnerabilità di un sistema e lo sfruttamento illecito da parte di hacker va sempre più diminuendo. Nella prima metà del 2006, Symantec ha documentato 2.249 nuove vulnerabilità, il 18% in più rispetto al periodo di analisi precedente e il numero più alto mai registrato in qualsiasi periodo di osservazione. La finestra di esposizione delle aziende e dei Web browser ai pericoli è di 28 giorni, contro i 50 del periodo precedente. Microsoft Internet Explorer presenta una finestra di esposizione media di 9 giorni (contro i 25 del semestre precedente), Apple Safari di 5 giorni (contro 0), Opera di 2 giorni (contro 18) e Mozilla di 1 giorno (contro 2). I produttori di sistemi operativi rilasciano una patch per una specifica vulnerabilità in media con molto ritardo: Sun 89 giorni, HP 53 giorni, Apple 37 giorni, Microsoft e Red Hat 13 giorni.
Ogni nodo parte attiva
Questi dati, oltre a far riflettere sul problema sicurezza in generale, devono spingere i web master e le aziende a farsi parte attiva nel processo di contenimento della diffusione di worm e virus. In un momento di dibattito ampio sulle tecnologie di condivisione e collaborazione, rendersi parte attiva in un processo di lotta ai pericoli informatici rappresenta una sfida qualificante per qualsiasi sito, e l'analisi delle statistiche d'accesso ai propri siti può fornire alcune indicazioni di massima per indirizzare al meglio i propri sforzi. Prima di tutto è necessario conoscere quali sono i sistemi e i browser maggiormente in uso da parte dei propri utenti. Non ci si limiti alle banalità: se è vero che Windows e Internet Explorer dominano il mercato, provate a verificare il dettaglio degli accessi al proprio sito. Quale versione di Internat Explorer? E quali altri browser si stanno facendo spazio? E se i nostri utenti appartenessero alla community linux in buona parte? Conoscere è diverso da supporre.
Creare una rete informativa
Una volta individuati i sistemi e i browser di riferimento dei propri utenti, si possono poi ottenere informazioni mirate da parte dei principali siti d'informazione sulla sicurezza e di produttori in modo da renderle evidenti sul proprio e girarle nel minor tempo possibile agli utenti. Per farlo, si possono utilizzare anche strumenti automatici come i feed rss.
In questo modo non si risolve il problema sicurezza, ma si contribuisce a creare una rete di difesa ampia e articolata, in grado di abbattere i tempi di reazione complessivi, almeno nella parte finale della catena, ovvero da quando il produttore rilascia la patch a quando l'utente ne viene a conoscenza e la installa.
L'ultimo aiuto dalle statistiche
Infine, non si trascuri il ruolo che la conoscenza dei propri utenti può esercitare sulle proprie difese. Oltre a essere essenziali nel supporto alle politiche di marketing, infatti, le informazioni derivanti dalle statistiche si prestano a diversi altri usi per migliorare la presenza aziendale e l'indirizzo strategico sul Web. Sarebbe per esempio opportuno introdurre, con cadenza regolare, l'analisi delle statistiche prodotte anche da parte dei propri responsabili della sicurezza informatica. Pur non potendo ottenere dettagli immediatamente significativi, dagli scostamenti nel tempo e dalle provenienze, un esperto può andare a individuare possibili anomalie, e magari adottare per tempo livelli di protezione più alta rispetto a specifiche minacce.