Vestire i panni di un hacker: perché il mainframe ha bisogno del pentesting

A volte mettersi nei panni di un hacker è l'unico modo per proteggersi davvero. Ecco perché così tante organizzazioni includono i penetration test nel loro approccio alla sicurezza informatica: l'85% dei professionisti della sicurezza informatica dichiara di effettuare penetration test almeno una volta all'anno.

Tuttavia, sebbene il penetration testing sia una pratica comune per i team di networking, non viene sempre utilizzato su tutti i sistemi, soprattutto sul mainframe. Infatti, quando Chad Rikansrud, attualmente Practice Director presso NetSPI, iniziò a lavorare con il mainframe nei primi anni 2000, pochissime organizzazioni erano specializzate nel testare tattiche avverse contro il mainframe. Abbiamo parlato con Rikansrud di cosa impedisse, e impedisce ancora oggi, alle organizzazioni di investire adeguatamente nella sicurezza del mainframe, cosa lo abbia spinto a promuovere il pentesting sul mainframe e come si presenta oggi il processo.

Introduzione del pentesting nel mainframe

Sappiamo che il mainframe rappresenta solo il 6% della spesa IT, nonostante gestisca circa il 68% della produzione mondiale di carichi di lavoro mission-critical. Cosa impedisce alle aziende di investire nel mainframe?

Chad Rikansrud (CR): Il mainframe è una piattaforma enorme, costosa e potente, in circolazione da oltre 50 anni. Data la sua enorme, costosa e potente portata, l'obiettivo della maggior parte dei team IT è di far funzionare regolarmente il sistema al 90-100% di utilizzo.

Purtroppo, la sicurezza può essere vista come l'antitesi dell'utilizzo. Di conseguenza, la sicurezza è compromessa, con patch che non vengono implementate completamente per timore di causare interruzioni o di non essere in grado di eseguire l'IPL del sistema. Inoltre, il mito persistente della sicurezza intrinseca del mainframe, diffuso da così tanti, placa ogni ansia persistente che un giorno possa essere compromessa e causare un rallentamento ancora maggiore.

Garantire l'adozione di misure di sicurezza più severe per i mainframe può richiedere un notevole impegno nella sensibilizzazione. Il pentesting è spesso l'unica cosa che riesce a scuotere le persone. Presentare ai responsabili IT e aziendali un report su tutti i modi in cui un hacker avrebbe potuto metterli fuori gioco è un ottimo modo per lanciare l'allarme prima che sia troppo tardi.

Come sei diventato un mainframe pentester?

CR: Parte della mia carriera ventennale in un grande istituto finanziario ha incluso la direzione dell'infrastruttura mainframe. In quel periodo, malware e ransomware hanno fatto il loro ingresso sulla scena. Innanzitutto, il malware era molto redditizio, ma anche molto complicato: trovare una casa, introdursi, ottenere ciò che si vuole, uscirne prima di essere scoperti o bloccati. Il ransomware ha eliminato molte di queste complicazioni, rendendo più facile che mai per i criminali trarre profitto: introdursi, chiudere a chiave tutti gli armadi in modo che nessuno possa accedere ai propri beni, quindi farsi pagare per sbloccarli.

Dopo aver subito diverse interruzioni del sistema mainframe, non legate ad attacchi informatici, mi sono chiesto cosa sarebbe successo se un ransomware avesse colpito il mainframe. Ho scoperto che il mainframe della mia organizzazione non aveva caratteristiche magiche e intrinseche che lo proteggessero dagli aggressori. Fino a quel momento eravamo stati solo fortunati.

Cercai qualcuno che potesse testare il livello di sicurezza del nostro mainframe, ma scoprii che poche aziende erano specializzate in tattiche di attacco. Pur avendo una vasta conoscenza della sicurezza, imparare a proteggere specificamente il mainframe divenne la mia priorità assoluta. Questo mi portò a collaborare con i pochi esperti di sicurezza mainframe del settore (all'epoca solo circa sei in tutto il mondo) per sviluppare un processo di pentesting sul mainframe.

Come si svolge un tipico penetration test?

CR: In breve, il pentesting verifica la configurazione attuale di un'organizzazione, ovvero come è stato impostato il sistema e quali controlli di sicurezza sono in atto.

Quando si tratta di interagire con i clienti, lavoriamo in genere su progetti a tempo determinato, che per un solo sistema richiederebbero circa 2 settimane. Avviamo una combinazione di test "black box" e "white box": nel caso del test "black box", il pentester agisce come un vero e proprio hacker esterno con poca o nessuna conoscenza del panorama IT; nel caso del test "white box", il pentester agisce come uno sviluppatore interno con una conoscenza completa del panorama.

In genere, iniziamo con le credenziali di identità di qualcuno nella rete, che la maggior parte degli hacker può facilmente ottenere. Dopo aver ottenuto l'accesso remoto, eseguiamo la seguente procedura su ciascun sistema:

Indagine: esamineremo attentamente gli account condivisi per gran parte della prima settimana. Durante questo periodo, ci aggireremo silenziosamente nel sistema, alla ricerca di falle di sicurezza da sfruttare in seguito.

• Piano: sviluppare un piano di attacco basato sui risultati.
• Attacco: questo può includere diverse tattiche, ma l'obiettivo finale è l'aumento dei privilegi. Più in alto saliamo, maggiore è la nostra capacità di modificare il sistema, il che ha un impatto più forte del semplice furto di dati.
• Report: raccogli il nostro elenco di risultati, classifica la loro gravità, condividili con i clienti e fornisci consigli su come porvi rimedio.
• Nuovo test: una volta implementate le modifiche, eseguiamo nuovamente i test per assicurarci che abbiano colmato le lacune esistenti. E poiché il sistema è in continua evoluzione, incoraggiamo i clienti a ripetere i test su base annuale o addirittura semestrale.

Ma il pentesting da solo non basta

Il pentesting è un ottimo modo per mettere in discussione il modo in cui l'organizzazione ha configurato il proprio ambiente IT e i controlli in atto per tenere a bada i malintenzionati, ma non copre il codice a livello di sistema operativo sul mainframe.

Sfortunatamente, velocità e innovazione tendono ad avere la priorità sulla sicurezza, motivo per cui i fornitori introducono spesso codice che potrebbe essere facilmente sfruttato per ottenere il controllo del mainframe. Ogni volta che viene introdotto nuovo codice nel sistema, che l'organizzazione stia collaborando con un nuovo fornitore o esegua un aggiornamento di routine, c'è la possibilità che il codice presenti delle vulnerabilità. Introducendo una scansione delle vulnerabilità regolare e automatica, le organizzazioni possono analizzare il codice attivo a livello di sistema operativo per rilevare se i fornitori hanno inavvertitamente aperto minacce attraverso vulnerabilità di integrità. Insieme, il pentesting e la scansione delle vulnerabilità formano una strategia di sicurezza del mainframe integrata.