Il sito web di un’azienda può essere il punto di inizio per penetrare all’interno di essa, conoscerne gli asset tecnologici, dedurne l’alfabetizzazione media del personale; senza troppi sforzi è anche possibile carpire informazioni utili a sferrare un attacco informatico. Molte imprese presenti sul web non hanno mai analizzato questi rischi e non hanno valutato quanto questo possa creare danni al loro business in termini di operatività e reputazione. Sicuramente in base al tipo di azienda abbiamo dei gradi di criticità diversi, ma tuttavia com’è possibile mettere in sicurezza il sito web? Per prima cosa occorre conoscere le principali armi dei nostri attaccanti.
Tipologie di attacco
DoS (Denial of Service): Questo tipo di attacco normalmente è deliberato e mira ad intaccare la disponibilità dei servizi di una determinata azienda saturandone le risorse computazionali esposte sul web. Il sito può risultare molto lento o addirittura “spento” e non rispondere più alle richieste degli utenti. Qualche migliaio di host appartenenti ad una bot-net (rete di host già “hackerati” e pronta all’uso del crimine informatico) possono essere stati impiegati per l’attacco, che consiste nell’inviare in parallelo centinaia di migliaia o anche milioni di richieste di accesso saturando la larghezza di banda, la memoria e la CPU.
Ransomware: Un malware sfruttando alcune vulnerabilità di applicazioni installate sul sito web esegue la crittografia dell’intero database dei contenuti del sito web. La home page del sito presenta una pagina in cui c’è scritto che i dati sono stati crittografati e l’unico modo per recuperarli è pagare un riscatto. L’unica cosa certa è che il sito è nelle mani del crimine: sarà bene reinstallare tutto da zero e recuperare i dati dall’ultimo backup disponibile: pagare il riscatto infatti non garantisce il ripristino dei dati ma favorisce solo il guadagno dei criminali motivandoli a colpire ancora.
Defacing: La homepage del sito presenta un messaggio offensivo che inevitabilmente lede la reputazione dell’azienda. Questo accade se vengono sfruttate delle vulnerabilità presenti nel server o in applicazioni contenute nel sito o, nel caso meno frequente, se la password dell’amministratore viene compromessa perché transita in chiaro via http sul web e non in https con certificato o indovinata tramite tecniche di attacco a dizionario e forza bruta.
Furto di dati: Il sito se viene sviluppato “in economia” o implementato da programmatori poco attenti agli aspetti di sicurezza, può presentare delle serie vulnerabilità nella validazione dei dati. Mediante tecniche di SQL injection, manuali od automatiche, è possibile eseguire l’exploit di tali vulnerabilità e recuperare l’intero database dei contenuti.
Per le minacce elencate esistono soluzioni più o meno complesse e costose. L’adozione delle contromisure necessarie va fatta dopo un’accurata analisi dei rischi coordinata da un Information Security Manager. Sebbene la perdita reputazionale non sia quantificabile, l’indisponibilità di servizi è stimabile in un’immediata perdita di business. Anche l’azienda che non offre servizi online può subire dei danni: la non accessibilità al sito significa perdita di nuova clientela ed aiuto della concorrenza.
Il consiglio quindi è quello di gestire questi problemi per diminuire la superficie di rischio. Per ottimizzare il ritorno degli investimenti occorre essere parte attiva e non subire queste minacce.