Una postazione remota può aprire altre porte
Il desktop che utilizziamo attraverso una connessione remota può custodire documenti e, insieme, consentire operazioni su servizi gestiti da altri soggetti, cosicché la delimitazione di un incidente richiede di seguire gli accessi che da quella postazione diventavano possibili. Nel caso giapponese di Onamae.com Desktop Cloud, considero decisivo proprio questo passaggio, perché la protezione del cliente dipende da una ricostruzione delle relazioni fra ambienti che non coincide necessariamente con il perimetro commerciale del servizio acquistato.
Nel secondo comunicato, pubblicato il 22 ottobre, GMO riferiva di programmi non autorizzati individuati il 20 ottobre in alcuni ambienti server e indicava 26.739 server potenzialmente interessati. Segnalava inoltre la possibile acquisizione e utilizzazione delle credenziali impiegate per il trading, anche attraverso MT4 e MT5, richiamando anche segnalazioni dei clienti su operazioni non autorizzate; chiedeva pertanto di cambiare le password da una postazione esterna al servizio e disconnettere le sessioni. Il numero indicato definiva l’esposizione possibile, senza quantificare compromissioni accertate.
Il risultato di un esame conserva il proprio perimetro
Il nono aggiornamento, delle 11.59 del 27 ottobre in Giappone, precisava che nei dispositivi consegnati dai clienti e già esaminati non era stato rilevato malware, incluso ransomware, mentre le analisi continuavano e non tutti i dispositivi erano stati verificati. Nello stesso comunicato, la pubblicazione dei dati e l’attacco ransomware annunciati per mezzogiorno restavano minacce attribuite al presunto aggressore, dalle quali non discendeva una conferma dell’avvenuta cifratura dei computer.
Questa delimitazione merita attenzione, poiché l’esito negativo di un controllo è tanto più informativo quanto meglio conosciamo ciò che il controllo poteva osservare. Un dispositivo consegnato all’analisi, il periodo coperto dai suoi registri e gli strumenti impiegati per esaminarlo delimitano il significato del risultato; estenderlo a postazioni non analizzate oppure a credenziali eventualmente già utilizzate altrove introdurrebbe una conclusione che quella verifica, per come è descritta, non è in grado di sostenere.
In una situazione analoga chiederei quindi che ogni rassicurazione fosse accompagnata dal suo oggetto verificabile, così da sapere se riguarda la presenza attuale di un programma, una specifica sessione oppure l’assenza di operazioni anomale entro un intervallo documentato. La possibilità di indicare ciò che resta da accertare rende la comunicazione utilizzabile per decidere, perché consente al cliente di scegliere quali attività riprendere senza dover interpretare una formula generale di sicurezza.
Le autorizzazioni possono vivere altrove
La separazione fra postazione e servizio raggiunto diventa particolarmente rilevante quando un accesso esterno conserva una propria validità, poiché la disponibilità o l’arresto del desktop non descrivono necessariamente lo stato delle sessioni aperte presso terzi. Per un’organizzazione che utilizzi ambienti remoti, ricostruire quali identità fossero utilizzabili e chi possa revocarle permette di trasformare una dipendenza contrattuale in un insieme di responsabilità operative identificabili.
Occorre che il fornitore dell’ambiente e il gestore dell’applicazione possano confrontare evidenze temporalmente coerenti, mantenendo distinti l’accesso sospetto, l’operazione effettuata e l’eventuale conseguenza patrimoniale. Se mancasse questa ricostruzione, un cliente potrebbe ricevere conferme tecnicamente corrette da ciascun interlocutore senza ottenere una risposta sul percorso completo attraverso il quale era possibile operare a suo nome; il rischio decisionale risiede anche in tale frammentazione della conoscenza.
La chiusura di un dominio non elimina le copie
Nel tredicesimo comunicato, del 28 ottobre, GMO annunciava la sospensione del dominio sul quale erano pubblicate informazioni presentate come appartenenti ai clienti, mentre il sedicesimo aggiornamento, pubblicato il 29 ottobre, manteneva aperta la raccolta di segnalazioni e il lavoro contro l’ulteriore diffusione. Sono risultati e attività il cui significato va misurato rispetto all’obiettivo concreto che possono raggiungere.
La cessazione dell’accesso attraverso un dominio riduce una via di distribuzione, ma non permette di dedurre che eventuali copie già acquisite siano scomparse. Per questa ragione, nel valutare il contenimento terrei separati il risultato sulla pubblicazione, la revoca degli accessi riutilizzabili e la verifica degli ambienti, poiché ognuno risponde a una domanda diversa e richiede una propria evidenza; anche la comunicazione ai clienti dovrebbe conservare tali distinzioni, affinché un successo visibile non assorba problemi ancora aperti.
Una ripresa motivata per ciascuna attività
La lezione che ricavo per le imprese italiane riguarda la capacità di ricostruire un’attività oltre i confini dei fornitori che la rendono possibile. Prima di autorizzarne la ripresa, vorrei poter collegare la postazione verificata alle identità utilizzate, alle sessioni revocate e alle operazioni riconciliate, precisando le lacune che potrebbero cambiare il giudizio; quando questi riscontri convergono, la decisione diventa motivabile anche se l’intera indagine non è ancora conclusa. Resterebbe invece prematura una rassicurazione che trasferisse all’intero processo la sicurezza accertata soltanto su una sua parte.