Data Breach: GDPR e Forensics Readiness

La '''Forensics Readiness''' è la capacità delle aziende di massimizzare il potenziale in termine di capacità di raccolta di prove digitali, minimizzando i costi e agevolando la successiva indagine forense.

In caso di data breach:

•  Le aziende impiegano non meno di 6 mesi per scoprire un brearch (Fonte ZDNet http://www.zdnet.com/article/businesses-take-over-six-months-to-detect-data-breaches/)
•  L’intruso tende a cancellare le tracce del proprio ingresso e operato
•  L’intruso tende a rimanere silente nei sistemi
• Sviluppare una indagine informatica forense a distanza di mesi dal breach rischia di essere estremamente complesso e potrebbe non permettere di identificare elementi significativi.

La Forensics Readiness prevede di raccogliere preventivamente le "prove" e salvaguardarne Integritò disponibilità e Autenticità

L'adozione della Forensics Readiness passa per la definzioni di: Policy, Plan e Procedure.

'Forensic Readiness Policy: Obiettivi, Ruoli e responsabilità, Implementazione, Ambito applicazione, Legislazione e Training

Forensic Readiness Plan: Ruoli e Responsabilità, Team Specialisti (int/ext), Risorse (Economiche, Apparati e software, Storage, etc…), Task Flow, Testing, Training & awareness

Forensics Readiness Procedure: Raccolta evidenze (Live, Post mortem, Network, etc…), Procedure di analisi, Reporting, Procedure

Per poter implementare una approccio in termini di Forensics Readiness è necessaria una valutazione dei seguenti elementi che andranno declinati in procedure operative.

• Identificare le possibili fonti e i diversi tipi di evidenze digitali utili al business
• Determinare i requisiti tecnici e legali per la raccolta delle evidenze digitali
• Individuare e definire le risorse necessarie per la raccolta sicura di evidenze digitali in modo tale da renderle legally-compliant
• Riesamina delle risorse allocate per conservazione protezione delle mail.
• Stabilire una Policy per la gestione e la conservazione sicura delle potenziali sorgenti di informazione
• Implementare e assicurarsi che il sistema di monitoraggio sia in grado di rilevare i principali incidenti
• Definire in quali circostanze si rende necessaria attivare una investigazione informatica completa
• Formare e sensibilizzare lo staff alle problematiche degli incidenti per comprendere il loro ruolo nella gestione delle prove in un contesto di ammissibilità legale
• Documentare i casi reali descrivendo l’incidente e il suo impatto
• Assicurare una review legale delle procedure per agevolare le azioni di risposta all’incidente
• Definire gli scenari del business aziendale che possono richiedere evidenze digitali
• Assicurarsi che i contratti gli SLA con in fornitori soddisfino i requisiti e gli obiettivi dei per la forensics readiness.

A livello di Operational la Forensics Readiness richiede che l'infrastruttura sia dotata di:

• NTP Server e allineamento di tutti i sistemi con il Time Server
• DNS Censimento di tutti i sistemi in formato fqdn
• DHCP
• Directory Server o IAM per la gestione delle credenziali di sicurezza logica
• Sistema AAA per Server e dispositivi di rete

Assumendo di disporre di questa infrastruttura la raccolta "preventiva" delle evidence avviene attraverso la remotizzazione sicura dei log di sistema su un sistema SIEM
A titolo di esempio non esaustivo possono essere raccolta, in ragione degli obiettivi di "readiness" che ci siamo dati i seguenti

Infrastruttura IT

* Router
* Firewalls
* Terminatore VPN
* Switch
* Server: log di sistema operativo
* Antivirus
* Server di posta

Servizi IT

* Reverse Proxy
* Application server
* Applicativo in esecuzione sull’AS
* Database audit log (tuned!)
* Log servizi :SAP, CRM, SharePoint, print server, controllo accessi etc..

L'infrastuttura SIEM si occuperà delle fasi di

• Raccolta
• Parsing
• Correlazione
• Analisi Allarme
• Storicizzazione Tamper Proof

degli eventi di sistema e degli eventi di sicurezza in modo che possano essere recuperati ed elaborati a prescindere dal fatto che un agente di minaccia li abbia cancellati dai server.

Se al SIEM si aggiungono elementi com cyber Intellingece threath da fonti aperte e risultati di vulnerability assessment possono essere sviluppate regole di correlazione e allarmi che possano identificare preventivamente azioni diattacco o situazioni di breach. A titolo esemplificativo

IoA: Indicator of Attack
* Track connessioni «legittime» incoming da Bad IP sui log source
* Drop/Reject connessioni incoming da bad IP su FW
* Network scan
* Off Hours internal activity

IoC: Indicator of Compromission
* Connessioni outgoing «legittimo» verso Bad IP
* Drop/reject connessioni verso Bad IP
* Multiple failed login from single host
* Multiple login with single username from differente region
* Traffico DNS in uscita
* Errori nei log
* Errori log applicativi

L'Adozione di una Modalità "Forensics Readiness" permette di identificare preventivamente azioni dannose, identificare tempestivamente breach, ma sopratutto di raccogliere e salvaguardare le evidence informatiche di un breach indipendentemente dalle azioni distruttive che l'agente di minaccia abbia messo in atto. con un approccio Forensic Readiness è possibile svolgere in ogni momento una indagine e perizia informatica forense disponende delle prove informatiche