strategie di cybersicurezza

Il “persistent engagement” nella cyberdifesa Usa: punti di forza, debolezze e sovranità digitale

La strategia cyber nazionale Usa si basa sull’obiettivo di mantenere una superiorità nella dimensione cyber impegnando e contrastando in modo continuo gli avversari per renderli insicuri dell’effetto delle loro azioni in qualunque contesto queste avvengano. Cos’è il persistent engagement e i rischi di questo approccio

28 Lug 2022
Fabrizio Baiardi

Professore Ordinario di Informatica, Responsabile gruppo ICT risk assessment and management, Università di Pisa

cyberdifesa usa

Il “persistent engagement” è uno punti della strategia cyber nazionale Usa pubblicata nel 2018. Basato sul principio di “defend forward” e sulla continua generazione di fragilità nel sistema, l’approccio alla cyberdifesa varato dall’amministrazione Obama solleva non pochi dubbi, soprattutto per quanto riguarda la sovranità digitale di uno Stato che volesse adottarla.

Vedremo allora come riconoscere e valutare i rischi associati all’adozione di defend forward nei vari contesti e nelle situazioni possibili: questo è fondamentale non solo per pesarne punti di forza e debolezza ma anche per valutare gli impatti delle scelte di altri stati sulla robustezza e resilienza dei propri sistemi e delle proprie infrastrutture.

Cybersecurity, America is back? La nuova politica Usa, dagli slogan ai fatti

La strategia cyber nazionale Usa

La strategia è basata su quattro punti fondamentali:

  • la difesa e protezione delle infrastrutture nazionali,
  • la creazione di una economia digitale sicura che promuova l’innovazione e la crescita,
  • il mantenimento della pace e della sicurezza con la deterrenza e nel caso la punizione di coloro che usano maliziosamente gli strumenti informatici,
  • l’espansione dell’influenza americana per estendere una rete Internet affidabile e sicura.

Per raggiungere questi obiettivi, sempre nel 2018, US Cyber Command annuncia una strategia basata sul nuovo concetto di persistent engagement. Obiettivo della strategia è di mantenere una superiorità nella dimensione cyber impegnando e contrastando in modo continuo gli avversari in modo da renderli insicuri dell’effetto delle loro azioni in qualunque contesto queste azioni avvengano. Ciò richiede di alternare azioni difensive ed offensive in modo da acquisire e mantenere un vantaggio sugli avversari. In una frase: il cyber command può operare sempre ed in ogni luogo per contrastare gli avversari. L’uso continuo di azioni offensive costituiva una innovazione significative rispetto alla strategia degli anni della presidenza Obama. La strategia Obama puntava alla creazione di un ecosistema cyber sicuro grazie ai regolamenti, nazionali ed internazionali, la cooperazione, la dissuasione e la deterrenza. L’approccio ottimistico dell’amministrazione Obama era indubbiamente influenzato, tra gli altri, da una lettura della primavera araba come un insieme di eventi facilitato dagli strumenti informatici e dalle reti sociali, una lettura poi contestata da molti.[1]

WHITEPAPER
Robot intelligenti: i vantaggi nei progetti di automazione nell'Industry4.0
Industria 4.0
Realtà virtuale

I dubbi sulla strategia Cyber e l’adozione del persistent engagement

La visione ottimistica della presidenza Obama è stata messa in dubbio soprattutto per quanto riguarda l’efficacia della deterrenza nel cyber spazio[2]. L’efficacia è ridotta sia a causa delle forti interconnessioni e dipendenze tra i vari attori che dalla difficoltà di attribuzione degli attacchi. La critica ha portato alla nuova strategia del persistent engagement, che ha come uno dei suoi punti fondamentali il concetto di defend forward basato sul principio di contrastare gli avversari in modo proattivo ovvero anche al di fuori delle reti che il Cyber Command dovrebbe proteggere. Il concetto è, forse volutamente, molto vago e copre azioni che vanno dalla raccolta di informazioni sulle reti degli avversari ad attacchi a reti degli avversari che degradino le capacità di attaccare le reti che il Cyber Command deve difendere. Ciò che è chiaro è il legame tra defend forward e persistent engagement ovvero qualunque sia l’interpretazione data a defend forward, le azioni conseguenti vanno eseguite in modo continuo e proattivo, senza attendere che l’avversario attacchi. Ciò genera un attrito che dovrebbe portare l’avversario a preoccuparsi della propria difesa più che dell’offesa. Questo attrito continuo ma al di sotto della soglia della cyber war è necessario per mantenere la superiorità sull’avversario.

The U.S. Cyber Strategy of Persistent Engagement

I rischi del defend forward

La visione del defend forward soddisfa tutti quelli che legano la sicurezza informatica agli hacker etici ed alle competizioni CTF ed ha indubbiamente avuto significativi successi nella recente cyber war. Essa però solleva alcune obiezioni dovute ai rischi che essa genera al di fuori di una situazione di conflitto esistente se non dichiarato e discussi nel seguito.

La difficoltà di controllare gli effetti di un attacco informatico

Il primo rischio insito nella defend forward è quello della difficoltà di controllare gli effetti di un attacco informatico. Il tempo a disposizione di chi applica defend forward è limitato perché le azioni di defend forward devono avvenire prima dell’attacco dell’avversario. Ciò limita il tempo a disposizione del difensore forward che deve necessariamente operare prima dell’avversario ma non molto prima per impedire all’avversario di riorganizzarsi.

La riduzione del tempo a disposizione aumenta la probabilità di un errore che porti alla produzione ed all’uso di uno strumento informatico non corretto per il defend forward[3]. Un possibile esempio è un errore in uno strumento wiper, da utilizzare nell’attacco che provochi la perdita del controllo sul wiper con impatti a priori imprevedibili. Ricordiamo che una possibile interpretazione di NotPetya era quello di un worm distruttivo attivato prematuramente quando era ancora incompleto, e per questo mancavano controlli per limitarne la diffusione. I tempi a disposizione di chi utilizza defend forward possono ulteriormente ridursi se anche gli avversari la utilizzano. Inoltre, il timore che i propri sistemi e le proprie infrastrutture saranno danneggiate dal defend forward prima di completare attacco può portare l’avversario ad utilizzare tecniche automatiche in grado di operare anche quando le infrastrutture d’attacco sono state danneggiate. Ad esempio, l’avversario può utilizzare malware che si diffonde in modo automatico nelle reti senza richiedere una forma di controllo remoto da parte di chi lo ha lanciato. Un’altra possibilità è quella di utilizzare malware che entri in azione ad una data prefissata senza necessità di un trigger esterno. Complessivamente, queste soluzioni aumentano i possibili impatti di un attacco, un effetto sicuramente indesiderato dai teorici di defend forward.

Gli strumenti e le metodologie di attacco

Un secondo rischio è legato agli strumenti ed alle metodologie di attacco. Gli strumenti di attacco sono generalmente fragili. Ad esempio, la maggior parte degli exploit funziona in modo stocastico e per ragioni spesso non chiare anche a chi li ha sviluppati. Questo spiega la “pigrizia” degli attaccanti che preferiscono utilizzare codice ben testato e validato anche se sfrutta vulnerabilità molto vecchie. Inoltre, gli exploit sono fragili anche perché basta l’applicazione di una patch o di un controllo compensativo per renderli inefficaci. Ad esempio, di recente una azienda cinese ha rilevato la presenza di un cavallo di Troia nei propri sistemi. In seguito a questa singola scoperta più di 300 altre aziende cinesi hanno rilevato e rimosso lo stesso cavallo di Troia. L’attacco che ha installato il malware è stato attribuito all’NSA, che ora deve rimediare velocemente a questa rimozione. Un secondo punto di vista sullo stesso rischio è legato alla capacità di prevedere quando l’attacco avverrà. Come già detto questa previsione è importante perché la probabilità che l’avversario non riesca ad eseguire il proprio attacco aumento al diminuire dell’intervallo tra la defence forward e l’attacco da evitare. Infatti, riducendo l’intervallo si riduce anche il tempo che l’avversario ha per riorganizzarsi. Questo però implica la capacità di prevedere quando l’avversario lancerà l’attacco. Se questa previsione è facile quando è in atto una cyber war, si pensi all’attuale invasione russa dell’Ucraina, la previsione diventa sempre più complessa e meno affidabile in tempo di pace. Ogni errore di previsione può rendere le azioni di defend forward inefficaci.

La generazione di fragilità nell’ecosistema informatico

Un ulteriore rischio, quello a mio avviso più grave e meno gestibile è che la defend forward forza necessariamente la generazione di fragilità nell’ecosistema informatico e quindi è in contrasto con il desiderio di un ecosistema cyber robusto ed affidabile. Infatti, la defend forward è tanto più efficaci quanto più numerose sono le vulnerabilità nei sistemi dell’avversario e quanto meno note sono queste vulnerabilità. Questo incoraggia un mercato nero di vulnerabilità ed exploit zero day che è tanto più preoccupante perché, in generale, non ci sono i sistemi ed i componenti degli attaccanti e quelli dei difensori forward ma un insieme comune di componenti condivisi. Quindi, la necessità di poter attaccare sistemi su cui defend forward si basa richiede necessariamente la presenza di vulnerabilità non rimediate anche nei nostri sistemi e nelle nostre infrastrutture critiche. Ciò provoca una evidente fragilità nei sistemi e nelle infrastrutture e crea una asimmetria pesante tra chi conosce le vulnerabilità che sono state scoperte e non rimediate e chi non le conosce.

Il punto fondamentale è che le fragilità nei vari sistemi possono essere sfruttate anche da altri attaccanti. Questo è quello che è avvenuto in passato quando strumenti offensivi utilizzati da NSA sono diventati pubblici, cosa che ha provocato una corsa all’applicazione di patch ma che non è riuscita a difendere tutti i sistemi. La situazione si complica ulteriormente se consideriamo che una delle lezioni degli scontri cyber legati all’invasione russa dell’Ucraina è il coinvolgimento delle industrie private non solo nella produzione degli strumenti informatici utilizzati negli scontri ma anche come attori negli scontri stessi[4]. Se tale coinvolgimento riguardasse anche la defend forward avremmo una situazione in cui le aziende sviluppano strumenti che sfruttano vulnerabilità che esse non possono rimediare. Uno scenario contraddittorio e per questo molto problematico e pericoloso.

I danni provocati dagli avversari che non ti aspetti

Ammesso il legame tra defend forward e la necessità di vulnerabilità, gli avversari che possono sfruttare queste vulnerabilità non sono solo quelli strategici o state sponsored di cui US Cyber Command si preoccupa ma questi avversari possono comunque generare impatti considerevoli. Un possibile avversario non strategico è il singolo gruppo criminale che opera nell’ecosistema ransomware. Le dimensioni di questo attore possono essere tali da farlo trascurare dal Cyber Command, anche perché prevedere se e quando un singolo gruppo criminale attaccherà non è banale e quindi è difficile applicare defend forward a questo avversario. Tuttavia, l’impatto complessivo in un certo arco di tempo di un numero anche piccolo di gruppi criminali può essere estremamente significativo, ed avere ripercussioni significative nell’ecosistema cyber. Ovviamente, note le vulnerabilità che un gruppo criminale sfrutta nei suoi attacchi ransomware si potrà intervenire, ma questo intervento non è certo proattivo ma reattivo e generato soprattutto dal fatto che le vulnerabilità sono ormai note e quindi poco utilizzabili in defend forward. È chiaro però che l’adozione di defend forward porta a preferire una difesa reattiva e non proattiva con tutto quanto questo comporta. La situazione potrebbe ulteriormente peggiorare nel momento in cui gli stati bersaglio del defend forward offrissero supporto ai gruppi criminali legati al ransomware sia per quanto riguarda i loro attacchi sia per il riciclaggio del denaro e la difesa legale. Un tale atteggiamento potrebbe essere giustificato legalmente proprio come una reazione all’attrito continuo del defend forward.

La generazione di fragilità e la sovranità digitale

La generazione di fragilità nei sistemi e nelle infrastrutture pone un primo problema per quanto riguarda la sovranità digitale di uno stato che decida di adottare il defend forward perché questa scelta implica che la conoscenza delle vulnerabilità dei componenti diventi un elemento fondante della sovranità vista la necessita di garantirsi un accesso privilegiato a codici sorgenti ed altre informazioni. Una nazione che adottasse defend forward senza tale accesso si condannerebbe ad una sovranità digitale parziale e subordinata.

Un ultimo punto ancora legato alla sovranità digitale è quello del coordinamento internazionale. Se la situazione del defend forward è chiara in un mondo manicheo con solo cattivi e buoni, le cose si complicano se introduciamo altri attori. Supponiamo ad esempio che lo stato A pianifichi una azione di defend forward, eg un attacco, contro l’infrastruttura di attacco di uno stato B. Contemporaneamente però uno stato C, magari alleato di A, preferirebbe monitorare l’infrastruttura di attacco di B per ottenere informazioni utili. Occorre capire come si scopre e si gestisce questo conflitto. La cosa si complica ancora quando l’infrastruttura di attacco è ospitata, almeno in parte, in uno stato diverso dai precedenti. Questo stato deve essere informato? Ha diritto di veto sull’operazione? I legali proprietari dei sistemi che formano l’infrastruttura di attacco devono essere informati e/o fornire un consenso all’attacco? Classificare questi problemi come accademici è facile in una situazione di guerra come quella che stiamo vivendo dove i fronti e le alleanze sono chiare. Ad esempio, non ci sono state molte proteste quando di recente FBI ha smantellato una infrastruttura di attacco russa informando i legali proprietari solo a cose fatte. Il tutto si complicherebbe in un diverso contesto dove l’urgenza di certe azioni di defend forward può essere valutata solo con acceso ad informazioni che magari uno stato non intende rivelare e dove comunque altri stati o organizzazioni governative potrebbero non condividere l’urgenza dell’attacco.

Bibliografia

Alyza Sebenius, Cyber Command’s Annual Legal Conference, https://www.lawfareblog.com/cyber-commands-annual-legal-conference

Jacquelyn G. Schneider ,Persistent Engagement: Foundation, Evolution and Evaluation of a Strategy, https://www.lawfareblog.com/persistent-engagement-foundation-evolution-and-evaluation-strategy

ACUS, 2022. #ACcyber – ISSUE BRIEF – Victory reimagined: – Toward a more cohesive US cyber, Atlantic Council of the United States. https://policycommons.net/artifacts/2476036/accyber-issue-brief-victory-reimagined/3498093/

  1. Morozov, Evgeny. The net delusion: How not to liberate the world. Penguin UK, 2011.
  2. Michael P. Fischerkeller, Richard J. Harknett, Deterrence is Not a Credible Strategy for Cyberspace, Orbis,Volume 61, Issue 3, 2017,
  3. Lennart Maschmeyer; The Subversive Trilemma: Why Cyber Operations Fall Short of Expectations. International Security 2021; 46 (2): 51–90.
  4. Attacchi cyber, ecco le prime lezioni da trarre dalla guerra in Ucraina https://www.agendadigitale.eu/sicurezza/guerra-in-ucraina-le-prime-lezioni-da-trarre-sul-fronte-cyber/
@RIPRODUZIONE RISERVATA

Speciale PNRR

Tutti
Analisi
PA
Salute digitale
News
Fondi
Formazione
Ecologia
Digital Economy
L'approfondimento
PNRR 2, ecco tutte le misure per cittadini e imprese: portale sommerso, codice crisi d’impresa e sismabonus, cosa cambia
Servizi digitali
PNRR e trasformazione digitale: ecco gli investimenti e le riforme previste per la digitalizzazione della PA
Legal health
Lo spazio europeo dei dati sanitari: come circoleranno le informazioni sulla salute nell’Unione Europea
Servizi digitali
PNRR e PA digitale: non dimentichiamo la dematerializzazione
Digital Healthcare transformation
La trasformazione digitale degli ospedali
Governance digitale
PA digitale, è la volta buona? Così misure e risorse del PNRR possono fare la differenza
Servizi digitali
Comuni e digitale, come usare il PNRR senza sbagliare
La survey
Pnrr e digitale accoppiata vincente per il 70% delle pmi italiane
Missione salute
Fascicolo Sanitario Elettronico alla prova del PNRR: limiti, rischi e opportunità
Servizi pubblici
PNRR: come diventeranno i siti dei comuni italiani grazie alle nuove risorse
Skill gap
PNRR, la banda ultra larga crea 20.000 nuovi posti di lavoro
Il Piano
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUMPA2022
PNRR e trasformazione digitale: rivedi i Talk di FORUM PA 2022 in collaborazione con le aziende partner
I contratti
Avio, 340 milioni dal Pnrr per i nuovi propulsori a metano
Next Generation EU
PNRR, a che punto siamo e cosa possono aspettarsi le aziende private
Incentivi
Operativo il nuovo portale del MISE con tutti i finanziamenti per le imprese
Servizi comunali
Il PNRR occasione unica per i Comuni digitali: strumenti e risorse per enti e cittadini
Healthcare data platform
PNRR dalla teoria alla pratica: tecnologie e soluzioni per l’innovazione in Sanità
Skill
Competenze digitali, partono le Reti di facilitazione
Gli obiettivi
Scuola 4.0, PNRR ultima chance: ecco come cambierà il sistema formativo
Sistema Paese
PNRR 2, è il turno della space economy
FORUM PA 2022
FORUM PA 2022: la maturità digitale dei comuni italiani rispetto al PNRR
Analisi
PNRR: dalla Ricerca all’impresa, una sfida da cogliere insieme
Innovazione
Pnrr, il Dipartimento per la Trasformazione digitale si riorganizza
FORUM PA 2022
PA verde e sostenibile: il ruolo di PNRR, PNIEC, energy management e green public procurement
Analisi
PNRR, Comuni e digitalizzazione: tutto su fondi e opportunità, in meno di 3 minuti. Guarda il video!
Rapporti
Competenze digitali e servizi automatizzati pilastri del piano Inps
Analisi
Attuazione del PNRR: il dialogo necessario tra istituzioni e società civile. Rivedi lo Scenario di FORUM PA 2022
Progetti
Pnrr, fondi per il Politecnico di Torino. Fra i progetti anche IS4Aerospace
Analisi
PNRR, Colao fa il punto sulla transizione digitale dell’Italia: «In linea con tutte le scadenze»
La Svolta
Ict, Istat “riclassifica” i professionisti. Via anche al catalogo dati sul Pnrr
Analisi
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUM PA 2022
Ecosistema territoriale sostenibile: l’Emilia Romagna tra FESR e PNRR
Il Piano
Innovazione, il Mise “centra” gli obiettivi Pnrr: attivati 17,5 miliardi
Analisi
PNRR: raggiunti gli obiettivi per il primo semestre 2022. Il punto e qualche riflessione
Analisi
PNRR: dal dialogo tra PA e società civile passa il corretto monitoraggio dei risultati, tra collaborazione e identità dei luoghi
Webinar
Comuni e PNRR: un focus sui bandi attivi o in pubblicazione
Analisi
Formazione 4.0: cos’è e come funziona il credito d’imposta
PA e Sicurezza
PA e sicurezza informatica: il ruolo dei territori di fronte alle sfide della digitalizzazione
PA e sicurezza
PNRR e servizi pubblici digitali: sfide e opportunità per Comuni e Città metropolitane
Water management
Water management in Italia: verso una transizione “smart” e “circular” 
LE RISORSE
Transizione digitale, Simest apre i fondi Pnrr alle medie imprese
Prospettive
Turismo, cultura e digital: come spendere bene le risorse del PNRR
Analisi
Smart City: quale contributo alla transizione ecologica
Decarbonizzazione
Idrogeno verde, 450 milioni € di investimenti PNRR, Cingolani firma
Unioncamere
PNRR, imprese in ritardo: ecco come le Camere di commercio possono aiutare
I fondi
Industria 4.0: solo un’impresa su tre pronta a salire sul treno Pnrr
L'approfondimento
PNRR 2, ecco tutte le misure per cittadini e imprese: portale sommerso, codice crisi d’impresa e sismabonus, cosa cambia
Servizi digitali
PNRR e trasformazione digitale: ecco gli investimenti e le riforme previste per la digitalizzazione della PA
Legal health
Lo spazio europeo dei dati sanitari: come circoleranno le informazioni sulla salute nell’Unione Europea
Servizi digitali
PNRR e PA digitale: non dimentichiamo la dematerializzazione
Digital Healthcare transformation
La trasformazione digitale degli ospedali
Governance digitale
PA digitale, è la volta buona? Così misure e risorse del PNRR possono fare la differenza
Servizi digitali
Comuni e digitale, come usare il PNRR senza sbagliare
La survey
Pnrr e digitale accoppiata vincente per il 70% delle pmi italiane
Missione salute
Fascicolo Sanitario Elettronico alla prova del PNRR: limiti, rischi e opportunità
Servizi pubblici
PNRR: come diventeranno i siti dei comuni italiani grazie alle nuove risorse
Skill gap
PNRR, la banda ultra larga crea 20.000 nuovi posti di lavoro
Il Piano
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUMPA2022
PNRR e trasformazione digitale: rivedi i Talk di FORUM PA 2022 in collaborazione con le aziende partner
I contratti
Avio, 340 milioni dal Pnrr per i nuovi propulsori a metano
Next Generation EU
PNRR, a che punto siamo e cosa possono aspettarsi le aziende private
Incentivi
Operativo il nuovo portale del MISE con tutti i finanziamenti per le imprese
Servizi comunali
Il PNRR occasione unica per i Comuni digitali: strumenti e risorse per enti e cittadini
Healthcare data platform
PNRR dalla teoria alla pratica: tecnologie e soluzioni per l’innovazione in Sanità
Skill
Competenze digitali, partono le Reti di facilitazione
Gli obiettivi
Scuola 4.0, PNRR ultima chance: ecco come cambierà il sistema formativo
Sistema Paese
PNRR 2, è il turno della space economy
FORUM PA 2022
FORUM PA 2022: la maturità digitale dei comuni italiani rispetto al PNRR
Analisi
PNRR: dalla Ricerca all’impresa, una sfida da cogliere insieme
Innovazione
Pnrr, il Dipartimento per la Trasformazione digitale si riorganizza
FORUM PA 2022
PA verde e sostenibile: il ruolo di PNRR, PNIEC, energy management e green public procurement
Analisi
PNRR, Comuni e digitalizzazione: tutto su fondi e opportunità, in meno di 3 minuti. Guarda il video!
Rapporti
Competenze digitali e servizi automatizzati pilastri del piano Inps
Analisi
Attuazione del PNRR: il dialogo necessario tra istituzioni e società civile. Rivedi lo Scenario di FORUM PA 2022
Progetti
Pnrr, fondi per il Politecnico di Torino. Fra i progetti anche IS4Aerospace
Analisi
PNRR, Colao fa il punto sulla transizione digitale dell’Italia: «In linea con tutte le scadenze»
La Svolta
Ict, Istat “riclassifica” i professionisti. Via anche al catalogo dati sul Pnrr
Analisi
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUM PA 2022
Ecosistema territoriale sostenibile: l’Emilia Romagna tra FESR e PNRR
Il Piano
Innovazione, il Mise “centra” gli obiettivi Pnrr: attivati 17,5 miliardi
Analisi
PNRR: raggiunti gli obiettivi per il primo semestre 2022. Il punto e qualche riflessione
Analisi
PNRR: dal dialogo tra PA e società civile passa il corretto monitoraggio dei risultati, tra collaborazione e identità dei luoghi
Webinar
Comuni e PNRR: un focus sui bandi attivi o in pubblicazione
Analisi
Formazione 4.0: cos’è e come funziona il credito d’imposta
PA e Sicurezza
PA e sicurezza informatica: il ruolo dei territori di fronte alle sfide della digitalizzazione
PA e sicurezza
PNRR e servizi pubblici digitali: sfide e opportunità per Comuni e Città metropolitane
Water management
Water management in Italia: verso una transizione “smart” e “circular” 
LE RISORSE
Transizione digitale, Simest apre i fondi Pnrr alle medie imprese
Prospettive
Turismo, cultura e digital: come spendere bene le risorse del PNRR
Analisi
Smart City: quale contributo alla transizione ecologica
Decarbonizzazione
Idrogeno verde, 450 milioni € di investimenti PNRR, Cingolani firma
Unioncamere
PNRR, imprese in ritardo: ecco come le Camere di commercio possono aiutare
I fondi
Industria 4.0: solo un’impresa su tre pronta a salire sul treno Pnrr

Articolo 1 di 4