Cos'è lo scavenging
Lo scavenging consiste nel cercare informazioni sensibili tra i dati residui che non sono mai stati cancellati in modo corretto. Il bersaglio non è un sistema sotto attacco, ma la traccia di un lavoro passato: supporti dismessi, file temporanei, vecchi backup e copie lasciate in cartelle condivise. Non viene violato nulla, quindi la tecnica somiglia a una semplice consultazione.
Questi residui si chiamano remanenza dei dati. Cancellare un file di solito rimuove solo il riferimento al file stesso, mentre il contenuto può restare sul disco finché lo spazio non viene riutilizzato. È questa falla a rendere possibile lo scavenging.
Dove si accumulano i dati residui
Le informazioni sensibili raramente esistono in un solo punto. Molto tempo dopo che un documento è considerato eliminato, frammenti e copie sopravvivono in luoghi che nessuno controlla, come i dati obsoleti in vecchie cartelle:
| Fonte | Cosa resta |
|---|---|
| Rifiuti fisici e supporti dismessi | Stampe, bigliettini con password, dischi gettati senza cancellazione |
| File temporanei e cache | Copie di lavoro, file di salvataggio automatico, code di stampa, cache del browser |
| File eliminati | Il contenuto resta sul disco finché non viene sovrascritto e si recupera con strumenti comuni |
| Cartelle condivise e archiviazione configurata male | Copie di lavoro visibili a molte più persone del previsto |
| Apparecchiature dismesse | Postazioni, server, telefoni e fotocopiatrici che conservano i dati memorizzati |
| Vecchi backup e snapshot | Dati conservati a lungo dopo la correzione o la cancellazione della copia attiva |
Scavenging fisico contro digitale
L'immagine classica è quella di qualcuno che fruga in un cassonetto dietro un ufficio, da qui il termine dumpster diving. Stampe, hardware dismesso e bigliettini con password hanno causato incidenti reali per decenni, e la tecnica non richiede alcuna competenza informatica.
La variante digitale funziona allo stesso modo, su scala più grande. Un dipendente curioso sfoglia una condivisione aperta, collega un disco usato o esamina un portatile riassegnato in cerca di file di configurazione ed esportazioni di database. Poiché nulla viene violato, nessun allarme scatta e l'attività può restare inosservata per anni.
Come si presenta in Anexet
Anexet copre i residui digitali presenti all'interno dell'organizzazione. Nel modulo Anexet DLP, l'audit delle condivisioni di rete registra le operazioni sui file e può conservare una copia ombra di ciò che viene scritto su una condivisione. Il File Systems Monitoring usa una corrispondenza per hash per individuare sulle postazioni copie di documenti protetti.
1 / 2
Chi fruga tra i residui, e perché
Per un attaccante esterno lo scavenging è una ricognizione a basso costo: un organigramma gettato, un vecchio file di configurazione o un appunto con credenziali fanno risparmiare giorni di sondaggi. Per una minaccia interna malintenzionata, come un dipendente in procinto di andarsene, è un modo di raccogliere dati facile da negare, perché nulla passa per canali monitorati.
Ricercatori e giornalisti hanno più volte dimostrato la tecnica acquistando dischi usati e raccontando che cosa avevano recuperato.
Contromisure
Ridurre i residui recuperabili è una disciplina che copre l'intero ciclo di vita dei dati, non un singolo controllo. I dischi dismessi richiedono una sanificazione dei supporti prima di uscire dall'organizzazione, mentre la carta va distrutta e smaltita in contenitori chiusi.
- 1
Inventario e classificazione dei dati
Sapere quali dati sono sensibili e dove si trovano le loro copie è il presupposto di ogni altra misura.
- 2
Sanificazione dei supporti prima dello smaltimento
I supporti vengono cancellati o distrutti fisicamente prima della dismissione, e il risultato viene verificato anziché dato per scontato.
- 3
Limitazione dell'accesso allo spazio condiviso
Privilegi minimi su condivisioni di rete e cartelle cloud, revisione periodica dei permessi e pulizia dei dati obsoleti.
- 4
Cifratura
I residui illeggibili senza chiavi perdono gran parte del loro valore, sia sui sistemi in uso sia sui supporti dismessi.
- 5
Monitoraggio dell'archiviazione dei file
Visibilità su che cosa viene scritto e dove, e sulle copie di file protetti che compaiono dove non dovrebbero.
Che cosa può e non può fare il software
Il software non può impedire a qualcuno di frugare in un cassonetto o in un disco usato. Copre però le copie create all'interno dell'organizzazione, dove nasce la maggior parte dei residui. Come vengono monitorati i trasferimenti è descritto nella pagina controllo dei trasferimenti di file e delle condivisioni di rete.
| Controllo | Neutralizza i supporti dismessi | Vede le copie sulle condivisioni | Registra chi ha scritto la copia |
|---|---|---|---|
| Sanificazione dei supporti | |||
| Cifratura dei dati a riposo | |||
| Audit delle operazioni sui file in Anexet |
Da dove iniziare
Parta dai dati la cui ricomparsa causerebbe il danno maggiore, poi individui i punti in cui le loro copie si accumulano davvero. Una regola applicata a tutti i file in una volta blocca il lavoro quotidiano e viene disattivata in poche settimane, mentre una regola per poche cartelle di alto valore regge nel tempo.
I dati che fuoriescono per errore sono spesso quelli che nessuno ha ricordato di cancellare.
Anexet TeamCome Anexet affronta questo
Il software non può impedire a nessuno di rovistare in un cassonetto fisico o in un disco di seconda mano. Quella parte dello scavenging riguarda la politica di smaltimento, la sanificazione dei supporti e la disciplina fisica. Anexet affronta i residui digitali all'interno dell'organizzazione: copie, file temporanei e scritture sullo storage condiviso che, altrimenti, comparirebbero e resterebbero inosservati.
L'architettura on-premise mantiene regole di rilevamento, contenuti acquisiti e log degli eventi all'interno dell'infrastruttura dell'organizzazione. È un aspetto rilevante, perché la traccia dei dati residui è a sua volta sensibile.
Audit delle operazioni sui file
Gli agenti sugli endpoint registrano le operazioni sui file nelle condivisioni di rete, incluse le informazioni su nome completo, dimensione e processo che le ha avviate. I file che compaiono nelle cartelle condivise lasciano così una traccia di chi li ha messi lì.
Storage condiviso controllato
Accesso e scrittura sulle condivisioni di rete possono essere limitati per nome della condivisione (whitelist o blacklist), attributi del file e contenuto. I file scritti su una condivisione vengono verificati rispetto alle policy di sicurezza e possono essere bloccati o conservati per la revisione.
Copie shadow dei file trasferiti
I file intercettati su dispositivi rimovibili e condivisioni di rete vengono copiati in shadow in uno storage controllato, con limiti di dimensione configurabili. Resta una traccia di ciò che è stato spostato, anche se l'utente elimina poi l'originale.
Trovare copie in luoghi non approvati
File Systems Monitoring cerca sulle postazioni i file che corrispondono alle banche hash di documenti protetti, a una specifica somma hash o ad attributi del file (nome, estensione, dimensione). Può intervenire da remoto su ciò che trova: copiare, spostare, nascondere, impostare in sola lettura o eliminare.
Traccia di audit
Ogni evento su un file viene registrato con i metadati: utente, data e ora, azione eseguita. Gli investigatori ottengono una traccia di audit completa e attribuibile su come sono comparse le copie residue e su chi le ha gestite.
Anexet DLP
Per saperne di più