Trace Id is missing

Difesa dell'Ucraina: prime lezioni dalla guerra informatica

Le operazioni di influenza informatica sono una delle tattiche più usate nella guerra contro l'Ucraina

La storia scritta di ogni guerra in genere include un resoconto dei primi colpi sparati e di chi vi ha assistito in prima persona. Ogni racconto offre uno sguardo non solo sull'inizio della guerra, ma sulla natura dell'era in cui le persone sono vissute.

Gli storici che parlano dei primi colpi durante la Guerra civile americana nel 1861 generalmente descrivono pistole, cannoni e imbarcazioni impiegati nei pressi di un forte vicino Charleston, Carolina del sud.

Gli eventi che hanno portato all'inizio della Prima guerra mondiale nel 1914 vengono raccontati mettendo al centro della storia i terroristi in una strada di Sarajevo mentre usano granate e una pistola per assassinare l'arciduca dell'Impero austro-ungarico.

Sono stati necessari i processi di Norimberga per capire appieno cosa successe vicino al confine polacco 25 anni dopo. Nel 1939, le truppe SS naziste indossarono uniformi polacche e inscenarono un attacco contro una stazione radio tedesca. Adolf Hitler citò tali attacchi per giustificare una guerra lampo che combinava carrarmati, aerei e truppe per invadere città e civili polacchi.

Inoltre, ognuno di questi incidenti offre un'immagine della tecnologia dell'epoca, tecnologia che avrebbe giocato un ruolo nella guerra che ebbe luogo e nelle vite delle persone che la vissero.

La guerra in Ucraina segue questo schema. I militari russi si sono riversati lungo il confine ucraino il 24 febbraio 2022, con una combinazione di truppe, carrarmati, aerei e missili crociera. Ma i primi colpi erano stati già sparati alcune ore prima, ovvero il 23 febbraio. Era stata usata un'arma informatica detta "Foxblade" lanciata contro i computer in Ucraina. Riflettendo sulla tecnologia dei nostri tempi, coloro che per primi hanno osservato l'attacco si trovavano dall'altra parte del mondo, ovvero a Redmond, Washington, negli Stati Uniti.

Questo più di ogni altra cosa coglie l'importanza di fare un passo indietro e ripercorrere i primi mesi della guerra in Ucraina, che è stata devastante per il Paese in termini di distruzioni e perdite di vite, anche di civili innocenti. Se da una parte nessuno è in grado di prevedere la durata della guerra, è già chiaro che riflette una tendenza osservata in altri importanti conflitti degli ultimi due secoli. I Paesi intraprendono guerre usando la tecnologia più recente e le guerre stesse accelerano il cambiamento tecnologico. È quindi importante valutare continuamente l'impatto della guerra sullo sviluppo e sull'uso della tecnologia.

L'invasione russa in parte si basa su una strategia informatica che include almeno tre sforzi distinti e a volte coordinati: attacchi informatici distruttivi in Ucraina, penetrazione nella rete e spionaggio al di fuori dell'Ucraina e operazioni di influenza informatica contro persone in tutto il mondo. Questo report offre un aggiornamento e un'analisi su ognuna di queste aree e sul modo in cui si coordinano. Inoltre, offre idee su come meglio combattere queste minacce in questa guerra e non solo, con nuove opportunità di una migliore collaborazione tra i governi e il settore privato.

Gli aspetti informatici della guerra attuale si estendono ben oltre l'Ucraina e riflettono la natura unisca dello spazio informatico. Quando i Paesi usano il codice sul campo di battaglia, le proprie armi si muovono alla velocità della luce. I percorsi globali di Internet stanno a indicare che le attività informatiche cancellano una gran parte della protezione di lunga data fatta di confini, muri e oceani. E lo stesso Internet, diversamente da terra, mare e aria è una creazione dell'uomo che si basa su una combinazione di proprietà, funzionamento e protezione del settore pubblico e privato.

Questo a sua volta richiede una nuova forma di difesa collettiva. Questa guerra pone la Russia, una grande potenza informatica, non solo contro un'alleanza di Paesi. La difesa informatica dell'Ucraina si basa in modo critico su una coalizione di Paesi, aziende e organizzazioni no profit.

Il mondo può ora iniziare a valutare punti di forza e debolezze iniziali e relativi delle operazioni informatiche di attacco e difesa. Dove le difese collettive sono riuscite a bloccare gli attacchi e in cosa non sono state all'altezza? Quali tipi di innovazioni tecnologiche si stanno verificando? E, cosa fondamentale, quali passaggi sono necessari per difendersi in modo efficace da attacchi informatici futuri? Tra le altre cose, è importante basare queste valutazioni su dati accurati e non lasciarsi ingannare da un falso senso di tranquillità derivante dalla percezione esterna che la guerra informatica in Ucraina non sia stata così distruttiva come temuto.

Questo report giunge a cinque conclusioni derivate dai primi quattro mesi di guerra:

Innanzitutto, la difesa da un'invasione militare ora richiede alla maggior parte dei Paesi la capacità di disperdere e distribuire le operazioni digitali e le risorse di dati tra i confini e in altri Paesi.

La Russia non a caso ha attaccato il data center governativo dell'Ucraina in uno dei primi attacchi con missili crociera e altri server locali sono stati analogamente vulnerabili ad attacchi con armi convenzionali. Russia ha anche diretto i suoi attacchi distruttivi "wiper" contro reti informatiche locali. Tuttavia, il governo ucraino è riuscito a sostenere le su operazioni civili e militari agendo rapidamente per spostare la propria infrastruttura digitale nel cloud pubblico, dove è stata ospitata in data center in tutta Europa.

Ciò ha previsto una serie di operazioni urgenti e straordinarie del settore tecnologico, anche da parte di Microsoft. Anche se il lavoro del settore tecnologico è stato fondamentale, è ugualmente importante pensare alle lezioni più a lungo termine che possiamo trarre da questi sforzi.

In secondo luogo, i recenti progressi nell'intelligence sulle minacce informatiche e nella protezione degli end-point hanno aiutato l'Ucraina a resistere a un'alta percentuale degli attacchi informatici distruttivi della Russia.

Poiché le attività informatiche sono invisibile a occhio nudo, sono ancora più difficili da monitorare per i giornalisti e per molti analisti di guerra. Microsoft ha assistito al lancio da parte dell'esercito russo di molte ondate di attacchi informatici distruttivi contro 48 aziende e agenzie ucraine distinte. Questi hanno cercato di penetrare nei domini di rete inizialmente compromettendo centinaia di computer e poi diffondendo malware progettati per distruggere software e dati su migliaia di altri.

Le tattiche informatiche russe nelle guerra si sono differenziate da quelle impiegate nel 2017 nell'attacco NotPetya contro l'Ucraina. Tale attacco usava malware distruttivo "wormable" in grado di passare da un dominio informatico a un altro e quindi attraversare i confini di altri Paesi. La Russia nel 2022 è stata attenta a limitare "software wiper" distruttivo a domini di rete specifici nella stessa Ucraina. Tuttavia, i recenti attacchi distruttivi in corso sono diventati più sofisticati e più diffusi di quanto venga riconosciuto. E l'esercito russo si adatta in modo continuo a questi attacchi distruttivi in base alle esigenze di guerra in continua evoluzione, ad esempio accoppiando gli attacchi informatici all'uso di armi convenzionali.

Un aspetto caratterizzante di questi attacchi distruttivi finora è stata la forza e il relativo successo delle difese informatiche. Anche se non perfette e se alcuni attacchi distruttivi siano riusciti, le difese informatiche si sono dimostrate più forti delle capacità informatiche offensive. Ciò riflette due tendenze importanti e recenti. Innanzitutto, i progressi dell'intelligence sulle minacce, incluso l'uso dell'intelligenza artificiale, hanno contributo a poter identificare tali attacchi in modo più efficace. In secondo luogo, la protezione degli end-point basata su Internet ha reso possibile distribuire rapidamente codice software di difesa sia nei servizi cloud si in altri dispositivi di elaborazione connessi per riuscire a identificare e disabilitare il software dannoso. Le attuali innovazioni e iniziative di guerra attuate dal governo ucraino hanno rafforzato ulteriormente queste misure di protezione. Tuttavia, serviranno vigilanza e innovazione continue per poter sostenere questo vantaggio difensivo.

In terzo luogo, poiché si è formata una coalizione di Paesi a difesa dell'Ucraina, le agenzie di intelligence russe hanno intrapreso attività di penetrazione della rete e spionaggio contro governi alleati al di fuori dell'Ucraina.

Microsoft ha rilevato attività di intrusione nella rete da parte della Russia in 128 organizzazioni in 42 Paesi al di fuori dell'Ucraina. Anche se gli Stati Uniti sono stati l'obiettivo numero uno per la Russia, quest'attività ha messo al primo posto anche la Russia, in cui la maggior parte dell'assistenza militare e umanitaria viene coordinata. Le attività della Russia hanno preso di mira anche i paesi baltici e durante gli ultimi due mesi si è verificato un aumento di attività simili contro reti informatiche in Danimarca, Norvegia, Finlandia, Svezia e Turchia. Abbiamo anche assistito a un aumento di attività simili contro i ministeri degli affari esteri di altri Paesi NATO.

Gli attacchi della Russia hanno dato priorità ai governi, soprattutto quelli dei membri NATO. Ma l'elenco di obiettivi include anche think tank, organizzazioni umanitarie, aziende IT e fornitori di energia e di altre infrastrutture critiche. Sin dall'inizio della guerra, gli attacchi russi hanno avuto un esito positivo nel 29% dei casi. Un quarto di queste intrusioni portate a termine ha causato l'esfiltrazione dei dati di un'organizzazione, anche se come spiegato in questo report, tale dato probabilmente sottostima il grado di successo russo.

Ciò che continua a preoccuparci sono i computer governativi in esecuzione in locale rispetto a quelli nel cloud. Questo riflette lo stato attuale e globale dello spionaggio informatico offensivo e della protezione informatica difensiva. Come ha dimostrato l'incidente SolarWinds 18 mesi fa, le agenzie di intelligence russe hanno migliorato in modo significativo le capacità di implementare codice e operare come Advanced Persistent Threat (APT in grado di ottenere ed esfiltrare informazioni sensibili da una rete su base continua). Ci sono stati sostanziali progressi nella protezione difensiva da allora, ma l'implementazione di tali progressi nei governi europei rimane meno uniforme di quanto accade negli Stati Uniti. Di conseguenza, debolezze significative a livello difensivo permangono.

Quarto, in coordinamento con altre attività informatiche, le agenzie russe stanno conducendo operazioni di influenza informatica a livello globale per supportare i propri sforzi militari.

Queste combinano tattiche sviluppate dal KGB in diversi decenni con nuove tecnologie digitali e Internet per conferire alle operazioni di influenza all'estero una maggiore copertura, maggiori volumi, maggiore precisione e maggiore velocità e agilità. Sfortunatamente, con una pianificazione e sofisticazione sufficienti, queste operazioni di influenza informatica hanno buone possibilità di sfruttare la tipica apertura delle società democratiche e la polarizzazione pubblica che caratterizza i tempi attuali.

Con l'evoluzione della guerra in Ucraina, le agenzie russe stanno concentrando le proprie operazioni di influenza tecnologica su quattro gruppi di destinatari distinti. Vengono destinate alla popolazione russa con l'obiettivo di favorire il supporto allo sforzo militare. Vengono destinate alla popolazione ucraina con l'obiettivo di minare la fiducia nella volontà e capacità del Paese di resistere agli attacchi russi. Vengono destinate alle popolazioni di Europa e Stati Uniti con l'obiettivo di minare l'unità occidentale e deviare l'attenzione dalle critiche nei confronti dei crimini di guerra dell'esercito russo. E stanno iniziando a essere destinate a popolazioni target in Paesi non allineati, in parte per indirizzare potenzialmente il loro supporto presso le Nazioni Unite e in altri organismi.

Le operazioni di influenza informatica russe si basano e sono collegate alle tattiche sviluppate per altre attività informatiche. Come i team APT che lavorano nei servizi di intelligence russi, i team APM associati alle agenzie governative russe agiscono attraverso i social media e le piattaforme digitali. Stanno preposizionando false narrative proprio come vengono preposizionati software dannosi e altri tipi di software. Stanno poi diffondendo ampiamente il "racconto" di queste narrative da siti Web gestiti e influenzati dal governo e amplificando le proprie narrative con strumenti tecnologici progettati per sfruttare i servizi di social media. Esempi recenti includono racconti relativi a laboratori biologici in Ucraina e ripetuti sforzi per offuscare gli attacchi militari contro obiettivi civili in Ucraina.

Nell'ambito di una nuova iniziativa Microsoft, stiamo usando l'intelligenza artificiale, nuovi strumenti di analisi, set di dati più ampi e un numero crescente di esperti per monitorare e prevedere la minaccia informatica. Usando queste nuove capacità, stimiamo che le operazioni di influenza informatica della Russia abbiano aumentato la diffusione della propaganda russa dall'inizio della guerra del 216% in Ucraina e dell'82% negli Stati Uniti.

Queste continue operazioni russe hanno incrementato sforzi recenti di diffondere false notizie sul COVID-19 in diversi stati occidentali. Tra questi, operazioni di influenza informatica sponsorizzate dallo stato nel 2021 che cercavano di scoraggiare l'adozione dei vaccini attraverso notizie Internet in lingua inglese e al contempo incoraggiarne l'uso su siti in lingua russa. Durante gli ultimi sei mesi, simili operazioni di influenza informatica russe hanno cercato di infiammare l'opposizione pubblica alle leggi in materia di COVID-19 in Nuova Zelanda e Canada.

Continueremo ad ampliare il lavoro di Microsoft in questo campo nelle settimane e nei mesi a seguire. Questo include la crescita interna e, con un accordo tra partner commerciali, la settimana scorsa abbiamo annunciato l'acquisizione di Miburo Solutions, un'azienda leader nel settore dell'analisi delle minacce informatica e nella ricerca, specializzata nel rilevamento e nella gestione delle operazioni di influenza informatica all'estero.

Siamo preoccupati del fatto che molte operazioni di influenza informatica russe attuali vadano avanti per mesi senza appropriate attività di rilevamento, analisi o segnalazione pubblica. Ciò influisce sempre di più su un'ampia gamma di istituzioni importanti nel settore pubblico e privato. E più durerà la guerra in Ucraina, più importanti diverranno tali operazioni per l'Ucraina stessa. Questo perché in caso di una guerra più lunga sarà necessario evitare che il sostegno pubblico venga compromesso. Ciò dovrebbe aggiungere urgenza all'importanza di rafforzare le difese occidentali contro questi tipi di attacchi di influenza informatica estera.

Infine, le lezioni derivate dalla richiesta dell'Ucraina di una strategia coordinata e completa per rafforzare le difese contro l'intera gamma di operazioni distruttive informatiche, di spionaggio e di influenza.

Come la guerra in Ucraina illustra, anche se esistono differenze tra queste minacce, il governo russo non le persegue come sforzi separati e anche noi non dovremmo analizzarle separatamente. Inoltre, le strategie difensive devono tenere in considerazione il coordinamento di queste operazioni informatiche con le operazioni militari cinetiche, come successo in Ucraina.

Sono necessari nuovi progressi per impedire queste minacce informatiche, che dipenderanno da quattro principi comuni e, almeno a un livello superiore, da una strategia comune. Il primo principio di difesa deve riconoscere che le minacce informatiche russe vengono avanzate da un set comune di attori dentro e fuori il governo russo e che si basano su tattiche digitali simili. Di conseguenza, saranno necessari progressi in ambito di tecnologia digitale, IA e dati per combatterle. Riflettendo su questo, un secondo principio dovrebbe riconoscere che diversamente dalle minacce tradizionali del passato, le risposte informatiche devono fare affidamento su una maggiore collaborazione tra pubblico e privato. Un terzo principio dovrebbe riguardare la necessità di una collaborazione stretta e comune tra i governi per proteggere le società aperte e democratiche. Infine, un quarto e ultimo principio dovrebbe sostenere la libera espressione ed evitare la censura nelle società democratiche, anche perché nuove azioni sono necessarie per rispondere all'intera gamma di minacce informatiche che includono le operazioni di influenza informatica.

Una risposta efficace deve combinare questi principi con quattro pilastri strategici, che dovrebbero aumentare le capacità collettive per (1) rilevare, (2) difendersi, (3) arrestare e (4) impedire meglio le minacce informatiche straniere. Questo approccio si riflette già in molti sforzi collettivi volti ad affrontare gli attacchi informatici distruttivi e lo spionaggio informatico. Si applicano anche al lavoro critico e continuo necessario per affrontare gli attacchi ransomware. Ora abbiamo bisogno di un approccio simile e completo con nuove funzionalità e strumenti di difesa per combattere le operazioni di influenza informatica della Russia.

Come discusso in questo report, la guerra in Ucraina non ci offre solo una lezione ma rappresenta uno sprone per misure efficaci vitali per proteggere il futuro della democrazia. Come azienda, siamo impegnati nel supportare tali sforzi, anche attraverso continui investimenti in tecnologia, dati, e partnership in grado di supportare governi, aziende, organizzazioni non governative e università.

Per saperne di più, leggi ilreport completo.

Articoli correlati

Report speciale: Ucraina

Microsoft condivide informazioni dettagliate sugli attacchi informatici contro l'Ucraina, evidenziando dettagli dell'attacco e contesto per quanto riguarda ambito, scala e metodi degli utenti malintenzionati stato-nazione con base in Russia.

Report di Cyber Resilience

Microsoft Security ha condotto un sondaggio coinvolgendo più di 500 professionisti della sicurezza per comprendere le tendenze di sicurezza emergenti e le principali preoccupazioni tra i CISO.

Dati analitici da miliardi di segnali di sicurezza giornalieri

Gli Esperti di sicurezza Microsoft illuminano il panorama delle minacce di oggi, fornendo dati analitici sulle tendenze emergenti e sulle minacce storicamente persistenti.