Negli ultimi due anni le Web Application sono cresciute a ritmi molto elevati, proseguendo un trend intrapreso all’inizio del millennio volto a migliorare l’esperienza di consumo del browsing online, che diventa così sempre più dinamico. Da una prospettiva di sicurezza, questa crescita nel numero di applicazioni internet aumenta la superficie complessiva attaccabile su questo fronte e, di conseguenza, aumenta il rischio di subire una violazione.
La diffusione delle applicazioni internet sta avvenendo su tutti i fronti. Sul lato più consistente del B2C, oggi l’applicazione web, che sia un sito o un app mobile, costituisce sia un “biglietto da visita” sia anche un abilitatore di transazioni (di e-commerce, di relazione) in posizione intermedia tra aziende e consumatori. È difficile immaginare che un’organizzazione non sfrutti questo amplificatore della propria visibilità e dello sviluppo del business che, se elaborato nei modi corretti, costituisce un elemento di competitività non indifferente.
D’altra parte, anche le applicazioni B2B stanno crescendo in maniera considerevole. Sistemi o piattaforme come per esempio il cloud, che consentano a diverse organizzazioni di collaborare o, soprattutto, a diverse divisioni all’interno della medesima organizzazione di comunicare, gestire, produrre in maniera sempre più efficiente, stanno crescendo a ritmi importanti. Solo il cloud è un mercato che da anni cresce in doppia cifra, a ritmi intorno al 20% l’anno, per un ammontare complessivo di circa 200 miliardi di dollari nel mondo a fine 2018.
Tutte queste applicazioni sono in costante aggiornamento e sviluppo, per esempio mediante l’integrazione di APIs e features innovative, o anche solo il miglioramento qualitativo del codice esistente. Di conseguenza, i punti di vulnerabilità aumentano esponenzialmente e così la necessità di proteggere le applicazioni per garantire la continuità del canale internet diventa fondamentale. Le conseguenze di un attacco informatico portato a termine tramite le vulnerabilità di Web Application sono molteplici: vanno dal blocco di un servizio online (B2C quindi verso i clienti, o B2B, all’interno della supply chain), alla perdita di dati, al danno reputazionale, in tutti i casi con danni economici potenzialmente altissimi.
Secondo una ricerca del Ponemon Institute, uno dei più importanti centri di ricerca per quanto riguarda la cybersecurity, il 45% delle imprese a cui è stato chiesto la motivazione principale che conduce a rendere sicuro l’ambiente web ha identificato la risposta nella perdita di fatturato, anche perché, secondo la medesima società, il costo di una violazione di un’applicazione internet è il doppio di quella di una pagina tradizionale. Avere un web application firewall (WAF) con un grado di sofisticazione tale da rispondere agli attacchi in maniera preventiva e la malleabilità sufficiente per poter apportare le necessarie modifiche in corso d’opera, è dunque di fondamentale importanza e una scelta strategica al pari di altre strategie.
A tal proposito, Forst & Sullivan, in un recente white paper ha identificato i fattori principali per l’ottimizzazione ed il miglioramento del WAF, ossia:
- Ubiquità: la protezione deve essere indipendente dalla locazione dei numerosi host che supportano l’applicazione internet.
- On demand: la protezione deve essere in linea con i principi cloud di scalabilità e pay-per-use al fine di soddisfare le esigenze di ambienti in continuo cambiamento.
- Difesa dinamica: la protezione deve essere in grado di identificare gli attacchi e allo stesso tempo bloccare le minacce in maniera adattiva. È auspicabile usare modelli di machine learning per garantire l’apprendimento dinamico.
- Bassa onerosità: la protezione deve essere pensata per essere gestita dal minor numero di persone in modo da non impattare l’organizzazione a livello di richiesta di personale per consentire un’adozione più ampia e diffusa.
L’analisi della società di consulenza americana individua nel design thinking l’elemento basilare sul quale costruire e sviluppare un WAF di successo basato su questi quattro elementi e, proprio per questo motivo, individua in Threat X, una società con sede a Louisville (CO), un esempio illustre di protezione di nuova generazione per le applicazioni internet.
In sostanza, quel che emerge è la necessità di sviluppare sistemi di protezione sempre più dinamici man mano che le applicazioni web diventano più complesse. A tal proposito, mentre i metodi tradizionali faticano a tenere il passo con i volumi delle Web Application, il machine learning si profila sempre più come strumento essenziale per affrontare le sfide su questo fronte e dovrà pertanto essere preso in considerazione, studiato ed eventualmente implementato dagli operatori del settore nel futuro prossimo.
A cura di:
Julian Mcneill,
The Innovation Group
