Data breach e analisi dei log

Dopo un'intrusione la domanda che conta non è «siamo stati attaccati», ma «che cosa è uscito». Fra «un dato era raggiungibile» e «un dato è stato copiato» passa la stessa distanza che separa un rischio da un danno risarcibile.

Le prime ore

La reazione istintiva a un incidente è ripristinare tutto e ripartire. È comprensibile e quasi sempre distrugge le prove: reinstallare un server sovrascrive il disco su cui era la risposta, riavviarlo cancella la memoria volatile in cui vive ciò che stava girando, e il ripristino da una copia di sicurezza fa sparire lo stato compromesso.

Le tre cose da fare prima di qualunque altra: isolare il sistema dalla rete senza spegnerlo, se possibile acquisire la memoria volatile, e mettere in pausa la rotazione dei log — che altrimenti, in qualche giorno, cancella da sé la finestra temporale che interessa. Un'azienda che riesce a fare questi tre gesti ha già conservato la maggior parte di ciò che servirà.

Che cosa dicono i log

La ricostruzione si costruisce incrociando fonti diverse, ognuna delle quali illumina un pezzo:

• Autenticazioni — accessi riusciti e falliti, orari, provenienze. Un accesso riuscito da un indirizzo mai visto prima, a un'ora anomala, dopo una serie di tentativi falliti, è un punto di ingresso.
• Server web e applicativi — le richieste ricevute. Qui si legge la tecnica di ingresso e, spesso, il volume dei dati restituiti.
• Basi di dati — quali interrogazioni sono state eseguite e con quale peso. È la fonte che meglio distingue una consultazione da un'estrazione massiva, ammesso che la registrazione delle interrogazioni fosse attiva: nella maggior parte dei casi non lo è, e questa assenza è essa stessa un dato.
• Traffico di rete — il volume in uscita verso destinazioni esterne. Un picco di dati verso un indirizzo mai contattato prima è, quando disponibile, l'elemento più vicino a una prova di esfiltrazione.

Il metodo è ricorrente: si parte da un indicatore certo — un file estraneo, un accesso anomalo, un avviso — se ne fissa l'ora, e da lì si allarga la finestra su tutte le fonti disponibili, costruendo una cronologia unica. Le incoerenze fra fusi orari e la deriva degli orologi dei diversi sistemi vanno normalizzate prima, non dopo: è una fonte di errori frequente e insidiosa.

La distinzione che decide la causa

Quando i dati non permettono di stabilirlo, la risposta corretta è che non è determinabile con le informazioni disponibili, e va detto quali informazioni avrebbero permesso di determinarlo. Anche questa è un'informazione che il giudice usa, e che spesso pesa sulla valutazione delle misure di sicurezza adottate.

Il versante degli obblighi

Il regolamento generale sulla protezione dei dati impone al titolare di notificare la violazione all'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro settantadue ore dal momento in cui ne è venuto a conoscenza, salvo che sia improbabile un rischio per i diritti e le libertà delle persone; quando il rischio è elevato, la comunicazione va fatta anche agli interessati. Il titolare deve inoltre documentare ogni violazione, comprese quelle non notificate.

Il mio contributo su questo versante è tecnico e a supporto del legale: stabilire quali categorie di dati siano state coinvolte e per quanti soggetti, quali misure fossero in essere al momento del fatto, e fornire la ricostruzione documentata che sostiene — o smentisce — la valutazione del rischio. Le scelte giuridiche restano del difensore e del titolare.

Quando l'incidente è già vecchio

Capita di essere chiamati mesi dopo, magari perché è arrivata una richiesta risarcitoria. In quel caso i log potrebbero non esserci più, e la ricostruzione completa può essere preclusa. Resta possibile un lavoro utile: verificare che cosa sia stato conservato, valutare la solidità della ricostruzione fatta all'epoca da altri, e stabilire se le conclusioni che ne erano state tratte fossero sostenute dai dati. Contestare una ricostruzione debole è spesso più efficace che tentarne una nuova su materiale che non c'è più.