Mi chiamo Marcus Peterson, ma tutti mi chiamano Mac. Ho passato trent’anni a costruire e mantenere le infrastrutture che tengono in piedi un’azienda. Quando Howard mi assunse, era il 2009, subito dopo il crollo finanziario. All’epoca ero il tipo a cui chiamavano quando tutto andava in tilt: reti che cadevano alle tre di notte, cavi da rintracciare attraverso anni di modifiche non documentate, sistemi che funzionavano solo se sapevi quali pulsanti premere in che ordine.
Howard capiva il valore di chi conosce i sistemi dall’interno, non solo quelli che li progettano su carta. Poi, un anno fa, Howard andò in pensione e al suo posto arrivò suo figlio, Cain. Cain aveva trent’anni, una laurea in informatica e una fiducia cieca nei sistemi automatizzati. Alla prima riunione ci disse che il nostro reparto era “legacy” e che dovevamo “modernizzare o essere sostituiti”.
Io lo guardai e pensai: questo ragazzo non ha mai visto un sistema andare in crash alle tre di notte, non ha mai passato ore a tracciare un cavo tra aggiunte vecchie di quindici anni per trovare il punto che causava guasti intermittenti. Ma non dissi nulla. Ero troppo stanco per discutere con un consulente che pensava di sapere tutto. Cain portò con sé un team di specialisti di automazione.
Installarono sensori su ogni server, dashboard con metriche in tempo reale, sistemi che promettevano di rilevare e correggere ogni problema prima che diventasse critico. L’ultimo arrivato era il “sistema di risposta automatica agli incidenti”, un software che avrebbe gestito qualsiasi emergenza da solo. Cain lo presentò con orgoglio, spiegando che la maggior parte delle decisioni sarebbe stata presa da algoritmi, senza bisogno di intervento umano. Io ero lì, in fondo alla sala, con le mani in tasca.
Non perché fossi contrario alla tecnologia, ma perché sapevo che ogni sistema ha le sue stranezze, particolarità che nessun manuale documenta. Come il server di autenticazione che andava riavviato in una sequenza precisa, o il database di backup che funzionava solo se prima cancellavi i log temporanei, o lo switch di rete nell’edificio C che perdeva connessioni a caso se non sapevi come gestirlo. Ero stato io a scoprire tutte queste cose, nel corso degli anni, e le avevo annotate sì, ma non su carta. Erano nella mia testa, nei miei occhi, nelle mie mani.
Una sera, Cain mi convocò nel suo ufficio a vetri. Mi disse, con la sua voce calma e misurata, che l’azienda aveva deciso di “ottimizzare la forza lavoro” e che il mio ruolo sarebbe stato ridimensionato. Mi offrì un pacchetto di prepensionamento, o un ruolo ridotto con meno responsabilità. “Non voglio perdere la tua esperienza, Mac,” disse, “ma dobbiamo essere realistici sui costi.
” Io lo guardai, senza dire nulla. Avevo passato trent’anni a costruire quella rete, a renderla robusta, a conoscerne ogni angolo. Ora mi diceva che non ero più necessario, che l’automazione avrebbe fatto meglio. Non gli dissi quello che pensavo.
Mi alzai e uscii. Ma Cain non aveva capito una cosa. Ero io l’unico che conosceva la vera architettura dei sistemi. I diagrammi che aveva ricevuto erano solo una frazione della realtà.
C’erano connessioni nascoste, percorsi di backup non documentati, chiavi di accesso che solo io sapevo usare. E soprattutto, c’era una clausola, sepolta nella sezione 7. 3. 2 delle specifiche tecniche, che solo io avevo letto con attenzione.
Diceva che qualsiasi modifica ai “nuclei critici” della rete, inclusi i sistemi di risposta automatica, poteva essere eseguita solo con approvazione manuale esplicita di un amministratore con chiarezza di livello 5. Io ero l’unico con quel livello di autorizzazione. Non che avessi intenzione di usarla, quella clausola, almeno subito. Ma quando Cain mi annunciò ufficialmente il mio prepensionamento, con un’e-mail formale che elogiava il mio contributo, qualcosa in me si accese.
La sera del mio ultimo giorno, invece di fare le valigie, mi sedetti davanti al mio terminale e cominciai a esaminare il sistema di risposta automatica. Non era difficile da capire, per me. Era un insieme di script e regole, con soglie predefinite e firme di attacco note. Ma quello che Cain e il suo team non sapevano è che quegli script avevano un punto cieco: non erano progettati per gestire attacchi lenti e graduali, quelli che si insinuano nel traffico normale senza superare le soglie.
Sapevo come fare. Avevo visto attacchi di quel tipo anni prima, quando lavoravo per un’altra azienda. E avevo capito che chi li progettava non era un dilettante: era qualcuno con pazienza, che conosceva i sistemi dall’interno. Così, dopo aver verificato che il sistema automatico non avrebbe reagito, iniziai a fare qualcosa che non avrei dovuto.
Non per danneggiare l’azienda, ma per dimostrare a Cain che l’automazione da sola non basta. E forse, in fondo, per proteggere ciò che avevo costruito. Nei giorni successivi, iniziai a inviare piccole quantità di traffico anomalo attraverso la rete, modellandole per sembrare normali. Non erano abbastanza per attivare gli allarmi, ma erano progettate per testare le risposte del sistema.
Ogni giorno, aumentavo lentamente la complessità. Il sistema automatico continuava a registrare tutto come traffico di routine, senza mai intervenire. Io sapevo che stavo preparando il terreno per qualcosa di più grande, ma non avevo ancora deciso se portarlo a termine. Intanto, continuavo a parlare con Bryce, l’unico del team di Cain che sembrava avere un minimo di rispetto per la mia esperienza.
“Stai ancora pensando a quello che ha detto Cain? ” mi chiese una mattina, mentre mescolava lo zucchero nel caffè. “Ci sto lavorando,” risposi. “Ma non so se è la cosa giusta.
” “Forse non lo è,” disse Bryce, “ma a volte bisogna dimostrare il proprio valore. ” Io lo guardai e pensai che forse aveva ragione. Dopo un paio di settimane di test, decisi che era il momento. Una notte, aspettai che tutti fossero andati a casa e mi sedetti al mio terminale.
Iniziai a eseguire una sequenza di comandi che avevo predisposto. Il sistema automatico continuava a registrare tutto come traffico normale, senza reagire. Poi, con calma, iniziai a deviare una piccola quantità di dati dal centro di elaborazione verso una directory nascosta. Non era un attacco nel senso tradizionale: non c’era furto di dati, né criptaggio.
Era una sorta di ‘prova di concetto’ per mostrare le vulnerabilità. Alla fine, lasciai una traccia: una piccola modifica alla configurazione del sistema di risposta automatica, che lo rendeva cieco a quel tipo di attacco. Poi spensi il terminale e andai a letto. La mattina dopo, quando arrivai in ufficio, notai che Cain era al telefono con qualcuno, con un’espressione preoccupata.
Non dissi nulla. Ma ero sicuro che prima o poi si sarebbe accorto di quello che avevo fatto. I giorni passarono e nulla accadde. Il sistema continuava a funzionare normalmente, nessun allarme.
Cain sembrava soddisfatto, convinto che l’automazione stesse facendo il suo lavoro. Ma io sapevo che era solo questione di tempo. E poi, una sera, mentre stavo per uscire, ricevetti una chiamata da Bryce. “Mac, abbiamo un problema,” disse, con la voce tesa.
“Il sistema ha rilevato un accesso anomalo, ma non capisce cosa sia. Cain è fuori di sé. ” Io sorrisi e risposi: “Ora vedremo chi è il dinosauro. ”
Quando arrivai al centro di controllo, Cain era lì, con il viso pallido, che fissava i monitor.
Il sistema automatico aveva segnalato un’attività sconosciuta, ma non era riuscito a determinare se fosse un attacco o un malfunzionamento. “Mac, devi aiutarci,” disse Cain, implorante. “Sappiamo che conosci questi sistemi meglio di chiunque. ” Io guardai la schermata e vidi esattamente quello che mi aspettavo: una serie di percorsi di accesso che non corrispondevano a nessun modello conosciuto.
“Potrebbe essere un attacco lento,” dissi, “di quelli che l’automazione non riesce a vedere. ”
“Ma come facciamo a fermarlo? ” chiese Cain. “Devo verificare un po’ di cose,” risposi.
“Ma potrebbe richiedere tempo. E soprattutto, potrebbe richiedere accesso a certi sistemi che solo io posso aprire. ” Cain esitò, poi annuì. “Fai quello che serve,” disse.
“Ma fallo in fretta. ”
Passai le ore successive a esaminare i registri, a tracciare le connessioni, a scoprire che l’attacco era molto più esteso di quanto il sistema automatico avesse rilevato. Non era un semplice attacco: era una penetrazione completa, che aveva avuto inizio settimane prima, durante il periodo che avevo passato a inviare traffico anomalo. Ma non era opera mia: qualcun altro aveva sfruttato le stesse falle, ma con intenti distruttivi.
Il sistema automatico aveva ignorato tutto perché l’attacco era stato progettato per superare le soglie. “Non è stato un incidente,” dissi a Cain, mostrandogli i registri. “Qualcuno ha pianificato tutto questo per settimane. Hanno usato tecniche di ricognizione lente, che non attivano gli allarmi.
Hanno mappato l’intera rete, scoperto i punti deboli, e poi hanno colpito. ” Cain era senza parole. “Ma come? Il sistema ci avrebbe avvisato…
” “Il sistema è progettato per cercare firme note,” spiegai. “Ma questo attacco non ha firma. È come se qualcuno avesse creato un nuovo tipo di attacco, che nessun sistema conosce. ”
Mi misi al lavoro per risolvere il problema.
Non fu facile: i sistemi di backup erano compromessi, le connessioni di rete erano instabili, e l’automazione non era in grado di gestire una crisi così complessa. Dovevo agire manualmente, usando le conoscenze che avevo accumulato in anni di esperienza. Cain mi osservava, in silenzio, mentre lavoravo. A un certo punto, disse: “Non avrei mai pensato che…
” “Che cosa? ” chiesi, senza alzare lo sguardo. “Che queste conoscenze fossero così importanti,” ammise. “Pensavo che l’automazione potesse sostituire tutto.
” Io sorrisi e risposi: “L’automazione è un ottimo strumento, ma non può sostituire l’esperienza. ”
Dopo ore di lavoro, riuscii a ripristinare il sistema e a neutralizzare l’attacco. Ma quando tutto fu risolto, Cain mi prese da parte e mi disse: “Mac, ho capito. Ho capito che non posso fare a meno di te.
Ti offre una promozione, un aumento di stipendio e un ruolo nella progettazione dei nuovi sistemi, ma con una condizione: voglio che tu mi insegni tutto quello che sai. ” Io lo guardai e annuii. “Tutto ciò che posso insegnare non è scritto nei manuali,” dissi. “Ma se sei disposto a imparare, ci proverò.
”
Da allora, la mia posizione in azienda è cambiata. Non sono più il vecchio dinosauro da pensionare, ma una risorsa fondamentale. Cain mi ascolta, mi consulta, e spesso mi chiede di spiegargli come funzionano le cose. Ho capito che la vera sicurezza non sta nell’automazione, ma nella combinazione tra l’esperienza umana e la tecnologia.
E mentre guardo i giovani tecnici che lavorano con i loro sistemi, sorrido e penso: la prossima volta che qualcuno ti dice che sei obsoleto, ricorda che sei la conoscenza istituzionale, e quella non può essere sostituita da nessun algoritmo.
