Nel numero di questo mese di Ouch!, la newsletter sulla sicurezza informatica, parliamo della fine del supporto per Windows XP e delle conseguenze che questa scadenza avrà sulla sicurezza dei computer che ospitano questo sistema operativo.
Trovate il numero di marzo 2014 a questo link.
Per saperne di più
Iscrivitevi a OUCH!, la newsletter mensile dedicata alla security awareness e consultate i suoi archivi online sul sito del programma Securing the Human, del SANS Institute.
Versione in Italiano
La versione in italiano è curata da Advanction, un’azienda impegnata nella Sicurezza, nel Risk Management. Operativo e nella Security Awareness. Seguila su www.advanction.com e su Twitter @advanction
Visualizzazione post con etichetta sicurezza. Mostra tutti i post
Visualizzazione post con etichetta sicurezza. Mostra tutti i post
6.11.13
Acquisti online in sicurezza, su OUCH! di novembre 2013
Le vacanze natalizie si avvicinano e presto milioni di persone in tutto il mondo andranno alla ricerca del regalo perfetto. Molti di loro sceglieranno di acquistarlo online, alla ricerca di un affare o per evitare la folla degli acquirenti e le lunghe code.
Sfortunatamente, questo è anche il periodo in cui proliferano siti web falsi che fingono di rivendere prodotti, ma che in realtà non fanno altro che rubare il vostro denaro o il vostro numero di carta di credito.
Nel numero di novembre 2013 di OUCH! Lenny Zeltser ci illustrerà alcuni dei pericoli dello shopping online e quali sono i modi per proteggersi al meglio.
OUCH! è disponibile qui: http://www.securingthehuman.org/newsletters/ouch/issues/OUCH-201311_it.pdf
Sfortunatamente, questo è anche il periodo in cui proliferano siti web falsi che fingono di rivendere prodotti, ma che in realtà non fanno altro che rubare il vostro denaro o il vostro numero di carta di credito.
Nel numero di novembre 2013 di OUCH! Lenny Zeltser ci illustrerà alcuni dei pericoli dello shopping online e quali sono i modi per proteggersi al meglio.
OUCH! è disponibile qui: http://www.securingthehuman.org/newsletters/ouch/issues/OUCH-201311_it.pdf
12.9.12
Cosa fare in caso di violazioni di sicurezza? Scopritelo su OUCH! di settembre
La tempestività è un fattore fondamentale: prima individuate un problema e più velocemente vi rispondete, meglio sarà possibile ridurre il danno. Per aiutarvi nella preparazione, la newsletter di settembre illustrerà diversi modi per capire se il vostro computer, i vostri utenti e i vostri dati sono stati compromessi, in modo di rispondere al meglio a questi eventi. Molti dei suggerimenti sono mirati alla vostra vita personale; nel caso, invece, la violazione sia relativa alla sfera aziendale, e quindi vi sia coinvolto un dispositivo di lavoro mobile, un vostro account utente o dei dati aziendali, comunicate l’incidente all’helpdesk della vostra azienda o all’ufficio sicurezza e seguite le loro istruzioni.
L'autore di questo numero, Chad Tilbury, ha maturato una vasta esperienza nell’investigazione
di crimini informatici ed è autore dei corsi di analisi forense per il SANS Institute.
PER SAPERNE DI PIÙ
Abbonatevi a OUCH!, la newsletter mensile sulla sicurezza informatica, consultate i suoi archivi e approfondite le soluzioni di sicurezza di SANS visitandoci presso http://www.securingthehuman.orgVERSIONE IN ITALIANO
La versione in italiano è curata da Advanction S.A., un’azienda impegnata nella Sicurezza, nel Risk Management Operativo e nella Security Awareness. Seguila su www.advanction.com e su Twitter(@advanction).
7.10.10
Meglio una colonscopia o la computer security? Ovvero, perchè le persone non si curano della sicurezza
Devo ammettere che trovo sempre meno interessanti le analisi, i sondaggi, le survey che ultimamente vengono condotte nell'ambito della sicurezza.
L'ultima di cui mi è giunta notizia, però, è veramente bizzarra: più di un americano su 10 preferisce farsi fare una colonscopia che impiegare il proprio tempo a occuparsi della sicurezza del proprio PC.
Ma come?!?! O, per dirla all'americana, WTF ?!?!?
E' quanto emerge da un sondaggio denominato Keep Internet Security Simple (KISS) e condotto da PC Tools, l'azienda americana specializzata in sicurezza.
I risultati dell'analisi dicono che c'è un forte desiderio da parte degli americani (io aggiungo: e non solo) di essere costantemente collegati, in qualsiasi momento della giornata, durante qualsiasi situazione (o quasi).
Vi risparmierò le interessanti indicazioni emerse a riguardo di quando e come gli americani vogliono essere connessi con PC, PDA o sSmartPhone, per focalizzarmi invece su cosa essi desiderano a proposito della loro privacy e sicurezza:
E questo la dice lunga su come viene percepito dalla maggioranza delle persone l'approccio con i tecniciscmi dell'informatica: difficile, lungo, noioso, pedante, fastidioso, e chi più ne ha, più ne metta.
E nelle aziende la percezione non cambia: spesso mi sono trovato in difficoltà a trovare la cooperazione dei dipendenti sui temi della sicurezza. Non si capisce cosa non funzioni in queste persone. Sebbene la sicurezza sia fondamentale, non agiscono come dovrebbero.
Quello che però scordiamo è uno degli aspetti fondamentali della psiche umana: le persone non reagiscono alla realtà. Reagiscono alla loro percezione della realtà.
Si tratta di un punto critico da considerare quando cerchiamo di affiancare le necessità di sicurezza al comportamento umano.
La sicurezza è importante, ma fino a che le persone in un'azienda non lo comprendono, fino a che non introiettano questo concetto, non agiranno di conseguenza.
Può darsi che i vostri requisiti e le vostre procedure siano state sviluppate con estrema cura, siano adeguate al contesto e necessarie all'azienda, ma fino a che il personale non comprenderà che queste procedure sono necessarie, non le seguirà. Anche di fronte alla presenza di una reale minaccia, se le persone non la percepiscono come tale, non agiranno di conseguenza.
E' necessario quindi un impegno preciso mirato a far cambiare la mentalità della gente: un programma di formazione sulla sicurezza che conduca a una security awareness diffusa deve quindi tener conto di elementi motivanti e di componenti che facciano capire il reale vantaggio, anche personale (perché è il fattore più motivante in assoluto), che si può avere da una maggior sensibilità verso questi temi.
L'ultima di cui mi è giunta notizia, però, è veramente bizzarra: più di un americano su 10 preferisce farsi fare una colonscopia che impiegare il proprio tempo a occuparsi della sicurezza del proprio PC.
Ma come?!?! O, per dirla all'americana, WTF ?!?!?
E' quanto emerge da un sondaggio denominato Keep Internet Security Simple (KISS) e condotto da PC Tools, l'azienda americana specializzata in sicurezza.
I risultati dell'analisi dicono che c'è un forte desiderio da parte degli americani (io aggiungo: e non solo) di essere costantemente collegati, in qualsiasi momento della giornata, durante qualsiasi situazione (o quasi).
Vi risparmierò le interessanti indicazioni emerse a riguardo di quando e come gli americani vogliono essere connessi con PC, PDA o sSmartPhone, per focalizzarmi invece su cosa essi desiderano a proposito della loro privacy e sicurezza:
- il 79% vuole mantenere file e documenti sul computer fuori dalle grinfie degli altri, ivi compresi i figli, i genitori, i consorti, i colleghi e gli amici;
- il 45% degli americani si sentirebbe imbarazzato se amici o famiglia vedessero "certi" file contenuti in PC, PDA o SmartPhone;
- nonostante il clamore intorno a sicurezza, virus, worm, cybercrime, il 32% degli americani potrebbero scaricare del malware visitando un sito sospetto.
E questo la dice lunga su come viene percepito dalla maggioranza delle persone l'approccio con i tecniciscmi dell'informatica: difficile, lungo, noioso, pedante, fastidioso, e chi più ne ha, più ne metta.
E nelle aziende la percezione non cambia: spesso mi sono trovato in difficoltà a trovare la cooperazione dei dipendenti sui temi della sicurezza. Non si capisce cosa non funzioni in queste persone. Sebbene la sicurezza sia fondamentale, non agiscono come dovrebbero.
Quello che però scordiamo è uno degli aspetti fondamentali della psiche umana: le persone non reagiscono alla realtà. Reagiscono alla loro percezione della realtà.
Si tratta di un punto critico da considerare quando cerchiamo di affiancare le necessità di sicurezza al comportamento umano.
La sicurezza è importante, ma fino a che le persone in un'azienda non lo comprendono, fino a che non introiettano questo concetto, non agiranno di conseguenza.
Può darsi che i vostri requisiti e le vostre procedure siano state sviluppate con estrema cura, siano adeguate al contesto e necessarie all'azienda, ma fino a che il personale non comprenderà che queste procedure sono necessarie, non le seguirà. Anche di fronte alla presenza di una reale minaccia, se le persone non la percepiscono come tale, non agiranno di conseguenza.
E' necessario quindi un impegno preciso mirato a far cambiare la mentalità della gente: un programma di formazione sulla sicurezza che conduca a una security awareness diffusa deve quindi tener conto di elementi motivanti e di componenti che facciano capire il reale vantaggio, anche personale (perché è il fattore più motivante in assoluto), che si può avere da una maggior sensibilità verso questi temi.
21.9.10
Google implementa l'autenticazione a due fattori sulle Google Apps
Fino a oggi, Google ha permesso di accedere agli account delle Google Apps attraverso un'autenticazione tradizionale mediante nome utente e password.L'utilizzo sempre maggiore che viene fatto delle applicazioni di Google anche a livello professionale ha spinto il gigante della ricerca-e-non-solo a implementare un'autenticazione a due fattori, completamente gratuita e in grado di utilizzare un mezzo che tutti ormai hanno a disposizione: il telefono cellulare.
A differenza però di vari sistemi già adottati, ad esempio dai servizi di online banking, Google permetterà sia di ricevere una one-time-password via SMS, sia di installare una app sul proprio smartphone in grado di generarla.
Il codice di verifica generato o ricevuto dovrà essere inserito successivamente al nome utente e password.
Disponibile al momento solo negli Stati Uniti e solo nella versione a pagamento delle Google Apps, tra pochi mesi verrà rilasciato nella versione standard aperta a tutto il pubblico.
L'implementazione di Google è basata su uno standard aperto e l'app sarà open source, integrabile eventualmente con tecnologie di autenticazione di altri vendor e adattabile a svariate esigenze.
L'introduzione di un'autenticazione più efficace rimuove uno degli ostacoli che vengono percepiti dalle aziende circa l'adozione del cloud computing: la sicurezza. In questo modo Google si afferma sempre più come un fornitore di suite di produttività per le aziende
Inoltre, l'autenticazione a due fattori è stata da sempre una funzionalità cruciale e ciò che Google sta facendo è senza dubbio fondamentale perché sta aumentando il livello di attenzione nei confronti della sicurezza, affermando su scala planetaria che l'autenticazione a due fattori è una funzione ormai necessaria.
Se ce l'ha Google, devono averla anche le aziende che forniscono servizi più critici al pubblico!
Che ne pensate?
7.9.10
Come migliorare gli investimenti in sicurezza
Gli investimenti nella sicurezza sono spesso guidati dalla percezione
Quando il Direttore Generale di un’azienda si vede recapitare centinaia di messaggi spam alla settimana, sarà di certo più propenso ad approvare un’investimento in un sistema antispam.
E' qualcosa di tangibile che ha un effetto immediato sulla nostra percezione e interferendo con la nostra possibilità di lavorare: chiamiamo questa una minaccia "rumorosa", che si discosta dall'altro tipo di minaccia, ovvero quella "silenziosa" in grado di causare danni sostanziali, anche senza influire sullo svolgimento del nostro lavoro.
Nel primo insieme ricadono le minacce più conosciute, quelle di cui tutti parlano e quelle per cui è più semplice individuare soluzioni: parlo di virus, worm, spam, ovvero di quei pericolosi e noiosi fattori che giornalmente influenzano la nostra produttività.
La loro visibilità da parte non solo dei vertici aziendali, ma anche dei rispettivi consorti, di figli, amici e parenti tutti, rende più facilmente affrontabili e giustificabili gli investimenti per le contromisure da adottare.
Le minacce più silenziose, quelle che riguardano, ad esempio, la sottrazione di dati, sono molto più insidiose e agiscono con passo felpato. Spesso, quando accadono, risulta difficile dimostrarne l’impatto, e, a fronte di questo, è più arduo richiedere un investimento al proprio management quando non è possibile quantificare una perdita nei profitti o nei propri asset (intesi come elementi del proprio patrimonio).
Purtroppo, come ben afferma Bruce Schneier nel Saggio “Psicologia della sicurezza”, la sicurezza ha due facce: è sia una sensazione sia qualcosa di reale.
La faccia della realtà presenta una sicurezza che utilizza il calcolo delle probabilità per determinare quanto un rischio si possa verificare e come potervi far fronte con adeguate contromisure, data una quantità di informazioni necessaria e sufficiente in grado di supportare l’analisi.
La faccia della sensazione invece riguarda la percezione che noi abbiamo nei confronti delle minacce e delle relative contromisure: queste due facce, sebbene abbiano diversi punti in comune, non coincideranno mai
Le scienze psicologiche e cognitive considerano il “rischio come sensazione” un’importante vestigia del nostro viaggio evolutivo (http://dccps.nci.nih.gov/brp/presentations/slovic.pdf), sostenendo che la sensazione intuitiva è ancora il metodo predominante con cui l’essere umano valuta i rischi.
Un altra motivazione per cui è difficile sostenere un investimento di sicurezza e ottenerne l’approvazione è la visione negativa dell’argomento “rischio”.
Per chi non vi lavora direttamente, e voglio quindi parlare della stragrande maggioranza degli esseri umani, la sicurezza ha una connotazione negativa perché è legata al rischio, elemento di fronte al quale il cervello dell’essere umano, nel processo valutativo di una determinata attività, tende a fare una smorfia di fastidio e a darvi quindi un’importanza inferiore rispetto alle finalità ultime dell'attività (e ai suoi eventuali vantaggi).
Nella tabella seguente (prosaicamente realistica) ho cercato di evidenziare alcune caratteristiche valutative che concorrono alla decisione sull'investimento, comparando una soluzione antispam e un processo/soluzione anti-frode/fuga di dati.
| Spam | Frode/fuga di dati |
| Caratteristiche salienti | Caratteristiche salienti |
| pericoloso | pericolosa |
| fastidioso | costosa |
| originato dall’esterno (grado di fiducia nell’attore: basso) | originata dall’interno (grado di fiducia nell’attore: medio/alto) |
| | |
| Effetti dell’introduzione di un antispam | Effetti dell’introduzione di una soluzione/processo antifrode |
| Aumento della produttività | Tracciamento dei flussi informativi/delle attività dei dipendenti |
| Diminuzione del malware in azienda | Allarmi su movimenti sospetti di dati |
| Il direttore ha la percezione (reale) di lavorare meglio... | Individuazione |
| | Prevenzione |
È indubbio che il grande clamore intorno ai pericoli di attacchi causati da malware condizioni fortemente gli investimenti in sicurezza per prevenirne gli effetti. Ma una volta che l’azienda viene protetta maggiormente mediante le relative soluzioni anti-, è opportuno che si focalizzi anche sugli altri problemi, quelli che al momento fanno meno rumore.
Forse una soluzione sta nell’aumentare il rumore di fondo che questo tipo di problemi comporta. Un aiuto viene, negli Stati Uniti e nel Regno Unito, da una serie di normative emanate negli ultimi anni che obbligano le aziende a denunciare ogni incidente di sicurezza che abbia avuto una qualche influenza sui fattori di Confidenzialità, Integrità e Disponibilità dei dati dei privati cittadini. The Breach Blog tiene traccia di questi incidenti dandone notizia non appena divulgati.
Le cause di incidenti che vanno per la maggiore sono le perdite di laptop, di CD/DVD o di chiavi USB, la sottrazione di dati di carte di credito, le fughe di dati in genere, l’errore umano nella gestione di dati sensibili o confidenziali.
Da parte nostra ci impegneremo affinché la conoscenza e le notizie vengano diffuse il più possibile, allo scopo di modificare la frase “Gli investimenti in sicurezza sono spesso guidati dalla necessità di adeguamento a normative o regolamentazioni (compliance).” in “Gli investimenti in sicurezza sono guidati dall’effettiva necessità di protezione delle informazioni in azienda.”
1.9.10
La fotocopiatrice moderna: un colabrodo di dati
Perchè un hacker dovrebbe impiegare ore e ore del suo tempo cercando di penetrare i sistemi di una rete aziendale per carpirne i dati più sensibili e confidenziali, quando, con molto meno tempo e meno rischi di essere individuati, basta proporre un rimpiazzo economicamente vantaggioso di una fotocopiatrice?
Da poco meno di una decina d'anni, la maggior parte delle fotocopiatrici è dotata di un hard disk interno che, con l'opzione di default, consente la copia di ogni singola pagina fotocopiata e restituita all'utente su carta.
Un interessante servizio della CBS illustra come è possibile accedere ai dati anche attraverso dei casi pratici: lo potete seguire qui http://www.cbsnews.com/video/watch/?id=6412572n
Una troupe della CBS ha seguito l'attività di un'azienda di smaltimento di materiale tecnologico che rileva fotocopiatrici usate: nei due casi illustrati, migliaia di documenti, contenenti dati confidenziali di cittadini statunitensi, Social Security Number, cartelle cliniche con referti ospedalieri, nominativi di persone indagate dalla polizia,
E' comunque da notare che tutti i maggiori produttori di macchine fotocopiatrici rendano disponibili componenti per la cancellazione sicura o la codifica dei dati conservati su disco: tali componenti richiedono un'ulteriore spesa dell'ordine di qualche migliaio di dollari, rendendo spesso l'investimento su una fotocopiatrice estremamente oneroso.
Per mitigare questo genere di rischi, si possono adottare accorgimenti come l'impiego di meccanismi di codifica o cancellazione sicura e/o contrattualizzare un processo di dismissione che comprenda la rimozione e la distruzione del disco interno o quantomeno la sua cancellazione sicura.
E' inoltre opportuno considerare questo genere di potenziali fughe di dati all'interno dell'attività di risk assessment.
Infine, il Garante della Privacy, nel provvedimento del 13 ottobre 2008, dal titolo "Rifiuti di apparecchiature elettriche ed elettroniche (Raae) e misure di sicurezza dei dati personali" dispone di
adottare idonei accorgimenti e misure, anche con l'ausilio di terzi tecnicamente qualificati, volti a prevenire accessi non consentiti ai dati personali memorizzati nelle apparecchiature elettriche ed elettroniche destinate a essere:
a. reimpiegate o riciclate, anche seguendo le procedure di cui all'allegato A);
b. smaltite, anche seguendo le procedure di cui all'allegato B).
Tali misure e accorgimenti possono essere attuate anche con l'ausilio o conferendo incarico a terzi tecnicamente qualificati, quali centri di assistenza, produttori e distributori di apparecchiature che attestino l'esecuzione delle operazioni effettuate o che si impegnino ad effettuarle."
15.7.10
Documenti da The Ninth Workshop on the Economics of Information Security (WEIS 2010)
Per chi avesse un po' di tempo da trascorrere nella lettura durante il weekend, sotto l'ombrellone, sotto un pino o con i piedi in ammollo, consiglio i papers dell'ultimo Workshop on the Economics of Information Security, tenutosi ad Harvard lo scorso giugno.
Alcuni documenti offrono spunti interessanti per ridurre il divario che c'è tra chi fa sicurezza in azienda e chi decide/autorizza gli investimenti (va da sè che sarebbe bene che li leggessero entrambe le parti interessate) per innestare meglio le attività di sicurezza e giustificarle a fronte di necessità reali che spesso non vengono comprese da chi non si occupa di sicurezza o risk management.
Link: http://weis2010.econinfosec.org/program.html
Alcuni documenti offrono spunti interessanti per ridurre il divario che c'è tra chi fa sicurezza in azienda e chi decide/autorizza gli investimenti (va da sè che sarebbe bene che li leggessero entrambe le parti interessate) per innestare meglio le attività di sicurezza e giustificarle a fronte di necessità reali che spesso non vengono comprese da chi non si occupa di sicurezza o risk management.
Link: http://weis2010.econinfosec.org/program.html
21.7.09
SafePlace: l'ambiente protetto da cui accedere all'e-Banking
Eccolo qui, il frutto dei nostri ultimi sforzi: SafePlace che, come dice il titolo, è un ambiente protetto a cui accedere ai servizi di e-Banking.
Stanchi di essere potenziali prede di trojan horse, worm, man-in-the-middle, associazioni a delinquere di cracker, abbiamo sviluppato una soluzione semplice e meno vulnerabile del sistema Windows su cui lavoriamo abitualmente.
Come funziona:
- la banca che eroga il servizio di e-Banking permette ai suoi clienti di scaricare l'applicazione dal suo sito, oppure regala una chiave USB con l'applicazione già installata;
- l'utente, se scarica l'applicazione dal sito della banca, la installa sul PC. SafePlace si configura automaticamente e richiede un intervento minimo all'utente;
- una volta installato, il cliente lancia SafePlace e si collega al suo e-Banking automaticamente. N.B.: l'unico collegamento possibile è verso il sito o i domini dell'e-Banking. Nessun altro tipo di collegamento è consentito.
Trattandosi di una macchina virtuale, i cui tempi di partenza sono normalmente più lunghi di quelli di un'applicazione, abbiamo sviluppato una tecnologia che ci permettesse di lanciarla in meno di 10 secondi, rendendola così più gradevole per l'utente.
Volete vedere come funziona?
E questa è una breve presentazione:
Avvertenza: ogni soluzione di sicurezza, e quindi anche SafePlace, può essere "più sicura", non "sicura" nella totalità. Non è possibile eliminare il rischio, ma solo mitigarlo.
Maggiori informazioni qui.
Stanchi di essere potenziali prede di trojan horse, worm, man-in-the-middle, associazioni a delinquere di cracker, abbiamo sviluppato una soluzione semplice e meno vulnerabile del sistema Windows su cui lavoriamo abitualmente.
Come funziona:
- la banca che eroga il servizio di e-Banking permette ai suoi clienti di scaricare l'applicazione dal suo sito, oppure regala una chiave USB con l'applicazione già installata;
- l'utente, se scarica l'applicazione dal sito della banca, la installa sul PC. SafePlace si configura automaticamente e richiede un intervento minimo all'utente;
- una volta installato, il cliente lancia SafePlace e si collega al suo e-Banking automaticamente. N.B.: l'unico collegamento possibile è verso il sito o i domini dell'e-Banking. Nessun altro tipo di collegamento è consentito.
Trattandosi di una macchina virtuale, i cui tempi di partenza sono normalmente più lunghi di quelli di un'applicazione, abbiamo sviluppato una tecnologia che ci permettesse di lanciarla in meno di 10 secondi, rendendola così più gradevole per l'utente.
Volete vedere come funziona?
E questa è una breve presentazione:
Avvertenza: ogni soluzione di sicurezza, e quindi anche SafePlace, può essere "più sicura", non "sicura" nella totalità. Non è possibile eliminare il rischio, ma solo mitigarlo.
Maggiori informazioni qui.
18.9.08
Yoggie: una security appliance per notebook
Avete mai pensato che il vostro notebook potrebbe essere più efficiente senza la suite di programmi di sicurezza che ospita?
Quando collegate il vostro portatile a una rete wi-fi che non è la vostra solita rete aziendale, non vi sentite un po' meno sicuri?
In Yoggie ci hanno riflettuto molto e hanno pensato che se vi portaste un'appliance di security dedicata, potreste svincolare il portatile dai compiti di controllo della sicurezza e al contempo essere più sicuri.
Se state aggrottando le sopracciglia per la perplessità, ne avete ben donde.
Ma sappiate che l'appliance di cui sto parlando risiede in una chiave USB o in una scheda ExpressCard. E nella versione base contiene 12 applicazioni di sicurezza, ovvero:
Guardate questo video e capirete di più:
Naturalmente il sistema operativo è Linux.
Quando collegate il vostro portatile a una rete wi-fi che non è la vostra solita rete aziendale, non vi sentite un po' meno sicuri?
In Yoggie ci hanno riflettuto molto e hanno pensato che se vi portaste un'appliance di security dedicata, potreste svincolare il portatile dai compiti di controllo della sicurezza e al contempo essere più sicuri.
Se state aggrottando le sopracciglia per la perplessità, ne avete ben donde.
Ma sappiate che l'appliance di cui sto parlando risiede in una chiave USB o in una scheda ExpressCard. E nella versione base contiene 12 applicazioni di sicurezza, ovvero:
- Anti-virus
- anti-spam
- Firewall
- Anti-Phishing
- Anti-spyware
- Sistema di rilevazione e prevensione delle intrusioni
- Proxy email e Web
- Sicurezza adattiva
- Web Filtering/Parental Content Control
- Adaptive Security Policy™
- Multi-Layer Security Agent™
- Layer-8 Security Engine™
Guardate questo video e capirete di più:
Naturalmente il sistema operativo è Linux.
1.4.08
Siti aziendali: il 90% è vulnerabile
Da una recente ricerca emerge come il 90% dei siti aziendali presentino rilevanti vulnerabilità, una realtà da non sottovalutare, soprattutto nelle piccole società
Da una ricerca condotta da Whitehat Security su oltre 600 siti web appartenenti a grandi e piccole società, emerge come 9 su 10 presentano gravi falle, in grado di permettere un attacco da parte di malintenzionati. Le vetrine aziendali sono quindi particolarmente vulnerabili alle intrusioni, veicolate tramite tecniche di cross-site scripting. Un fenomeno da non sottovalutare e da combattere con i mezzi più idonei.
Secondo Whitehat Security, il 70% dei siti web permetterebbe l'esecuzione di script arbitrari potenzialmente malevoli nel contesto di un dominio apparentemente fidato. Per quanto riguarda la tanto paventata Sql Injection, ovvero la possibilità di "iniettare" comandi Sql all'interno del codice HTML, secondo la società solamente il 5% delle pagine web esaminate presenterebbe tale vulnerabilità.
I problemi legati alla sicurezza derivanti dai cross-site scripting sono stati rilevati in passato anche in portali di società dal calibro di IBM e Google: «si tratta di un problema sottostimato», ha dichiarato il CTO di Whitehat Jeremiah Grossman, «e proprio per questo da tenere nella dovuta considerazione».
Oltre a tale tipologia di attacchi, è bene inoltre tenere in considerazione tutte le varianti, quali il cross-site request forgery, ovvero l'esecuzione di script arbitrati all'interno di domini apparentemente fidati, problematica con la quale si è dovuta scontrare anche Trend Micro, uno dei principali produttori mondiali di antivirus.
I siti web che presentano i problemi di sicurezza maggiori sono legati al mondo delle imprese assicurative, presentando nell'84% dei casi vulnerabilità anche gravi. Per quanto riguarda i portali che si occupano di informatica, ben il 72% di essi presenta bug in grado di minare seriamente la sicurezza dell'intera struttura.
Tratto da PMI.it
13.2.08
Autenticazione biometrica per le transazioni finanziarie: nuovo standard ISO
ISO ha appena pubblicato uno standard per aumentare la sicurezza delle transazioni finanziarie digitali.
Il nuovo standard, ISO 19092:2008, Financial services Biometrics – Security framework, stabilisce le specifiche di sicurezza per l'implementazione e la gestione di tecnologie di identificazione biometrica allo stato dell'arte all'interno dell'industria finanziaria.
Lo sviluppo di tecnologie digitali ha portato a una proliferazione di transazioni elettroniche che hanno condotto una riduzione dei costi e a una grande efficienza: questi altissimi volumi espongono quindi la comunità finanziaria ai rischi di alterazioni accidentali o dolose, di alterazione o distruzione dei dati.
La necessità di un metodo di autenticazione più robusto ha portato i ricercatori a rivolgersi alla biometria, considerata sempre più un affidabile metodo di identificazione: utilizzando le impronte digitali, l'identificazione della voce, lo scan della retina o del viso, la biometria ha vantaggi come la convenienza e la facilità d'uso, la sicurezza e la non invasività.
Il nuovo standard, ISO 19092:2008, Financial services Biometrics – Security framework, stabilisce le specifiche di sicurezza per l'implementazione e la gestione di tecnologie di identificazione biometrica allo stato dell'arte all'interno dell'industria finanziaria.
Lo sviluppo di tecnologie digitali ha portato a una proliferazione di transazioni elettroniche che hanno condotto una riduzione dei costi e a una grande efficienza: questi altissimi volumi espongono quindi la comunità finanziaria ai rischi di alterazioni accidentali o dolose, di alterazione o distruzione dei dati.
La necessità di un metodo di autenticazione più robusto ha portato i ricercatori a rivolgersi alla biometria, considerata sempre più un affidabile metodo di identificazione: utilizzando le impronte digitali, l'identificazione della voce, lo scan della retina o del viso, la biometria ha vantaggi come la convenienza e la facilità d'uso, la sicurezza e la non invasività.
Il nuovo standard ISO 19092:2008 descrive il framework di sicurezza per l'utilizzo della biometria nell'autenticazione all'interno dei servizi finanziari.
Per chi volesse saperne di più: http://www.iso.org/iso/catalogue_detail?csnumber=50145
1.2.08
Violazioni alla sicurezza nelle banche: news
Non si è ancora sopito il clamore intorno alla frode che ha colpito Societe Generale, che altre due banche, in due diverse parti del globo, annunciano di aver subito violazioni alla propria sicurezza.
BreachBlog afferma che negli States,a Forth Worth, Texas, OmniAmerican Bank ha annunciato di aver fermato una gang internazionale di hacker che avevano violato il sistema di e-banking e prelevato denaro dei clienti da numerosi sportelli Bancomat (o ATM) nell'Europa dell'Est, nel Regno Unito, in canada e a New York
29.1.08
Societe Generale: scarsa sensibilità alla sicurezza e controlli inefficaci
Ebbene, come ben spiega il blog Duo&Co nei suoi articoli scritti da un ex-SG (il primo e il secondo) tutto cominciò quando Jérôme Kerviel venne assunto in Societe Generale nel 2000 all'interno del middle- e del back-office della banca.
Fino al 2005 si occupa di controllo dei rischi e dell’autorizzazione delle operazioni, guadagnandosi la fiducia dei colleghi.
Passa poi a occuparsi di arbitraggio sui derivati, ovvero, quell’attività che prevede di prendere posizioni sui mercati contemporaneamente sia puntando a un rialzo, sia a un ribasso, e cercando di guadagnare sul margine tra le due posizioni.
Ma Kerviel è fermamente convinto che i mercati saliranno, e quindi, al riparo del suo angolino, acquisisce posizioni al rialzo sugli indici Eurosoxx, Dax e Ftse, posizioni, quindi, unicamente in un senso, e non in due, come invece richiede la prassi.
Parallelemente però, allo scopo di salvaguardare la sua posizione - a tutti gli effetti speculativa - è necessario costruire una posizione inversa – e quindi fittizia – nei sistemi della banca, mostrando così che le operazioni del trader non sono a rischio.
E qui gli viene in aiuto la sua esperienza passata nel middle-office.
In ogni azienda ci sono settori dove, per ragioni di tempestività nelle operazioni, un dipendente lasci ai colleghi di fiducia l’accesso a un suo account con determinati privilegi, ad esempio, con la possibilità di autorizzare determinate operazioni (in realtà questo accade un po' in tutti gli ambiti di tutte le aziende, purtroppo...)
Normalmente, quando il collega effettua determinate operazioni in vece del titolare dell’account, lo informa dell’attività.
Il sistema interno del dipartimento che si occupa del trading dei derivati in Societe Generale si chiama Eliot: si tratta di un sistema estremamente sensibile e controllato da diverse entità di back- e middle-office.
Purtroppo, però, l'accesso è regolamentato solo da username e password: nessun criterio di autenticazione a due fattori (implementando, ad esempio, smartcard, token USB, impronta digitale, suono della voce, visura retinale, odore del testosterone, ecc).
Jerome Kerviel è cresciuto là dentro, per cui, grazie ai precedenti rapporti con i colleghi, ha accessi con privilegi che gli consentono di scavalcare il perimetro tra le aree definito da quell'approccio chiamato separazione dei ruoli (o in inglese, la segregation of duties), uno dei pilastri fondamentali di ogni metodologia di gestione del rischio.
La segregation of duties è una caratteristica delle organizzazioni che conducono attività con un rischio annesso e, in parole povere, prevede che chi esegue un'attività rischiosa sia un’entità diversa da chi la autorizza.
Nel nostro caso specifico, chi esegue l’attività, indipendentemente da quale essa sia, è il trader Kerviel. Chi la autorizza, dovrebbe essere il collega dei middle-office, che, ricevuta la segnalazione dell’attività - ovvero di una transazione in un solo senso, anziché di due transazioni di senso diverso - intraprende le opportune azioni di verifica.
In realtà, era lo stesso Kerviel che, con user e password del collega, autorizzava ogni movimento non caratterizzato da un movimento di copertura dei rischi.
SG acquista quindi dei contratti forward – simile al contratto future, ma trattato tra banche, anziché sui mercati - su Eurostoxx, Dax e Ftse
Arriva quindi la settimana critica in cui, dal 15 al 18 gennaio, i mercati finanziari subiscono ribassi pesantissimi, per cui le posizioni lunghe, cioè che puntano al rialzo, assunte da Kerviel gli provocano ingenti perdite.
Il 18 gennaio, un nuovo sistema di controllo, individua un movimento sospetto nei confronti di una controparte tedesca.
Il resto è storia recente...
Societe Generale, la banca che negli ultimi anni ha decretato la propria leadership proprio nel mercato dei derivati, si rivela ora un gigante dai piedi d’argilla.
Come può essere successo che un solo uomo potesse costituire una tale concentrazione di privilegi?
Contrariamente a quanto affermato nella prima ora, Kerviel non ha straordinarie capacità informatiche, ma piuttosto conosce molto bene il sistema autorizzativo delle transazioni e, terribile a dirsi, conosce le password di accesso a tale sistema.
Cosa manca quindi in SG?
Pochi, semplici elementi.
Innanzitutto manca una cultura della sicurezza, che, introdotta a tutti i livelli, conduca i dipendenti a comprendere che dare la propria password a un collega comporta dei rischi per l’azienda e per sé, e conduca gli amministratori dei sistemi informativi a costringere i dipendenti a cambiare password periodicamente, in modo che se malauguratamente capitasse che un dipendente dia una sua password a un collega, dopo un certo periodo tale password possa essere resa inutilizzabile.
Secondo elemento: l'implementazione delle prassi di sicurezza in specifiche procedure interne. Questo elemento è il più semplice da attuare e di certo sarà già presente in Societe Generale. Ma purtroppo emanare leggi senza avere un controllo efficiente non serve a nulla.
E quindi arriviamo al terzo elemento (peraltro, forse già introdotto recentemente e grazie al quale si è avuta segnalazione delle speculazioni selvagge di Kerviel): un sistema di segnalazione di posizioni non adeguate alle policy aziendali, ovvero non compliant, che non invii segnalazioni soltanto al personale di middle-office, ma che collezioni i dati per darli in pasto a controlli incrociati, sia automatizzati, sia presentabili al back-office, sia a un’entità di controllo.
Infine l'elemento più tecnologico: un'autenticazione a due fattori, che permetta cioè di determinare l'identità di un'utente che accede al sistema non solo tramite la conoscenza di nome utente e password, ma anche con il possesso di strumenti come smartcard o token usb con certificati, o mediante una scansione dell'impronta digitale.
Costano poco, aiutano molto.
20.6.07
Combattere le minacce interne: una strada a 3 corsie
Pochi giorni fa, a un seminario, incontrai uno dei responsabili della sicurezza di una banca: parlando della minaccia interna mi disse che l'azienda aveva già implementato filtri e sistemi di monitoraggio di tutto il traffico in entrata e in uscita attraverso le email, nonché sistemi che eliminavano i pericoli della web mail e dell'Instant Messaging.
C'era ancora qualcos'altro che, a mio parere, doveva essere fatto?
La risposta inizia con "Sicuramente sì", e continua così...
Negli ultimi 5 anni molte aziende hanno investito in modo significativo per proteggere i propri sistemi email da virus, spam, spyware, attacchi sulla porta SMTP (ivi inclusi i Denial-of-Service e i directory harvest attack).
Esistono oggi nuove tecnologie di filtraggio per analizzare il contenuto delle comunicazioni verso l'esterno: in alcuni casi le iniziative delle aziende prendono la mossa dalle necessità di adeguamento alle normative (il Codice in materia di protezione dei dati personali in Italia - DL 196/3) o la Legge Federale del 19 giugno 1992 sulla protezione dei dati (LPD) in Svizzera, e altre leggi similari che sono state implementatenella maggior parte dei paesi europei seguendo le direttive UE).
In altri casi ancora, le aziende che fondano la propria attività sulla proprietà intellettuale
Sfortunatamente, la maggior parte delle soluzioni di e-mail scan utilizzano una tecnologia obsoleta per l'analisi dei contenuti, come il riconoscimento delle parole chiave (keyword) o il matching di regular-expression, trovando quindi solo dati in formato fisso come i numeri di carta di credito o parole chiave come "documento confidenziale" all'interno del messaggio.
E' comprensibile che questo tipo di soluzioni rappresenti il "meglio-che-niente", poiché sono ancora molte le aziende dove i dati sfuggono senza il minimo controllo e senza che nessuno se ne renda conto.
Spesso queste soluzioni non possono gestire i contenuti più critici e alcune non riescono neppure ad aprire i file allegati che potrebbero contenere le informazioni.Il modo migliore, quindi, per proteggere le loro comunicazioni dalle minacce interne (sia che si tratti di atti dolosi o semplici errori umani) deve seguire tre strade parallele:
- scoprire e identificare tutti i contenuti che possono rappresentare un rischio quando oltrepassano il perimetro aziendale. Tutti i file contenenti informazioni personali o proprietà intellettuale che possono essere localizzati in dischi condivisi, sui laptop, sulle postazioni aziendali, o in qualsiasi database o archivio dati. Una volta individuato, il dato deve essere firmato e registrato per evitare che possa essere divulgato all'esterno via mail o con altri tipi di comunicazioni, come IM, FTP, IRC ecc. I prodotti di gestione delle email non sono fatti per proteggere i cosiddetti data-at-rest (i dati a riposo in qualche punto della rete);
- implementare tecnologie di analisi del contenuto che vadano oltre il semplice esame dei formati fissi, che cerchino pattern di numeri e lettere. Esistono soluzioni in grado di guardare all'interno degli allegati, individuare la presenza di lingue straniere, ricercare identificatori univoci che possano rappresentare un rischio, o ancora fare un match con contenuti preregistrati. Le tecnologie di analisi dei contenuti devono anche essere multicanale, in grado cioè di individuare oltre ai contenuti delle email, anche l'uso delle webmail, dell'IM, ecc;
- comprendere che la email non è il solo punto di rischio. Il motivo per cui è fondamentale il monitoraggio multicanale è dovuto al fatto che, sebbene molte aziende implementino policy e sottopongono le proprie persone a un adeguato training, sebbene blocchino l'installazione di software non aziendale sui PC e impediscano l'accesso a porte USB o CD, esiste sempre una possibilità che delle azioni fraudolente possano essere perpetrate.
Il controllo dei dati in uscita è un imperativo per il business attuale, sia che si tratti di proteggere il proprio brand e la propria reputazione, sia che ci si debba adeguare alle normative, o fare in modo che la proprietà intellettuale sia la caratteristica distintiva nei confronti dei concorrenti.
Per proteggersi dalle minacce interne e proteggere il proprio patrimonio, le aziende hanno bisogno di strumenti che individuino il dato quando ancora non è stato spostato, ispezionino i contenuti in movimento e considerino il rischio al di là del semplice canale email.
Soltanto con un approccio che segue tre vie parallele la protezione delle informazioni potrà limitare i rischi ofrendo ad aziende pubbliche e private la sicurezza necessaria.
1.6.07
Sicurezza senza compromessi o sicurezza compromessa? A voi la scelta
Secondo voi qual è la minaccia più grave di perdita di dati o di fuga di informazioni?
La maggior parte di noi istintivamente è portata a pensare agli hacker che attraverso Internet, e con metodologie raffinatissime penetrano all'interno delle reti aziendali venendo in possesso dei dati più critici.
In realtà, chiunque volesse impadronirsi dei dati di un'azienda vorrebbe trovarvicisi all'interno: le cose sono molto più semplici quando hai un accesso con credenziali regolari a una parte dei dati di un'azienda.
Sapere come e quando i dipendenti accedono alle informazioni aziendali significa avere un'infrastruttura di monitoraggio di ciò che avviene dalla postazione del dipendente (in questo ambito denominata endpoint) ai sistemi che erogano i dati.
Il controllo degli endpoint gioca un ruolo chiave nella prevenzione e nella mitigazione dei rischi correlati alla minaccia interna: le istituzioni finanziarie sono più sensibilizzate di altre aziende, soprattutto per merito delle normative internazionali sulla riduzione del rischio, mentre i settori farmaceutico e dell'alta tecnologia, dove la concorrenza è più serrata e il valore di un dato progettuale o di ricerca è proporzionalmente più elevato, tengono la guardia alta già da tempo.
La serie dei report CSI/FBI degli ultimi anni ha evidenziato che la maggior parte degli attacchi proviene dall'interno delle aziende: è da notare che alcuni endpoint sono già presidiati a dovere, sebbene, diciamocelo chiaramente, le maglie del controllo sono abbastanza larghe per permettere ai dipendenti di poter svolgere il loro lavoro.
Questo fattore deriva dalla diversa impostazione che l'ambito finanziario ha nei confronti della sicurezza, rispetto ad altri ambiti come quelli citati della farmaceutica o della tecnologia.
In questi ambiti esiste una predisposizione alla sicurezza che non solo è basata su una solida piattaforma di policy aziendali, ma è soprattutto patrimonio comune e condiviso da tutti. Sto parlando di un approccio che è ormai presente da qualche decina di anni in molte aziende e che viene instillato nei dipendenti contestualmente all'assunzione.
E' l'approccio della "sicurezza senza compromessi", che si contrappone a quello che ho incontrato in molte aziende, che chiamerò, per contrasto, della "sicurezza compromessa".
Cosa prevede quest'ultimo? Prevede che, per evitare le lagnanze dei dipendenti che si vedono cambiare una piccola componente della routine lavorativa a seguito dell'implementazione di nuove procedure, si pongano dei limiti ai controlli, si aprano le maglie dei controlli, si introducano delle eccezioni che, dal momento che non vengono documentate, diventano poi un incubo da gestire.
E' una consuetudine, statene certi. E questo genere di situazioni da un'idea di quanto, in quelle aziende, si dia importanza alla preservazione del capitale informativo.
A questo punto cosa possiamo fare?
Possiamo gestire le eccezioni (nessuna legge è perfetta) ma dobbiamo affermare con solidità che una volta che le policy sono state emanate, le eccezioni devono essere vagliate da un comitato apposito, approvate e documentate.
Inoltre, l'approccio più corretto per individuare una frode interna non si limita solo a osservare ciò che i dipendenti aprono e guardano nei documenti, ma anche il contesto di cosa stanno facendo con quelle informazioni: esistono applicazioni che si occupano di Fraud Intelligence (o Information leakage intelligence), in grado di applicare regole di controllo del contesto alle attività dell'utente interno.
Ogni organizzazione deve avere un set di policy aziendali (altrimenti dette acceptable use policy) che devono essere sostenute, rinforzate, "inculcate" nei dipendenti, in modo che sappiano con certezza dove possono andare e dove no.
Consideriamo un esempio di endpoint poco monitorati: attraverso le reti wireless all'esterno dell'istituto è possibile accedere a quegli endpoint che sono stati lasciati accesi, o ai laptop che sono stati portati fuori dall'azienda. Questo costituisce una vera e propria apertura verso la rete o i dati aziendali, senza che nessuno se ne possa accorgere.
E cosa dire delle cartelle condivise? Molti grandi progetti conservano i dati in cartelle condivise, per facilitare il flusso informativo. Ma una volta che il flusso è partito, diventa difficile da fermare. Può capitare che in una cartella condivisa vadano a finire informazioni sensibili o classificate, semplicemente a causa di un errore umano, senza alcuna intenzione.
Una volta che il documento è inserito nella cartella, diventa disponibile a chiunque.
Cosa fare per l'audit?
Le aziende devono effettuare due tipi di audit su base regolare: sua sulle loro reti, per individuare gli endpoint nascosti e altre vulnerabilità correlate, sia nei confronti delle persone che lavorano in azienda, per accertarsi che le policy di sicurezza siano state correttamente comprese e messe in pratica da tutta la struttura.
Ovviamente a monte di questo ci deve essere un processo educativo e di sensibilizzazione di tutto lo staff: e non pensate che l'amministratore delegato e il direttore generale si possano tirare indietro.
La maggior parte di noi istintivamente è portata a pensare agli hacker che attraverso Internet, e con metodologie raffinatissime penetrano all'interno delle reti aziendali venendo in possesso dei dati più critici.
In realtà, chiunque volesse impadronirsi dei dati di un'azienda vorrebbe trovarvicisi all'interno: le cose sono molto più semplici quando hai un accesso con credenziali regolari a una parte dei dati di un'azienda.
Sapere come e quando i dipendenti accedono alle informazioni aziendali significa avere un'infrastruttura di monitoraggio di ciò che avviene dalla postazione del dipendente (in questo ambito denominata endpoint) ai sistemi che erogano i dati.
Il controllo degli endpoint gioca un ruolo chiave nella prevenzione e nella mitigazione dei rischi correlati alla minaccia interna: le istituzioni finanziarie sono più sensibilizzate di altre aziende, soprattutto per merito delle normative internazionali sulla riduzione del rischio, mentre i settori farmaceutico e dell'alta tecnologia, dove la concorrenza è più serrata e il valore di un dato progettuale o di ricerca è proporzionalmente più elevato, tengono la guardia alta già da tempo.
La serie dei report CSI/FBI degli ultimi anni ha evidenziato che la maggior parte degli attacchi proviene dall'interno delle aziende: è da notare che alcuni endpoint sono già presidiati a dovere, sebbene, diciamocelo chiaramente, le maglie del controllo sono abbastanza larghe per permettere ai dipendenti di poter svolgere il loro lavoro.
Questo fattore deriva dalla diversa impostazione che l'ambito finanziario ha nei confronti della sicurezza, rispetto ad altri ambiti come quelli citati della farmaceutica o della tecnologia.
In questi ambiti esiste una predisposizione alla sicurezza che non solo è basata su una solida piattaforma di policy aziendali, ma è soprattutto patrimonio comune e condiviso da tutti. Sto parlando di un approccio che è ormai presente da qualche decina di anni in molte aziende e che viene instillato nei dipendenti contestualmente all'assunzione.
E' l'approccio della "sicurezza senza compromessi", che si contrappone a quello che ho incontrato in molte aziende, che chiamerò, per contrasto, della "sicurezza compromessa".
Cosa prevede quest'ultimo? Prevede che, per evitare le lagnanze dei dipendenti che si vedono cambiare una piccola componente della routine lavorativa a seguito dell'implementazione di nuove procedure, si pongano dei limiti ai controlli, si aprano le maglie dei controlli, si introducano delle eccezioni che, dal momento che non vengono documentate, diventano poi un incubo da gestire.
E' una consuetudine, statene certi. E questo genere di situazioni da un'idea di quanto, in quelle aziende, si dia importanza alla preservazione del capitale informativo.
A questo punto cosa possiamo fare?
Possiamo gestire le eccezioni (nessuna legge è perfetta) ma dobbiamo affermare con solidità che una volta che le policy sono state emanate, le eccezioni devono essere vagliate da un comitato apposito, approvate e documentate.
Inoltre, l'approccio più corretto per individuare una frode interna non si limita solo a osservare ciò che i dipendenti aprono e guardano nei documenti, ma anche il contesto di cosa stanno facendo con quelle informazioni: esistono applicazioni che si occupano di Fraud Intelligence (o Information leakage intelligence), in grado di applicare regole di controllo del contesto alle attività dell'utente interno.
Ogni organizzazione deve avere un set di policy aziendali (altrimenti dette acceptable use policy) che devono essere sostenute, rinforzate, "inculcate" nei dipendenti, in modo che sappiano con certezza dove possono andare e dove no.
Consideriamo un esempio di endpoint poco monitorati: attraverso le reti wireless all'esterno dell'istituto è possibile accedere a quegli endpoint che sono stati lasciati accesi, o ai laptop che sono stati portati fuori dall'azienda. Questo costituisce una vera e propria apertura verso la rete o i dati aziendali, senza che nessuno se ne possa accorgere.
E cosa dire delle cartelle condivise? Molti grandi progetti conservano i dati in cartelle condivise, per facilitare il flusso informativo. Ma una volta che il flusso è partito, diventa difficile da fermare. Può capitare che in una cartella condivisa vadano a finire informazioni sensibili o classificate, semplicemente a causa di un errore umano, senza alcuna intenzione.
Una volta che il documento è inserito nella cartella, diventa disponibile a chiunque.
Cosa fare per l'audit?
Le aziende devono effettuare due tipi di audit su base regolare: sua sulle loro reti, per individuare gli endpoint nascosti e altre vulnerabilità correlate, sia nei confronti delle persone che lavorano in azienda, per accertarsi che le policy di sicurezza siano state correttamente comprese e messe in pratica da tutta la struttura.
Ovviamente a monte di questo ci deve essere un processo educativo e di sensibilizzazione di tutto lo staff: e non pensate che l'amministratore delegato e il direttore generale si possano tirare indietro.
28.5.07
Quanto funziona il vostro antivirus?
I virus tentano di sabotare il nostro lavoro in modi sempre più raffinati: da tempo abbiamo installato un antivirus a bordo del nostro PC che (pensiamo) sia in grado di preservarci da ogni problema.
Credo che molti di voi avranno constatato che ciò non è sempre vero: personalmente, oltre all'antivirus installato (non più di uno alla volta) e oltre a mantenere un approccio "sicuro" verso la navigazione (evitando cioè siti "sospetti"), utilizzo altri tool, come ad esempio Hijack-this, per identificare qualche infezione che potrebbe essere sfuggita alle maglie di controllo dell'antivirus.
Spesso, però, mi sono chiesto quanto fosse efficace il mio AV contro le insidie del "mondo esterno".
Ed ecco che ci viene in aiuto il gruppo AV-Test.org, un progetto indipendente della Otto-von-Guericke-University Magdeburg (Germania) che, in cooperazione con AV-Test GmbH, mette sotto test, a intervalli regolari, software anti-virus, anti-spyware e personal firewall.
Lo scopo è quello di verificare le capacità di individuazione dei virus, configurando i prodotti con le opzioni di detection più aggrssive.
Nell'ultimo test, segnalato da PC Magazine, si prevedeva di testare le capacità di 29 prodotti con versioni aggiornate al 18 maggio 2007 verso 606,901 problemi diversi, tra cui:
* 68,864 backdoor
* 407,487 Trojan Horse
* 47,891 bots (zombies)
* 82,659 worm
Beh, non c'è che dare ora un'occhiata alla classifica per capire se abbiamo fatto la scelta giusta:
Credo che molti di voi avranno constatato che ciò non è sempre vero: personalmente, oltre all'antivirus installato (non più di uno alla volta) e oltre a mantenere un approccio "sicuro" verso la navigazione (evitando cioè siti "sospetti"), utilizzo altri tool, come ad esempio Hijack-this, per identificare qualche infezione che potrebbe essere sfuggita alle maglie di controllo dell'antivirus.
Spesso, però, mi sono chiesto quanto fosse efficace il mio AV contro le insidie del "mondo esterno".
Ed ecco che ci viene in aiuto il gruppo AV-Test.org, un progetto indipendente della Otto-von-Guericke-University Magdeburg (Germania) che, in cooperazione con AV-Test GmbH, mette sotto test, a intervalli regolari, software anti-virus, anti-spyware e personal firewall.
Lo scopo è quello di verificare le capacità di individuazione dei virus, configurando i prodotti con le opzioni di detection più aggrssive.
Nell'ultimo test, segnalato da PC Magazine, si prevedeva di testare le capacità di 29 prodotti con versioni aggiornate al 18 maggio 2007 verso 606,901 problemi diversi, tra cui:
* 68,864 backdoor
* 407,487 Trojan Horse
* 47,891 bots (zombies)
* 82,659 worm
Beh, non c'è che dare ora un'occhiata alla classifica per capire se abbiamo fatto la scelta giusta:
| Programma | Problemi individuati | % di successo |
| WebWasher | 605,846 | 99.83% |
| AVK 2007 | 604,255 | 99.56% |
| AntiVir | 603,408 | 99.42% |
| F-Secure | 594,333 | 97.93% |
| Symantec | 593,355 | 97.77% |
| Kaspersky | 592,606 | 97.64% |
| Fortinet | 589,028 | 97.06% |
| Avast! | 584,574 | 96.32% |
| AVG | 583,541 | 96.15% |
| Rising | 582,772 | 96.02% |
| BitDefender | 580,700 | 95.68% |
| Norman | 574,476 | 94.66% |
| Ikarus | 561,607 | 92.54% |
| Panda | 558,899 | 92.09% |
| Trend Micro | 552,107 | 90.97% |
| Nod32 | 536,043 | 88.32% |
| McAfee | 529,680 | 87.28% |
| Dr Web | 520,959 | 85.84% |
| F-Prot | 517,491 | 85.27% |
| VBA32 | 498,264 | 82.10% |
| Sophos | 496,135 | 81.75% |
| eSafe | 495,074 | 81.57% |
| Microsoft | 488,942 | 80.56% |
| Ewido | 456,660 | 75.24% |
| VirusBuster | 441,341 | 72.72% |
| Command | 414,036 | 68.22% |
| ClamAV | 387,276 | 63.81% |
| QuickHeal | 382,557 | 63.03% |
| eTrust-VET | 376,983 | 62.12% |
17.5.07
Quando la tecnologia non può nulla
Abbiamo un bel lavorare noi che ci occupiamo (anche) di sicurezza: vai da una società, cerchi di sensibilizzarla su determinati argomenti cercando di trasmettere un'immagine della sicurezza che non sia solo una voce dell'elenco dei costi, ma un vero e proprio patrimonio aziendale, una cultura, un approccio che dovrebbe permeare tutta la struttura organizzativa.
Organizzi seminari, corsi, divulghi informazioni e testi, proponi (anche) soluzioni che cerchino di mitigare i rischi relativi al trattamento di informazioni sensibili che ogni azienda tratta all'interno della sua attività.
E' un duro lavoro, poiché le aziende prima di tutto pensano a come fare business, a guadagnare soldi, a discapito di quello che è poi la capacità di preservare i risultati, ovvero il frutto del proprio lavoro, e soprattutto la privacy dei propri clienti.
Vi farò un esempio, anzi, lascerò che l'esempio ve lo faccia YouTube: in questo video potrete vedere dei rappresentanti dei sindacati che, frugando tra la spazzatura delle filiali della banca, scoprono documentazione cartacea contenente dati sensibili dei clienti.
Nome e cognome, indirizzi, Social Security Number (qualcosa come il nostro codice fiscale) associati a numeri di conto corrente, firme, tutti dati a disposizione di chiunque.
Cosa ci può insegnare questo episodio? Che le aziende finanziarie non devono investire solo nella tecnologia, ma si devono assicurare che le prassi (o le policy) aziendali sulla non divulgazione di dati sensibili siano recepite e implementate a tutti i livelli della struttura organizzativa.
E' intuibile capire come l'informazione sia sensibile in tutti i suoi formati e in ogni momento del suo ciclo di vita: dalla creazione, alla diffusione, alla replicazione, alla distruzione.
Purtroppo l'informazione è replicabile e ogni azienda che voglia garantire la propria sicurezza, deve tenerlo ben presente: ogni qualvolta avvenga la duplicazione di un dato sensibile, anche il suo nuovo formato dovrà essere salvaguardato, che si tratti di file o fotocopie cartacee.
E per implementare questo è necessario che ogni singolo impiegato sia consapevole della sua responsabilità nei confronti dell'informazione, dell'azienda e dei clienti.
Non si tratta, quindi, solo di stilare procedure e policy che una volta scritte vanno a finire in un archivio e una volta lette terminano il loro ciclo di vita nel cestino sotto il tavolo, o in quello di Windows: si tratta di creare una cultura della sicurezza e divulgarla nel modo più efficace possibile. Non parlo di comunicazioni interne o di email, ma di corsi, seminari, video, manuali, strumenti che implementano un approccio completo.
Pensate anche solo al danno di immagine che una fuga di informazioni può comportare: se foste a New York, dopo aver visto il video, aprireste un conto alla Chase Bank?
Organizzi seminari, corsi, divulghi informazioni e testi, proponi (anche) soluzioni che cerchino di mitigare i rischi relativi al trattamento di informazioni sensibili che ogni azienda tratta all'interno della sua attività.
E' un duro lavoro, poiché le aziende prima di tutto pensano a come fare business, a guadagnare soldi, a discapito di quello che è poi la capacità di preservare i risultati, ovvero il frutto del proprio lavoro, e soprattutto la privacy dei propri clienti.
Vi farò un esempio, anzi, lascerò che l'esempio ve lo faccia YouTube: in questo video potrete vedere dei rappresentanti dei sindacati che, frugando tra la spazzatura delle filiali della banca, scoprono documentazione cartacea contenente dati sensibili dei clienti.
Nome e cognome, indirizzi, Social Security Number (qualcosa come il nostro codice fiscale) associati a numeri di conto corrente, firme, tutti dati a disposizione di chiunque.
Cosa ci può insegnare questo episodio? Che le aziende finanziarie non devono investire solo nella tecnologia, ma si devono assicurare che le prassi (o le policy) aziendali sulla non divulgazione di dati sensibili siano recepite e implementate a tutti i livelli della struttura organizzativa.
E' intuibile capire come l'informazione sia sensibile in tutti i suoi formati e in ogni momento del suo ciclo di vita: dalla creazione, alla diffusione, alla replicazione, alla distruzione.
Purtroppo l'informazione è replicabile e ogni azienda che voglia garantire la propria sicurezza, deve tenerlo ben presente: ogni qualvolta avvenga la duplicazione di un dato sensibile, anche il suo nuovo formato dovrà essere salvaguardato, che si tratti di file o fotocopie cartacee.
E per implementare questo è necessario che ogni singolo impiegato sia consapevole della sua responsabilità nei confronti dell'informazione, dell'azienda e dei clienti.
Non si tratta, quindi, solo di stilare procedure e policy che una volta scritte vanno a finire in un archivio e una volta lette terminano il loro ciclo di vita nel cestino sotto il tavolo, o in quello di Windows: si tratta di creare una cultura della sicurezza e divulgarla nel modo più efficace possibile. Non parlo di comunicazioni interne o di email, ma di corsi, seminari, video, manuali, strumenti che implementano un approccio completo.
Pensate anche solo al danno di immagine che una fuga di informazioni può comportare: se foste a New York, dopo aver visto il video, aprireste un conto alla Chase Bank?
3.5.07
La sicurezza è un mercato dei limoni?
Alcuni giorni orsono mi trovai a presentare un prodotto di sicurezza sviluppato da noi e contenente un’implementazione dell’algoritmo AES con chiave a 256 bit.
Tra le varie funzioni del prodotto vi è la possibilità di crittografare un file e, mentre stavo esponendo questa funzione al mio interlocutore (un responsabile dei sistemi informativi) mi sentii chiedere: “Ma chi mi garantisce che effettivamente il programma faccia quello che lei afferma? Davvero implementa una crittografia forte così come lei dice?”
Al momento rimasi sorpreso dalla questione sollevata in quanto mi aspettavo una maggior fiducia poiché l'AES è un algoritmo implementato ormai dalla gran parte delle applicazioni di crittografia. Dopo un rapido calcolo, però, decisi di svelare parte dell’arcano e di mostrare qualche riga di codice, che, fortunatamente, conservavo in una zona criptata dell’hard disk del mio notebook.
Il mio interlocutore rimase ben impressionato dalla mia disponibilità, dalla capacità di spiegazione dell’architettura dell’applicazione e, soprattutto, da quelle poche righe di codice che indicavano che ciò che affermavamo era coerente con ciò che era contenuto nel programma.
Tutto sommato, gli sono grato di avermi dato la possibilità di aumentare la sua fiducia nei confronti della sicurezza dell’applicazione.
Qual è quindi la morale di questa storia?
Nel mercato della sicurezza esistono decine di prodotti diversi che cercano di risolvere lo stesso problema. Il successo di un prodotto sull’altro non sempre è dato dalle sue caratteristiche di efficacia, robustezza, affidabilità, etc.
Ce lo spiega anche Bruce Schneier nel suo articolo “A security market for lemons”, quando parla di Secustick, l’azienda che offriva l’unico prodotto sul mercato con capacità autodistruttive. Secustick è ua chiave USB in grado di crittografare il contenuto e proteggerlo con una password: nel caso si tentasse di accedervi non conoscendola, il contenuto viene distrutto dopo un certo numero di tentativi.
L’azienda affermava inoltre che il prodotto era stato commissionato dai servizi segreti francesi e veniva correntemente utilizzato in campo militare e da alcune banche.
Per sua sfortuna, un gruppo di esperti olandesi di Tweakers.net dimostrò che non esisteva nessuna funzione di autodistruzione, che la protezione via password poteva essere bypassata e che le informazioni non venivano nemmeno criptate. Non so qual è il numero di chiavette USB vendute, ma so per certo che ora il sito dell’azienda olandese è momentaneamente “offline” in attesa di una nuova versione di Secustick.
Perché ci sono così tanti prodotti mediocri nel mercato della sicurezza? Ma come, non lo sapevate? Ebbene, è proprio così. E perché si vendono più i prodotti mediocri dei prodotti buoni?
Ce lo spiega George Akerlof, economista americano, nel suo "The Market for 'Lemons' in cui illustra la sua teoria dell’informazione asimmetrica, in cui il venditore ha più informazioni sul prodotto di quante ne abbia il compratore.
Nell’esempio del mercato delle auto usate, in cui sono presenti auto migliori e auto peggiori (i cosiddetti “limoni” negli USA), il compratore basa il suo acquisto su un’auto usata di qualità media. A questo punto le auto migliori non verrano vendute, per il loro prezzo più alto. La loro rimozione del mercato ridurrà il prezzo medio che i compratori sono disposti a sostenere, e quindi anche le auto buone verranno tolte dal mercato, e così via, finché non rimarranno soltanto le auto di cattiva qualità (i limoni).
In conclusione, in un mercato dove il venditore ha più informazioni del compratore, I prodotti peggiori possono eliminare i migliori.
Il mercato della sicurezza è molto simile: il caso delle chiavette USB sicure descritto sopra è paradigmatico. Di fronte a offerte similari, dove i produttori affermano di utilizzare gli stessi algoritmi di crittografia, chi può farla da padrone? È estremamente arduo basare una decisione di scelta sull’efficacia del prodotto: il compratore dovrebbe avere gli strumenti (tecnologici e di conoscenza) per effettuare della valutazioni comparate, ma si tratta di attività specifiche e onerose, in termini di tempo e denaro da investire.
Quindi, i prodotti di sicurezza molto spesso non vengono scelti perché più sicuri di altri (caratteristiche non comparabili dai compratori, se non sulla carta), ma bensì per le caratteristiche più comparabili, ovvero il prezzo, la facilità di installazione e di configurazione, la semplicità d’utilizzo, la poca invasività nelle attività dell’amministratore della sicurezza. O ancora, la “pervasività” del venditore, la reputazione del produttore o le valutazioni di organismi indipendenti (i cosiddetti “analisti”).
30.4.07
Bancomat clonati go America!
Sembra che i modi truffaldini per clonare i Bancomat siano sbarcati anche in America: secondo il Washington Post, i correntisti devono stare attenti agli sportelli automatici (ATM points, in English - da Automatic Teller Machine) che non hanno un'aspetto standard.
Nell'immagine viene mostrato un bancomat con un'enorme scatola contenente una telecamera wireless: niente a che vedere con le sofisticate tecnologie utilizzate dai criminali che operano in Italia.
Finalmente qualcosa in cui l'Europa è più avanti!
Nell'immagine viene mostrato un bancomat con un'enorme scatola contenente una telecamera wireless: niente a che vedere con le sofisticate tecnologie utilizzate dai criminali che operano in Italia.
Finalmente qualcosa in cui l'Europa è più avanti!
Iscriviti a:
Post (Atom)