UNIVERSITÀ DEGLI STUDI DI MILANO

Dimensione: px
Iniziare la visualizzazioe della pagina:

Download "UNIVERSITÀ DEGLI STUDI DI MILANO"

Transcript

1 UNIVERSITÀ DEGLI STUDI DI MILANO Facoltà di Scienze Matematiche, Fisiche e Naturali Corso di Laurea in Sicurezza dei Sistemi e delle Reti Informatiche Realizzazione di un'architettura di rete per l'accesso remoto tramite SSL-VPN e utilizzo di tecnologie per strong authentication RELATORE Prof. Marco Cremonini CORRELATORE Giordano Zambelli TESI DI LAUREA DI Giacomo de Giorgis Matr Anno Accademico 2006/2007

2

3 INTRODUZIONE Lo stage di laurea si è svolto presso Besafe srl, un azienda formata da giovani imprenditori professionisti con esperienze diversificate nel settore informatico. L azienda che mi ha ospitato costituisce una società di servizi finalizzati alla progettazione, realizzazione e gestione di infrastrutture informatiche destinate a piccole, medie e grandi imprese operanti in tutti i settori del mercato mondiale. Il suo business si focalizza in ambito Networking, Sistemi, Security e Servizi di Assistenza personalizzati fino a proporre soluzioni di outsourcing del sistema informativo. Nel presente lavoro di tesi si è affrontata la progettazione di un infrastruttura di rete per l accesso a terminal server tramite l apparato SSL-VPN con l utilizzo di tecnologie di strong authentication (OTP per l accesso al portale SSL e certificato digitale per il logon) fornite da un unico token. Questo lavoro di tesi rappresenta un lavoro reale eseguito presso un cliente della società che mi ha ospitato durante lo stage. Il cliente in questione è una società di franchising che conta una rete di ben 60 agenzie sparse per il territorio nazionale, in costante aumento; la natura di tale società prevede la gestione centralizzata delle applicazioni necessarie al proprio lavoro. Prima di descrivere il lavoro svolto ho scelto di trattare teoricamente gli argomenti che si vedranno poi applicati in pratica. Il discorso di tesi comincia con una breve introduzione sullo stato della sicurezza informatica in Italia ad oggi; il discorso è molto interessante poiché ho potuto riscontrare realmente come nelle aziende la sicurezza sia vista come un costo da ridurre al minimo più che come un investimento sul quale costruire un infrastruttura sicura e duratura. Proseguendo il discorso va a trattare le motivazioni della sicurezza informatica analizzando le nuove minacce con lo sviluppo delle infrastrutture. Poi si passa al punto di vista dei sistemisti trattando come approcciare alla sicurezza per valutare e agire al meglio nelle realtà nelle quali ci si viene a trovare. Gestire la sicurezza aziendale non significa solo accendere l ultimo appliance che il mercato offre ma vuol dire entrare a pieno nella conoscenza dei problemi, rischi e pericoli con i quali l azienda si trova o si potrebbe trovare a che fare e implementare di volta in volta le policy corrette.

4 Bisogna tener conto che investire poco o non investire affatto in sicurezza potrebbe ricadere esclusivamente sull economia dell azienda poiché se dovesse venire a verificarsi uno dei fattori di rischio, le perdite per l azienda potrebbero essere enormemente superiori al mancato investimento. Il discorso di tesi passa ora a introdurre le soluzioni che sono state adottate partendo da un discorso generale su crittografia, autenticazione, firewalling e VPN che sono gli argomenti che si trovano nel progetto. La Crittografia la si trova quando si parla di infrastruttura PKI e Certification Authority che sono la teoria che sta a base dell utilizzo dei token di sicurezza; la si trova anche quando si ha a che fare con protocolli di autenticazione come ad esempio RADIUS e SSL. Per quanto riguarda firewalling e VPN ho scelto di fare un breve excursus sulle tipologie, le funzionalità di base e quelle avanzate. Tutti argomenti con i quali mi sono dovuto scontrare durante la realizzazione del progetto. Il realizzazione del progetto è descritta nell ultimo capitolo. Le fasi di questa realizzazione possono essere così riassunte. La prima fase ha comportato la raccolta delle esigenze manifestate dal cliente e ha fatto emergere le seguenti caratteristiche della soluzione da proporre: stabilità, espandibilità, interoperabilità con le nuove tecnologie (quali VoIP, ecc) e messa in sicurezza della struttura informatica. Dopo un attenta analisi delle esigenze sopracitate e delle problematiche presenti in quel momento nella rete, s è deciso di proporre una soluzione scalabile in grado di poter procedere per passaggi, fino al conseguimento dell infrastruttura ottimale senza impattare troppo sul modo di lavorare degli affiliati. Tra le fasi di implementazione del progetto finora svolte da notare l attivazione delle VPN SSL tra agenzie e sede centrale e l attivazione della Strong Authentication per le quali si troverà una minuziosa descrizione. Questo stage mi ha permesso, oltre alla realizzazione del progetto che citerò in questo lavoro di tesi, di occuparmi e acquisire conoscenze negli altri campi dell informatica, applicando e ampliando le conoscenze acquisite durante gli anni di corsi universitari; facendomi rendere conto della fortuna avuta a frequentare questo corso universitario.

5 Sommario CAPITOLO 1 - LA SICUREZZA INFORMATICA... 1 LE RAGIONI DELLA SICUREZZA IT... 6 Verso un azienda aperta... 7 L evoluzione delle infrastrutture... 8 Dall analisi di esigenze e risorse ai requisiti di protezione... 9 Le minacce nell era del Web Il calo dei virus e l aumento dello spam L adware nuova fonte di reddito Web 2.0 e Bot net LA COMPLIANCE ALLE NORMATIVE CAPITOLO 2 - LE SOLUZIONI PER LA SICUREZZA Cosa s intende per IT security L evoluzione delle soluzioni di protezione UN APPROCCIO INTEGRATO ALLA SICUREZZA Un approccio sistemico La necessità di un responsabile L eccesso di informazioni Anticipare gli attacchi Protezione multilivello IL TREND DEGLI INVESTIMENTI IN SECURITY CAPITOLO 3 - LA GESTIONE DELLA SICUREZZA Non solo tecnologia L analisi del rischio Identificazione delle risorse Identificazione delle minacce Vulnerability assessment La valutazione del rischio LE POLICY DI SICUREZZA I

6 Analisi e progettazione delle policy Implementare le policy Le aree interessate Un piano di emergenza sempre pronto IL COSTO DEL MANCATO INVESTIMENTO IN SICUREZZA CAPITOLO 4 - LA CRITTOGRAFIA PKI: L INFRASTRUTTURA DI SICUREZZA A CHIAVE PUBBLICA La Certification Authority (CA) I token di sicurezza L integrazione tra crittografia e analisi dinamica dei comportamenti La Certification Authority (CA) CAPITOLO 5 - AUTENTICAZIONE E IDENTITY MANAGEMENT Le 3 A Implementare un sistema di autenticazione I PRINCIPALI PROTOCOLLI DI AUTENTICAZIONE Il Secure Socket Layer (SSL) RADIUS CAPITOLO 6 - I LIVELLI DI PROTEZIONE DEL FIREWALL LE FUNZIONI DI BASE DI UN FIREWALL La Network Address Translation (NAT) Il filtraggio del traffico LE TIPOLOGIE DI FIREWALL Packet filtering firewall Proxy server firewall Stateful packet inspection firewall LE FUNZIONI AVANZATE DI UN FIREWALL La costituzione di una DMZ per proteggere la LAN Una barriera prima del tunnel delle VPN Content filtering II

7 CAPITOLO 7 - L AFFERMAZIONE DELLE VPN Le reti prima dell IP Architetture e apparati per reti convergenti e VPN CONVERGENZA E VPN ALL INSEGNA DI IP La sicurezza dei dati con le VPN LA REALIZZAZIONE DI UNA VPN L affermazione dello standard IPSec nella realizzazione di VPN L architettura IPSec Autenticazione ed encryption per una VPN sicura CAPITOLO 8 - PROGETTO DI UN INFRASTRUTTURA DI SICUREZZA Situazione iniziale Proposta soluzione IPOTESI DI LAVORO L SSL-VPN Il token Il TMS SVILUPPI FUTURI BIBLIOGRAFIA III

8 IV

9 Capitolo 1 LA SICUREZZA INFORMATICA È già qualche anno che il mercato della sicurezza informatica vive momenti di grande fermento, come è naturale per un mercato tutto sommato giovane. In effetti, si tratta di un settore che nasce insieme ai computer stessi, ma fino a metà degli anni Novanta è rimasto un segmento di nicchia, caratterizzato da tecnologie perlopiù proprietarie. Con la diffusione dei pc si è cominciato a parlare di virus e antivirus, ma è solo con l esplosione della fase commerciale di Internet e con il proliferare delle reti che quello della sicurezza è diventato un problema di massa. L evoluzione, cui si è assistito nella prima decina di anni di questo rinnovato settore, è stata segnata da cambiamenti notevoli sotto il profilo tecnologico e non solo. A ben guardare, fattore comune tra i settori ad alta dinamicità è proprio Internet e la sua influenza sulla società umana, prima ancora che sulla tecnologia. Oggi, quello della sicurezza è un mercato sottoposto a forti pressioni, sul lato sia della domanda sia dell offerta. In quest ultimo, in particolare, si registra un processo di concentrazione, che sembra segnare l inizio di una fase di maturazione del mercato. In effetti, sono molte le acquisizioni che fanno cronaca: alcune in buona parte tese ad aumentare la massa critica e molte altre necessarie per consentire ad alcuni player di successo ma storicamente confinati in aree di nicchia di arricchire il proprio portafoglio tecnologico. Per quanto riguarda la domanda, invece, si è osservato in Italia un marcato impulso degli investimenti sulla spinta delle normative, soprattutto di quella legge nota come Testo Unico sulla Privacy. Assolutamente condivisibili sotto l aspetto degli obiettivi, tali normative hanno aperto alcune diatribe sul fronte dell applicabilità. Da qui sono divampate polemiche, per esempio, da parte di chi ha visto un impoverimento del mercato, nonostante i grandi tassi di crescita registrati negli ultimi anni. L assioma di partenza su questo fronte è che l imprenditore obbligato a investire per legge di fatto reagisce con fastidio puntando a spendere semplicemente il meno possibile, senza un reale obiettivo e senza in realtà la garanzia di aver speso effettivamente il giusto per ridurre il rischio aziendale. Soprattutto viene contestato che l obbligo porta a vedere la sicurezza come un costo, esattamente come ancora per molti vale

10 La sicurezza informatica CAPITOLO 1 per tutta l ICT e, quindi, perdendo di vista il valore innovativo della tecnologia e le opportunità di business che invece si possono aprire. Bisogna ammettere che a soffiare sul fuoco, peraltro, hanno contribuito e non poco tutti i principali player della sicurezza che, almeno nella prima fase di sviluppo del mercato hanno adottato una strategia del terrore, ponendo l accento sulla crescita delle minacce e del rischio. Entrambi fattori indubbiamente impressionanti, ma cui solo recentemente sono stati abbinati messaggi positivi sui vantaggi che derivano dalla sicurezza. Sono stati comunque i segni della crisi a spostare le strategie, in quanto nessun azienda è più disposta a spendere senza poter misurare il Roi degli investimenti. È evidente che risulta difficile impostare un progetto di sicurezza basato solo sulla protezione da probabili minacce, il cui risultato, se tutto va bene, è che non succede niente. Con un simile approccio, il ritorno sull investimento è solo evitare esborsi economici anche importanti in caso di attacco informatico: è, cioè, la riduzione del rischio. Chi ha basato le proprie strategie di vendita sulla paura ha trovato terreno fertile solo laddove la cultura del rischio era già diffusa, cioè dove esistevano i presupposti per poter misurare tale rischio. Solo in tal modo, infatti, si può usare tale misura per calcolare il Roi. Ma per sfruttare la sicurezza in modo da aumentare il valore del business e arrivare a misurare Roi decisamente più tangibili, è necessario compiere ulteriori passi avanti. Approcci sistemici, basati su metodologie rigorose e codificate in best practice internazionali, come lo standard BS7799 o ISO 27001, hanno permesso a molte imprese di scoprire il valore di un sistema completo di ICT Security. A parte di chi sia il merito, se di vendor illuminati che hanno spinto su tasti diversi o di aziende accorte che hanno saputo affrontare il problema sicurezza con il giusto criterio, di fatto l applicazione di analisi ben disciplinate in fase iniziale ha consentito a molte imprese di approfittare degli assessment orientati alla sicurezza per comprendere a fondo le dinamiche dei propri processi di business, con indubbi vantaggi anche organizzativi. Come accennato, infatti, le imprese già avvezze a gestire il rischio o, in altre parole, quelle già fortemente orientate a una corretta governance aziendale, sono state quelle che prima di altre hanno direzionato il sistema di sicurezza sul binario giusto. Le imprese che comunque sono partite coll approccio giusto, adottando pratiche già consolidate a ragion veduta, hanno compiuto un percorso inverso, arrivando a capire l importanza e i vantaggi di una governance aziendale. Non è un caso, perché, in buona sostanza, l obiettivo del legislatore è soprattutto quello di obbligare le aziende a ridurre il loro rischio. Il punto, sostenuto dai più, è che tale obiettivo è stato posto in secondo piano e che, pur essendo le best practice indicate come un riferimento dalla legge o relativi regolamenti annessi, di fatto l accento viene 2

11 La sicurezza informatica CAPITOLO 1 posto ancora una volta sull aspetto di protezione dei dati e sulla responsabilità in caso di eventuali danni, anche nei confronti di terzi. Non essendoci precise indicazioni sui requisiti da soddisfare per raggiungere la compliance, il risultato è l incertezza. La conformità, in realtà, viene valutata da un controllore, che deve esaminare appunto il livello di rischio e confrontarlo con il livello di sicurezza raggiunto grazie alle misure protettive adottate. È evidente che un approccio sistemico basato sulla valutazione del proprio rischio aziendale, porta direttamente nella direzione della conformità. A tal riguardo, probabilmente, la legge avrebbe potuto aiutare di più le imprese a inquadrarne gli oneri. I vantaggi di una corretta governance vanno in direzione del business, nel momento in cui non ci si concentra solo sull aspetto dei costi, ma si impara a gestire il rischio collegandolo ai processi aziendali. In particolare, sul lancio di nuovi prodotti o servizi, le aziende hanno spesso difficoltà a valutare i costi con precisione e quindi a fissare un prezzo adeguato a stabilire il giusto rapporto tra domanda e offerta. Questo soprattutto negli scenari di mercato attuali, che vedono nel Web uno strumento ancora giovane e in gran parte inesplorato per lo sviluppo del business. Proprio su questo fronte, l adozione di un sistema di sicurezza completo rappresenta un prerequisito fondamentale per il varo di attività che possono portare grandi opportunità. L esempio più lampante è quello del mondo bancario. Se fino a poco tempo fa l attenzione era concentrata sulle rapine oggi lo è sul phishing e annesse frodi online, ma sulla sicurezza le banche sono tradizionalmente impegnate e, appunto, hanno un innata capacità a valutare il rischio. Per questo rappresentano forse l avanguardia sul fronte dei servizi online resi possibili dalla sicurezza. Gli investimenti in sicurezza, già obbligatori, hanno spinto molte banche a sfruttarli per avviare home banking, Internet banking e così via. Certamente, un analisi semplicistica, ma tesa solo a esemplificare i benefici che si possono dedurre dalla compliance. Il cosiddetto fenomeno del Web 2.0, che segna la consacrazione di Internet a nuovo media e proietta diversi scenari di mercati innovativi e ancora da creare, dovrebbe ulteriormente spingere verso una sensibilizzazione delle aziende nei confronti della sicurezza. L adozione di best practice resta probabilmente l unica strada sensata per valutare correttamente le proprie esigenze e non perdere la bussola in un mare di offerte sempre più caotico. Sul fronte tecnologico, l evoluzione dell offerta negli ultimi dieci anni circa è stata caratterizzata dalla rincorsa alla minaccia. Ogni nuovo tipo d attacco ha tipicamente determinato la nascita di una nuova categoria di strumenti per la protezione: dal virus gli antivirus, dallo spam gli anti spamming, dagli spyware gli anti spyware e via dicendo. La rapidità con cui queste minacce hanno cominciato a diffondersi e, soprattutto, ad 3

12 La sicurezza informatica CAPITOLO 1 autoduplicarsi, ha ben presto posto il problema di come riuscire a controllare tutto il traffico dati per identificare queste diverse tipologie di minacce. Ancora una volta: si pone un problema e il mercato risponde con una soluzione, cioè le appliance. Sono queste ultime, infatti, le protagoniste della sicurezza nei primi anni del 2000: soluzioni che portano in azienda consolidati software carrozzati con hardware ottimizzati per soddisfare le esigenze di protezione e al contempo di prestazioni, con una maggiore facilità di gestione. Su questa scia si è assistito a uno sviluppo di sistemi one box che hanno man mano affiancato in un unica scatola più soluzioni, arrivando a declinare in versione appliance vere e proprie suite di protezione. Nella sostanza, si tratta di una sorta di massificazione dell approccio best of breed originale: cioè l integrazione di tante soluzioni per quante minacce si vogliono fronteggiare. Se, inizialmente, solo le grandi imprese si potevano permettere gli investimenti in competenze necessarie per integrare sistemi sempre più complessi, con le suite si apre il mercato anche alle Pmi, che possono gestire un unico prodotto. La versione appliance dotata di supporto per il remote management e proposta da un service provider ha consentito lo sviluppo del mercato dei Managed Security Service (MSS). Finora, peraltro, confinato perlopiù alla gestione dei firewall. L ultima generazione di suite/appliance si è affermata nel corso del 2006 con la denominazione di UTM (Unified Threat Management). Il primo indesiderato effetto del proliferare di soluzioni UTM è l apparente appiattimento dell offerta: perché mancando una definizione univoca codificata, dietro lo stesso termine si ammassano sistemi molto diversi nella natura e nella sostanza. Il fattore comune è che si tratta di sistemi che combinano diverse soluzioni e tecnologie di protezione. Poi, però, ci sono UTM che attuano una vera e propria integrazione di queste ultime e altre che semplicemente si limitano ad attuare i controlli in parallelo. Ci sono quelle che presentano una console di gestione unica avanzata e quelle che presentano possibilità di management ridotte. Anche la stessa quantità di tecnologie presenti varia. Infine, molto diverse possono essere le prestazioni, da valutare, inoltre, sotto il profilo del livello di sicurezza garantito e sotto quello del throughput, considerato che tipicamente si tratta di apparati che vanno in linea sulla rete. In realtà, i sistemi di Unified Threat Management, come suggerisce il nome, si occupano comunque solo di un aspetto del problema sicurezza: la gestione delle minacce. Tra l altro, senza risolvere appieno neanche questo. Infatti, la maggior parte delle soluzioni sul mercato forniscono un all in one che, pur presentando tutte le funzioni, non le gestisce in maniera 4

13 La sicurezza informatica CAPITOLO 1 integrata, tranne i sistemi più avanzati dotati di un motore di correlazione e di una console che effettivamente riesce a gestire in modo coordinato gli eventi registrati tramite le diverse tecnologie. Anche con il supporto di adeguati strumenti di amministrazione, peraltro, la complessità della tematica sicurezza pone grossi problemi di competenze. Le grandi imprese sono le uniche che possono permettersi team strutturati, dedicandovi persone e investendo nella loro formazione e certificazione professionale. La carenza di specialisti, peraltro, non sembra spingere verso l alto gli stipendi dei professionisti, perché, ancora una volta, la maggior parte delle aziende tende a sottovalutare il problema della sicurezza e quello della compliance. In ogni caso, si tratta di costi difficilmente alla portata della piccola impresa, mentre la media si trova in mezzo al guado. In tale situazione, si stanno affacciando sul mercato servizi di nuova concezione. Si è detto che gli MSS tradizionali sono finora limitati e questo dipende in massima parte dalla diffidenza delle imprese a dare in outsourcing un aspetto tanto delicato quanto la sicurezza delle informazioni aziendali. Senza contare il problema della responsabilità legale. Per superare queste problematiche sono stati pensati servizi che forniscono supporto per la gestione della tecnologia e che, quindi, risolvono tutti gli aspetti legati alla complessità del threat management. Ancora una volta il focus, peraltro, è sulla pur fondamentale protezione o, come si dice nel settore, sull approccio Bad Guys Out. Come accennato è fondamentale anche ricercare i benefici di un apertura sicura dei propri sistemi informativi, quindi non solo tenere fuori i cattivi e pensare a evitare le intrusioni, ma anche creare le condizioni per cui i buoni possano entrare e sviluppare così il business. Non è un caso che negli ultimi anni si sono sviluppate notevolmente le tecnologie sul fronte del Good Guys In. Evoluzione soprattutto in chiave Web, considerato che le 3A (Authentication Authorization Accounting) appartengono agli albori della sicurezza. Nel mondo virtuale, sempre più popolato da avatar e vissuto da nickname le tecnologie di indentity e access management assumono un ruolo fondamentale. In questa direzione si stanno attivando player innovativi per fornire comunque servizi di outsourcing più o meno parziali, combinati con servizi di consulenza. Prende sempre più piede, soprattutto presso la Pmi, l ipotesi di nominare un responsabile della sicurezza esterno, come di fatto accade per altre figure, quali il medico del lavoro o l RSPP (Responsabile del Servizio di Prevenzione e Protezione) previsto dalla legge 626. Naturalmente con tutti i condizionamenti del caso, in quanto la responsabilità dei dati, per la legge sulla Privacy, rimane il rappresentante legale dell azienda, ma le varie figure intermedie che hanno la responsabilità dei sistemi e della 5

14 La sicurezza informatica CAPITOLO 1 tecnologia possono essere consulenti esterni. Forse l unico modo per superare il problema dello skill shortage. LE RAGIONI DELLA SICUREZZA IT L atteggiamento un tempo più diffuso, quando in azienda si cominciava a parlare di sicurezza informatica, era quello che molte società del settore ancora oggi identificano come quello dello struzzo. Una comprensibile ignoranza delle problematiche faceva ritenere che la probabilità di subire un attacco informatico fosse molto bassa e che, tipicamente,questi eventi accadessero a qualcun altro. Del resto, lo stesso atteggiamento, ancor oggi, si può osservare se si esaminano le procedure di sicurezza applicate in molte imprese, per esempio in materia di prevenzione degli incendio, in generale, degli incidenti sul lavoro. Eppure la sicurezza è un concetto antico quanto quello stesso d azienda. La protezione del patrimonio intellettuale, i brevetti, le barriere all ingresso di una banca, i controlli all uscita da una miniera di diamanti, le guardie giurate, sono tutti elementi volti a garantire la sicurezza aziendale. Si potrebbe andare ancora avanti a elencare altri provvedimenti per la sicurezza aziendale. La relativa giovinezza degli strumenti informatici e, soprattutto, la diffusione degli stessi, cresciuta nell ultimo decennio con l avvento di Internet, hanno posto una questione culturale sul fronte della protezione logica dei dati e delle informazioni: da un lato, si è avvertita e si avverte una scarsa percezione di quello che significa ICT security, dall altro una mancanza di una reale percezione del rischio. Oggi si parla dell era dell informazione, per mettere in risalto l importanza crescente del patrimonio della conoscenza come reale valore di un impresa. Un concetto sul quale si può facilmente essere tutti d accordo, anche perché non è una novità. Lo spionaggio industriale non è stato inventato con l avvento dei computer; eppure cos è se non furto di informazioni e know-how? Sono cambiati però gli strumenti, mentre il paradigma dell e-business, che vuole un impresa affidare all IT tutte le attività e tutti i processi di business, esalta il ruolo del sistema informativo, facendone il deposito di quelle informazioni e di quel know-how che, in precedenza, si poteva raggiungere solo violando archivi e casseforti. L estensione in rete dell azienda, il successo di Internet, intranet ed extranet hanno favoritolo sviluppo di soluzioni e strumenti informatici, sia hardware sia software, che rispondono a esigenze di protezione differenti dal passato. Un mondo quindi completamente nuovo che 6

15 La sicurezza informatica CAPITOLO 1 coglie impreparate molte aziende: da un lato, c è una scarsa percezione di quello che significa IT security, dall altro manca una reale percezione del rischio. Verso un azienda aperta Teoricamente, l unico sistema completamente sicuro è quello totalmente isolato dal resto del mondo. Evidentemente, non può essere un sistema aziendale, che altrimenti risulterebbe asfittico. Certamente, se si pensa comunque al mondo informatico di qualche anno fa, ci si potrebbe chiedere quali sono le ragioni che portano ad aprire l azienda verso l esterno e, quindi, che obbligano all introduzione di un più o meno accurato sistema di sicurezza. Di fatto, volendo identificare con Internet la causa primaria di tutte le minacce alla sicurezza del sistema informativo aziendale, andare online può rappresentare un rischio elevato. Un rischio che non si può però fare a meno di correre: per restare al passo con i tempi, per sfruttare i vantaggi competitivi delle nuove tecnologie, per poter godere di particolari condizioni che una società può riservare ai partner commerciali comunicanti in intranet, per conseguire dei risparmi con le VPN (Virtual Private Network) su Internet, per migliorare la comunicazione aziendale, per fornire dei servizi ai propri clienti, per implementare un servizio di commercio elettronico e così via. Non è obiettivo di questa tesi dimostrare quanto sia opportuno introdurre in azienda tecnologie di comunicazione e infrastrutture innovative, al solo scopo di giustificare il ricorso a un sistema di sicurezza. Resta il fatto che tutte queste spinte verso l apertura dell azienda all esterno sono una tendenza incontrovertibile che presenta indubbi vantaggi per le imprese, anche a fronte di una maggiore esposizione al rischio di violazioni informatiche. Si consideri l esempio del commercio elettronico. Analisi di settore lasciano intravedere un crescente utilizzo di Internet come mezzo per compiere acquisti. Quanto bisognerà aspettare prima che questo mercato diventi interessante è difficile da stabilire, ma che siano migliaia di miliardi di euro o cifre molto inferiori che si sposteranno sul commercio elettronico già nei prossimi anni, gli investimenti per la creazione di un sistema di e-commerce non cambiano molto. Già oggi, peraltro, si può pensare di impostare la propria infrastruttura perché sia pronta a garantire in tempi rapidi quelle caratteristiche di resilienza, upgrade prestazionale, ridondanza e sicurezza che sono alla base di un sistema di servizi online. Oltre a rappresentare una fetta di mercato interessante, gli utenti Web costituiscono un opportunità per lo sviluppo di nuovi servizi e applicazioni. Senza contare altre forme di 7

16 La sicurezza informatica CAPITOLO 1 comunicazione emergenti, per le quali cresce l esigenza di sviluppare servizi a valore aggiunto. Il riferimento è al mondo del wireless e della mobilità in generale, che pone altri e nuovi interrogativi nei riguardi della sicurezza,ma che rappresenta un percorso inevitabile per molte aziende moderne. L evoluzione delle infrastrutture Realizzare un infrastruttura che sia in grado di garantire servizi a valore aggiunto a clienti magari distribuiti sul globo o, meno ambiziosamente, mettere a disposizione della propria clientela un contact-center che soddisfi le esigenze di un dipartimento di customer care, non è comunque cosa da poco. D altronde, l evoluzione stessa delle tecnologie sta portando verso l implementazione di architetture di rete convergenti e all emergere delle soluzioni di Virtual Private Network (VPN). Altre tendenze, quali la server e la storage consolidation, che portano al raggruppamento delle risorse in data center e alla riorganizzazione delle strutture aziendali, si sommano a quanto descritto, ponendo seri problemi intermini di management. Aspetti che non devono agire come un freno, ma portare a un ripensamento complessivo della propria infrastruttura e ad adottare strategie architetturali e di piattaforma che tengano conto di fenomeni che sono in buona parte prevedibili e che,quindi,è opportuno far entrare nell equazione progettuale. È noto che le problematiche di gestione sono quelle che più di altre innalzano il cosiddetto total cost of ownership, ma risultano costi inevitabili quelli di gestione dell informazione, elemento sempre più centrale e vero asset aziendale. Un ottimizzazione in questo campo viene fornita anche dai sistemi di sicurezza. Un approccio globale al problema, infatti, prevede la realizzazione di policy molto precise e piuttosto rigide che consentono di aumentare il controllo su tutto il sistema e di aumentare l efficienza oltre che la sicurezza delle informazioni. Se qualche azienda ancora crede di poter fare a meno della sicurezza è perché ha evidentemente deciso di porsi fuori del mercato, chiudendo la propria impresa all interazione e alla comunicazione diretta con partner e clienti. Ma anche se tale necessità non fosse sentita, una qualsiasi azienda con più di una sede si trova a dover affrontare il problema della comunicazione intra-aziendale. Fino a qualche anno fa, l unica alternativa era quella di rivolgersi a un carrier (solo Telecom Italia fino al 1994) per affittare una linea dedicata. 8

17 La sicurezza informatica CAPITOLO 1 Certamente una scelta sicura, ma anche costosa. Oggi, con Internet, esistono alternative molto più vantaggiose, ma che pongono un problema di sicurezza: ecco un primo esempio di trade off tra investimento in sicurezza e risparmio, con la possibilità di conseguire un vantaggio competitivo. Soprattutto con le VPN (Reti Private Virtuali), l evoluzione delle reti ha sostanzialmente modificato il rapporto tra rete trasmissiva e sicurezza. Inoltre,essa ha contribuito a esaltare i concetti di qualità del servizio, che di per sé è già un elemento di sicurezza, e a modificare l architettura delle reti con l affermazione di dispositivi specializzati, o appliance, volti ad accelerare le prestazioni all interno della rete, e di apparati di comunicazione, i gateway, tesi a racchiudere la rete in una sorta di capsula che ingloba all interno tutte le complessità architetturali e tecnologiche e semplifica l interazione con l esterno. Dall analisi di esigenze e risorse ai requisiti di protezione Il rischio è il punto di partenza di ogni considerazione sulla sicurezza o, almeno, dovrebbe esserlo, anche perché è un concetto assolutamente radicato in un impresa. I top manager, infatti, sono abituati a gestire il rischio, a misurarlo e a sfruttarlo a proprio favore. Sotto questo punto di vista, la sicurezza informatica si può banalmente considerare uno strumento di gestione del rischio. Peraltro, la complessità delle tecnologie rende il manager spesso incapace di comprendere quali siano le reali minacce e, quindi,di valutare correttamente quali asset aziendali siano in pericolo, nonché quanto sia grande tale pericolo. Questo, però, non deve rimanere l unico approccio alla sicurezza, altrimenti potrebbe limitare le scelte e le considerazioni all ambito del threat management, cioè a proteggere l azienda dalle minacce, esterne o interne, ma non consentirebbe di sfruttare alcuni elementi abilitanti della sicurezza. Le soluzioni di CRM (Customer Relationship Management) o di SCM (Supply Chain Management), per esempio, sono un chiaro esempio di come si possano introdurre in azienda nuove tecnologie per estendere e ottimizzare i processi di business. Queste attività, peraltro, richiedono necessariamente l impiego di tool di sicurezza al fine di garantire l autenticità e l integrità delle transazioni con clienti e partner. Anche qui esiste, in effetti, un rischio: per esempio, che un cliente non riconosca un ordine. Esistono vincoli legali che vanno rispettati, ma il governo italiano da tempo ha emesso leggi che consentono l uso di strumenti informatici per autenticare transazioni elettroniche. Solo considerando tutti gli aspetti della sicurezza e,quindi,i rischi e le opportunità che un azienda deve fronteggiare, è possibile valutare correttamente quali soluzioni sono 9

18 La sicurezza informatica CAPITOLO 1 indispensabili, quali utili e quali probabilmente inutili. In ogni caso, è buona norma di business misurare il più accuratamente possibile il ROI (Return On Investment) della sicurezza, come di ogni altra spesa, assumendo, pertanto, che si tratti di investimenti e non di meri costi. Ogni azienda deve quindi valutare le proprie esigenze in termini di sicurezza, identificando le aree di interesse e gli ambiti nei quali sarà opportuno adottare opportuni strumenti. È necessario studiare le infrastrutture utilizzate, le applicazioni e i processi aziendali, al fine di comprendere quali investimenti conviene effettuare. Quello che emerge è una sorta di trade off tra l investimento richiesto e il livello di protezione che si vuole o può ottenere. In altre parole, il costo della sicurezza assoluta è certamente insostenibile per un azienda: si può considerare che sia virtualmente tendente a infinito. Ma esiste anche un altro problema: troppa sicurezza, per assurdo, risulta controproducente, in quanto vincolerebbe così tanto l azienda da rallentarne l attività e diminuirne la produttività. Mentre, al contrario, un corretto livello di sicurezza garantisce lo svolgimento regolare e competitivo del business e, contemporaneamente, aumenta la produttività e la redditività dell impresa. L evoluzione di tecniche e rischi La gestione della sicurezza ha visto modifiche molto profonde negli ultimi anni. Il cambiamento delle modalità lavorative, e l uso sempre maggiore di tecnologie di tipo online hanno aumentato in maniera radicale i rischi a cui si espone un azienda. In passato le problematiche della sicurezza venivano affrontate quando si era già verificato un problema e si cercava di rimediarvi nel più breve tempo possibile, mentre oggi si tende a 10

19 La sicurezza informatica CAPITOLO 1 privilegiare un approccio aziendale in cui ci sono risorse destinate a tempo pieno alla gestione della sicurezza. Questa filosofia va estendendosi anche al cliente, dato che la crescente offerta di servizi online finisce per portare anche questa figura all interno delle considerazioni generali della sicurezza aziendale. Il grande numero di attacchi è legato in gran parte alla velocità e alla collaborazione. Nell ultimo decennio la velocità è aumentata su due fronti: quello delle comunicazioni e quindi della possibilità di diffusione e di replicazione di virus e worm, e quello legato allo sviluppo del software, con tante nuove release ognuna delle quali può portarsi dietro delle vulnerabilità. Per quanto riguarda la collaborazione è difficile immaginare oggi un azienda il cui lavoro non sia il frutto di cooperazione fra due o più dipendenti, se non di due o più reparti; il lato negativo, relativamente alla sicurezza è che più si mettono in condizione di collaborare due utenti e più si dà spazio ad un uso illecito di questi strumenti. Non bisogna dimenticare, infatti, che dagli Anni 90 ad oggi le conoscenze informatiche di chi effettua degli attacchi vanno decrescendo: mentre le prime incursioni richiedevano conoscenze avanzatissime dei sistemi e dei protocolli di comunicazione,oggi sono disponibili su internet tantissimi strumenti che spaziano da semplici script a evolutissime piattaforme in grado di decidere autonomamente quale attacco effettuare in base al sistema attaccato, che possono essere semplicemente scaricati e lanciare senza sapere quali vulnerabilità del software o dei protocolli sfruttino. I cosiddetti script-kiddies, ovvero le persone con conoscenze tecniche molto limitate che utilizzano questi strumenti quasi per gioco, hanno popolato le cronache dei giornali nel febbraio del 2000 quando vennero effettuati i più clamorosi attacchi di tipo Distributed Denial of Service ai server di Ebay, di Yahoo!, di Amazon e molti altri causando danni per milioni di dollari in mancati profitti. In particolare l attacco a Yahoo! ha raggiunto punte di Gigabyte di traffico al secondo, mettendo bene in chiaro che un attacco DDOS ben orchestrato può mettere in ginocchio qualsiasi rete. Si tratta di una tendenza in aumento, che renderà sempre più probabile essere vittima di attacchi e che sta mutando rispetto agli obiettivi, indirizzandosi sempre più verso una logica di profitto anziché di sfida. Tutto ciò porta verso un approccio integrato e olistico alla sicurezza. Negli Stati Uniti già dal Dicembre 2003 è stata introdotta una Task Force per la Corporate Governance sotto il controllo della National Cyber Security Partnership, il cui scopo è di sviluppare e promuovere un 11

20 La sicurezza informatica CAPITOLO 1 framework di gestione coerente, e guidare l implementazione delle politiche di sicurezza per le aziende, le organizzazioni e gli istituti accademici. Le minacce nell era del Web 2.0 Le più recenti analisi concordano nell evidenziare che non sono più i virus a preoccupare, ma minacce più sofisticate quali phishing, adware, spyware e botnet. Denominatore comune di questi termini, oggi alla ribalta, è il fatto che si tratta di azioni illegali orchestrate non più dai cosiddetti script kid, giovani in cerca di notorietà che si pongono obiettivi ambiziosi per mettere alla prova le proprie capacità, ma organizzazioni criminali vere e proprie, che utilizzano i ragazzi, spesso all oscuro del disegno complessivo, come braccio armato per le loro malefatte. Obiettivo ultimo di queste organizzazioni è guadagnare soldi: attraverso il furto di identità, cioè sottraendo e utilizzando in modo fraudolento dati degli utenti, numeri di carta di credito, password e altro, oppure con il ricatto, per esempio minacciando un organizzazione di mettere ko i suoi sistemi Internet, o ancora sfruttando l ingenuità di chi riceve mail mascherate da richieste di beneficenza, pubblicità di prodotti super economici e via dicendo. Ma c è di più. Chi scrive malware oggi condivide informazioni con i colleghi, mentre prima non accadeva. Ormai vengono seguite le stesse fasi di sviluppo del software normale, secondo il modello opensource, con il rilascio successivo di diverse versioni, il debug e via dicendo. Inoltre, esiste un vero e proprio mercato delle vulnerabilità: chi ne segnala una viene pagato, così come avviene per le liste di indirizzi . E per trovare le vulnerabilità non c è bisogno di essere particolarmente competenti: esistono tecniche, chiamate fuzzing, che permettono di effettuare lo scanning dei programmi in automatico. Questi speciali tool possono essere lanciati anche su un pc portatile, poiché non serve una macchina particolarmente potente. Il mercato delle vulnerabilità è ormai alla luce del sole, tanto che qualcuno, qualche mese fa, ne mise una relativa a Excel all asta su ebay: il portale se ne accorse, e cancellò l asta prima della fine. Come conseguenza di ciò, continua ad aumentare il numero di attacchi zero day, che sfruttano vulnerabilità ancora non note e per le quali non sono disponibili patch, malgrado le software house stiano riducendo i cicli di rilascio delle patch, che, in molti casi, hanno ormai cadenza costante. Ciò fa sì che sia più breve il periodo di rischio cui sono esposti gli utenti. I calo dei virus e l aumento dello spam La riduzione del numero di virus in circolazione è sotto gli occhi di qualunque utente di pc. Dati recenti parlano di una mail infetta ogni 337, pari allo 0,3% del totale, e, in ogni caso, 12

21 La sicurezza informatica CAPITOLO 1 nessuno dei virus emersi nel 2006 ha causato un epidemia, come avveniva in passato. Se da un lato, come accennato, questo calo si deve allo spostamento delle energie degli hacker verso attività più redditizie, dall altro non va dimenticato che ormai quasi tutti i pc sono protetti da antivirus costantemente aggiornati, che riducono significativamente le preoccupazioni e i danni. In effetti, sono oltre 200mila le varianti di virus attualmente in circolazione, ma i tool per l individuazione e la rimozione sono diventati accurati e largamente disponibili. Un problema in costante crescita è, invece, quello dello spam, che secondo alcune fonti raggiungerebbe oggi una percentuale pari all 80 90% del totale delle mail in circolazione. Il costo associato è notevolissimo, sia in termini di tempo perso per cancellare le mail sia perché lo spam rallenta i sistemi, intasando le reti trasmissive. Per non essere individuati, gli spammer ricorrono a trucchi come quello di utilizzare domini poco noti e che cambiano con una rapidità impressionante. Le tradizionali blacklist degli anti spam impiegano circa 20 minuti per bloccare un sito, ed è questo il ritmo tenuto dagli spammer nel modificare l URL di provenienza. Dato che registrare un dominio costa pochi dollari, il vantaggio economico è comunque notevole. Inoltre, utilizzano i nomi di dominio di piccole isole, come quella di Man o quella minuscola di Tokelau, nel Pacifico,un fenomeno noto come spam-island hopping. Legato allo spam è il phishing, ovvero l invio di mail che sembrano provenire da un azienda reale, come una banca o un sito di e-commerce, con l obiettivo di estorcere informazioni riservate. Nel 2006 ne sono stati censiti circa 17mila, secondo Secure Computing Research. In effetti, oggi i tool necessari per attività di spamming e phishing sono pubblicamente disponibili su Internet, mentre è possibile acquistare elenchi di indirizzi validi con milioni di nominativi per poche decine di euro. L adware nuova fonte di reddito Una delle principali fonti di profitto su Internet è l adware, il software che si installa sul computer della macchina utente e lancia dei pop up pubblicitari mirati, in base a dati di marketing raccolti attraverso lo spyware. I due concetti, spyware e adware, sono, infatti, strettamente legati. Si tratta di una minaccia che non sarà debellata tanto facilmente nel prossimo futuro, perché ha un buon ritorno economico, considerati gli elevatissimi volumi su cui agiscono. Il modello dell adware nasce in modo legale, ma gli hacker si introducono nei computer senza permesso, prendendo a volte denaro dalle società coinvolte, oppure dirottano i pagamenti verso di loro. Dati rilevati a maggio del 2006 parlano di 700 famiglie di adware con oltre 6000 varianti. 13

22 La sicurezza informatica CAPITOLO 1 Le principali fonti di malware, cioè i siti che dispensano il software all ignaro visitatore, sono quelli più gettonati, come quelli dei divi o di eventi sportivi molto seguiti: i mondiali di Germania, per esempio, hanno portato alla circolazione di un virus camuffato da foglio elettronico della classifica, e di uno spyware nascosto in un salvaschermo. Web 2.0 e Bot net La diffusione delle nuove minacce su Internet è oggi alimentata da due fenomeni. Il primo è quello delle cosiddette social network, o del Web 2.0. Ci si riferisce a quell insieme di siti (da You Tube a Wikipedia) in cui i veri protagonisti sono gli utenti, che possono pubblicare direttamente i propri contenuti. Al successo di questo fenomeno si accompagna, secondo gli addetti ai lavori, un aumento delle problematiche di sicurezza, prima fra tutte il furto di identità: gli utenti si sentono fiduciosi e lasciano in rete non solo le generalità, ma anche i propri interessi e le informazioni sulla propria vita privata,tutti dati utili per truffe mirate. Da ultimo, ma non per importanza, va citato l emergere dei Bot net (termine derivato da Robot), universalmente considerati la principale minaccia del momento. Si tratta di una rete di computer che vengono di fatto controllati da un hacker, che li può utilizzare per inviare un attacco o uno spam su grande scala, senza che l utente del computer si accorga di niente. Il fenomeno è in espansione e si prevede che in futuro le Bot net, e chi le governa, assumeranno il ruolo di centrali distribuite di comando e controllo. Inoltre,emergerà l utilizzo di protocolli per il controllo diversi dai tradizionali IRC (Internet Relay Chat) o HTTP. Gli autori di Bot utilizzano sempre più tecniche di sviluppo open source, con la collaborazione fra diversi sviluppatori, e questo rappresenta un cambio importante nell evoluzione del malware, poiché lo rende sempre più solido e affidabile. Si preannuncia,quindi,una crescita esplosiva del fenomeno. LA COMPLIANCE ALLE NORMATIVE Le recenti normative in materia tecnologica e in particolare quelli relativi alla protezione dei dati e alla sicurezza, a partire dal DPR 318 del 1999 per arrivare a quello che oggi è noto come Testo Unico sulla Privacy, hanno avuto il grande pregio di aver dato impulso al mercato. D altro canto, tali investimenti sono stati concepiti dalle aziende piuttosto come spese per adempiere a un obbligo e, quindi, considerati come un costo improduttivo. Tutte le indagini di settore sono concordi nel ritenere quest ultimo come l approccio seguito dalla maggior parte delle imprese italiane e non solo. 14

23 La sicurezza informatica CAPITOLO 1 Il termine stesso compliance, del resto, secondo il dizionario della lingua inglese, significa obbedire alle regole fissate da qualcuno. È evidente che in tutto il mondo una legge è comunque vista come un imposizione. Poco importa, per esempio, se il Sarbanes Oaxley Act, noto come SOX, sia stato varato per evitare casi come quello della Enron, dipingendo un modello tutto sommato di buon senso e semplice trasparenza nella governance aziendale. Quanti indossano le cinture di sicurezza in macchina solo perché è previsto dalla legge, senza considerare che statisticamente queste sono utili a evitare danni in caso d incidente e molto spesso determinanti fino a salvare la vita? È bene sottolineare che la SOX, la legge sulla Privacy e quella sulle cinture di sicurezza non sono state varate per il bene del cittadino, ma, più correttamente in una società democratica, costituiscono regole per la convivenza e fanno da riferimento in caso di vertenze (per inciso: non si ha il diritto di schiantarsi contro il parabrezza perché non si ha voglia di mettere le cinture, in quanto si crea un danno per la società e per gli altri, oltre e prima che per se stessi). Il buon senso rende evidente, che dovendo comunque soddisfare la compliance, la cosa più intelligente è trasformare tale obbligo in un opportunità di crescita. Trasformare, in altre parole, quello che appare come un costo odioso in un investimento vantaggioso. Sembrerebbe un classico consiglio buonista, bello in teoria ma poi di difficile se non utopistica applicazione, se non fosse che molte più imprese di quanto non si pensi hanno affrontato la questione dal verso giusto, raggiungendo risultati. Diversi casi si trovano nel mondo bancario, dove, per esempio, si è approfittato della compliance per aggiornare i sistemi di sicurezza, innalzando la stessa e aprendo i servizi online,generando pertanto nuovo business e aumentando la raccolta del denaro. Adottare l approccio giusto è più facile di quanto possa sembrare. Infatti, è semplicemente opportuno concentrarsi sulle proprie esigenze di business, senza guardare nel dettaglio i requisiti delle normative. Facendo riferimento alle generiche indicazioni della legge internazionale e italiana o agli standard e alle best practice da queste ultime citate e prese a modello, infatti, si ottiene tipicamente una lista di azioni e di controlli per la sicurezza, che è praticamente impossibile mettere tutti in pratica in un sistema unico, relativamente omogeneo e umanamente gestibile. Se, poi, le imprese vogliono adottare il classico modello del best of breed (anche perché la legge richiede di fare il massimo sforzo), è palese che la security ICT diventa ben presto una variabile impazzita ingovernabile. Se, invece, si adotta il tradizionale approccio basato sulla misurazione del rischio, partendo dai processi di business, dal loro valore e dall impatto che un eventuale danno potrebbe portare 15

24 La sicurezza informatica CAPITOLO 1 sugli stessi, si ottengono tutte le indicazioni necessarie per definire quali sono i rimedi per la riduzione del rischio. Si può così progettare un sistema di sicurezza, il cui obiettivo principale è quello di garantire l integrità del processo di business, ma che avrà con ogni probabilità l effetto collaterale di soddisfare la compliance. Innanzitutto occorre considerare che qualsiasi legge contempla, di fatto, tre caratteristiche: l assunzione di responsabilità, la trasparenza e la misurabilità. Il primo evidentemente parte dal presupposto che se esistono delle regole queste possano essere trasgredite ed è necessario che qualcuno sia responsabile del rispetto di tali regole in azienda. Parlando di risk management, peraltro, la legge tipicamente richiede che sia definito il responsabile o i responsabili che hanno il potere di controllare il rischio. Per trasparenza s intende la conoscenza e la visibilità dei controlli nella risk management e degli asset e processi di business che vanno protetti. Non si tratta, infatti, di mettere una scatola in cassaforte, ma è necessario entrare a fondo, per esempio nei processi, per capirne il funzionamento e prevenire il modo in cui potrebbero essere attaccati. La misurabilità è necessaria per avere consapevolezza dei risultati ottenuti. È palese che si tratta di caratteristiche che dovrebbero essere comunque introdotte in azienda per la stessa gestione d impresa. Ponendo l accento su queste tre caratteristiche si è già a metà strada nel cammino verso la compliance. Un altro punto fondamentale, consiste nel capire che quest ultima non costituisce uno stato assoluto univoco. In altre parole, la compliance non è raggiungibile in modo inequivocabile e il suo soddisfacimento deve essere dinamico. Di fatto, è il controllore (auditor in dizione inglese) che stabilisce se un impresa è in linea con legge. Se non si entra in una vera e propria fase di trattativa, poco ci manca (c è da scommettere sul fatto che ciò accade normalmente in molti paesi esteri). La documentazione è pertanto fondamentale quanto il sistema di sicurezza stesso. Documentazione che dovrà testimoniare fino in fondo che quanto è stato implementato, la gestione dello stesso e tutte le azioni correlate alla sicurezza, costituivano la scelta giusta. Con il pensiero rivolto agli obiettivi di business, la scelta non potrà che essere giusta, perché sarà certamente tesa a proteggere le attività più preziose per l azienda: tipicamente quelle che generano più soldi. Cioè le prime che vengono comune mente analizzate dai controllori. L approccio olistico, che parte da una fase di risk assessment e costituisce un processo ciclico per la sicurezza,porta in sé il rispetto della compliance, a patto che non venga implementato un sistema statico. 16

25 La sicurezza informatica CAPITOLO 1 L approccio basato sul rischio (inteso come misura del danno eventuale e da non confondere con la presenza delle minacce, che è ineluttabile) ha il vantaggio di essere più vicino al business che al dipartimento IT, è quindi anche più facile da far comprendere al top management. Si ottiene la compliance, ma si investe per garantire la sicurezza del business e per rendere i processi IT allineati con quest ultimo. 17

26 Capitolo 2 LE SOLUZIONI PER LA SICUREZZA Se,in pratica,ogni azienda ha bisogno di proteggere il proprio sistema informativo dagli attacchi esterni che si fanno via via più frequenti e pericolosi, di fatto, questo non si esaurisce con l acquisto di software o hardware. Soluzioni arcinote, come antivirus e firewall, sono certamente necessarie ma non sufficienti a garantire la sicurezza aziendale. Cosa s intende per IT security Innanzi tutto occorre definire cosa si intende per sicurezza, perché, in effetti, se si parla del piccolo ufficio di professionisti che impiega semplicemente l e mail per comunicare con i propri clienti ma senza neanche spedire documenti importanti, allora firewall e antivirus potrebbero bastare. Al crescere dell importanza delle informazioni trattate e trasmesse dal sistema informativo aziendale, aumenta la sensibilità verso i potenziali danni causati alle stesse e, di conseguenza, sale il punto ideale di incontro tra costi e livello di sicurezza. Tutto questo perché sarà sempre maggiore l importanza data alle componenti del concetto di sicurezza dei dati: confidenzialità o riservatezza, disponibilità, integrità, autenticità e non repudiation. La confidenzialità implica che nessuno al di fuori di chi sia autorizzato possa avere accesso a questi dati. Nessuna azienda vuole, per esempio, che un estraneo cacci la testa nei suoi libri contabili, oppure copi un progetto o, ancora, che legga le e mail dell amministratore delegato o dell ultimo dei propri impiegati. La disponibilità, che è spesso anche un problema connesso con l affidabilità delle infrastrutture, impone che gli utenti autorizzati possano accedere alle informazioni e ai servizi, in modo da poter svolgere il proprio lavoro. Un disservizio può avere ripercussioni notevoli sulla redditività di un impresa o, nel caso di aziende che forniscono un servizio pubblico,sull immagine della stessa. L integrità è fondamentale perché non è ovviamente possibile utilizzare un dato incompleto o che sia stato alterato. Questo concetto assume un importanza crescente nelle infrastrutture multiservice di nuova generazione. Laddove il pacchetto dati trasporta un pezzo di una

27 Le soluzioni per la sicurezza CAPITOLO 2 comunicazione audio o video, per esempio, la mancanza di integrità anche di una parte dei dati può determinare l incapacità dello stabilire la comunicazione. In altri termini, il tasso accettabile di perdita dei pacchetti dati trasmessi risulta molto ridotto in una rete convergente, che, tra l altro, dovrà essere dotata di caratteristiche di Quality of Service, rispetto a una rete best effort, all interno della quale è stato concepito il frame loss. In questi casi, una corretta policy di sicurezza aiuta a impostare una rigidità della rete e, insieme alla QoS, permette di rendere più efficiente la gestione della rete stessa. Una volta che nessun altro abbia letto l informazione, che questa sia disponibile all utente autorizzato e che sia giunta integra, essa risulta comunque inutile o peggio dannosa se è stata falsificata. L autenticità è la garanzia che il dato ricevuto sia effettivamente quello trasmesso. Ma non solo: importante è anche l assicurazione che a trasmettere il dato sia effettivamente stato il mittente indicato. Il destinatario di un messaggio deve essere sicuro che chi glielo ha inviato sia esattamente chi dice di essere, così come deve essere certo che il messaggio originale non sia stato modificato,magari stravolgendone il contenuto. Dualmente, la non repudiation autentica il destinatario nei confronti del mittente e garantisce il primo dal rischio che il secondo non rinneghi il contenuto del messaggio. Se si implementa un sistema di ordini online, è necessario che chi emetta l ordine non possa rifiutare il pagamento o la consegna della merce, negando l ordine stesso. Per questo, però, deve essere possibile dimostrare sia l emissione dell ordine sia che questo sia stato realmente effettuato dal cliente reticente. Tutte le minacce alla sicurezza, di fatto, toccano uno di questi aspetti: un intrusione mina la riservatezza, un Denial of Service blocca la disponibilità, un virus distrugge l integrità, un defacement o uno spoofing intaccano l autenticità. Per ciascuna di queste minacce esistono delle soluzioni che, più o meno efficacemente, a seconda delle capacità implementative, possono scongiurare il rischio. Data la vastità delle problematiche, peraltro, è evidente che l unico utile è un approccio globale. 19

28 Le soluzioni per la sicurezza CAPITOLO 2 L evoluzione delle soluzioni di protezione L authentication e l encryption sono state le prime soluzioni di sicurezza IT a essere sviluppate nella seconda metà degli Anni 70 al fine di proteggere le trasmissioni dati da accessi non autorizzati. Il problema, a onor del vero, è sentito sin dall antichità (quando il mezzo di comunicazione consisteva in messaggeri) e molti sono stati i metodi impiegati a questo fine. Se si guarda alle attività di protezione delle informazioni dal punto di vista della capacità elaborativa necessaria, le tecnologie di autenticazione e di crittografia richiedono una considerevole potenza di calcolo,con un impatto significativo sulle prestazioni di server e reti e problematiche di scalabilità e implementazione. Per ovviare a ciò sono state sviluppate soluzioni hardware ottimizzate, note come Accelerator, delle appliance di rete che sono dedicate alla esecuzione dei calcoli necessari sgravando nei server dedicati alle applicazioni. Scopo della crittografia è ovviamente quello di proteggere la riservatezza dei dati, facendo in modo che, anche quando venissero intercettati, questi risultino incomprensibili a chiunque tranne agli utenti autorizzati, dotati delle chiavi giuste per decifrarli. L autenticazione è necessariamente accoppiata all encryption, anche perché i primi dati a dover essere crittografati sono proprio quelli che servono per autenticare sorgente e destinazione di una comunicazione. È evidente che una password che possa essere letta da chiunque, non sarebbe di alcuna utilità e non garantirebbe l autenticità. Per contro,proprio la crittografia basata su chiavi particolari consente di certificare l autenticità, oltre che della fonte, anche dei dati stessi. A questo scopo sono state sviluppate soluzioni come la PKI. Strettamente correlata con queste tecnologie è la firma digitale, una certificazione virtuale dell autenticità del mittente, ma anche un potente strumento di non repudiation (e cioè di non rifiutabilità del documento ricevuto), perché è dimostrabile che solo uno specifico utente può apporre una determinata firma digitale. È chiaramente la base di partenza per la realizzazione di una transazione economica online, garantendole due parti e fornendo fiducia al sistema. Agli inizi degli Anni 80, con la diffusione dei primi personal computer, sono apparsi i virus informatici e, subito dopo, gli antivirus. I primi programmi erano relativamente semplici, non necessariamente invasivi e incapaci di diffondersi troppo rapidamente. Il mezzo di contagio erano i floppy disk, mentre oggi il sistema di propagazione preferito dai produttori di virus è la posta elettronica. Questo ha spostato la velocità di diffusione dall ordine degli anni ( Michelangelo nei primi anni Novanta ce ne ha messi quattro per arrivare in quasi 20

29 Le soluzioni per la sicurezza CAPITOLO 2 tutto il mondo) a quello di pochi giorni se non ore (ventiquattro sono le ore impiegate da I Love You nel 2000 per raggiungere mail server in tutto il Globo). Anche le tecniche di programmazione dei virus sono evolute, tanto che adesso sono nati distinguo importanti, per indicare programmi con metodi di attacco diversi ed effetti molto differenti e, spesso, devastanti. Gli antivirus, fortunatamente, sono evoluti con loro e permettono di controllare le risorse, a partire appunto dalla connessione a Internet e dalla posta elettronica, cercando di bloccare gli attacchi sul nascere. In generale, purtroppo, i primi a essere colpiti sono indifesi, perché solo dopo la scoperta di un nuovo virus, worm, trojanhorse o altro codice,è possibile mettere a punto la cura e il vaccino. Prima ancora di Internet, a dare una svolta alle problematiche della sicurezza ha provveduto la nascita delle architetture LAN e dell informatica distribuita. A partire dalla seconda metà/fine degli Anni 80, con la grande diffusione delle reti locali e dei modem, si sono diffuse le architetture di accesso remoto, ponendo nuove problematiche di autenticazione e trasmissione dei dati per utenti dial-in. Il passo immediatamente successivo è stato quello dell interconnessione delle reti LAN di grandi aziende sparse sul territorio. Sui dispositivi per l internetworking, i router,sono stati diffusi i primi sistemi di sicurezza per controllare gli accessi. In seguito, questi gateway si sono evoluti fino alla nascita dei firewall con l esplosione di Internet nei primianni90. Diventati presto indispensabili, i firewall controllano, identificano e filtrano il traffico in entrata e uscita dalla LAN verso altre reti, tipicamente Internet. Tali soluzioni di protezione perimetrale sono generalmente installate su server, router o dispositivi dedicati. Tra le funzioni più recentemente aggiunte a quelle elementari di tali dispositivi, grande successo ha riscontrato la realizzazione di DMZ (Demilitarized Zone), che consente di creare zone delimitate per fornire l accesso a determinate risorse, mantenendole però separate dal resto della rete locale. Le funzioni del firewall si vanno comunque estendendo, con la diffusione di soluzioni mirate alla protezione non più limitata solo al perimetro esterno. In questa evoluzione rientrano i personal firewall, cioè soluzioni pensate per la protezione della singola macchina. Questi devono il loro successo alla crescita della diffusione dei notebook, dove, peraltro, il firewall torna alla funzione di protezione perimetrale. Più a fondo, invece, arriva il concetto degli embedded firewall, che vengono integrati direttamente sulla scheda di rete. Uno dei vantaggi della soluzione embedded consiste 21

30 Le soluzioni per la sicurezza CAPITOLO 2 nell impossibilità di manomettere il firewall agendo sul sistema operativo, che da sempre rappresenta uno dei punti deboli delle installazioni di questo tipo di applicazioni. La grande utilità dell accesso remoto ha portato allo sviluppo di architetture di VPN (Virtual Private Network). Le VPN consentono di estendere la rete aziendale attraverso l impiego di linee trasmissive pubbliche. Particolare interesse suscita la possibilità di impiegare Internet come rete pubblica, per via dei bassi costi indotti da una tale soluzione. Le tecnologie di virtual private networking sono già di per sé un esempio di integrazione di applicazioni di sicurezza. Per realizzare una VPN, infatti, sono necessarie soluzioni di autenticazione (affinché alla VPN possano accedere solo utenti autorizzati), encryption (perché i dati che viaggiano su reti pubbliche suscettibili di essere intercettati mantengano la caratteristica di riservatezza), firewalling (per bloccare l accesso da e per la VPN) e tunneling (per il trasporto di pacchetti afferenti a un particolare protocollo su reti differenti). Alle VPN, inoltre, possono essere associate anche tecnologie di Quality of Service, a seconda dei servizi che devono essere garantiti su queste connessioni. Quando l utente remoto si collega in modalità wireless, inoltre, non stupisce che si vengano ad aggiungere ulteriori problematiche. L estensione delle reti, l interconnessione delle stesse, l aumento delle minacce e della loro pericolosità nonché la crescita delle stesse conoscenze degli hacker ha creato ulteriori problemi alla sicurezza. Le soluzioni per rimediare si fanno più sofisticate, ma, per esempio, un firewall non può essere mai sicuro al 100%. Per proteggere la rete all interno del perimetro controllato dal firewall e per verificare l uso e l abuso delle risorse, sono nati e si stanno diffondendo sempre più i sistemi di rilevamento delle intrusioni. I primi intrusion detection system si sono sviluppati come applicazioni di auditing, atte a controllare i file di sistema dei server, per verificare la presenza di manomissioni o le tracce di intrusioni. Su un altro fronte, quello della rete, si sono sviluppate, invece, soluzioni che partivano dai concetti di analisi delle caratteristiche della rete e del traffico. Dispositivi vicini agli analyzer o agli sniffer, in grado di controllare i pacchetti o i protocolli della rete alla ricerca di anomalie. Rappresentano una delle frontiere più innovative nella lotta ai crimini informatici. UN APPROCCIO INTEGRATO ALLA SICUREZZA Le diverse soluzioni per la sicurezza si sono evolute nel corso degli anni al fine di indirizzare problematiche specifiche, andandosi così a posizionare in punti precisi dell infrastruttura di elaborazione e comunicazione aziendale. Per esempio, l autenticazione sugli host centrali, in 22

31 Le soluzioni per la sicurezza CAPITOLO 2 un primo momento, e sui gateway di accesso, successivamente, oppure i firewall a protezione del perimetro applicativo e così via. Questa visione rifletteva la natura delle minacce, che, però, hanno imboccato la strada di un evoluzione convergente. Gli attacchi, infatti, adottano tecnologie ibride che richiedono strumenti altrettanto integrati se si vuole avere una ragionevole certezza che possano essere rilevati. Quello che sta emergendo è uno scenario che vede l affermarsi di un architettura distribuita dei sistemi di sicurezza, con l installazione di soluzioni in modalità client server e con l integrazione di applicazioni inizialmente separate. Un esempio peculiare, a tale proposito, sono i sistemi di intrusion detection. Nati per essere posti all interno della rete, si stanno spostando in tutti gli elementi dell architettura, posizionandosi su host, segmenti di rete e client, sia all interno della LAN sia all esterno del firewall, come pure nella DMZ. Ma, addirittura, tali sistemi sono anche in grado di colloquiare con analoghe soluzioni poste dagli Internet Service Provider a protezione delle connessioni di rete. Senza contare poi l interazione degli stessi sistemi di IDS con i dispositivi di firewall. Un esempio immediato dei vantaggi che può portare l integrazione dei sistemi è quello dell autenticazione. Nei sistemi informativi aziendali già di media dimensione ci si confronta con l esistenza di directory multiple, che elencano gli utenti ciascuna secondo un proprio punto di vista. Sono directory organizzate da ogni dipartimento aziendale, che per ogni dipendente 23

32 Le soluzioni per la sicurezza CAPITOLO 2 elabora particolari informazioni. Così come esistono directory impostate dalle particolari applicazioni che devono servire. Questa situazione porta a due ordini di problemi. Il primo è vissuto dall utente, che deve autenticarsi ogni volta che accede a un applicazione, a un database o a un server diverso. Con tutte le difficoltà che questo comporta, quale il dover memorizzare più user ID e password. Alle volte le impostazioni delle applicazioni stesse impediscono di poter adottare lo stesso tipo di identificativi: per esempio, un mail server potrebbe essere stato configurato dal responsabile in modo che ogni account abbia come user ID nome.cognome, che è difficilmente impostabile come entry di un sistema legacy. Il secondo problema è di carattere gestionale, con una mole di dati che si replicano e sono difficili da mantenere aggiornati e consistenti. Si pensi all impiegato che lascia il posto di lavoro: il suo account deve essere cancellato da tutti i sistemi singolarmente. La situazione tipica è che, in una buona percentuale dei sistemi, i privilegi di accesso del dipendente rimangono attivi anche a distanza di molti mesi dalle sue dimissioni o dal suo licenziamento. Per risolvere questi problemi, che possono essere alla base di criticità nella sicurezza aziendale, sono state sviluppate delle tecniche cosiddette di Single Sign On (SSO), tali per cui l utente ha la necessità di autenticarsi una sola volta con un server centrale. Sarà poi questo a effettuare le autenticazioni successive mano a mano che l utente richiede l accesso a un nuovo server o applicazione, facendosi in un qualche modo garante della sua identità. Un approccio sistemico Per poter realizzare l integrazione delle soluzioni di sicurezza, tanto più quanto maggiore si vuole che sia il livello d integrazione, è opportuno adottare un approccio sistemico, che abbracci l insieme delle problematiche della sicurezza partendo dalle esigenze aziendali e traducendo le stesse in policy di sicurezza. Queste andranno poi opportunamente adattate e implementate nei vari sistemi in maniera consistente. Si ottiene, così, un sistema robusto in cui tutte le soluzioni collaborano alla protezione e alla prevenzione. Un tale sistema, peraltro,non consiste solo in un insieme integrato di applicazioni, più o meno automatiche. Come già evidenziato, la sicurezza è anche una questione organizzativa. Poco o nulla servono le precauzioni se, poi, nessuno le adotta. Le policy oltre che definite devono essere implementate. Molte di queste, però, non sono automatiche o, comunque, possono essere disattese dagli utenti, anche senza intenzioni dolose, ma semplicemente per 24

33 Le soluzioni per la sicurezza CAPITOLO 2 accelerare il proprio lavoro (quanti hanno voglia o si ricordano di lanciare il backup periodicamente?). Le policy diventano procedure e una certa attenzione è richiesta, come, per esempio, quella di non lasciare appuntate le password su foglietti (tipico il post-it giallo sotto la tastiera). A caratterizzare più di ogni altra cosa un approccio sistemico,peraltro,è la visione della sicurezza come processo continuo. Si è detto che il punto di partenza deve essere il rischio: comprendere quali sono le informazioni e le risorse che hanno bisogno di protezione e, soprattutto, quali sono i danni che si conseguirebbero in caso di perdita delle stesse. Si ottiene, così, una misura degli investimenti che sarà opportuno realizzare. Una volta progettato di conseguenza il sistema di sicurezza, questo va implementato con tutte le implicazioni di carattere organizzativo cui si è accennato, anche in termini di definizione di policy aziendali. Il passo successivo è quello del controllo e della manutenzione del sistema. Questo, però, implica il continuo aggiornamento delle soluzioni, perché stiano al passo con l evoluzione delle minacce, ma anche l adeguamento di tutta l architettura del sistema alle variazioni dello scenario complessivo. È la stessa azienda soggetta a cambiamenti: si pensi alle acquisizioni, all istituzione di una nuova business-unit e a tutte quelle dinamicità che testimoniano il buon stato di salute di un impresa. Periodicamente, dunque, è necessario rimettere tutto in discussione, a partire dal rischio stesso cui è soggetta l impresa, mantenendo sotto controllo il sistema di sicurezza per verificarne la robustezza (per esempio, con tecniche di vulnerability assessment) e l adeguatezza. La necessità di un responsabile Un sistema del genere deve essere quindi gestito sia nell operatività di tutti i giorni sia nella sua pianificazione complessiva. Entrambe sono fasi delicate, che richiedono un impegno crescente all aumentare delle dimensioni aziendali, delle risorse messe sotto controllo e, ovviamente, delle soluzioni implementate. La complessità che ne emerge, unitamente all importanza dei sistemi di sicurezza, suggerisce la definizione di responsabilità ben precise, con la nomina di un responsabile della sicurezza. In Italia, alcune normative impongono la presenza di un responsabile della sicurezza IT in azienda (da non confondere con quello imposto dalla legge 626, che riguarda la sicurezza del posto di lavoro). Il security manager, come viene spesso indicato con dizione inglese, è preposto alla gestione del sistema di sicurezza e può essere perseguito anche penalmente (come prevede il DPR 318) in caso di danni causati da inadempienze alla sicurezza da parte dell azienda. 25

34 Le soluzioni per la sicurezza CAPITOLO 2 A seconda delle realtà, potrà essere necessario affiancare al responsabile uno staff, variamente composto. Alcuni studi indicano come ideale un rapporto 1 a 25, tra personale dedicato alla sicurezza e numero di postazioni (client, server e nodi di rete inclusi). Nella realtà, naturalmente, sono i budget IT a dettare le regole per il dimensionamento dello staff. Si consideri, però, che in un azienda di medie dimensioni, dotata di un sistema già minimamente sofisticato, sarebbe opportuno poter contare almeno su un responsabile, un database manager, un addetto alla manutenzione e almeno un amministratore. L eccesso di informazioni Un problema derivante dall implementazione di un sistema integrato non supportato da un adeguato strumento di amministrazione è legato all eccesso di informazioni che il security manager si trova a dover gestire. Ogni soluzione del sistema, dall antivirus al firewall, dai sistemi di rilevamento delle intrusioni a quelli per il controllo degli accessi, alle soluzioni per l identity management, alle sessioni d autenticazione e così via, genera delle informazioni, registrando gli eventi che sono tenute a monitorare. Si stima che solo il firewall di una media organizzazione, come potrebbe essere una banca, registra circa ventimila eventi al giorno. La corretta introduzione delle policy di sicurezza in ogni dipartimento aziendale può comportare un ulteriore incremento della quantità di informazioni che vengono registrate,molte delle quali relative allo stesso evento che viene registrato su più fronti. Sussiste, pertanto, un problema di integrazione, che, evidentemente, deve esser affrontato a monte, in fase di progettazione, prevedendo da subito uno strumento di integrazione delle diverse soluzioni, in modo da poter quantomeno raccogliere le informazioni su una base omogenea e su un unica console di amministrazione centralizzata. 26

35 Le soluzioni per la sicurezza CAPITOLO 2 Anche così, peraltro, non è pensabile gestire la mole di dati, se questa non viene preventivamente filtrata da un sistema di reportistica intelligente che consente di visualizzare le informazioni con formule di sintesi immediate, per esempio legate al rischio connesso con l evento. Nel caso prima esemplificato, peraltro, questo non sarebbe probabilmente sufficiente, se non in presenza di un motore di correlazione intelligente dei dati, che fornisce un primo elemento di supporto alle decisioni, di cui l amministratore del sistema ha evidente bisogno, altrimenti non avrebbe le capacità gestionali per reagire alle situazioni che potrebbero compromettere processi e attività essenziali per l azienda stessa. Senza contare che anche il semplice svolgimento delle attività quotidiane dell amministratore potrebbe risultare problematico. Anticipare gli attacchi La varietà di minacce alla sicurezza informatica non cessa di sorprendere. Una recente notizia che giunge dagli Stati Uniti riporta che un hacker, dopo essere riuscito ad accedere al sistema informativo di un azienda, ne ha cifrato alcuni contenuti, indirizzando successivamente all utente una richiesta di denaro di 200 US-$ da depositare su un conto in Internet in cambio della chiave per sbloccare i file. In realtà la richiesta di riscatto in cambio di dati informatici non rappresenta una novità assoluta e gli analisti, pur prevedendo possibili repliche di attacchi di questo tipo,non ritengono che si sia di fronte a un nuovo trend a larga diffusione. Questo episodio rappresenta, tuttavia, un punto di partenza interessante per una riflessione sulla varietà delle minacce che continuamente le aziende si trovano a fronteggiare per proteggere le loro informazioni e dimostra che la fantasia degli hacker riesce ancora a superare le previsioni dei professionisti della sicurezza. Ogni volta che si mette a punto una tecnica di difesa, compare un nuovo tipo di minaccia. È così che siamo passati dai virus, ai worm, ai trojan fino al più recente fenomeno dello spyware, ancora più difficile da controbattere poiché si colloca al confine tra lecito (o addirittura utile) e illecito. Quando la battaglia sembra vinta sul piano delle tecnologie, lo scontro si sposta sull interruzione di servizio, sull estorsione di informazioni attraverso tecniche di social engineering o sul piano della truffa più tradizionale, come è il caso del phishing, con cui si riescono a carpire informazioni bancarie simulando false richieste via mail da parte degli istituti di credito. Non sono neppure mancati casi in cui gli hacker siano riusciti a sfruttare i 27

36 Le soluzioni per la sicurezza CAPITOLO 2 comportamenti messi in atto dalle società che producono soluzioni per la sicurezza per testare e mettere a punto minacce particolarmente efficaci. Per queste ragioni, per esempio, le società che realizzano antivirus non diffondono mai informazioni su eventuali codici maligni individuati, prima di avere reso disponibile un sistema di protezione. Un altro aspetto che colpisce è la facilità con cui è possibile condurre un attacco, anche da parte di chi non dispone di alcuna conoscenza specifica. Nell esempio descritto prima, l utente è stato contagiato dal virus accedendo a un sito Web, attraverso il quale l attaccante, sfruttando una vulnerabilità nota di Internet Explorer, è riuscito a scaricare sulla sua macchina del codice ed eseguirlo. Per installare adware o spyware è, infatti, sufficiente predisporre l exploit su un sito Web, caricare un eseguibile e indurre gli utenti ad accedervi. Su Web sono disponibili tutte le informazioni utili allo scopo, comprese quelle per copiare lo schema e adattarlo per frodi di svariato tipo. Il caso citato mette in evidenza anche un altro tema interessante, per certi aspetti collegato alla facilità di lanciare un attacco. Si sta assistendo a un cambiamento negli obiettivi degli attacchi basati su codice malevolo che risultano non solo sempre più mirati, ma anche sempre più indirizzati a ottenere denaro. Sembrano, insomma, definitivamente terminati i tempi in cui gli hacker violavano i sistemi per il gusto di un affermazione personale. Protezione multilivello Già da tempo la proliferazione delle minacce e la consapevolezza della protezione dei dati come elemento strategico hanno messo in evidenza che non è possibile gestire la sicurezza all interno dell azienda in modo manuale né, tanto meno, amatoriale. È necessario personale specializzato e dedicato e l utilizzo di sistemi in grado di automatizzare le azioni protettive e la risposta agli attacchi. Il passo successivo, che si evidenzia sempre più, non solo nei messaggi di marketing, ma anche nei prodotti resi disponibili dai vendor che operano nel settore dell ITSecurity, è che essere reattivi non basta più. La prima ragione per cui l approccio reattivo non sufficiente è legata alla rapidità con cui le minacce riescono a diffondersi e arrecare danni: si pensi che un virus può impiegare meno di 15 minuti per diffondersi, a livello mondale, su centinaia di migliaia di computer. Anche nel caso in cui si riuscisse, intervenendo sulla tecnologia, ad accelerare i tempi di risposta, un sistema reattivo, basato sulla conoscenza della minaccia da cui difendersi, non potrebbe fare nulla rispetto a minacce di nuovo tipo, i cosiddetti attacchi del giorno zero. 28

37 Le soluzioni per la sicurezza CAPITOLO 2 Essere proattivi non è però facile e richiede una sinergia tra soluzioni tecnologiche adatte e il loro inserimento all interno di una strategia specifica aziendale indirizzata alla sicurezza. Da un punto di vista tecnologico la tendenza è quella di utilizzare una combinazione di tecniche differenti e di prevedere sistemi in grado di operare in modo coordinato a più livelli, in diversi punti della rete e capaci di intervenire in modo differenziato in funzione del livello di rischio. La sicurezza è, infatti, sempre un compromesso tra obiettivi di business e requisiti operativi e nel caso in cui si segua un approccio proattivo, particolare attenzione va posta alla configurazione delle soluzioni e al loro corretto inserimento all interno dell infrastruttura, in modo da evitare la generazione di falsi positivi, in grado di spostare il delicato equilibrio tra vantaggi e svantaggi. Un contributo importante per la realizzazione di un approccio proattivo è fornito dalle nuove tecniche di individuazione delle minacce basate sul riconoscimento delle anomalie di comportamento: per esempio un eccessivo e ingiustificato flusso di traffico su una certa porta, il comportamento di un protocollo oppure una chiamata alla rubrica da parte di un messaggio di posta elettronica. Altrettanto importante, per un approccio proattivo di successo, è imparare dall esperienza, prevedendo, all interno del processo di protezione, lo spazio per un continuo feedback proveniente dall analisi dei risultati prodotti dai comportamenti adottati in precedenza. Gli aspetti strategici sono altrettanto importanti. Da una parte è opportuno predisporre un disegno architetturale e regole di accesso alla rete che consentano, ai non autorizzati, di raccogliere il minor numero di informazioni possibili. Dall altro è necessario, come sempre,che venga diffusa una cultura della sicurezza tra il personale interno e che venga fatto comprendere come, per esempio, la divulgazione di un insieme di dati apparentemente non correlati e di poca importanza, possa rappresentare l elemento abilitante per lanciare un attacco efficace o per diffondere informazioni riservate. Per terminare, una nota positiva: l utente è riuscito a sbloccare i file senza sottostare al ricatto, grazie a un reverse engineering del Trojan che ha permesso di capire le modalità di azione del (semplice) sistema di cifratura e di scrivere un decifratore adeguato. IL TREND DEGLI INVESTIMENTI IN SECURITY Gli investimenti in sicurezza informatica in Italia, secondo i dati del Rapporto 2006 pubblicato da AiTech Assinform in collaborazione con NetConsulting, sono cresciuti nel 2005 del 16,3% 29

38 Le soluzioni per la sicurezza CAPITOLO 2 rispetto al 2004, che pure aveva registrato un aumento del 14.1% su un 2003 protagonista di grandi attacchi catastroficamente andati a buon fine. Eppure permangono parecchie ombre sul grado di maturità manifestato dal mercato italiano. Se si osserva più nel dettaglio, si nota che a crescere sono soprattutto software (+18,0%) e servizi (+21,3%), mentre l hardware si attesta su un incremento del 2,2%. In massima parte ciò è facilmente spiegabile osservando che il valore reale delle soluzioni di security è proprio nel software e nei servizi, essendo il pezzo di ferro considerato ormai alla stregua di una commodity. V è pure da considerare che nelle appliance, in particolare quelle integrate di ultima generazione, la parte predominante del prezzo è ancora una volta determinata dai moduli software scelti. Infine, molte imprese tendono a consolidare le risorse server e a sfruttare quanto già si ha in casa. Se si guardano più in dettaglio gli elementi che formano quelle cifre, si nota che i servizi sono ancora costituiti nella maggior parte dalla consulenza per la progettazione e le fasi di assessment in fase d implementazione dei sistemi di sicurezza. Questo denuncia un mercato giovane rispetto a quello di altre nazioni dove i sistemi di sicurezza aziendali sono già alla seconda o terza generazione. Le percentuali di penetrazione presso le imprese italiane delle tecnologie e soluzioni di sicurezza portano alla stessa conclusione, mostrando come solo antivirus (posseduto dal 97% delle aziende) e il firewall (71%, sempre secondo il Rapporto Assinform 2006) siano largamente diffusi, seguiti dalle soluzioni per il monitoraggio degli accessi, in crescita. Si tratta infatti di soluzioni basilari, che le imprese avrebbero dovuto adottare da tempo (e in molti casi lo hanno fatto, a onor del vero, ma non andando poi oltre), mentre buona parte del resto del mondo si convince sempre più dei vantaggi potenziali apportati da una strategia di governance della sicurezza, che contempli massicci investimenti nell identity management,quale elemento di collegamento tra l ICT e il business. Più che le tecnologie, comunque avanzate e in continuo sviluppo, a consentire tale auspicabile allineamento del business con l IT e specificatamente con l ICTsecurity è l approccio strategico che è opportuno adottare nei confronti della sicurezza e della sua implementazione. Senza bisogno d addentrarsi in dissertazioni sull economia mondiale, ma anche solo pensando alla spinta sulla liberalizzazione cui si assiste in chiave europea soprattutto, è facile comprendere come la pressione della concorrenza si faccia ogni giorno più forte, rispetto anche solo a qualche lustro fa. La conseguente dinamicità del mercato già da sola basterebbe a sviluppare le tanti pressioni che agiscono sui responsabili del business in impresa. Tali pressioni insieme ai diversi fattori che influenzano positivamente o negativamente il business 30

39 Le soluzioni per la sicurezza CAPITOLO 2 si traducono problemi o obiettivi da risolvere o raggiungere da parte dell ICT. Da notare che le pressioni sono forti e non necessariamente dissimili in tempo di forte sviluppo economico come di crisi. In realtà dipendono essenzialmente dalla situazione in cui si trova ogni singola impresa: chi avrà mezzi e capacità, troverà molto più semplice e conveniente investire in innovazione nel periodo di crisi e chi riuscirà a farlo continuamente sarà veramente vincente. 31

40 Capitolo 3 LA GESTIONE DELLA SICUREZZA Non solo tecnologia Si sta affermando sempre più un concetto di sicurezza come elemento trasversale che permea, a vari livelli, i processi di business e che quindi va gestito in modo sinergico a essi. Il fatto poi che le informazioni siano sempre più distribuite sia l interno che all esterno del perimetro aziendale, verso clienti, partner e fornitori, incrementa la complessità e, di conseguenza, complicala gestione. La tecnologia certamente aiuta a predisporre misure di difesa ma, da sola, non è in grado di assicurare un livello di sicurezza adeguato a ogni esigenza aziendale, anche perché le aziende rappresentano realtà dinamiche in continua evoluzione. Si evidenzia da ciò la necessità di gestire opportunamente la security, prevedendo una continua rivisitazione del livello di protezione a fronte dell evoluzione informatica e dei processi di business aziendali. Emerge, pertanto, l esigenza di inquadrare i diversi aspetti di sicurezza all interno di una strategia aziendale specifica e coordinata, sorretta da una serie di policy e di protocolli rivolti a delineare adeguate azioni che garantiscano il mantenimento dello standard di protezione prefissato. Al fine di semplificare questo tipo di azioni, l offerta dei vendor si orienta sempre più verso soluzioni integrate, non solo per quanto riguarda le tecnologie, ma soprattutto rispetto alla possibilità di gestione unificata e centralizzata. Spesso la semplicità gestionale viene utilizzata come importante leva di marketing. Tuttavia non va dimenticato che gestire la sicurezza non è un compito semplice così come non si tratta di un risultato banale quello di individuare, all interno di ogni specifica azienda, il corretto compromesso tra protezione, valore dell informazione ed esigenze di continuità di business, che condiziona le scelte tecnologiche, strategiche e di spesa per la sicurezza. La scelta di gestione interna della sicurezza implica, innanzitutto, che esista una figura deputata a occuparsene. Anche nelle realtà piccole, in cui la dimensione finanziaria non consente la presenza di una figura dedicata specifica (il security manager) è essenziale che esista, in ogni caso un responsabile: insomma qualcuno che abbia tra i propri compiti specifici quello di occuparsene. Ovviamente dovrà trattarsi di una persona con competenze tecnologiche adeguate

41 La gestione della sicurezza CAPITOLO 3 e che abbia il tempo per aggiornarsi sulle nuove macro vulnerabilità e minacce e risorse sufficienti per affrontarle. In ogni caso, per aziende anche minimamente strutturate, la figura del security manager si appresta a diventare irrinunciabile. La presenza di un firewall e un antivirus, per lungo tempo considerata esaustiva per assicurare la protezione aziendale, non deve essere considerata più sufficiente, anche per le realtà piccole. Sono richiesti strumenti integrati, processi di assessment delle vulnerabilità e una gestione e un controllo costante e dinamico delle soluzioni e delle policy di protezione implementate. Infatti, sempre più frequentemente,le PMI hanno lo stesso tipo di problematiche e le stesse esigenze delle aziende di livello enterprise, con l inconveniente di disporre di risorse inferiori. D altra parte l offerta di mercato negli ultimi anni si è occupata molto delle esigenze delle aziende più piccole e sono ormai disponibili, anche a costi accessibili alle PMI, soluzioni di sicurezza con portata analoga a quelle di classe enterprise. In molti casi, la consapevolezza da parte delle aziende dell importanza della sicurezza e la contemporanea constatazione di non disporre degli strumenti adeguati per affrontarla in modo corretto internamente hanno indotto a indirizzarsi verso strutture esterne dedicate. I servizi di sicurezza gestiti sono certamente un trend in continuo aumento. L offerta di servizi è ampia e variegata e include la gestione e l aggiornamento tecnologico nel tempo di firewall, antivirus, IP/VPN, intrusion detection, vulnerability assessment, filtraggio dei siti Web e reportistica su tutte le attività sospette e bloccate. La più recente tendenza è legata alla gestione della business continuity, mano a mano che, come si diceva prima, questa si afferma come un aspetto trasversale tra sicurezza e business. I vantaggi di affidarsi a una struttura esterna sono quelli tipici dell outsourcing: la possibilità di avere una copertura 24x365 (essenziale per questi compiti), di potersi affidare a personale specializzato dotato di tecnologie all avanguardia e costantemente in aggiornamento, che effettui un monitoraggio costante e riveda periodicamente l esposizione al rischio dell azienda. Un altro aspetto fondamentale è la capacità d intervento rapido, in un ambito in cui la differenza tra fermare un attacco entro pochi minuti oppure lasciarlo proliferare per un ora può fare una grandissima differenza. La contropartita rispetto a questa serie di vantaggi risiede nell affidarsi a un soggetto esterno e, in qualche modo, perdere una percentuale di controllo su alcuni aspetti gestionali o informativi. In conseguenza di ciò sta incontrando un crescente successo un approccio indirizzato all outsourcing parziale, in cui l azienda si affida a una struttura esterna per la verifica, il 33

42 La gestione della sicurezza CAPITOLO 3 monitoraggio e l impostazione di alcune azioni automatiche di protezione, mantenendo però il controllo sui propri apparati e sui processi gestionali afferenti alla sicurezza. L analisi del rischio L analisi del rischio è il punto di partenza del processo di pianificazione di un sistema di sicurezza IT aziendale. Prima di descrivere le fasi con cui si arriva alla sua valutazione, occorre, però, definire che cosa s intende con rischio: esso è una misura del danno che consegue a un evento pericoloso, in funzione della probabilità che questo si verifichi effettivamente. Solo una corretta valutazione del rischio permette a un azienda di stabilire quale piano di intervento sia opportuno implementare al suo interno. Tale analisi, inoltre, va ripetuta periodicamente perché l entità dei danni dovuti a un attacco informatico segue la dinamicità dell azienda. In altre parole,quest ultima, nel corso della propria esistenza, evolvendo,modifica le proprie risorse e le esigenze di business (ad esempio attraverso fusioni o acquisizioni aziendali). D altro canto, anche le condizioni esterne variano: gli hacker scoprono nuove vulnerabilità dei sistemi, inventano altre tecniche e via dicendo; di conseguenza cambia il rischio ed è necessario rimettere tutto in discussione. Il rischio, dunque,è tanto più alto quanto più elevato è il valore della risorsa che si ritiene di dover proteggere e quanto maggiore è la minaccia che incombe su quella risorsa; un azienda il cui asset principale è rappresentato dalle informazioni, potrebbe restare distrutta dalla perdita delle stesse (per esempio, si pensi a un assicurazione che si vedesse cancellare tutti i dati relativi alle proprie polizze). Le minacce sono tipicamente classificate in tre categorie:calamità naturali,minacce intenzionali e minacce involontarie. 34

43 La gestione della sicurezza CAPITOLO 3 L analisi del rischio può invece essere scomposto nelle seguenti fasi: identificazione o classificazione delle risorse da proteggere; identificazione delle minacce cui sono soggette le risorse (insieme e singolarmente); identificazione delle vulnerabilità (o vulnerability assessment, come è più comunemente indicata usando il termine inglese); valutazione del rischio. Identificazione delle risorse La prima fase consiste nella realizzazione di un inventario delle risorse informative. Vanno considerate, in questa analisi, sia tutte le informazioni che vengono prodotte in azienda, con qualsivoglia strumento, sia tutti i mezzi dell infrastruttura IT (dai server alle workstation, dalle reti alla loro banda, fino ai dischi, ai nastri di backup,ai cavi e così via). Per ciascuna risorsa, quindi, deve esserne calcolato il valore. In particolare, per quanto riguarda le informazioni, queste andranno confrontate con gli obiettivi primari della sicurezza, vale a dire confidenzialità, integrità e disponibilità. Le risorse informatiche e di comunicazione, invece, sono importanti essenzialmente ai fini della disponibilità e vanno valutate in funzione delle loro criticità all interno dell azienda. Un server, per esempio, è tipicamente più importante di una workstation, il router per il collegamento a Internet è normalmente più utile di quello che consente la connessione a un ufficio distaccato con poco personale part time, ma potrebbe essere vero il contrario se quest ufficio è l agenzia periferica di una banca che, attraverso quel router, effettuai resoconti giornalieri. Ulteriori elementi che è opportuno considerare nella valutazione della specifica risorsa o tipologie di risorse sono i costi per la perdita o il suo danneggiamento, in termini di profitto, tempo perso ed esborso per eventuali riparazioni. Un inventario dovrebbe definire,per ciascuna risorsa,le seguenti classi di dati: tipo di risorsa (se si tratta di dati, hardware, software o altro); criticità (se è un sistema generico o mission critical); proprietà delle informazioni; posizione fisica o logica della risorsa; numero di inventario (nel caso sia disponibile); informazioni relative ai contratti di manutenzione in essere per la risorsa(in termini di livelli di servizio, garanzie, contatti, processo di sostituzione e così via). 35

44 La gestione della sicurezza CAPITOLO 3 Ai fini della protezione delle risorse (in particolare delle informazioni),che rimane il fine ultimo, il dato più importante è quello della criticità. Tanto che è opportuno essere piuttosto rigorosi nel definirla, ricorrendo eventualmente a una sorta di classificazione e dividendo, così, le informazioni in: Sensibili: Sono le risorse più importanti, che vanno protette da eliminazioni o modifiche non autorizzate, garantendone disponibilità e integrità, oltre che riservatezza. In generale, sono dati che devono essere protetti con più di una normale garanzia di accuratezza e completezza. Le transazioni finanziarie o le azioni legali dell azienda sono due esempi di questo tipo di informazioni. Riservate: Anche in questo caso va assicurata la riservatezza. Si tratta perlopiù di dati destinati a essere rigorosamente utilizzati solo all interno dell impresa. Per questa categoria di informazioni il danno maggiore potrebbe derivare da una loro divulgazione non autorizzata. Per esempio, informazioni riguardanti i risultati finanziari o lo stato di salute di aziende private. Private: Per certi versi si potrebbe considerare una classe della categoria precedente. È opportuno, però, considerarla a parte perché vi rientrano i dati che sono soggetti alla normativa sulla privacy e che, conseguentemente, potrebbero portare a ripercussioni legali per il responsabile della sicurezza se divulgati senza autorizzazione. Vi appartengono, per esempio, tutti i dati sul personale e sui clienti. Pubbliche: In questa categoria rientrano tutti i dati che non sono contemplati esplicitamente in una delle tre categorie precedenti. In generale, sono informazioni la cui divulgazione non avrebbe serie conseguenze. Identificazione delle minacce Le minacce possono essere di diversi tipi, che devono essere considerati in relazione con le caratteristiche dell azienda. Queste vanno esaminate e valutate sia in termini di locazione geografica, sia (e soprattutto) in riferimento alle attività e al modello di business. Può essere abbastanza logico, ad esempio, che una banca sia maggiormente esposta a minacce di tipo volontario di quanto non lo sia una catena di ristoranti. Peraltro, in alcuni casi, possono entrare in gioco considerazioni di carattere socio politico che influenzano la valutazione della minaccia. Ognuno dei modi in cui una risorsa può essere danneggiata, alterata, rubata, distrutta o resa inaccessibile, costituisce una minaccia. Tra questi bisogna considerare sia quelli volontari sia 36

45 La gestione della sicurezza CAPITOLO 3 involontari, senza dimenticare le catastrofi, quali incendi, terremoti e inondazioni, che in molte zone d Italia si presentano con una frequenza tutt altro che trascurabile. Vulnerability assessment Come osservato in precedenza, le minacce possono essere di tipo imprevedibile, spesso riferite in letteratura anche come minacce naturali. Rientrano in questa categoria catastrofi quali inondazioni e terremoti, ma anche, quindi con un accezione più ampia, incendi, attentati e così via. La probabilità che queste minacce si verifichino non è regolabile con un sistema di sicurezza IT e dipende da condizioni essenzialmente esterne all azienda. Vanno evidentemente considerate e possono essere misurate (la probabilità di un eruzione alle pendici dell Etna è ovviamente maggiore che sulla riva del Po, viceversa per un inondazione). In questi casi le tecniche adottabili per la protezione delle informazioni sono quelle tipiche del disaster recovery. La tipologia di minacce che invece sono generalmente indicate come di origine umana, ma che sono riferibili in senso più ampio come prevedibili, in quanto vi rientrano anche guasti del software o dell hardware, possono essere suddivise in volontarie (o dolose ) e involontarie (o non dolose ). Le minacce considerate involontarie sono, generalmente, quelle derivanti da un errore di un dipendente o alla sua ignoranza. Possono essere molto gravi, e causare danni ingenti direttamente (con l eliminazione o la modifica di dati conseguente a un uso maldestro delle applicazioni) oppure indirettamente (con l apertura di una falla nel sistema di sicurezza a causa del mancato adempimento delle policy per negligenza o disattenzione). Per ridurre il rischio di queste minacce è opportuno, innanzi tutto, condurre una campagna di sensibilizzazione interna alla sicurezza. È essenziale, in particolare, che i dipendenti siano a conoscenza delle conseguenze del loro comportamento scorretto non solo sul piano pratico ed economico, per 37

46 La gestione della sicurezza CAPITOLO 3 quanto concerne l azienda, ma anche su quello legale, che li potrebbe coinvolgere direttamente. Tra le minacce involontarie rientrano anche i guasti dell hardware o i difetti del software, la cui probabilità di accadimento può essere calcolata, in funzione delle caratteristiche di partenza delle risorse (un server fault tollerance fornisce garanzie di affidabilità e disponibilità, come pure uno storage con supporto RAID e via dicendo) e misurata, con un controllo periodico del loro stato. Le minacce volontarie o dolose sono certamente da considerare le più pericolose. Esse sono di natura umana e derivano da un attacco mirato che può provenire tanto dall esterno quanto dall interno dell azienda. Tra i due casi, l ultimo è presumibilmente il peggiore anche perché è più difficile da rilevare e prevedere. Questo tipo di minacce deriva da attacchi che sfruttano tipicamente le vulnerabilità del sistema di sicurezza o in maniera opportunistica (un hacker che casualmente durante scansioni a pioggia trova un buco in un sistema e vi entra) o mediante un accurata pianificazione. Tra i metodi di attacco si ricordano: il social engineering (cioè una vera e propria attività spionistica, tesa a ottenere informazioni dirette dagli utenti, usando una falsa identità); virus, worm e cavalli di Troia; Denial of Service (che mette, per esempio, un server in condizioni di dover negare il servizio); rinvio dei pacchetti; modifica dei pacchetti; IP spoofing (tramite il quale l hacker sostituisce l indirizzo IP della propria macchina con un altro, tipicamente della rete che sta attaccando); password guessing (il tentativo di indovinare o calcolare una password). Considerandole varie minacce (che peraltro possono essere anche di tipo misto), è possibile determinare quali vulnerabilità possono essere sfruttate. Le vulnerabilità sono, in generale, dovute a errori o trascuratezze di gestione: una configurazione superficiale, un bug del software, una versione non aggiornata dell antivirus e così via. Si consideri, per esempio, il sistema operativo della macchina su cui è installato il firewall. Da esso dipende quest ultimo, che può essere disabilitato facilmente se sul sistema operativo stesso non è stata disattivata la corrispondente funzione. Per quanto riguarda le modalità di gestione è importante tenere presente che, praticamente, tutti gli attacchi sfruttano delle vulnerabilità note che possono essere riparate, spesso, con largo anticipo rispetto al momento in cui può verificarsi un attacco. Il vulnerability assessment consiste in una serie di tecniche e tecnologie per il controllo dello stato di salute di tutte le risorse, comprese soprattutto tutte le soluzioni di sicurezza. Queste possono essere mantenute aggiornate effettuando una scansione periodica delle risorse e pianificandone l evoluzione. Peraltro, sono sempre più comuni opzioni di aggiornamento automatico disponibili anche sotto forma di servizio. 38

47 La gestione della sicurezza CAPITOLO 3 La valutazione del rischio Una volta ultimate le tre fasi precedentemente illustrate, occorre un lavoro di sintesi che porti alla valutazione del rischio. Per questo è possibile operare in diversi modi, con scuole metodologiche diverse. I risultati possono essere classificati con un maggior o minor livello di dettaglio e la valutazione può essere sia di tipo qualitativo sia quantitativo, includendo, per esempio, valori numerici del rischio espressi in percentuali del fatturato. Una linea guida che sta assumendo un ruolo di standard nel settore è rappresentata dalla normativa ISO17799 / BS7799. Esistono in ogni caso delle caratteristiche fondamentali che è opportuno siano presenti in ogni analisi del rischio: riproducibilità e ripetitività: dato che occorre ripetere periodicamente il processo e al fine di ottenere risultati confrontabili con i precedenti è opportuno che l analisi possa essere condotta con le stesse procedure; comprensibilità: il rischio deve essere espresso, qualitativamente o quantitativamente che sia, in forma chiara atta a definire la successiva strategia di protezione; condivisibilità: i risultati dell analisi devono essere condivisi tra le diverse funzioni aziendali e deve essere condotta una campagna di sensibilizzazione interna, che costituisce la prima forma di protezione; consistenza: la valutazione del rischio è funzione delle policy di primo livello, per i cui i valori attribuiti alle risorse devono essere consistenti con gli obiettivi di riservatezza, integrità e disponibilità; riutilizzabilità: i risultati delle varie fasi devono poter essere reimpiegati,al fine di accelerare i successivi processi e consentire economie di scala (per esempio, il vulnerability assessment potrebbe essere condotto indipendentemente, più di frequente di tutto il processo di analisi del rischio); adeguatezza: la valutazione del rischio non può portare alla definizione di strumenti e policy di sicurezza incomprensibili per la cultura aziendale che, altrimenti, non sarebbero rispettivamente utilizzati e seguite; rapidità: i risultati dell analisi devono essere disponibili in tempi utili per poter procedere alla fase di implementazione del sistema di sicurezza o del suo aggiornamento. 39

48 La gestione della sicurezza CAPITOLO 3 LE POLICY DI SICUREZZA L analisi del rischio è il processo che apre la strada a quello di una pianificazione più attiva delle misure di sicurezza, che ne preveda l organizzazione attraverso controlli continui e lo sviluppo dei criteri (o policy) di protezione da adottare. Anche la soluzione di sicurezza tecnologicamente più avanzata è, infatti, destinata a fallire se non è coadiuvata da regole implementate sulla base della specifica realtà e, quindi, tali da soddisfare gli obiettivi aziendali e i requisiti di applicabilità e idoneità. Stabilire una politica di sicurezza significa prevedere tutte le possibili violazioni alla sicurezza e il modo per proteggersi da esse, formalizzandole anche in un documento. Rendere disponibile un riferimento scritto e unificato all interno di un impresa è un modo per testimoniare il consenso relativo alla sicurezza interno all azienda e per fornire una guida per la realizzazione delle pratiche corrette, evidenziando, nel contempo, le specifiche responsabilità per ogni compito di protezione. Le policy di sicurezza riguardano questioni quali l impostazione del livello di sicurezza relativo ai singoli apparati e alle soluzioni informatiche, la gestione del rischio di perdite finanziarie associato a intrusioni e le modalità comportamentali degli impiegati. Esse richiedono un aggiornamento continuo per la continua evoluzione tecnologica e l affacciarsi di nuove vulnerabilità e devono trarre esperienza dagli avvenimenti occorsi. Questo perché, di fatto, ogni soluzione di sicurezza è un processo in continua evoluzione costituito da esperienze, competenze e regole che coinvolgono persone, processi e tecnologie. Come ogni processo, quindi, una soluzione di sicurezza richiede non solo di essere progettata e implementata, ma anche di essere gestita e continuamente analizzata per verificare le costante rispondenza agli obiettivi di business aziendali e alle esigenze del mercato. L introduzione di policy all interno dell azienda va, quindi, considerata un attività ciclica, che parte da una fase di assessment, in base alla quale progettare e costruire le policy. Segue poi una fase di implementazione e distribuzione, che richiede successivamente un attività di gestione e supporto. La fase di gestione deve prevedere un continuo aggiornamento, basato sulla verifica di ogni nuova attività o risorsa che possa modificare l assessment iniziale, su cui sono state realizzate le policy stesse. Per esempio, l introduzione all interno del sistema informativo di una sottorete wireless, deve indurre a rivedere il ciclo di sicurezza legato alle policy. 40

49 La gestione della sicurezza CAPITOLO 3 Analisi e progettazione delle policy Le istruzioni specificate dalle policy possono essere di tipo generale, oppure suddivise per tipologia di risorse aziendali o per aree di responsabilità. In ogni caso la progettazione di una policy deve recepire le indicazioni provenienti dall analisi del rischio in merito alle risorse da considerare importanti e deve definire opportunamente gli step da seguire per la loro protezione. La messa a punto di una policy aziendale deve essere fatta in modo da favorire il suo effettivo utilizzo, evitando di trasformarsi in un documento formale per clienti o revisori, ma di nessuna utilità pratica. Spesso questo aspetto è legato alla presenza,in molte realtà aziendali, di criteri poco significativi, che restano troppo generici e non danno indicazioni precise sulle azioni da intraprendere. Per superare questi inconvenienti un criterio aziendale dovrebbe rispondere a requisiti di flessibilità, chiarezza negli obiettivi, applicabilità. Inoltre i criteri per la sicurezza dovrebbero essere introdotti in modo da evidenziare il sostegno incondizionato da parte della direzione dell azienda e coinvolgere, per quanto possibile, i diretti interessati. Implementare le policy Se non correttamente organizzato, paradossalmente, un criterio di sicurezza può determinare una riduzione del livello di protezione. Non è infrequente che policy troppo restrittive finiscano con l essere ignorate perché ostacolano l attività lavorativa. Per esempio, l utilizzo di password troppo lunghe o complesse e, pertanto, difficili da ricordare, può indurre gli impiegati a scriverle e lasciarle più facilmente in balia di possibili malintenzionati. 41

50 La gestione della sicurezza CAPITOLO 3 Per essere efficace un criterio di sicurezza deve essere diffuso e applicato; ci si deve assicurare che tutti gli impiegati conoscano le relative policy di sicurezza e che ne possano disporre prontamente e in qualunque momento e va garantita la pronta comunicazione di ogni loro eventuale cambiamento. Per la diffusione efficace di ogni criterio è opportuno mettere a punto un insieme di regole scritte, che definiscono le responsabilità relativamente a chi progetta le policy, chi le garantisce, le implementa e la fa rispettare e le relative conseguenze a seguito di eventuali violazioni. Infine, è buona pratica coinvolgere gli utenti influenzati dalle policy di sicurezza nel loro processo di sviluppo o almeno di revisione. Le aree interessate Per ogni area del sistema informativo o dei processi aziendali è possibile definire dei criteri specifici. Nel seguito sono descritte alcune tipologie di criteri di protezione: Criteri per le password. Vanno configurati in base alle specifiche esigenze aziendali prevedendo in modo opportuno la loro sostituzione periodica. Per le password è possibile, per esempio, richiedere una lunghezza minima o assegnargli un tempo minimo e massimo di validità. L amministratore deve farsi carico della sicurezza legata alla generazione e assegnazione della password iniziale di ogni utente. L utente, a sua volta, deve assumersi la responsabilità di mantenere la riservatezza della password assegnatagli e di segnalare ogni eventuale modifica del proprio stato di utente. Criteri per la posta elettronica. Data l importanza dell e mail per la normale conduzione del lavoro, è essenziale predisporre a riguardo opportuni criteri. Questi devono essere rivolti a un adeguata e sicura configurazione dei programmi di posta elettronica, ma anche a un corretto utilizzo di questa risorsa, per ridurre eventuali rischi di carattere intenzionale o involontario e per assicurare la corretta gestione delle registrazioni ufficiali. Alcuni esempi che si possono evidenziare riguardano la manutenzione periodica delle proprie cartelle di posta e la gestione e archiviazione dei messaggi, che altrimenti possono crescere fino ad arrivare a bloccare il sistema di posta. O ancora un uso a scopo privato della posta, che espone l azienda a rischi non necessari. Criteri per Internet. Dal lato browser è possibile configurare varie impostazioni a garanzia della sicurezza (esecuzione script, cookies, accettazione di aggiornamenti non certificati e così via). I server Web prevedono diverse aree da proteggere, che vanno dal sistema operativo sottostante, al software del server Web, agli script del server. 42

51 La gestione della sicurezza CAPITOLO 3 Opportune regole vanno predisposte a livello firewall, per una configurazione appropriata dei router del protocollo IP, così da evitare attacchi DoS. Criteri di protezione IP. I criteri di protezione relativi all IP possono riguardare gli indirizzi IP da esaminare, l impostazione di opportuni filtri per analizzare il traffico o le modalità di cifratura dei pacchetti. Criteri per il backup e il ripristino. Il backup va organizzato pianificando interventi a intervalli regolari, stabilendo la priorità dei dati da duplicare, il tipo di backup (normale, differenziale e così via ) e di supporto da utilizzare e prevedendo l archiviazione, sia all interno dell edificio aziendale sia fuori sede. Vanno considerate policy per la realizzazione di procedure di ripristino veloci, in grado di riportare i sistemi e/o le applicazioni alla loro piena funzionalità. Altri criteri possono riguardare l accounting e le condizioni per un eventuale suo blocco, le regole di configurazione degli apparati hardware e quelle comportamentali da parte degli utenti. Un piano di emergenza sempre pronto Per quanto ben realizzata una soluzione di sicurezza non può essere mai considerata sicura al 100%. Va, perciò, sempre presa in considerazione la possibilità di violazione e prevista in relazione ai possibili livelli di danno, una serie di provvedimenti di emergenza da intraprendere, con l obiettivo di ristabilire, nel più breve tempo possibile, la normale operatività o quella a essa più vicina. Un piano di emergenza deve predisporre metodi e contromisure alternative per garantire la disponibilità, l integrità, la riservatezza dei dati e mantenere operativa l organizzazione, nell eventualità che un attacco superi le misure e i controlli di protezione. Il piano deve indicare le contromisure da adottare, fino a prevederne anche di tipo radicale quali il trasferimento della produzione in un altro sito. Come tutti i piani di emergenza andrebbe provato e verificato, preferibilmente da una persona diversa da quella che lo ha realizzato. Questo anche in considerazione del fatto che, in materia di sicurezza, è pienamente applicabile una variante della nota legge di Murphy:Se si prevedono quattro possibili modi in cui qualcosa può andare male e si prevengono, immediatamente se ne rivelerà un quinto. 43

52 La gestione della sicurezza CAPITOLO 3 IL COSTO DEL MANCATO INVESTIMENTO IN SICUREZZA Dato per assodato che la sicurezza assoluta non esiste, una corretta strategia per l enterprise security prevede un processo ciclico che alterna: vulnerability assessment, analisi del rischio, definizione di un piano di contenimento del rischio realizzazione di tale piano. Le tecnologie che andranno implementate sono di volta in volta dipendenti dalle condizioni al contorno, oltre che dalle esigenze delle specifiche imprese. Il problema è tipicamente fare i conti con il budget a disposizione, che troppo spesso risulta insufficiente a realizzare il sistema di sicurezza idealmente definito dal piano. Eppure, Gartner sostiene che le spese per la sicurezza, a livello mondiale, stanno crescendo a un ritmo medio (CAGR) del 28%, rispetto a un budget IT nel suo complesso sostanzialmente piatto: una situazione insostenibile destinata a esplodere già nei prossimi anni. Già oggi, come per tutti i comparti di spesa aziendale, è diventata rigida la richiesta di una misura del ROI per qualsiasi investimento. Ma se è difficile calcolare il ritorno di un investimento infrastrutturale, qual è tipicamente quello in Information e Communication Technology, come è possibile quantificare il valore di una soluzione di sicurezza, quando, se tutto va bene, non succede niente? La risposta è in realtà banale nella forma, un po meno nella pratica. Chiaramente il problema se lo sono già posto i vendor del settore che da sempre hanno trovato le loro difficoltà a vendere i sistemi di protezione contro qualcosa di impalpabile come le minacce Internet. Come si accennava precedentemente, il valore di un sistema di sicurezza deve essere correlato al livello di rischio accettabile per un impresa. Dove per rischio s intende il danno economico che si avrebbe in caso di un attacco andato a buon fine, di un disservizio totale o parziale e così via. Il primo passo da compiere per il calcolo del ROI coincide con quello che è necessario per definire che sistema di sicurezza implementare: effettuare un analisi delle vulnerabilità cui è esposta l azienda e del livello di rischio relativo. Non si tratta di un operazione banale, tanto che è codificata in precisi standard ISO, meglio noti con la sigla BS7799. Per effettuare tale operazione è bene affidarsi a una società indipendente, ovviamente dotata delle opportune certificazioni, poiché non di rado in questa fase si fanno vere e proprie scoperte: per esempio, applicazioni o servizi ritenuti poco importanti, se confrontati con l impatto reale sul business, possono risultare molto più critici di quanto pensato fino a quel momento. Condotta con tutti i crismi, tale analisi produce una documentazione oggettiva che, ricordando che questa fase deve essere ciclicamente ripercorsa, sarà molto utile per valutazioni successive. 44

53 La gestione della sicurezza CAPITOLO 3 Per valutare il rischio correttamente, quindi correlando alle dinamiche e logiche di business, è necessario coinvolgere il management aziendale a vari livelli. Questo è il principale vantaggio di tutta l operazione, nonché la vera chiave di volta per il calcolo del ROI. Infatti, costretti a riflettere sulle ripercussioni di un attacco informatico, i manager svilupperanno quella sensibilità versoi temi della sicurezza che per anni è stata il cruccio degli addetti ai lavori. Il risk assessment, inoltre, produce un numero, cioè il valore del danno che si potrebbe creare in funzione del grado di vulnerabilità reale determinato dall attuale sistema di sicurezza. Un dato facilmente comprensibile anche dal consiglio di amministrazione, tanto più quando è certificato da una società indipendente. Una volta stabilito quale deve essere il piano di contenimento del rischio, quindi quali misure devono essere implementate per ridurre le vulnerabilità e aumentare il grado di protezione, è necessario realizzare un security plan dettagliato. Questo deve considerare l evoluzione nel tempo e conteggiare il TCO (Total Cost of Ownership) di tutte le soluzioni. È importante osservare che in molti casi il prezzo di acquisto di un prodotto è solo il primo elemento di spesa: in ambito sicurezza, non vanno trascurati i costi dei servizi di aggiornamento, senza i quali le soluzioni diventano presto (praticamente immediatamente) obsolete e inutili. Un piano della sicurezza ben dettagliato è utile per confrontarlo con un modello del rischio. Mettendo in una sorta di matrice la spesa necessaria per tappare una potenziale falla e il rischio economico che la falla lasciata aperta potrebbe causare (eventualmente ipotizzando più eventi correlati a tale vulnerabilità trascurata), si ottiene uno strumento di immediato raffronto. All atto pratico, una soluzione di sicurezza deve raggiungere almeno uno dei 45

54 La gestione della sicurezza CAPITOLO 3 seguenti obiettivi per poter dimostrare di avere un ROI sostenibile: ridurrei costi correnti,ridurre i costi futuri, ridurre il rischio finanziario, aumentare la produttività, aumentare il fatturato. Molto spesso ci sono benefici intangibili che è difficile calcolare, ma è bene non esagerare nel cercare di aumentare il valore del sistema di sicurezza al solo fine di convincere il management a investire. Anche perché importanti argomenti sono stati forniti dal Testo Unico sulla privacy, che, unitamente alle precedenti disposizioni legislative, sta imponendo l adozione di misure minime, spingendo molte aziende a effettuare analisi di vulnerability assessment con ottimi risultati di sensibilizzazione. 46

55 Capitolo 4 LA CRITTOGRAFIA La crittografia è la scienza che si occupa di studiare e mettere a punto una serie di strumenti che hanno lo scopo di mantenere la segretezza di dati che non si intende diffondere pubblicamente, impedendo la loro divulgazione al di fuori di una schiera ristretta di persone. La crittografia rappresenta uno strumento efficace per proteggere i messaggi scambiati durante una comunicazione, sia per evitare possibili intercettazioni da parte di un intruso(minacce passive) sia per proteggere i dati da possibili modifiche (minacce attive). Da un punto di vista del business le funzioni di sicurezza garantite dalla crittografia riguardano i seguenti temi: Autenticazione, che assicura che il mittente e il destinatario di un messaggio siano quelli che affermano di essere; Confidenzialità, che fa in modo che le informazioni siano accessibili solo da chi è preposto a farlo; Integrità, garantendo la non alterazione delle informazioni da parte di persone non autorizzate; Non ripudiabilità, impedendo a utenti di negare la paternità delle informazioni trasmesse; Identità, verificando l associazione tra uno specifico individuo e una risorsa o un informazione; Autorizzazione, che definisce i privilegi e le azioni permesse rispetto a una specifica risorsa. L operazione che permette di celare le informazioni viene detta cifratura o crittazione e la sua operazione inversa decifrazione, mentre si distingue tra testo in chiaro (plain text) e cifrato (ciphertext) per descrivere la condizione dei dati durante le due fasi crittografiche. Le tecniche di crittografia delle informazioni utilizzano sofisticati algoritmi di tipo matematico per rendere incomprensibili i dati a un utente non autorizzato e fornire nel contempo, a chi è autorizzato a farlo, la possibilità di ricostruire le informazioni in un formato comprensibile riconvertendo il testo cifrato in testo in chiaro. Lo strumento alla base del processo di cifratura/decifrazione delle informazioni è detto chiave.

56 La crittografia CAPITOLO 4 I più antichi sistemi di cifratura si basavano sulla trasposizione delle lettere dell alfabeto. Già gli imperatori romani utilizzavano per i messaggi il metodo Cesareo, che sostituiva ogni lettera con quella successiva: in questo modo ROMA diventava SPNB. Una versione più evoluta di questi sistemi prevedeva anche una regola di sostituzione. La crittografia moderna si basa ancora sui sistemi di sostituzione e trasposizione, ma la sicurezza non è più affidata alla segretezza dell algoritmo di cifratura (i sistemi di crittografia moderni sono, infatti, rilasciati con i codici sorgenti), ma a quella di una chiave esterna. In questo lavoro di tesi eviterò di parlare dei vari protocolli crittografici andando direttamente a trattare la parte che si ritroverà poi nel progetto affrontato. PKI: L INFRASTRUTTURA DI SICUREZZA A CHIAVE PUBBLICA La PKI (Public Key Infrastructure) non va intesa come un infrastruttura fisica, ma piuttosto come un insieme di funzionalità rese possibili da una serie di servizi concorrenti. Si appoggia alla tecnica di crittografia asimmetrica per garantire la sicurezza e la privacy di operazioni di business ed e-commerce. Una PKI fornisce i servizi per pubblicare le chiavi, gestirle e utilizzarle, mettendo a disposizione degli sviluppatori una serie di funzioni che possono essere implementate per costruire applicazioni sicure. Uno degli elementi principali che contribuiscono alla realizzazione di una PKI è rappresentato dagli enti certificatori. La Certification Authority (CA) Le chiavi pubbliche sono continuamente esposte al rischio di possibile manomissione. Per questa ragione la validità del servizio di firma digitale è garantita dalla presenza di un ente certificatore (Certification Authority o CA), che garantisce la corrispondenza tra la chiave pubblica e l identità anagrafica e che, nel caso di possibile trafugamento della chiave privata, provvede a revocare la chiave pubblica. Questa azione di garanzia viene effettuata attraverso il rilascio di certificati digitali, una sorta di referenza pubblicata a conferma dell affidabilità di un utente. Un certificato digitale non è altro che un insieme di dati che contengono la chiave pubblica dell utente e un set di attributi (quali, per esempio, il nome del depositario della chiave). 48

57 La crittografia CAPITOLO 4 Il certificato viene firmato in modo digitale dall entità che lo ha emesso. Questa firma ha il significato di garantire l autenticità e la correttezza dell attribuzione della chiave pubblica di quello specifico utente. Tipicamente nelle applicazioni di e-commerce un potenziale cliente deve prima ottenere un certificato da una CA a garanzia della propria identità in rete. L attendibilità di un certificato dipende dall affidabilità della CA che lo ha emesso. Una CA può essere pubblica o privata. Nel primo caso si ha a che fare con un organizzazione che opera come CA di sé stessa, rilasciando il proprio certificato. Una CA pubblica, invece,offre il servizio sia agli utenti finali (certificati legati a browser o e mail), sia alle società che decidono di affidare in outsourcing la loro attività di PKI. Esiste una gerarchia tra le CA in base alla quale ogni CA si fa certificare da una CA di livello superiore, fino ad arrivare alla CA al top, detta Root Certificate Authority, la quale, nella sua certificazione, dichiara semplicemente di essere la root. Ogni CA ha la facoltà di decidere quali attributi includere nei propri certificati e i meccanismi da utilizzare per verificare questi attributi. L emettitore dei certificati provvede anche a mantenere e firmare le Certification Revocation List (CRL) che contengono i certificati che vengono revocati. Un certificato viene revocato nel caso in cui la chiave privata del proprietario del certificato sia stata compromessa o nel caso in cui questo non sia più associato con chi emette il certificato. 49

58 La crittografia CAPITOLO 4 Tra gli standard associati alla crittografia a chiave pubblica che determinano un certo grado di interoperabilità tra le soluzioni, lo standard di riferimento è rappresentato dall ITU T X.509, che definisce le specifiche per il formato dei certificati digitali. L X.509 fornisce un riferimento standard per la definizione del formato e del contenuto di un certificato abilitando, in tal modo, il possibile scambio di certificati tra vendor. La struttura di un certificato X.509 definisce caratteristiche quali versione, numero di serie, algoritmo di firma, entità emettitrice e validità e provvede anche a definire la struttura delle liste di revoca CRL. I token di sicurezza Un token di sicurezza è un piccolo dispositivo di sicurezza trasportabile (di fatto un generatore di password) che permette l autenticazione di un utente ai servizi di rete. Si basa su un autenticazione a due fattori, in cui l utente dispone di un codice di identificazione (PIN) che lo abilita all utilizzo di quel particolare dispositivo. Il dispositivo genera, a sua volta, un codice che identifica in modo univoco quell utente come possessore di quel dispositivo particolare e lo abilita al servizio richiesto. Esempio di Token hardware di sicurezza In senso più esteso i token possono essere anche una soluzione software di autenticazione basata sulla generazione casuale di password utilizzabili una volta sola. Come soluzione di autenticazione alternativa rispetto all utilizzo dei certificati di una PKI, non ha però incontrato vasta diffusione, poiché l autenticazione con questo tipo di software manifesta, infatti, alcuni limiti in termini di maneggevolezza e supporto delle applicazioni. Un particolare token di sicurezza di tipo hardware è la smart card, un dispositivo della dimensione di una carta di credito con diverse capacità, basato su una tecnologia più evoluta rispetto alle tradizionali carte a banda magnetica. 50

59 La crittografia CAPITOLO 4 In particolare le carte a circuito integrato, indicate con l acronimo ICC (Integrated Circuit Card), sono quelle che hanno maggiore importanza all interno delle tematiche della sicurezza poiché sono in grado di eseguire operazioni quali la firma e lo scambio di chiavi. Queste smart card sono dispositivi hardware che supportano CPU, memoria RAM, sistema operativo ed EPROM. I certificati digitali utilizzati in un contesto di autenticazione PKI sono solitamente memorizzati all interno dei browser o sul disco locale dell utente. Pertanto il fatto di poterli utilizzare da punti distribuiti di accesso alla rete rappresenta un compito non banale che richiede, in qualche modo, un sistema per il loro trasporto o, in alternativa, poter scaricare sulla macchina in uso al momento, certificati e chiavi private da un database centrale sicuro. Le smart card sono utili in questo ambito poiché sono in grado di fornire un valido strumento per funzioni di memorizzazione di certificati digitali, chiavi private e di ogni informazione suscettibile di autenticazione, anche se la loro diffusione in Italia, in questo contesto, è ancora agli inizi. L integrazione tra crittografia e analisi dinamica dei comportamenti La crittografia, da sola, non è in grado di risolverei problemi di sicurezza dei dati. La tipologia di protezione che offre è, infatti, di tipo statico e non è in grado di modificare il tipo di protezione offerta in funzione dell esperienza acquisita. In altre parole, una volta superata la protezione cifrata, il successivo tentativo di intrusione non incontrerà più ostacoli. Va anche ricordato che la sicurezza di un sistema crittografico non è assoluta e varia nel tempo, perché dipende strettamente dalla capacità e dalle prestazioni dei computer disponibili e dagli sviluppi delle tecniche di criptoanalisi. Pertanto le soluzioni di sicurezza crittografiche vanno riviste periodicamente nel tempo, per garantire che il livello di protezione si mantenga costante 51

60 La crittografia CAPITOLO 4 e adeguato. Inoltre questo sistema si affida alla necessaria protezione fisica di altre risorse quali, per esempio, la manutenzione delle chiavi private master. Partendo dal presupposto che il livello di protezione di una qualsiasi soluzione corrisponde alla sicurezza del punto più debole dell intero sistema è possibile raggiungere un livello di sicurezza superiore con l integrazione di un sistema di tipo attivo. Un sistema di protezione attivo gestisce l accesso alle risorse in funzione dello storico dei tentativi di accesso precedenti, sulla base di una serie di regole di comportamento impostate dall utente. L esempio più classico in tal senso è quello del blocco della possibilità di accesso dopo un certo numero di tentativi erronei di immissione di dati o password, oppure il blocco sul router dei pacchetti provenienti da un unica fonte, quando questi superano un numero prefissato. A sua volta l utilizzo di un sistema di analisi del comportamento non inibisce l uso non autorizzato delle risorse, come fa, invece, la crittografia e può, invece, impedire accessi legittimi, dovendo prevedere opportuni meccanismi di sblocco. Anche in questo caso il livello di protezione offerto varia con il tempo, essendo tuttavia più legato all evoluzione delle modalità di attacco piuttosto che delle prestazioni dei sistemi informatici. 52

61 Capitolo 5 L AUTENTICAZIONE E L IDENTITY MANAGEMENT Le 3 A È pratica consueta riferirsi all insieme delle tecniche di autenticazione, autorizzazione e accounting come alle 3A. Il motivo di questo accostamento non risiede semplicemente nella condivisione della lettera iniziale, nonostante il forte gusto statunitense per questo tipo di giochi di parole, ma piuttosto nel ruolo coordinato e sinergico che questi tre aspetti della sicurezza IT rivestono all interno del processo di protezione dei dati e dei servizi aziendali. Questi concetti riassumono le procedure e le funzioni necessarie per lo svolgimento di molti dei processi di sicurezza che avvengono sul Web. In un contesto di accesso geograficamente distribuito alle risorse informatiche è indispensabile, infatti, trovare dei metodi e delle regole in grado di garantire e proteggere il corretto svolgimento delle operazioni tra le parti che scambiano informazioni. Le 3A sovrintendono proprio a questo tipo di funzioni. Più in particolare l autenticazione è il processo per garantire in modo univoco l identità di chi si appresta ad accedere alle risorse, l autorizzazione definisce i privilegi di cui dispone questo utente, mentre l accounting si riferisce all analisi e alla registrazione sistematica delle transazioni associate a un attività di business sul Web. La sicurezza di questi processi viene assicurata da una serie di tecnologie e procedure che si appoggiano su protocolli e standard e che costituiscono l argomento di questo capitolo. Implementare un sistema di autenticazione I trend che alimentano il mercato delle tecnologie di autenticazione sono molteplici. Innanzitutto va consideratala continua espansione dell accessibilità alle informazioni, legata alle nuove categorie di lavoratori mobili e da remoto nonché alla progressiva apertura del network delle grandi aziende verso partner e clienti. Inoltre cresce il numero di informazioni critiche e, conseguentemente, delle misure necessarie per controllare il loro accesso. A questi va aggiunta quella che si potrebbe definire come la crisi delle password ormai definitivamente abbandonate da tutti i principali fornitori di tecnologie in cerca di soluzioni più affidabili e meglio gestibili.

62 Autenticazione e Identity Management CAPITOLO 5 A controbilanciare questi argomenti concorrono aspetti quali i lunghi tempi di implementazione (trattandosi spesso di soluzioni che coinvolgono un grandissimo numero di utenti), i costi associati alla realizzazione di infrastrutture dedicate, ma anche la giustificazione dell investimento rispetto ad altri ambiti tecnologici e di business,in un momento in cui i budget scarseggiano. Resta in ogni caso il dilemma della scelta del sistema e della tecnologia da adottare tra i molti possibili e disponibili sul mercato, che variano dall adozione di certificati digitali, alle smart card, ai token di vario tipo, alle credenziali virtuali o alle password, fino ad arrivare ai sistemi biometrici. La risposta a quest esigenza risiede nella valutazione di una serie di motivazioni che devono tenere in considerazione gli aspetti specifici di ogni azienda e dei suoi processi di business. Come sempre non esistono ricette uniche ma, di seguito, cercheremo di fornire alcuni spunti metodologici per orientarsi meglio in questo processo decisionale. Il primo e fondamentale punto è quello di riconoscere che l individuazione di una soluzione di autenticazione rappresenta un compromesso tra costi, sicurezza e praticità d uso e che, pertanto, ogni decisione in merito dovrebbe essere presa come risultato di un analisi di questi tre aspetti. La cosa è complicata dal fatto che si tratta di parametri generalmente antagonisti fra loro: incrementare il livello di sicurezza determina costi proporzionalmente crescenti e una riduzione della flessibilità e semplicità d uso perché richiede l adozione di strumenti,procedure e tecnologie. Un approccio metodologico dovrebbe partire da una metricizzazione di tali aspetti, inizialmente da un punto di vista qualitativo delle implicazioni e, se possibile, successivamente anche di tipo quantitativo. Per esempio è possibile individuare tutti gli aspetti significativi e correlarli attribuendo loro un indice numerico. Anche se a qualcuno potrebbe sembrare un esercizio un po accademico, l adozione di una metodologia di questo tipo (o di altro analogo) permette di chiarirsi le idee su domande di difficile risposta quali: di quanta sicurezza ho effettivamente bisogno? Non da ultimo, permette di facilitare la comprensione di determinate scelte tecnologiche anche da parte di chi mastica più il linguaggio del budget che quello tecnologico. Affrontare l aspetto dei costi significa, ovviamente, considerare il Total Cost of Ownership della soluzione, che comprende non solo i costi di acquisizione, ma anche e soprattutto quelli di deployment e operativi, che vanno associati alle tecnologie, al personale, ai processi e alla struttura. 54

63 Autenticazione e Identity Management CAPITOLO 5 Eseguire un analisi degli aspetti di sicurezza e praticità è, invece,il risultato di una valutazione strategica difficilmente ingabbiabile in regole. Tuttavia è possibile almeno separare gli aspetti legati al valore di una soluzione di autenticazione rispetto agli utenti e all azienda. La praticità e la semplicità d uso, per esempio, dipendono, in generale, dalla tipologia di utenti che si stanno considerando e cambiano a secondo che si tratti di partner, dipendenti o clienti. Accanto alla complessità di apprendimento va considerata anche la praticità di utilizzo,che può inibire il suo impiego. Anche gli aspetti legati alla trasportabilità della soluzione di autenticazione (indice importante della sua flessibilità) possono essere sensibilmente differenti in funzione della tipologia di utente e sono spesso legati a doppio filo con i costi. Per esempio, l adozione di soluzioni che richiedono la presenza di un software sul lato client possono limitare l accessibilità da aree esterne quali le filiali aziendali, un hotel o un chiosco pubblico. Un altro esempio può essere quello di soluzioni di autenticazione che sfruttano dispositivi mobili e che possono essere condizionate dall area di copertura del servizio. Un ulteriore valore per l utente può essere la versatilità. A volte il sistema di autenticazione può essere costituito da un dispositivo specifico, ma in altri casi può combinare in un unico dispositivo una pluralità di funzioni: sistema di autenticazione, documento di identità dotato di foto, strumento di memorizzazione di dati e così via. Dal punto di vista della valenza strategica per l azienda l elemento primario da considerare è la sicurezza relativa, che deve tenere conto del livello di protezione offerto dal sistema di autenticazione, della sicurezza della sua implementazione, dall adeguatezza a proteggere la tipologia di informazioni per cui lo si vuole utilizzare e anche della garanzia di compatibilità con la normativa. A ciò va aggiunta la possibilità di integrazione all interno dell infrastruttura esistente e l interoperabilità coni sistemi di back end. In una valutazione non va, infine, trascurata la possibilità di lasciarsi aperte opzioni per le future evoluzioni tecnologiche. Un esempio in tal senso può essere quello dei certificati digitali, che rappresentano una soluzione utilizzabile inizialmente come sistema di autenticazione e che potrebbe essere adottata in futuro per la cifratura e per la firma digitale. Oppure di un sistema per l autenticazione interna in grado di pubblicare asserzioni di identità che potrebbero essere utilizzate in seguito al di fuori dell azienda. 55

64 Autenticazione e Identity Management CAPITOLO 5 I PRINCIPALI PROTOCOLLI DI AUTENTICAZIONE Il protocollo SSL (Secure Socket Layer) SSL è uno standard sviluppato specificatamente per la sicurezza su Internet. Ha subito nel tempo diversi aggiornamenti e ultimamente si è avuto il rilascio di una versione riferita con il nome di TSL (acronimo di Transaction Security Layer) ma anche con il nome di SSL versione 3.1 e pubblicata dall IETF. È stata universalmente accettata nel mondo Web per le funzioni di autenticazione e di cifratura delle sessioni. Come protocollo si posiziona sopra il TCP/IP e fornisce i servizi di encryption, autenticazione di server e client e autenticazione dei messaggi alle applicazioni soprastanti. Presenta la tipica struttura di un protocollo a livelli costituito da due layer principali, rispettivamente riferiti come l Handshake Protocol e il Record Protocol. Quest ultimo è responsabile dell incapsulamento delle informazioni ricevute dai protocolli di più alto livello, mentre il protocollo di Handshake, che utilizza i messaggi definiti dal Record Protocol, ha il compito di creare la comunicazione tra il cliente il server. La realizzazione della connessione avviene mediante una reciproca autenticazione da parte del client e del server e tramite la negoziazione dell algoritmo di cifratura da utilizzare e delle chiavi di cifratura. SSL prevede il supporto di un ampio numero di metodi di cifratura: Crittografia simmetrica, come il DES o il triplo DES (3DES); crittografia pubblica, come RSA, DSS, KEA, utilizzata per autenticare l identità del corrispondente. La chiave pubblica viene usata anche per determinare la chiave simmetrica che client e server useranno durante la sessione SSL. 56

65 Autenticazione e Identity Management CAPITOLO 5 Pur essendo un protocollo nato per Internet, in sé non è ristretto all ambiente IP e può essere utilizzato anche in abbinamento ad altri protocolli di rete. Quando riceve dai livelli superiori i dati da trasmettere, li frammenta in blocchi, li comprime (se è prevista e concordata la funzione), applica al risultato un campo MAC (Message Authentication Code), cifra il tutto e trasmette il risultato. Sui dati ricevuti viene effettuato il procedimento inverso. I dati sono decifrati, verificati, eventualmente decompressi, riassemblati e passati al livello superiore. Oltre ai due protocolli principali citati comprende altri elementi quali l SSL Change Cipher Spec Protocol e SSL Alert Protocol. Il protocollo di Handshake e questi ultimi due hanno il compito di realizzare e gestire il setup della sessione e dei parametri di sicurezza. Le connessioni realizzate tra client e server sono associate a un unica sessione, ma ogni sessione può includere connessioni diverse. Lo stato di una connessione definisce i parametri MAC, mentre lo stato della sessione definisce un set di parametri di crittografia. Il protocollo di SSL Handshake, riferito anche come key exchange protocol, ha la funzione di stabilire una connessione sicura tra le due parti interessate alla sessione. Le fasi realizzate dal protocollo sono riassumibili in: autenticazione di server e Client (è opzionale); negoziazione dell algoritmo di cifratura da utilizzare; utilizzo di una chiave pubblica per lo scambio dei parametri di cifratura. 57

66 Autenticazione e Identity Management CAPITOLO 5 Con riferimento alla figura, vediamo brevemente la funzione dei principali messaggi utilizzati dal protocollo: Client_hello: è inviato dal client per iniziare la sessione. Include al suo interno informazioni sul numero della versione SSL, un identificatore della sessione, informazioni sugli algoritmi di cifratura disponibili, un elenco degli algoritmi di compressione supportati. Server_hello: è il messaggio di risposta del server. Include i parametri visti per il client. Il server verifica che l identificatore della sessione proposto dal client sia disponibile e, in caso contrario, ne propone uno alternativo tramite un ulteriore fase di handshake. Il server sceglie poi un algoritmo per lo scambio delle chiavi di cifratura e le relative modalità nonché il metodo di compressione tra quelli proposti dal client. Server_certificate: è inviato dal server per autenticarsi nei confronti del client. Certificate_request: è inviato dal server quando vuole richiedere l autenticazione da parte del client. Server_hello_done: viene inviato dal server per indicare che il server ha terminato quanto di sua competenza e cioè l invio dei dati per la crittografia dei dati e i parametri di identificazione Client_certificate: è inviato dal client se il server ha richiesto al client la sua certificazione. Finished: è un messaggio inviato per indicare che la fase di set up si è conclusa positivamente. A questo punto il protocollo di SSL Handshake completa i suoi compiti e sul canale privato e sicuro che si è stabilito possono essere trasferiti i dati delle applicazioni. RADIUS RADIUS (Remote Authentication Dial-In User Service) è un protocollo definito dall IETF per amministrare e rendere sicuro l accesso remoto a una rete. Il server software RADIUS include tre componenti: Un server di autenticazione, Protocolli per il client, Un server di accounting. Queste componenti possono girare su un unica macchina oppure su dispositivi separati dotati di differenti sistemi operativi. 58

67 Autenticazione e Identity Management CAPITOLO 5 L intero processo di funzionamento ha inizio quando un client crea un pacchetto RADIUS Access-Request, includendo almeno gli attributi User-Name e User-Password, e generando il contenuto del campo identificatore. Il processo di generazione del campo identificatore non è specificato nel protocollo RADIUS, ma è solitamente implementato come un semplice contatore incrementato ad ogni richiesta. Il campo authenticator contiene una Request-Authenticator, ovvero una stringa di 16 byte scelta in modo casuale. L'intero pacchetto è trasmesso in chiaro, a parte per l attributo User- Password, che è protetto nel modo seguente: il client e il server condividono una chiave segreta. Tale chiave viene unita con la Request Authenticator, e l'intera stringa viene sottoposta a una funzione hash MD5 per la creazione di un valore di 16 ottetti, sottoposto a sua volta a un XOR con la password immessa dall utente (e se tale password è più lunga di 16 ottetti, vi è un calcolo MD5 addizionale, utilizzando il testo cifrato anziché la Request Authenticator). Il server riceve il pacchetto Access-Request e verifica di possedere la chiave segreta per il client. In caso negativo, il pacchetto viene silenziosamente ignorato. Poiché anche il server è in possesso del segreto condiviso, è possibile utilizzare una versione modificata del processo di protezione del client per ottenere la password in chiaro. Quindi il server consulta il database per convalidare username e password; se la password è valida, il server crea un pacchetto Access-Accept da rimandare al client. In caso contrario, crea un pacchetto Access-Reject e lo invia al client. Entrambi i pacchetti Access-Accept e Access-Reject utilizzano lo stesso valore identificatore del pacchetto Access-Request del client, e hanno una Response Authenticator nel campo Authenticator. La Response Authenticator è la funzione hash MD5 del pacchetto di risposta con l associata Request Authenticator, concatenata con il segreto condiviso. Quando il client riceve un pacchetto di risposta, si accerta che esso combaci con una precedente richiesta utilizzando il campo identificatore. Se non esiste alcuna richiesta con lo stesso identificatore, la risposta è silenziosamente ignorata. Quindi il client verifica la Response Authenticator utilizzando lo stesso calcolo effettuato dal server, ed infine comparando il risultato con il campo Authenticator. Se la Response Authenticator non coincide, il pacchetto è silenziosamente ignorato. Se il client riceve un pacchetto Access-Accept verificato, username e password sono considerati corretti, e l utente è autenticato. Se invece riceve un pacchetto Access-Reject verificato, username e password sono scorretti, e di conseguenza l utente non è autenticato. 59

68 Autenticazione e Identity Management CAPITOLO 5 Utilizzo di RADIUS RADIUS è un protocollo ampiamente utilizzato negli ambienti distribuiti. È comunemente usato per dispositivi di rete integrati come router, server modem, switch ecc., per svariate ragioni: I sistemi integrati generalmente non riescono a gestire un gran numero di utenti con informazioni di autenticazione distinte, poiché questo richiederebbe molta più memoria di massa di quanta ne possiedano la maggior parte di essi. RADIUS facilita l amministrazione utente centralizzata, che è importante per diverse applicazioni. Molti ISP hanno decine di migliaia, centinaia di migliaia o anche milioni di utenti, aggiunti e cancellati di continuo durante una giornata, e le informazioni di autenticazione cambiano costantemente. L amministrazione centralizzata degli utenti è un requisito operativo. RADIUS fornisce alcuni livelli di protezione contro attacchi attivi e di sniffing. Altri protocolli di autenticazione remota offrono una protezione intermittente, inadeguata o addirittura inesistente. Un supporto RADIUS è quasi onnipresente. Altri protocolli di autenticazione remota non hanno un consistente supporto da parte dei fornitori di hardware, quando invece RADIUS è uniformemente supportato. Poiché le piattaforme sulle quali è implementato RADIUS sono spesso sistemi integrati, vi sono limitate possibilità di supportare protocolli addizionali. Qualsiasi cambiamento al protocollo RADIUS dovrebbe quantomeno avere una compatibilità minima con client e server RADIUS preesistenti (e non modificati). Nonostante ciò, è stato messo a punto un nuovo protocollo, Diameter, candidato a rimpiazzare RADIUS: utilizza infatti TCP anziché UDP ed è di conseguenza considerato più sicuro ed affidabile. 60

69 Capitolo 6 I LIVELLI DI PROTEZIONE DEL FIREWALL I firewall rappresentano, insieme agli antivirus, la soluzione di sicurezza più nota e diffusa. Troppo spesso,anzi, costituiscono l unica protezione aziendale, mentre è sempre più necessario adottare un approccio più ampio e integrato, che parta da un analisi dei rischi e delle esigenze aziendali per disegnare un architettura completa e definire le corrette e opportune politiche di sicurezza. Ciononostante, a meno che la propria rete aziendale non sia totalmente isolata e non connessa a nessuna rete pubblica o privata esterna, il firewall è il primo indispensabile elemento di sicurezza da attivare. La questione,pertanto, non è se esso sia utile o meno, ma, piuttosto, quale firewall possa essere più opportuno,trovando un giusto equilibrio tra le caratteristiche e le funzioni atte a garantire il richiesto livello di protezione dell azienda e i costi di ownership dello stesso. Senza trascurare in questo le problematiche della gestione. Anche il più economico dei firewall permette, in ogni caso, di proteggere la propria rete dagli attacchi più o meno casuali di hacker improvvisati. Una categoria, quest ultima, che è cresciuta notevolmente con l aumentare della disponibilità online di tool automatici di hacking. Per molte imprese, questi non rappresentano un grande pericolo, poiché le informazioni che potrebbero rubare probabilmente non sarebbero loro di alcuna utilità. Rappresentano in ogni caso una minaccia in quanto, banalmente, potrebbero causare danni anche involontari, spostando o duplicando file o cancellandoli. Anche il tempo necessario a ripristinare dati di cui, fortunatamente o volutamente, è disponibile un backup aggiornato, costituisce ovviamente un impegno economico. Si osservi, inoltre, che, nel caso in cui informazioni sensibili su clienti, partner o impiegati dovessero venire rubate e/o divulgate, il soggetto interessato potrebbe, in virtù delle leggi esistenti sulla privacy,intentare una causa all azienda. Senza contare, infine, le situazioni in cui le informazioni sottratte costituiscono una proprietà intellettuale alla base della competitività aziendale. Nessuna azienda, di fatto, si può considerare sicura al 100%, né immune da rischi. Con il rischio, dunque, si deve imparare a convivere, adottando le opportune misure per ridurlo a un grado tollerabile.

70 I livelli di protezione del firewall CAPITOLO 6 In questo, il firewall svolge una funzione di barriera protettiva all ingresso, fornendo un primo livello di protezione, ma le attuali soluzioni presenti in commercio,in realtà, offrono molte funzionalità aggiuntive.di fatto, il firewall è diventato uno strumento molto potente che arriva a fornire più livelli di protezione. Nei successivi paragrafi, sono esaminati i principali tipi di firewall e le loro caratteristiche, ed analizzate alcune tra le funzionalità distintive, in genere opzionali, che risultano più diffuse e utili in un contesto di sicurezza. LE FUNZIONI DI BASE DI UN FIREWALL Si possono dare diverse definizioni di un firewall, ma di base è un sistema utilizzato per la protezione di una rete di cui ci si può fidare da una di cui non ci si può fidare. Con un linguaggio più esperto, si può affermare che un firewall realizza una politica di controllo degli accessi tra due reti: tipicamente la rete aziendale e Internet. O, ancora, in altri termini, il firewall stabilisce a quali servizi interni all azienda è possibile accedere dall esterno e viceversa. Di fatto, data questa definizione, le funzioni base di un firewall sono due: una serve a bloccare il traffico, l altra a lasciarlo passare. Esistono diverse modalità con cui questo può essere ottenuto ma quello che emerge è che un firewall rappresenta un unico punto in cui è possibile imporre dei controlli di sicurezza e un auditing di rete. Il network manager può ottenere dati sul tipo di traffico e sulla quantità dello stesso che ha attraverso tale punto, quindi che è entrato e uscito dalla rete. Può essere informato di quanti tentativi di ingresso non autorizzato sono stati effettuati e così via. A questo proposito, le capacità di reportistica di un firewall costituiscono una caratteristica fondamentale, che è opportuno considerare in tutti gli aspetti correlati. Nel caso questo sistema rappresenti l unica barriera protettiva, è ovvio che le statistiche e i dati, quali quelli menzionati, devono essere i più dettagliati e accurati possibile, perché 62

71 I livelli di protezione del firewall CAPITOLO 6 rappresentano forse l unico strumento di supporto alle decisioni del security/network manager in materia di policy da implementare. Una corretta valutazione dei rischi, in questi casi, può realizzarsi solo con uno strumento che fornisca le informazioni opportune. D altro canto, è importante che tali informazioni siano anche intelligibili. Per questo è necessario che siano organizzate o organizzabili secondo viste idonee a comprendere la situazione e a prendere le decisioni che meglio sposino le policy di sicurezza con i rischi e le esigenze di business dell impresa. Nel caso, invece, di firewall parte di un sistema di sicurezza completo e integrato o, in ogni modo, nel caso in cui sia prevista un interazione del firewall con altre applicazioni di security, allora risulta fondamentale valutare non solo l effettiva interoperabilità degli strumenti, ma anche l interfacciamento delle applicazioni stesse. In altre parole, assume un importanza basilare l esistenza di connettori trai diversi sistemi. Si consideri, per esempio, un sistema di intrusion detection che abbia rilevato un attività scorretta sulla rete. In un sistema completo ed efficiente, tale IDS dovrà o direttamente bloccare l attività in questione o interagire con il firewall affinché sia lui a inibire il traffico relativo. In ogni caso, l IDS dovrà comunicare con il firewall per eventualmente modificare in automatico determinate policy di sicurezza. Allo stesso modo dovrebbe essere il firewall a segnalare anomalie all altra applicazione. Può essere l intrusion detection system, ma un discorso analogo si può fare per un antivirus. Si consideri, ad esempio in un contesto di minacce effettuate tramite Internet, che i cosiddetti attacchi assumono sempre più una connotazione mista. Storicamente, le funzioni di base di un firewall sono riassumibili in: filtraggio del traffico entrante e uscente e traduzione/occultamento degli indirizzi Internet o NAT (Network Address Translation). La Network Address Translation (NAT) La funzione NAT assume un ruolo fondamentale. In sintesi, permette di mascherare gli indirizzi IP interni alla rete aziendale, mostrando all esterno un unico indirizzo pubblico, che è quello corrispondente al firewall. In realtà, la NAT è nata, oltre che per questa funzione protettiva, anzi, soprattutto per fornire un sistema che consenta di mantenere un indirizzamento privato interno alla rete. È grazie a questa funzione che è stato possibile mantenere il sistema di indirizzi IP, noto come IPv4 e nato quando Internet e, soprattutto, il protocollo IP non avevano avuto l esplosione che hanno 63

72 I livelli di protezione del firewall CAPITOLO 6 avuto. Con la NAT, infatti, si è ridotto il numero di indirizzi IP pubblici necessari per il Web. Un Internet service provider, per esempio, può ospitare più Web server, ma all esterno quello che risulterà è l indirizzo IP del proprio firewall. Naturalmente si tratta di una semplificazione, ma in ogni caso, ben presto, sarà necessario passare all IPv6, perché il numero di indirizzi IP pubblici statici da registrare è destinato ad aumentare vertiginosamente con la diffusione di terminali wireless che potrebbero essere indirizzati con questo meccanismo. La funzione NAT è descritta da uno standard IETF (Internet Engineering Task Force) che l ha introdotta appunto per consentire a un organizzazione di presentarsi su Internet con un numero di indirizzi IP inferiore a quello dei nodi interni alla propria rete. Le tecnologie NAT sono tipicamente implementate su un router, il dispositivo che si occupa di analizzare l indirizzamento per instradare verso la corretta destinazione i pacchetti. È quindi il router che provvede a modificare l header dei pacchetti in modo da convertire l indirizzo privato dei nodi della rete aziendale in uno o più indirizzi pubblici. Grazie alla funzione NAT, il router mantiene anche traccia dei nuovi indirizzi per ogni sessione attiva. In questo modo, quando un utente della rete aziendale invia una richiesta a un Web server su Internet, il router può riconvertire i pacchetti della risposta instradandoli verso il client di origine. Le implementazioni NAT spesso prevedono anche la funzione di Port Address Translation (PAT), che consente di alterare i numeri di porta nell header, aggiungendo un ulteriore livello di differenziazione tra la rete reale e la sua immagine esterna. Uno degli svantaggi della NAT semplice è che annullala trasparenza di Internet, per mantenere la quale i pacchetti dovrebbero rimanere intatti da entità sorgente a entità di destinazione. Se da un lato, infatti, si protegge la privacy della rete, dall altro si garantisce un livello di anonimato, che, talvolta, è un vantaggio per i malintenzionati. Si innesca, qui, un circolo vizioso, tale per cui per aumentare la sicurezza è necessario più controllo, ma per questo si deve necessariamente ledere maggiormente la privacy, il che, per certi versi, è contrario alla concezione della sicurezza. Uno dei meccanismi di realizzazione della NAT, che supera questa limitazione e che sta registrando una adesione crescente, è il sistema RSIP (Realm Specific IP). Questo, invece di inserire i nuovi indirizzi IP nell header dei pacchetti a livello di router o firewall, opera a livello client. Quando un utente (un client RSIP) vuole contattare un host su Internet, prima inoltra a un server RSIP la richiesta di un numero di porta e di un indirizzo IP pubblico. Il client, successivamente, invia i pacchetti al server RSIP (normalmente con tecnologie di tunneling), che li inoltra verso Internet eliminando l header di tunneling. Sui pacchetti di 64

73 I livelli di protezione del firewall CAPITOLO 6 ritorno, il server controlla il numero di porta del client, aggiunge nuovamente il tunnel header e inoltra il tutto al client RSIP. Il filtraggio del traffico Il traffico può essere filtrato con diverse tecnologie e può essere analizzato a vari livelli. Il livello di dettaglio più o meno spinto di questa analisi è una delle caratteristiche che permette di distinguere qualitativamente un firewall da un altro. In ogni caso, poiché normalmente si ritiene il traffico entrante (inbound) quello più pericoloso per la sicurezza della rete, è questo che viene sottoposto a un controllo più accurato. Peraltro, il traffico uscente (outbound) può dire molto su quanto sta accadendo sulla rete, oltre che consentire di controllare la legittimità delle azioni compiute dagli utenti, pur autorizzati, della rete stessa. In generale, i firewall in commercio adottano tre modi possibili per analizzare il traffico: per indirizzo del mittente, in funzione della richiesta dell utente e in base ai contenuti della comunicazione. Effettuando questo tipo di analisi e a seconda di regole predefinite, il firewall può già realizzare un immediata scrematura del traffico, per esempio, bloccando tutto il traffico entrante che non sia stato specificatamente richiesto da un client sulla rete. Oppure può essere fermato tutto il traffico proveniente da un determinato indirizzo, perché si ritiene appartenga a una rete o a un sito non sicuro. Analogamente, può essere bloccato il traffico uscente quando è diretto verso un sito considerato non consono alle attività aziendali. In generale, il firewall effettua un primo screening, stabilendo immediatamente se un determinato flusso sia da considerare autorizzato o meno. I prodotti più elementari spesso si limitano a questo, mentre quelli più avanzati attuano successivi livelli di filtraggio, analizzando più in dettaglio i pacchetti, fino anche a esaminarne tutto il campo dati utile (payload). In casi come questi, la corretta configurazione delle policy del firewall e, prima ancora, la stessa installazione della soluzione rappresentano un elemento fondamentale per la corretta implementazione della sicurezza in azienda. 65

74 I livelli di protezione del firewall CAPITOLO 6 LE TIPOLOGIE DI FIREWALL Esistono tre tipologie di firewall che sono riconosciute dall ICSA (International Computer Security Association): packet filtering, proxy server e stateful packet inspection firewall. Packet filtering firewall I packet filtering firewall sono quelli più semplici e normalmente vengono integrati in router, modem a banda larga, switch o altri dispositivi di tipo server appliance (quali traffic shaper, load balancer e così via). In effetti, sono semplici da realizzare, richiedono un impegno ridotto della CPU e causano un modesto overhead della memoria. Il meccanismo prevede l analisi di un pacchetto alla volta, senza conservare informazioni sui pacchetti precedenti. Ognuno di essi, singolarmente, viene messo a confronto con un insieme di regole. In generale, tali regole sono basate su indirizzo e numero della porta della sorgente o della destinazione. Alcuni packet filtering firewall si spingono a osservare le flag TCP, come i pacchetti SYN,ma spesso con funzionalità non completamente automatiche che ne impediscono una reale implementazione. Di fatto, si tratta di un analisi statica dei pacchetti, che può essere utile per un immediata scrematura di alcuni tipi di traffico molto specifico, quale, per esempio, quello SNMP o NetBIOS, che può sottintendere azioni di management. Se non è prevista una gestione da remoto, questo tipo di traffico non è normale che debba attraversare un firewall. Questa tipologia di filtraggio dei pacchetti presenta alcune debolezze significative in termini di sicurezza. In particolare, sono vulnerabili all IP spoofing, non possono osservare una sequenza di numeri TCP e, quella che è probabilmente la cosa peggiore, non possono generalmente determinare se la connessione è stata realizzata dall interno o dall esterno della rete. Per esempio, qualcuno dall esterno potrebbe mandare dei pacchetti su una porta del firewall comunemente aperta (come la 53 per il DNS o l 80 per l HTTP) ed effettuare una scansione dell intera rete interna. Proxy server firewall I firewall di tipo proxy sono spesso considerati quelli più sicuri, ma certamente sono anche quelli più intrinsecamente lenti. Ci sono due tipi di proxy firewall: quelli cosiddetti generici e gli application specific (o anche application level) proxy firewall. 66

75 I livelli di protezione del firewall CAPITOLO 6 Quelli generici, tipicamente, proteggono contro attacchi IP, quali la frammentazione o lo spoofing, ma non possono fare molto rispetto agli attacchi di protocollo. Il proxy si pone tra client e server, che non vengono così ad avere una connessione diretta, e agisce da client per il server e viceversa. Gli application level proxy firewall, invece, possono ispezionare il traffico per protocollo (per esempio HTTP o SMTP). Così facendo possono controllare la validità di alcune destinazioni (per esempio, confrontando le richieste con un elenco di HTTP autorizzati nelle connessioni al Web) e cercare di rilevare gli exploit, come i buffer overflow. Non tutti gli application proxy firewall sono uguali: anche se alcuni portano l analisi fino al Layer 7 della pila OSI, tipicamente essi operano solo a livello di protocollo. Se il proxy controlla solo la sintassi di protocollo, allora non può essere in grado di bloccare pacchetti i cui il campo dati fosse distruttivo. Molti proxy firewall, inoltre, sono dedicati e supportano solo alcuni specifici protocolli. Ogni applicazione nuova che si volesse controllare richiede l installazione e la configurazione di un nuovo application proxy. I proxy server preposti a facilitare il traffico da e per Internet, inoltre, potrebbero richiedere una riconfigurazione dei parametri di rete per ogni nuova installazione di application proxy. Ne deriva un impegno amministrativo non indifferente. Per questo, spesso gli application specific proxy firewall vengono implementati solo per controllare alcuni tipi di traffico specifici (tipicamente, flussi HTTP e FTP), mentre la barriera d ingresso viene realizzata con uno stateful packet inspection firewall. Stateful packet inspection firewall Gli stateful packet inspection firewall, anche riferiti come dynamic packet filtering firewall, effettuano appunto un filtraggio dinamico dei pacchetti. Questo consiste in un filtraggio a livello di rete che, a differenza del filtraggio dei pacchetti statico (che, va ricordato, esamina un pacchetto per volta basandosi sulle informazioni contenute nel suo header), effettua il tracking di ogni singola connessione, verificandone la validità. I firewall stateful inspection, infatti, operando a livello di applicazione, ispezionano anche il contenuto del pacchetto e non solamente le informazioni relative all origine e alla destinazione. Essi, inoltre, conservano una tabella che contiene le informazioni di stato di ogni connessione e, quindi,possono controllare quando una connessione è iniziata e finita, così come se ha uno svolgimento regolare. Alcuni esempi di informazioni relative a stato e contesto di una connessione che dovrebbero essere analizzate e memorizzate da un firewall che realizza un ispezione stateful sono: 67

76 I livelli di protezione del firewall CAPITOLO 6 Informazioni contenute nell header del pacchetto (indirizzo di sorgente e destinazione, protocollo, numero di porta di sorgente e destinazione, lunghezza del pacchetto). Informazioni di stato della connessione (quale porta è stata aperta per quale connessione). Dati TCP e sulla frammentazione IP (per esempio, il sequence number o il fragment number). Tipo di applicazione (per esempio a quale sessione appartiene il pacchetto, per verificare che il contenuto sia conforme al contesto). Interfaccia di ingresso e uscita dal firewall con riferimento a data e ora del passaggio. Informazioni di Layer 2 (come l identificativo di una VLAN). Grazie a questo filtraggio accurato, a differenza, come accennato, dei semplici packet filtering firewall, quelli di tipo stateful inspection possono proteggere la rete da connessioni con pacchetti non appartenenti alla sequenza e dall IP spoofing. Lo spoofing è una tecnica adoperata dagli hacker per mascherare il proprio indirizzo IP. Spesso, sostituiscono il proprio indirizzo sorgente con uno appartenente alla rete privata dell azienda che vogliono attaccare. In questo modo, non viene riconosciuto dal semplice packet filtering, per il quale, l indirizzo è autorizzato a passare, ma viene invece rilevata un anomalia dalla stateful packet inspection, poiché il pacchetto proviene dall esterno, pur risultando generato all interno. Un attacker non può neanche tentare di far passare pacchetti facendoli apparire appartenenti a una connessione esistente, perché ne viene verificata la consistenza con il resto della connessione (in taluni casi, come detto, anche esaminando i payload dei pacchetti). Nel caso non fossero del tutto previste connessioni TCP provenienti dall esterno, si possono definire regole che bloccano tutte le richieste SYN, limitando se non eliminando il rischio di scansione della rete dall esterno. I firewall stateful packet inspection richiedono, per operare, una grande quantità di memoria e un grande impegno della CPU. Il che può porre problemi in termini di scalabilità. Non basta guardare,dunque,le prestazioni in termini di throughput, ma bisogna verificare queste performance in condizioni di intenso traffico. Le caratteristiche del filtering dinamico, però, consentono di implementare molte funzionalità a livello hardware, così come di accelerare le analisi con architetture dedicate. Non è un caso, quindi, che molti firewall di questo tipo siano disponibili preinstallati su apposite appliance di rete. 68

77 I livelli di protezione del firewall CAPITOLO 6 LE FUNZIONI AVANZATE DI UN FIREWALL Il firewall è un elemento di sicurezza fondamentale che, come evidenziato, può opportunamente essere inserito in un contesto più ampio, all internodi un sistema di sicurezza integrato. A questo, tale soluzione apporta importanti componenti e funzionalità che vanno oltre quelle basilari fin qui esposte. Alcune di quelle che si potrebbero considerare funzioni avanzate, in realtà, sono talmente utili e consolidate che vengono ritenute, di fatto, naturali nella dotazione di un firewall. In particolare, quelle riferite come DMZ (Demilitarized Zone) e VPN (Virtual Private Network). I paragrafi seguenti illustrano con maggior dettaglio le caratteristiche di alcune funzioni avanzate tra le più diffuse sul mercato. La costituzione di una DMZ per proteggere la LAN Come suggerisce il nome stesso, una DMZ (Demilitarized Zone) costituisce una zona franca,che non vuol dire insicura o non protetta. In sintesi, realizzare una DMZ significa creare un pool di risorse accessibili agli utenti, ma separate dalle risorse interne della LAN, che risulta così al riparo da intrusioni. Gli eventuali danni causati all interno di una DMZ devono essere possibilmente rapidamente e facilmente riparabili, adottando anche tecniche di backup e recovery. Una DMZ è tipicamente utile alle imprese che invitano gli utenti finali a contattare la propria rete attraverso connessioni esterne, in particolare da Internet. Può essere il caso di ISP (Internet Service Provider) che ospitano Web Server, come pure di aziende che decidono di mantenere lo stesso in house o di fornire altri servizi direttamente alla clientela. In altri casi, le imprese possono realizzare una DMZ per mettere a disposizione di partner e fornitori una serie di risorse e informazioni senza consentire un accesso diretto alla propria rete aziendale. All interno di una DMZ trovano tipicamente posto Web server, mail server, FTP server e altri servizi applicativi cui si voglia dare accesso. In taluni casi, si può prevedere anche un Authentication server, laddove l accesso alle risorse sia comunque limitato a utenti autorizzati. 69

78 I livelli di protezione del firewall CAPITOLO 6 Per realizzare una DMZ, un firewall deve essere dotato di almeno tre porte: una verso Internet, una verso la LAN e una verso la DMZ. La DMZ deve essere idealmente mantenuta completamente separata dalla rete locale aziendale. Nella realtà, però, è spesso necessario prevedere che uno o più server della DMZ possano accedere ad alcune risorse sulla LAN: per esempio, un database per aggiornare le informazioni da mantenere online. Questo tipo di comunicazione, peraltro, è generalmente molto ben definita e, quindi, altrettanto ben controllabile dal firewall, attraverso il quale, in ogni caso, passano tutti gli eventuali collegamenti tra LAN e DMZ. È questo il tipico caso in cui può essere opportuno installare un application proxy firewall o implementare una funzione di questo tipo per controllare il traffico tra LAN e DMZ. Può anche rivelarsi opportuno installare due firewall: uno più esterno, che dirotta il traffico verso la DMZ lasciando passare solo alcuni flussi selezionati o nulla verso la LAN, e uno interno, che si pone a guardia della LAN, filtrando il traffico proveniente dal primo firewall e governando la comunicazione tra DMZ e LAN. Spesso viene consigliato di adottare due firewall di due vendor diversi. In questo modo si riduce il rischio di intrusione, perché è improbabile che le due barriere presentino gli stessi eventuali buchi. Naturalmente, così si introduce un sovraccarico gestionale. Una barriera prima del tunnel delle VPN Una VPN è una rete privata virtuale costruita utilizzando connessioni di una rete pubblica, di fatto, in condivisione con altri utilizzatori. Perché risulti quindi virtualmente privata, la VPN deve possedere caratteristiche di sicurezza, al fine di garantire la confidenzialità e l integrità 70

79 I livelli di protezione del firewall CAPITOLO 6 dei dati. Un interesse crescente stanno avendo le VPN realizzate su Internet, perché consentono di ottenere un servizio simile a quello di una rete privata con linee affittate ma a un costo nettamente inferiore. Per realizzare una VPN si adottano tecniche di tunneling, in base alle quali i dati vengono diretti verso le destinazioni finali all interno di percorsi protetti con tecniche di encryption. Alle due estremità del collegamento vengono posti due gateway, che riconoscono le varie sessioni e inoltrano i pacchetti alla corretta destinazione dopo averli decifrati. Tale funzionalità è tipicamente svolta da un router e può essere svolta anche da un firewall. Molti dispositivi in commercio vengono, infatti, dotati di capacità crittografiche e di tunneling. Content filtering Nel momento in cui l operatività di un firewall consiste nel controllo e filtraggio dei pacchetti, viene in un qualche modo naturale ritenere che qualsiasi azione si debba compiere, in connessione con le informazioni implicite nei pacchetti, possa essere realizzata da un firewall. Questo approccio ha portato alla realizzazione di dispositivi ibridi, sui quali, oltre alle funzionalità di base del firewalling, sono installate anche applicazioni direttamente o indirettamente connesse con la sicurezza. Alcuni esempi concreti riguardano il caching e il load balancing. Esistono, poi, una serie di funzionalità atte a migliorare la gestione del traffico, che si abbinano bene a un firewall ma che è preferibile mantenere separate, come il traffic shaping o lo stesso caching, per ragioni soprattutto gestionali. Vi sono, poi, altre applicazioni che appaiono più 71

80 I livelli di protezione del firewall CAPITOLO 6 direttamente connesse al lavoro che deve svolgere un controllore di accessi. Una di queste è il content filtering. Il content filtering è nato con lo sviluppo di Internet e con la diffusione di comportamenti scorretti in azienda, tali per cui gli impiegati hanno cominciato a utilizzare la rete delle reti a scopi privati e non produttivi. Chat, siti sportivi o comunque votati all intrattenimento difficilmente si giustificano con un interesse professionale. Grazie a dei filtri, chiamati Web site filter o content filter, un responsabile dei sistemi informativi può impedire che determinati siti o contenuti siano accessibili dalla propria rete. Tali funzionalità possono essere integrate in un firewall, che di per sé è già preposto al controllo del traffico uscente dalla rete. Il content filtering è,dunque,una tecnica che si applica al traffico outbound e può prevedere una lista di siti predefinita, tale per cui il firewall controlla che la richiesta di accesso al Web non sia diretta verso uno di questi siti. Nel caso lo fosse,allora la richiesta verrebbe negata, altrimenti eseguita. Si può scegliere se bloccare totalmente l accesso a tali siti o permetterlo ma registrarlo. Soprattutto in quest ultimo caso, però, è necessario chiarire ufficialmente la posizione dell azienda ai dipendenti, che vanno informati delle policy implementate, ai sensi della legge sulla privacy. La lista dei siti deve essere aggiornata con una certa frequenza e regolarità. Per questo è possibile adottare strumenti automatici che controllano migliaia e migliaia di siti per verificarne il contenuto. Più semplicemente esistono servizi a pagamento che realizzano tale controllo e aggiornano automaticamente la lista definita dall azienda in base a propri criteri. 72

81 Capitolo 7 L AFFERMAZIONE DELLE VPN Il binomio rete trasmissiva e sicurezza è un aspetto chiave del passato e del futuro delle reti e dei servizi aziendali, ma va considerato che la tecnologia, che traduce in pratica questi concetti e che verrà installata in azienda, richiede un insieme di conoscenze in parte anche profondamente diverse dalle attuali e con impatti significativi dal punto di vista tecnologico, progettuale e organizzativo. Nei paragrafi seguenti viene analizzato come si è arrivati a sviluppare il concetto di rete privata virtuale, che si contrappone a quello di rete privata, cioè di una rete geografica realizzata con linee affittate e generalmente molto costosa, ma di per sé sicura, proprio in quanto privata. Successivamente sono esaminate le tecnologie disponibili per la realizzazione di una VPN (Virtual Private Network). Gli aspetti progettuali e ingegneristici non presentano sostanziali differenze quando si realizza una rete pubblica o privata. Il problema, relativo al come impostare e affrontare la progettazione e costruzione di una nuova rete assicurando la sicurezza dei dati che vi transitano è il medesimo e cioè come realizzare una rete in grado di facilitare lo sviluppo e l esercizio di servizi nuovi o consolidati, che rispondano al mutare delle esigenze, e come ottenere un sistema rete dotato di un livello qualitativo adeguato e soddisfacente per quanto concerne la sicurezza. Se, di base, una rete deve disporre di funzioni di espandibilità e continuità operativa va inoltre considerato che, nel caso delle reti convergenti in sviluppo, questi ultimi aspetti (e in particolare quanto riferito come QoS, la qualità del servizio) risultano fortemente enfatizzati. Progettare e realizzare una rete aziendale che si basi su questi punti di riferimento può essere in molti casi un impegno da non sottovalutare, sia per i progettisti della rete sia per i suoi successivi gestori. Le reti prima dell IP L affermazione delle reti IP native non deve però portare a trascurare l esistenza di un insieme ancora maggioritario di soluzioni basate su tecnologie anche profondamente diverse. Al momento, anche se la realtà sta cambiando molto rapidamente, si ha la presenza sul territorio sostanzialmente di due tipi di rete, basate su architetture, topologia e tecnologie molto diverse:

82 L affermazione delle VPN CAPITOLO 7 quella IP (che in molti casi è usato come sinonimo di Internet) e quella storicamente basata sulla commutazione TDM (Time Division Multiplexing) e riferita come PSTN (Public Switched Telephone Network). Quest ultima è la convenzionale rete telefonica, con tutta la sua gerarchia di centrali e di livelli di rete di multiplazione dei canali telefonici stessi. Va osservato che il termine Internet viene spesso usato in modo improprio, per riferirsi a una rete dati che utilizza il protocollo IP per la realizzazione delle funzionalità del livello3 di rete e il TCP, per quanto concerne le funzioni di trasporto end to end di livello 4 e parte del superiore livello5. Una tale digressione è necessaria perché le due tipologie di rete, quella IP e quella PSTN, presentano differenze fondamentali che suggeriscono di porre attenzione ad alcuni dei parametri che le caratterizzano e che rendono necessari specifici apparati, sviluppati in accordo a standard de jure o de facto. Questi apparati si aggiungono a quelli già in esercizio, quando si intraprende la realizzazione di una rete aziendale di tipo convergente, partendo da quelle dedicate alla voce e ai dati già presenti in azienda. Ne consegue che è indispensabile individuare e definire un percorso di migrazione aderente a quanto installato e in funzione delle funzionalità che si desidera inglobare nella rete di nuova generazione. Questo quanto più si desidera rendere sicura la rete trasmissiva. Quello che è da tenere presente è che l IP rientra tra le tecnologie trasmissive per dati che fanno parte della famiglia a commutazione di pacchetto. Alla stessa famiglia appartengono tecnologie note o meno note come X.25, Frame Relay e SNA, che utilizzano al livello 2 un protocollo di controllo del link basato sul principio della finestra di trasmissione dei pacchetti, anche se hanno un modo leggermente diverso di gestire tale finestra e un diverso modo di effettuare l instradamento dei pacchetti dati inoltrati in rete. Questo si basa sul concetto di circuito virtuale permanente, per i derivati dallo standard ITU X.25, e sul datagramma, per l IP. In effetti, il concetto del datagramma, in base al quale ogni pacchetto contiene l indirizzo di destinazione e quindi può seguire percorsi diversi di rete, e quello di circuito virtuale o VC (Virtual Circuit), in base al quale i pacchetti viaggiano in sequenza sullo stesso percorso logico, sono due concetti alternativi e per anni hanno identificato due diverse scuole di pensiero nelle modalità realizzative di una rete dati. La rete telefonica PSTN è invece una rete basata sul circuito e sulla realizzazione a livello di rete e di centrali di transito di una connessione diretta tra chiamante e chiamato. Questo assicura l elevata qualità e affidabilità di una connessione e del sistema stesso nel suo insieme. Quanto detto è vero in generale, anche se la descrizione fatta è ragionevolmente semplificata, poiché nella pratica reti dati a datagramma, come quelle IP e reti telefoniche PSTN, si sono 74

83 L affermazione delle VPN CAPITOLO 7 progressivamente diversificate dal modello originale a seguito di costanti evoluzioni tecnologiche. Pur nell accettazione universale del TCP/IP, quando si è passati dal mondo Internet (sostanzialmente di tipo consumer) al mondo business, sono emersi alcuni aspetti negativi del concetto datagramma insito nell IP. Di principio, il funzionamento a datagramma di IP rende imprevedibile il tempo di consegna dei pacchetti a destinazione, cosa che risulta critica per applicazioni di fonia, videocomunicazione, videosorveglianza e così via. Gli sviluppi hanno preso la strada di soluzioni VPN (Virtual Private Network) o di instradamento di IP su infrastrutture di rete che per loro natura portano alla sequenzializzazione dei pacchetti, come per esempio l ambito LAN, l ambito ATM (che funziona con circuiti virtuali) o l ambito metropolitano con anelli SDH, tutte realtà per cui sono stati sviluppati robusti criteri atti a garantire la sicurezza dei dati trasportati. Architetture e apparati per reti convergenti e VPN Un architettura di rete basata sui servizi, tipica dei recenti sviluppi da parte di fornitori e di carrier, presenta il vantaggio di nasconderne la complessità e di mascherare all utilizzatore un evoluzione infrastrutturale, in cui un ruolo importante lo hanno assunto apparati, come i gateway, interposti tra reti diverse,i gatekeeper o i server di rete, tutti supervisionati da appositi dispositivi o servizi che ne assicurano la gestione e la sicurezza. Gateway e gatekeeper assumono, in un architettura convergente, un aspetto chiave sia che si vada nella direzione di un sostanziale ricambio della generazione di apparati di rete esistenti sia che si intraprenda la strada della migrazione progressiva e graduale. Nel primo caso, il loro utilizzo viene a realizzare lo strato esterno della rete e ne permette la connessione alle reti pubbliche, mentre, nel secondo caso, il loro utilizzo diventa necessario non solo per la connessione al mondo esterno ma anche per la connessione nell ambito aziendale delle sottoreti convenzionali esistenti. I due apparati, che sotto il profilo implementativo possono presentarsi sotto forma di dispositivi autonomi o di pacchetti software caricabili nei nodi di rete (facendo quindi parte di un architettura di rete estesa), realizzano la funzione chiave di permettere agli utenti di una rete IP a commutazione di pacchetto l accesso ai servizi e agli utenti di una rete telefonica PSTN di raggiungere gli utilizzatori stessi, in modo trasparente. In sostanza, forniscono il servizio di trasporto di base e le necessarie funzioni di conversione dei criteri di segnalazione tra le reti interconnesse e la gestione dei criteri di formazione, 75

84 L affermazione delle VPN CAPITOLO 7 controllo e abbattimento delle chiamate. In pratica, i dispositivi di gateway formano uno strato esterno che incapsula la rete aziendale e la maschera dal mondo esterno, facendola percepire come se fosse una rete del tutto simile e viceversa. I gatekeeper sono invece degli apparati a cui è demandata la funzione di gestione di domini di gateway, costituiti da più gateway che fanno riferimento a un piano di indirizzamento predefinito. Con i dispositivi di gateway il problema è però semplice in apparenza e complesso nella realtà, perlomeno in questa fase evolutiva in cui gli standard non appaiono ancora del tutto stabilizzati e sono emerse in proposito diverse scuole di pensiero. Se, in teoria, una rete convergente dovrebbe portare a una semplificazione progettuale e realizzativa, il progettista si trova invece a scontrarsi con una realtà che in prima battuta appare essere in controtendenza all auspicata semplificazione. In effetti, con le convenzionali reti di fonia e dati è oramai da anni che ci si muove in un contesto di standard più che consolidati e stabili, ma anche in presenza di apparati di diversi fornitori la cui interoperabilità è garantita da anni di funzionamento nelle stesse reti e certificata da enti internazionali indipendenti. Ciò non è ancora del tutto vero per le tecnologie convergenti, anche se i costruttori stanno accelerando proprio la fase di armonizzazione di standard e interoperabilità. Per esempio, per ciò che riguarda le funzioni di segnalazione si è assistito a un proliferare di standard che vedono nell arena sigle come H.323, SS7 (Signaling System 7), MGCP (Media gateway Control Protocol) o SIP (Session Initiation Protocol) e che coinvolge anche modalità di dialogo tra directory quali RAS (Registration/ Administration/ Status protocol), ILS (Internet Location Server) o LDAP (Ligthweight Directory Access Protocol), quando si deve garantire l interoperabilità tra reti non solo sul piano fisico ma anche funzionale. Un ulteriore aspetto da considerare è costituito dai servizi che una rete convergente deve erogare e dalla qualità che deve corrispondere ai singoli servizi e dalla rete nel suo complesso. La scuola di pensiero che in questo ambito si sta facendo strada è che, in ogni caso, la qualità di una rete di nuova generazione di tipo convergente deve essere perlomeno allo stesso livello qualitativo di una rete PSTN. Cosa facile da dire ma meno da attuare. Una soluzione al problema ha richiesto lo sviluppo di apparati e architetture di rete basati su switch o nodi di rete di nuova generazione, progettati in modo nativo proprio per erogare e gestire la qualità del servizio e livelli di servizio concordati adottando specifici protocolli. Tra questi, quelli maggiormente diffusi sono quello riferito come Differentiated Services o DiffServ, MPLS (Multiprotocol Label Switching) e RSVP (Resource Reservation Protocol). 76

85 L affermazione delle VPN CAPITOLO 7 Va tenuto presente che servizi, come quelli vocali, richiedono poi che sia possibile garantire una larghezza di banda costante, mentre se si realizza una transazione dati di commercio elettronico, la costanza della banda disponibile assume un valore secondario, data la limitatezza del messaggio, e assume un aspetto importante la sicurezza e il relativo criterio di cifratura. CONVERGENZA E VPN ALL INSEGNA DI IP In parallelo alla diffusione del protocollo IP, proposto come infrastruttura di trasporto multiservizio, e dell affermazione in azienda dell approccio VoIP e di rete convergente(e relative architetture), si è assistito alla riformulazione in chiave IP di un concetto esistente da tempo, quello delle reti private virtuali, sia ritagliate all interno di una rete di backbone di un carrier sia fornite da service provider specializzati. Anche in questo caso, l utilizzo di un concetto noto in un contesto di servizi e di protocolli innovativi porta inevitabilmente a esaminare i problemi connessi all utilizzo di una VPN come substrato per le comunicazioni aziendali e agli standard che si sono consolidati per una trasmissione sicura delle informazioni su un tale substrato. L ampia accettazione di IP e la sua universale diffusione hanno portato a concentrarsi sugli aspetti positivi, che sono quelli connessi all esistenza di uno strato di comunicazione omogeneo su scala mondiale. IP come strumento di base nella realizzazione di VPN è innovativo, ma come protocollo, non come concetto, essendo molte le reti VPN esistenti che utilizzano protocolli consolidati come il Frame Relay, in grado di trasportare voce pacchettizzata con una qualità non inferiore all IP, come si evince dalla disponibilità di una tale funzione nell offerta di un ampio numero di carrier e provider di servizi. L affermazione delle IP VPN, in realtà, è legata al presupposto di realizzazione a basso costo di una rete privata che sfrutti la gratuità di Internet. Di fatto,rispetto a reti affittate in condizioni di sostanziale monopolio, si è verificata già un importante riduzione dei costi, in Italia, con l apertura del mercato dati nel 1994 e di quello voce nel Una VPN, in ogni caso, costa meno di una rete privata e, in prospettiva, la diffusione di infrastrutture IP multiservizio consentirà ai service provider di risparmiare sui costi di realizzazione di una VPN basata sul protocollo IP. Già adesso, come vedremo meglio in seguito, è possibile sfruttare Internet per realizzare una connessione sicura attraverso gateway che, utilizzando protocolli standard, sono supportati da molti provider. 77

86 L affermazione delle VPN CAPITOLO 7 Dove risiede la vera e sostanziale novità è nel campo delle applicazioni. Con IP e VPN viene a svanire la modalità di sviluppo differenziato tra applicazioni LAN e WAN, sostituita da un approccio che considera come base il mondo Internet in un contesto end to end di accesso remoto tramite VPN, Web come architettura di base e una comunicazione ( e fax) sempre più in formato elettronico e sempre meno cartacea. Considerazione analoga si applica al campo della sicurezza. La sicurezza dei dati con le VPN Vi sono fondamentalmente due modi con cui utilizzare vantaggiosamente una rete VPN nel contesto aziendale. Il primo, disponendo di un adeguato accesso a Internet, prevede l obiettivo principale di espandere le relazioni con i propri clienti. Il secondo, che è più complesso e richiede una certa predisposizione e skill aziendale, consiste nell utilizzare Internet o il protocollo IP, canalizzato tramite un carrier, non solo per i propri clienti ma anche per interconnettere le proprie sedi aziendali. In pratica, con una VPN si ha la realizzazione di un interconnessione geografica da sede a sede (generalmente da LAN a LAN) con un costo che è solo una frazione di quello tipico delle reti geografiche. Ovviamente il risparmio cresce con il crescere della dispersione delle sedi aziendali su base territoriale e in funzione della loro distanza reciproca. Entrano in gioco anche altri fattori, quali il tipo di contratto sottoscritto (se è globale indipendentemente dal traffico, a volume, a tempo e così via) oppure la natura degli SLA (Service Level Agreement) sottoscritti (in particolare, in termini di qualità del servizio).tutti aspetti cui va dedicatala corretta attenzione in fase di definizione del contratto di fornitura. Come evidenziato in precedenza, il concetto di una rete virtuale risale agli anni 80 e anche se di recente si è fatto un gran parlare di VPN, solo ora sono concretamente disponibili gli strumenti per una loro effettiva realizzazione su larga scala: apparati e standard per le connessioni, la sicurezza nel trasferimento dei dati e il controllo della qualità del servizio. Attenzione particolare va dedicata all aspetto sicurezza. Una VPN è virtualmente privata, proprio perché utilizza infrastrutture di rete condivise anche da altri utenti. Internet, poi, è una classica rete aperta, quindi,inlinea di massima,aperta lo è anche una VPN. Per questo è necessario che siano implementati opportuni criteri sia da parte del fornitore sia dell utilizzatore della VPN stessa. I dati immessi in rete nel punto di origine, per arrivare al punto di destinazione, attraversano nodi appartenenti a sottoreti diverse, che assicurano come 78

87 L affermazione delle VPN CAPITOLO 7 funzione di base la commutazione o routing dei pacchetti IP verso il nodo di destinazione. Proprio questa multiproprietà apre la strada ad attacchi dall esterno che possono avere impatti fortemente negativi sugli utilizzatori. La sicurezza necessariamente connessa a buona parte delle applicazioni che possono basarsi su Internet ha fatto, quindi, emergere quello della protezione dei dati come uno degli aspetti di base nello sviluppo di reti private virtuali ritagliate su backbone IP. In sostanza, chi si appresta a utilizzare una VPN, ha la necessità di essere protetto dall accesso ai suoi dati da parte di persone non autorizzate. Il problema non è nuovo ed era già stato affrontato negli anni 80, quando si sono sviluppati gli standard X.400 e X.500 per la messaggistica e i servizi di directory ed Edifact per lo scambio di documenti amministrativi. I punti fondamentali da risolvere e da tenere in debita considerazione sono connessi all autenticazione delle due parti coinvolte in una sessione, la riservatezza o confidenzialità di quanto trasmesso, che non deve poter essere intercettato, e l integrità dei dati, che devono essere ricevuti invariati rispetto a quelli inviati. Come dato di fatto, esistono oggi risposte concrete a queste esigenze di cui alcune sviluppate proprio per l ambito IP, come l IPSec (Internet Protocol Security), uno standard specifico per Internet e applicazioni di commercio elettronico su Internet. LA REALIZZAZIONE DI UNA VPN Per cominciare, trattandosi di un progetto di rete, è necessario adottare un approccio schematico che prenda in considerazione i diversi aspetti. Come punto propedeutico è opportuno rendere sicura agli accessi dall esterno la propria LAN, adottando opportuni strumenti di firewalling. Il primo passo nel realizzare una VPN sicura consiste nel connettere a Internet le LAN aziendali. Ciò viene realizzato mediante una connessione geografica, dedicata o commutata per le sedi con ridotte esigenze di connettività,che collegala sede aziendale al POP del provider prescelto e che, essendo generalmente realizzata a livello urbano, risulta meno onerosa di una connessione geografica dedicata extraurbana. Realizzata la connessione, che prevede l utilizzo di router o di una funzione equivalente compresa in uno degli switch della LAN, il link geografico deve essere configurato relativamente a parametri come la velocità o l indirizzo IP assegnato dal service provider. 79

88 L affermazione delle VPN CAPITOLO 7 Se la connessione al provider, invece che una linea dedicata, utilizza un accesso commutato, va considerato che non tutti i fornitori prevedono un servizio di call out. Ciò implica che la sede potenzialmente chiamata dall esterno deve essere mantenuta online nei periodi in cui sono attive applicazioni che richiedono una risposta immediata. Realizzata e attivata la connessione al provider, le sessioni di lavoro, successivamente attivate dai client e dai server di rete, vengono convogliate su un canale logico riferito in letteratura con il termine di tunnel, che collega la porta WAN locale alla porta WAN della sede remota. Il link può poi essere configurato in base a esigenze di filtraggio degli indirizzi e di cifratura dei dati adatti alla specifica esigenza aziendale. L applicazione che deve trasmettere dei dati ha la sola necessità di utilizzare l indirizzo IP del router di destinazione e la chiave di cifratura predeterminata. Per sistemi dove si richiede un elevata sicurezza si può poi ricorrere sia a una cifratura specifica del tunnel geografico sia a una cifratura delle singole sessioni con chiavi differenti. Configurato il tunnel, il traffico che viene inviato alla sede remota viene prima cifrato e poi inserito in un pacchetto dati IP e inviato alla rete. Nel caso la sessione utilizzi un trasporto geografico non IP, il pacchetto IP viene a sua volta inserito nel campo dati del protocollo di rete geografica adottato dal carrier, per esempio Frame Relay, X.25o ATM. L affermazione dello standard IPSec nella realizzazione di VPN Nell accesso alle VPN e nella realizzazione di connessioni sicure si è in presenza di tre modalità implementative diverse, basate rispettivamente sull utilizzo di: Router o switch con funzioni di livello 3/4; software specializzato; dispositivi dedicati di firewalling. L utilizzo del router è la più naturale e rappresenta un evoluzione delle sue funzionalità di base. Va considerato poi che la connessione di una LAN all ambiente geografico IP necessita comunque di un router e quindi il suo utilizzo non porta a investimenti aggiuntivi, se non per quanto concerne il dotarsi dei pacchetti software o degli aggiornamenti del sistema operativo, necessari a supportare le funzioni di rete che si vuole attivare, nel caso specifico quelle di tunneling e di sicurezza. In alcuni casi, un adeguamento delle funzioni del router può non essere necessario, se ci si trova a gestire applicazioni che sono state sviluppate in modo nativo per operare con funzioni di sicurezza intrinseche su tunnel sicuri, realizzate direttamente tra le stesse applicazioni che interagiscono su base remota. 80

89 L affermazione delle VPN CAPITOLO 7 Per ciò che concerne apparati dedicati esplicitamente a proteggere il mondo LAN, i firewall sono stati i primi prodotti a permettere la realizzazione di applicazioni su VPN e per certi aspetti risultano degli apparati ideali per realizzare VPN, anche se la relativa funzione è stata inglobata in buona parte dell offerta di router esistenti. Uno degli standard affermatisi per la realizzazione dei tunnel è L2PT, un protocollo supportato tra gli altri da Cisco e Microsoft. Instaurato il tunnel tramite il dispositivo prescelto, si è compiuto un primo passo nella realizzazione di una VPN. Quello successivo consiste nel fornire all utilizzatore remoto un accesso sicuro alla LAN. L2TP viene in questo caso abbinato a un altro protocollo, denominato IPSec e dedicato specificatamente alla realizzazione di connessioni sicure tra utente remoto e LAN su reti VPN. Due ulteriori aspetti sono correlati alla realizzazione di una rete VPN. Il primo è la qualità del servizio erogato dalla rete e il secondo è la larghezza di banda disponibile sulla stessa. Il problema che porta alla QoS deriva direttamente dal fatto che la rete Internet è una rete di tipo best effort, in cui tempi di consegna e capacità di rete non sono per niente garantiti. Situazione che è il contrario di quella che si cerca di ottenere quando si progetta una rete aziendale in cui si vuole che le applicazioni abbiano dei tempi massimi di risposta garantiti e una disponibilità di banda adeguata. Con la diffusione di Internet a livello aziendale il problema del QoS si è posto come uno dei principali quando si progetta un applicazione che debba basarsi su una VPN. Un ruolo nello sviluppo di soluzioni che rendono proponibile e utilizzabile Internet come substrato per la rete aziendale lo hanno sia le società che sviluppano soluzioni hardware e software per l office automation o il networking aziendale che i principali carrier e ISP, tutti coinvolti nello sviluppo di un protocollo denominato RSVP che permette di riservare una larghezza di banda garantita su una rete IP. Quando una sessione viene attivata, tramite il protocollo RSVP ogni nodo attraversato dai dati e coinvolto nella realizzazione di un tunnel su IP riserva alla specifica connessione l ammontare di banda necessario o segnala l impossibilità di realizzare la connessione. L architettura IPSec Il protocollo che si sta affermando nella comunità Internet per la realizzazione di funzioni di sicurezza è IPSec, che rappresenta uno standard di fatto per la sicurezza del livello di rete. IPSec prevede la realizzazione di due diverse modalità di protezione dei dati. La prima permette di autenticare i dati inviati, la seconda aggiunge a questo anche la cifratura degli 81

90 L affermazione delle VPN CAPITOLO 7 stessi. IPSec costituisce una vera e propria architettura aperta per la realizzazione di reti sicure ed è stato sviluppato da un gruppo di lavoro dell IETF. Il concetto di architettura aperta dipende dal fatto che nel suo ambito architetturale possono essere inseriti nuovi metodi di cifratura man mano che vengono sviluppati o che i sistemi utilizzabili per attaccare i dati si perfezionano. Le aree che sono state affrontare nella definizione del protocollo sono: Autenticazione dei dati di origine per verificare che gli stessi siano stati inviati effettivamente dal mittente. Protezione dal rischio che i dati possano essere intercettati e ritrasmessi in un momento successivo. Integrità dei dati per verificare che quanto inserito nei datagrammi non sia stato alterato. Gestione automatica delle chiavi di cifratura in modo da poter stabilire una politica di rete che non richieda continui interventi manuali. In questo ambito, i principali protocolli della suite IPSec sono tre. Il primo è denominato IP Authentication Header (AH) e si preoccupa di autenticare i dati di origine, la loro integrità e la protezione da ripetizioni abusive. Il secondo è denominato IP Encapsulating Security Payload (ESP) e si occupa della confidenzialità dei dati, dell autenticazione del mittente e dell integrità dei dati. Il terzo è riferito come Internet Security Association and Key Management Protocol (ISAKMP) e fornisce un metodo per realizzare automaticamente associazioni sicure e gestire le relative chiavi di cifratura. I protocolli per la sicurezza del livello di rete, quindi nello specifico l IPSec, hanno nell insieme la funzione di assicurare ai protocolli dei livelli superiori la protezione delle informazioni trasportate nel campo dati, riferito come payload, di un datagramma IP. IPSec e L2TP sono due protocolli fatti per lavorare assieme. Un tunnel L2TP viene realizzato incapsulando una trama L2TP all interno di un pacchetto UDP, a sua volta incapsulato all interno di un pacchetto IP. UDP è il protocollo del livello di trasporto, mentre IP è il protocollo di rete ed è nel pacchetto IP che sono compresi gli indirizzi della sorgente e della destinazione del pacchetto che definiscono i punti terminali di un tunnel. Essendo IP il protocollo che incapsula tutti gli altri, le funzioni previste da IPSec per il livello di rete finiscono con l essere applicate a questo pacchetto composito e quindi proteggono i dati che fluiscono all interno deltunnell2tp. 82

91 L affermazione delle VPN CAPITOLO 7 I protocolli per il tunneling di livello 2 rappresentano un modo per realizzare accessi remoti cost-effective con il trasporto multiprotocollo e l accesso remoto a LAN. Poiché però non forniscono funzioni di sicurezza, diventa praticamente obbligato utilizzarli in abbinamento a IPSec, qualora si voglia fornire un accesso remoto sicuro. Realizzare una VPN permette, quindi, di ottenere benefici economici notevoli, ma richiede un approccio progettuale ben preciso che deve necessariamente partire con il rendere sicuro l accesso aziendale, individuare le tecnologie da utilizzare o il service provider a cui rivolgersi, passare attraverso una fase di definizione del Service Level Agreement e concludersi (prudenzialmente) con un adeguato impianto pilota. Autenticazione ed encryption per una VPN sicura L architettura IPSec prevede la possibilità di inserire diversi protocolli e meccanismi di autenticazione e di crittografia, quando questi fossero disponibili. Attualmente gli standard più diffusi sono il DES e il 3DES, pur soggetti a limitazioni di esportazione da parte del governo Usa, ma circolanti pressoché liberamente sul mercato italiano. Va osservato che il loro impiego può essere indicato anche per le reti virtuali private di tipo wireless. Le tecnologie di autenticazione possono anche utilizzare elementi esterni, come i token, ma tali meccanismi rimangono esterni all architettura VPN propriamente detta. Così come lo è il protocollo tipicamente usato nelle reti attuali per la realizzazione di una sessione sicura, cioè il Secure Society Layer (SSL). Questo protocollo è nato per l impiego su Internet e, in particolare, la sua diffusione è stata propagandata per la realizzazione di siti di e-commerce.sebbene il commercio elettronico abbia avuto uno scarso successo, la sua esplosione è probabilmente solo rimandata e, in ogni caso, è destinato a diventare un canale di commercio imprescindibile. Per preparasi a integrarlo in azienda è opportuno, come è stato in parte spiegato, adeguare la propria infrastruttura a quelle caratteristiche minime che lo facilitano. Tra queste figurano anche le architetture di VPN, che probabilmente molte aziende saranno costrette a implementare, in funzione dell estensione della propria supplì chain. La sempre maggiore diffusione di router e gateway di piccole dimensioni, va anche nella direzione di favorire l adozione di VPN da parte di piccole e medie imprese che devono collegarsi a un partner più grande o di telelavoratori, per i quali è necessario garantire e mantenere adeguate 83

92 L affermazione delle VPN CAPITOLO 7 policy di sicurezza. Più complicata potrebbe essere l implementazione di adeguate tecnologie di crittografia, senza vedere penalizzate le prestazioni dei propri sistemi. 84

93 Capitolo 8 PROGETTO DI UN INFRASTRUTTURA DI SICUREZZA Il lavoro di tesi si è svolto presso una società di franchising nell ambito turistico che conta una rete di circa 60 agenzie sparse per il territorio nazionale, in costante aumento. La natura di tale società prevede la gestione centralizzata delle applicazioni necessarie al proprio lavoro. Le applicazioni che gli affiliati devono poter utilizzare consistono in gestionali e sistemi per la prenotazione di viaggi, alberghi, ristoranti e tutto ciò che concerne l attività turistica. Situazione iniziale La metodologia di lavoro degli affiliati prima che cominciassero i lavori era la seguente: collegamento in VPN alla sede centrale tramite software client con VPN-IPSec e apertura di una sessione remote desktop che li collegava al terminal server sul quale risiedevano i software di contabilità. L affiliato, in questo scenario riscontrava diverse problematiche che riguardavano principalmente la stabilità dei tunnel VPN e la possibilità di stampare i dati elaborati nella sessione di terminal server sulle stampanti in locale. Infatti, nella maggior parte dei casi, la stampa risultava impossibile e l unico modo che avevano per stampare era farlo in PDF sul terminal server e spedirsi via il documento per stamparlo in locale. L obiettivo del cliente era quello di risolvere queste problematiche e modernizzare la propria rete Studio della rete e raccolta delle specifiche Questa fase dei lavori si è svolta parlando con il responsabile informatico della società e si sono raccolti i seguenti dati. Dal colloquio con questa persona si è giunti a delineare la seguente situazione: in sede centrale non vi è alcuna divisione tra la parte visibile di rete dall esterno e la rete interna. L infrastruttura informatica si basa su un dominio Windows 2000 Active Directory Small Business Server. Come protezione perimetrale dell intera rete, è un firewall SonicWALL Pro2040 con firmware OS Standard, mentre per la protezione host, non è presente nessun software antivirus controllabile e gestibile da server ma vari programmi antivirus utilizzati senza una logica ben precisa. In questo scenario si possono riscontrare diverse problematiche riguardanti l amministrazione troppo decentralizzata (o inesistente) e la sicurezza che pare essere stata trascurata.

94 PRO 2040 Progetto di un infrastruttura di sicurezza CAPITOLO 8 I problemi di amministrazione riguardano principalmente la gestione delle VPN con le agenzie esterne. Realizzandole tramite software infatti si riscontrano problemi di configurazione (viste le competenze informatiche delle commesse delle agenzie) e di stabilità poiché non tutti i router forniti dai service provider sono IPSec pass-through e quindi il collegamento risulta impossibile; inoltre, questo tipo di collegamento implica utilizzi massivi di calcoli da parte del processore degli host per decriptare pacchetti IPSec e quindi un gran dispendio di risorse macchina. I problemi di sicurezza riscontrati sono stati, invece, i seguenti: Nessuna policy per le password di accesso alla VPN e a windows. Stesso indirizzamento per la parte di rete visibile dall esterno e la rete interna; in questo modo gli affiliati potevano entrare in qualunque momento su qualunque macchina facente parte della sottorete x. Macchine senza alcun software antivirus e altre con software vecchi o non aggiornati. Nessuna policy di backup dei server in sede centrale. Nessuna policy sul dominio creato, in questo modo ogni pc stand-alone inserito nella lan poteva accedere e modificare i dati nelle cartelle condivise sul server. Policy di default sul firewall permit in uscita su tutte le porte. Nessuna logica di fail-over sulle linee internet, server e apparati di rete. Ecco un immagine schematica che rappresenta come risultava la rete prima di cominciare i lavori. 86

95 Progetto di un infrastruttura di sicurezza CAPITOLO 8 Proposta soluzione Dopo un attenta analisi delle esigenze e delle problematiche sopra citate, s è deciso di proporre una soluzione scalabile in grado di poter procedere per passaggi, fino al conseguimento dell infrastruttura ottimale. Nello studiare e proporre un infrastruttura definitiva ottimale per una realtà come quella citata, si è deciso di scomporla in 6 livelli: 1. Network; 2. Connettività; 3. Livello d accesso; 4. Servizi; 5. High Availability; 6. Sicurezza. 1 -Network A livello di network bisogna assicurarsi che a Layer 2 (Standard ISO/OSI) tutte le transazioni interne od esterne possano contare su velocità ed affidabilità di consegna delle informazioni richieste. A tal proposito si sono approfonditi gli aspetti: Bilanciamento di carico e Fault Tollerance delle schede di rete dei servers; Utilizzo di apparati attivi in grado di poter implementare tecnologie di QoS e Packet Prioritization. Separazione fisica e logica del traffico dati tra Internet, Dmz e traffico VoIP Per quanto riguarda il bilanciamento di carico e Fault Tollerance sui server, si è analizzata la possibilità di attivazione sui singoli server, se muniti di due schede di rete. 2 -Connettività La garanzia dell ottenimento di un servizio di connettività affidabile ed ottimale si ottiene tramite l utilizzo di apparati Link Balancer, in grado di bilanciare differenti linee internet: il bilanciamento ottenuto dall inserimento di tale apparato in una struttura si riflette con il miglioramento dell utilizzo della banda internet, assicurando di conseguenza una qualità di connessione maggiore, oltre che ad un grado maggiore di affidabile. L inserimento di apparati Packet Shaper forniscono invece la possibilità di garantire bande minime/massime ai vari protocolli oltre che di eseguire un controllo per pacchetto di 87

96 Progetto di un infrastruttura di sicurezza CAPITOLO 8 qualsiasi connessione transiti per essi. Questo tornerebbe utile nel caso dell inserimento nella struttura di tecnologie VoIP, protocollo che soffre di problemi di questo tipo. 3- Livello d Accesso Dopo aver approfondito le varie tecniche di miglioria dei canali comunicativi tra Sede e Clienti, si è approfondito il livello d accesso. Fino a questo momento tutti i client esterni che vogliono accedere ai servizi centralizzati, utilizzano connessioni Vpn Client-to-Site basate su tecnologia IPSec. Tale connessione obbliga l utilizzo di un software specifico molto delicato che in circostanze particolari cessa di funzionare. La migrazione da tale tecnologia ad una tecnologia VPN basata su criteri di sicurezza SSL e quindi utilizzzare come protocollo portante l HTTP, veloce per sua natura, permette di rendere la connessione maggiormente affidabile, poichè non implica l utilizzo di software proprietari, inoltre non implica utilizzi massivi di calcoli di processore per decriptare pacchetti, quindi risulta più veloce. Tale tecnica permette anche l utilizzo di meccanismi di autenticazione esterni quali Token, Token con tecnologia OTP (One Time Password) o Smart Card. 4- Servizi A livello di Servizio, l utilizzo di tecnologie Terminal, quali Terminal Server o Citrix Metaframe permettono una resa maggiore degli applicativi in ambito Intranet, perché tali tecnologie si avvalgono di protocolli d accelerazione di banda tra il client ed il server. Per ottenere una maggior velocità in fase di utilizzo delle risorse centrali ci si può avvalere di apparati basati su tecnologie Quality of Service che garantiscono una banda minima per ogni transazione che avviene tra client e server. 5 -High Availability Dopo aver consolidato l intera struttura ci si può concentrare sulla riduzione dei fermi macchina o fermi servizi tramite l applicazione dei concetti dell High Availability, ossia prevedere sistemi/ meccanismi/ apparati in grado di poter garantire ridondanza della struttura e dei servizi in caso di Fail. A tal proposito si utilizza un altro server come Domain Controller, di modo che il processo d autenticazione ai vari servizi sia bilanciato su due macchine differenti. Stessa sorte per l SSL-VPN e per il terminal server, così che eventuali manutenzioni o problemi 88

97 Progetto di un infrastruttura di sicurezza CAPITOLO 8 hardware/software non compromettano il grado di affidabilità dell intera infrastruttura informatica. 6 -Sicurezza Dal punto di vista della sicurezza, le aree logiche di suddivisione del traffico sono come mostrato in figura. Tale suddivisione implica che l apparato che funge da filtro tra le varie zone sia spesso controllato e verificato sia nel suo funzionamento sia nella sua efficacia. L apparato filtrante dove essere fornito di tecnologia Deep-Packet-Inspection che prevede un controllo della correttezza della comunicazione fino a livello Applicativo. Le funzionalità del nuovo firmware proposto per il firewall permettono poi di poter potenziare ulteriormente la granularità del controllo fino alla trasformazione del SonicWALL Pro2040 da Firewall Deep- 89

98 Progetto di un infrastruttura di sicurezza CAPITOLO 8 Packet-Inspection in Application-Level-Gateway, il massimo della tecnologia di sicurezza perimetrale. Per quanto riguarda la protezione Host, si è proposto un software antivirus con integrate funzionalità di rilevamento di Applicazioni Potenzialmente Indesiderate (PUA) e con capacità di Host Intrusion Detection System (HIPS); il tutto gestito da una console che centralizza la gestione degli host su un unico server. La gestione della sicurezza non implica il solo inserimento in rete di un firewall, ma anche l utilizzo di sistemi d autenticazione Sicuri basati su Certificati digitale o Smart Card. Per poter utilizzare tali tecnologie, si attiverà sui Domain Controllers un componente che svolge il ruolo di framework tra l agente di autenticazione e l autenticatore, in poche parole tra l apparato che riceve le credenziali ed il servizio che deve concedere o meno l accesso. Ecco come avverrebbe una transazione tra Agenzia e Sede centrale secondo la proposta sopra citata: 1. L utente si collega al portale via browser internet e si autentica; 2. Il client apre una connessione RDP verso un nome DNS portalessl.dominio.net ; 3. Il bilanciatore di carico risponde con l IP Pubblico riservato al portale, contestualmente con la linea internet più scarica, o con meno utenti connessi. 4. Inserimento di credenziali sul portale per l identificazione dell utente tramite l accoppiata utente/password (attraverso l utilizzo di sistemi di autenticazione avanzata). 5. Fino a questo punto la connessione avverrà sempre in maniera crittografata SSL, ma dal portale SSL sarà poi decriptata fino alla macchina di destinazione. Qualsiasi operazione/comando eseguito durante tutta la sessione di lavoro, il firewall ne verificherà la coerenza con le policy definite, assieme al Packet Shaper che assegnerà ad ogni connessione una banda minima in modo da garantire una qualità del servizio. IPOTESI DI LAVORO La messa in opera di tale sistema informatico prevede che alcuni componenti siano inseribili in un secondo momento, dopo aver quindi assodato la logica ed il funzionamento della parte indispensabile della rete. Ecco una scaletta in ordine temporale sulle fasi d implementazione del progetto: 1. Creazione del nuovo ambiente; 90

99 SECURE REMOTE ACCESS Progetto di un infrastruttura di sicurezza CAPITOLO 8 2. Attivazione delle vpn SSL; 3. Installazione Secondo Domain Controller; 4. Attivazione Firmware OS Enhanced su Pro2040; 5. Bilanciamento delle linee internet; 6. Attivazione del server WEB in DMZ; 7. Bilanciamento con un secondo server Terminal; 8. Attivazione Strong Authentication; 9. Creazione di una logica di Fail Over; 10. Creazione di logica di Disaster Recovery. 11. Attivazione QoS/Packet Shaping; 12. Attivazione VoIP. 13. Fino a questo momento sono stati implementate le parti fondamentali quindi la creazione dell ambiente, l installazione del nuovo domain controller, l attivazione del firmware OS Enhanced sul firewall, l attivazione dell SSL-VPN e l attivazione della strong authentication. L infrastruttura oggi risulta essere così: HDSL 2Mbit/s PRO 2040 SSL-VPN

LE RAGIONI DELLA SICUREZZA IT

LE RAGIONI DELLA SICUREZZA IT LE RAGIONI DELLA SICUREZZA IT L atteggiamento un tempo più diffuso, quando in azienda si cominciava a parlare di sicurezza informatica, era quello che molte società del settore ancora oggi identificano

Dettagli

Descrizione servizio Websense Hosted Mail Security

Descrizione servizio Websense Hosted Mail Security Descrizione servizio Websense Hosted Mail Security Alla luce della crescente convergenza delle minacce nei confronti del Web e della posta elettronica, oggi è più importante che mai poter contare su una

Dettagli

Sicurezza e virtualizzazione per il cloud

Sicurezza e virtualizzazione per il cloud Sicurezza e virtualizzazione per il cloud Con il cloud gli utenti arrivano ovunque, ma la protezione dei dati no. GARL sviluppa prodotti di sicurezza informatica e servizi di virtualizzazione focalizzati

Dettagli

CASO DI STUDIO IWBAnk LA FAmOSA BAnCA OnLIne InCremenTA LA SICUrezzA per GArAnTIre migliori ServIzI AL CLIenTe

CASO DI STUDIO IWBAnk LA FAmOSA BAnCA OnLIne InCremenTA LA SICUrezzA per GArAnTIre migliori ServIzI AL CLIenTe IWBank La Famosa Banca Online Incrementa la Sicurezza per Garantire Migliori Servizi al Cliente Efficienza e Sicurezza: Vantaggi Competitivi per la Banca Online. Grazie al marchio VeriSign e alle sue tecnologie,

Dettagli

MarketingDept. mar-13

MarketingDept. mar-13 mar-13 L Azienda Fondata nel 1988 Sede principale a Helsinki, Finlandia; uffici commerciali in oltre 100 paesi Attiva su tutti i segmenti di mercato, da Consumer a Corporate, specializzata nell erogazione

Dettagli

UN APPROCCIO INTEGRATO ALLA SICUREZZA

UN APPROCCIO INTEGRATO ALLA SICUREZZA UN APPROCCIO INTEGRATO ALLA SICUREZZA Le diverse soluzioni per la sicurezza si sono evolute nel corso degli anni al fine di indirizzare problematiche specifiche, andandosi così a posizionare in punti precisi

Dettagli

La soluzione Cisco Network Admission Control (NAC)

La soluzione Cisco Network Admission Control (NAC) La soluzione Cisco Network Admission Control (NAC) Oggi non è più sufficiente affrontare le problematiche relative alla sicurezza con i tradizionali prodotti per la sola difesa perimetrale. È necessario

Dettagli

Migliorare l'efficacia delle tecnologie di sicurezza informatica grazie ad un approccio integrato e collaborativo

Migliorare l'efficacia delle tecnologie di sicurezza informatica grazie ad un approccio integrato e collaborativo Migliorare l'efficacia delle tecnologie di sicurezza informatica grazie ad un approccio integrato e collaborativo Marco Misitano, CISSP, CISM Advanced Technologies, Security Cisco Systems Italy misi@cisco.com

Dettagli

Sistemi firewall. sicurezza reti. ICT Information & Communication Technology

Sistemi firewall. sicurezza reti. ICT Information & Communication Technology Sistemi firewall sicurezza reti Firewall sicurezza In informatica, nell ambito delle reti di computer, un firewall è un componente passivo di difesa perimetrale di una rete informatica, che può anche svolgere

Dettagli

Company profile 2014

Company profile 2014 Company profile 2014 Chi siamo Digimetrica è una società specializzata in: Sicurezza informatica Networking e gestione di infrastrutture informatiche Outsourcing di soluzioni internet e cloud computing

Dettagli

@ll Security. Il Perché dell Offerta. Business Market Marketing

@ll Security. Il Perché dell Offerta. Business Market Marketing Il Perché dell Offerta Cos è la Sicurezza Logica? La Sicurezza logica è costituita dall insieme delle misure di carattere organizzativo e tecnologico tese ad impedire l alterazione diretta o indiretta

Dettagli

A Brave. Chi detiene la sicurezza in-the-cloud? Un punto di vista di Trend Micro. Febbraio 2011. Dave Asprey, VP Cloud Security

A Brave. Chi detiene la sicurezza in-the-cloud? Un punto di vista di Trend Micro. Febbraio 2011. Dave Asprey, VP Cloud Security A Brave Chi detiene la sicurezza in-the-cloud? Un punto di vista di Trend Micro Febbraio 2011 Dave Asprey, VP Cloud Security I. CHI DETIENE LA SICUREZZA IN-THE-CLOUD? Il cloud computing è la parola più

Dettagli

Il ROI del consolidamento dei Server

Il ROI del consolidamento dei Server Il ROI del consolidamento dei Server Sul lungo periodo, un attività di consolidamento dei server è in grado di far scendere i costi IT in modo significativo. Con meno server, le aziende saranno in grado

Dettagli

Glossario servizi di Sicurezza Informatica offerti

Glossario servizi di Sicurezza Informatica offerti Glossario servizi di Sicurezza Informatica offerti Copyright LaPSIX 2007 Glossario servizi offerti di sicurezza Informatica SINGLE SIGN-ON Il Single Sign-On prevede che la parte client di un sistema venga

Dettagli

Ordine degli Ingegneri della Provincia di Napoli Commissione Telecomunicazioni

Ordine degli Ingegneri della Provincia di Napoli Commissione Telecomunicazioni EDILMED 2010 Ordine degli Ingegneri della Provincia di Napoli Commissione Telecomunicazioni SICUREZZA INFORMATICA DEGLI STUDI PROFESSIONALI G. Annunziata, G.Manco Napoli 28 Maggio 2010 EDILMED/ 2010 1

Dettagli

PASSIONE PER L IT PROLAN. network solutions

PASSIONE PER L IT PROLAN. network solutions PASSIONE PER L IT PROLAN network solutions CHI SIAMO Aree di intervento PROFILO AZIENDALE Prolan Network Solutions nasce a Roma nel 2004 dall incontro di professionisti uniti da un valore comune: la passione

Dettagli

SPIKE APPLICATION SECURITY: SICUREZZA DIRETTAMENTE ALL INTERNO DEL CICLO DI VITA DEL SOFTWARE

SPIKE APPLICATION SECURITY: SICUREZZA DIRETTAMENTE ALL INTERNO DEL CICLO DI VITA DEL SOFTWARE SPIKE APPLICATION SECURITY: SICUREZZA DIRETTAMENTE ALL INTERNO DEL CICLO DI VITA DEL SOFTWARE La sicurezza delle applicazioni web si sposta a un livello più complesso man mano che il Web 2.0 prende piede.

Dettagli

Connessioni sicure: ma quanto lo sono?

Connessioni sicure: ma quanto lo sono? Connessioni sicure: ma quanto lo sono? Vitaly Denisov Contenuti Cosa sono le connessioni sicure?...2 Diversi tipi di protezione contro i pericoli del network.....4 Il pericolo delle connessioni sicure

Dettagli

TREND MICRO DEEP SECURITY

TREND MICRO DEEP SECURITY TREND MICRO DEEP SECURITY Protezione Server Integrata Semplice Agentless Compatibilità Totale Retroattiva Scopri tutti i nostri servizi su www.clouditalia.com Il nostro obiettivo è la vostra competitività.

Dettagli

Secure Email N SOC Security Service

Secure Email N SOC Security Service Security Service La gestione e la sicurezza della posta non è mai stata così semplice ed efficace N-SOC rende disponibile il servizio modulare SecaaS Secure Email per la sicurezza e la gestione della posta

Dettagli

Information & Communication Technology. www.applicom.it - info@applicom.it

Information & Communication Technology. www.applicom.it - info@applicom.it Information & Communication Technology L'azienda Applicom opera nel settore dell'information & Communication Technology (ICT). E' specializzata nella consulenza e nello sviluppo di applicazioni software

Dettagli

Monitoraggio di outsourcer e consulenti remoti

Monitoraggio di outsourcer e consulenti remoti 1 Monitoraggio di outsourcer e consulenti remoti Un Whitepaper di Advanction e ObserveIT Daniel Petri 2 Sommario Esecutivo Nel presente whitepaper verrà mostrato come registrare le sessioni remote su gateway

Dettagli

Sicurezza: credenziali, protocolli sicuri, virus, backup

Sicurezza: credenziali, protocolli sicuri, virus, backup Sicurezza: credenziali, protocolli sicuri, virus, backup La sicurezza informatica Il tema della sicurezza informatica riguarda tutte le componenti del sistema informatico: l hardware, il software, i dati,

Dettagli

CORSO EDA Informatica di base. Sicurezza, protezione, aspetti legali

CORSO EDA Informatica di base. Sicurezza, protezione, aspetti legali CORSO EDA Informatica di base Sicurezza, protezione, aspetti legali Rischi informatici Le principali fonti di rischio di perdita/danneggiamento dati informatici sono: - rischi legati all ambiente: rappresentano

Dettagli

INTRODUZIONE ALLA SICUREZZA: IL FIREWALL

INTRODUZIONE ALLA SICUREZZA: IL FIREWALL INTRODUZIONE ALLA SICUREZZA: IL FIREWALL Fino a qualche anno fa la comunicazione attraverso le reti di computer era un privilegio ed una necessità di enti governativi e strutture universitarie. La sua

Dettagli

The new outsourcing wave: multisourcing

The new outsourcing wave: multisourcing EVOLUZIONE DEI MODELLI DI OUTSOURCING La pratica dell outsourcing, cioè del trasferire all esterno dell azienda singole attività, processi o infrastrutture è in voga da tempo, e negli anni ha dimostrato

Dettagli

Sicurezza le competenze

Sicurezza le competenze Sicurezza le competenze Le oche selvatiche volano in formazione a V, lo fanno perché al battere delle loro ali l aria produce un movimento che aiuta l oca che sta dietro. Volando così, le oche selvatiche

Dettagli

Navigazione controllata

Navigazione controllata Easyserver nasce come la più semplice soluzione dedicata alla sicurezza delle reti ed al controllo della navigazione sul web. Semplice e flessibile consente di controllare e monitorare il corretto uso

Dettagli

progettiamo e realizziamo architetture informatiche Company Profile

progettiamo e realizziamo architetture informatiche Company Profile Company Profile Chi siamo Kammatech Consulting S.r.l. nasce nel 2000 con l'obiettivo di operare nel settore I.C.T., fornendo servizi di progettazione, realizzazione e manutenzione di reti aziendali. Nel

Dettagli

Prefazione. Internet net opportunità e minacce. eagire?

Prefazione. Internet net opportunità e minacce. eagire? Prefazione Introduzione Internet net opportunità e minacce Internet offre ottime opportunità. Ai clienti offre una scelta molto più ampia di prodotti, servizi e prezzi da parte di diversi fornitori, nonché

Dettagli

Indice. Prefazione. Presentazione XIII. Autori

Indice. Prefazione. Presentazione XIII. Autori INDICE V Indice Prefazione Presentazione Autori XI XIII XV Capitolo 1 Introduzione alla sicurezza delle informazioni 1 1.1 Concetti base 2 1.2 Gestione del rischio 3 1.2.1 Classificazione di beni, minacce,

Dettagli

ANALISI DELL INFRASTRUTTURA IT

ANALISI DELL INFRASTRUTTURA IT ITAS ANALISI DELL INFRASTRUTTURA IT Criticità di sicurezza Trento Hacking Team S.r.l. http://www.hackingteam.it Via della Moscova, 13 info@hackingteam.it 20121 MILANO (MI) - Italy Tel. +39.02.29060603

Dettagli

Making the Internet Secure TM

Making the Internet Secure TM Making the Internet Secure TM e-security DAY 3 luglio 2003, Milano Kenneth Udd Senior Sales Manager SSH Communications Security Corp. SSH Communications Security Corp Storia Fondata nel 1995 Ideatrice

Dettagli

Resta inteso che il seguente studio rimane di esclusiva proprietà della SIRMI, che si riserva tutti i diritti relativi all utilizzazione.

Resta inteso che il seguente studio rimane di esclusiva proprietà della SIRMI, che si riserva tutti i diritti relativi all utilizzazione. L evoluzione delle società di Servizi IT Il fenomeno MSP SIRMI SPA per IBM ITALIA SPA Settembre 2013 SIRMI assicura che la presente indagine è stata effettuata con la massima cura e con tutta la professionalità

Dettagli

10 metodi per ottimizzare la rete in modo sicuro

10 metodi per ottimizzare la rete in modo sicuro 10 metodi per ottimizzare la rete in modo sicuro Con l intelligenza applicativa dei firewall di nuova generazione e la serie WAN Acceleration Appliance (WXA) di SonicWALL Sommario Ottimizzazione sicura

Dettagli

DIFENDERSI DAI MODERNI ATTACCHI DI PHISHING MIRATI

DIFENDERSI DAI MODERNI ATTACCHI DI PHISHING MIRATI DIFENDERSI DAI MODERNI ATTACCHI DI PHISHING MIRATI DIFENDERSI DAI MODERNI ATTACCHI DI PHISHING MIRATI 2 Introduzione Questa email è una truffa o è legittima? È ciò che si chiedono con sempre maggiore frequenza

Dettagli

AIEA Associazione Italiana Information Systems Auditors

AIEA Associazione Italiana Information Systems Auditors AIEA Associazione Italiana Information Systems Auditors UTILIZZARE I SERVIZI CORPORATE TRAMITE LA TECNOLOGIA WIRELESS Carlo Muzzì Torino, 26 febbraio 2009 UTILIZZARE I SERVIZI CORPORATE TRAMITE LA TECNOLOGIA

Dettagli

Come ottenere la flessibilità aziendale con un Agile Data Center

Come ottenere la flessibilità aziendale con un Agile Data Center Come ottenere la flessibilità aziendale con un Agile Data Center Panoramica: implementare un Agile Data Center L obiettivo principale è la flessibilità del business Nello scenario economico attuale i clienti

Dettagli

Vorrei che anche i nostri collaboratori potessero accedere sempre e ovunque alla nostra rete per consultare i file di cui hanno bisogno.

Vorrei che anche i nostri collaboratori potessero accedere sempre e ovunque alla nostra rete per consultare i file di cui hanno bisogno. VPN Distanze? Le aziende si collegano in rete con le loro filiali, aprono uffici decentrati, promuovono il telelavoro oppure collegano i collaboratori remoti e i fornitori di servizi esterni alla loro

Dettagli

Problematiche correlate alla sicurezza informatica nel commercio elettronico

Problematiche correlate alla sicurezza informatica nel commercio elettronico Problematiche correlate alla sicurezza informatica nel commercio elettronico http://www.infosec.it info@infosec.it Relatore: Stefano Venturoli, General Manager Infosec Italian Cyberspace Law Conference

Dettagli

L azienda di fronte all e-business

L azienda di fronte all e-business L azienda di fronte all e-business Opportunità per le imprese Il cambiamento portato dalla Rete produce opportunità e benefici: ma l ottenimento dei risultati positivi è frutto di una revisione degli stili

Dettagli

Panoramica sulla tecnologia

Panoramica sulla tecnologia StoneGate Panoramica sulla tecnologia StoneGate SSL-VPN S t o n e G a t e P a n o r a m i c a s u l l a t e c n o l o g i a 1 StoneGate SSL VPN Accesso remoto in piena sicurezza La capacità di fornire

Dettagli

Una soluzione di collaborazione completa per aziende di medie dimensioni

Una soluzione di collaborazione completa per aziende di medie dimensioni Una soluzione di collaborazione completa per aziende di medie dimensioni La tua azienda è perfettamente connessa? È questa la sfida cruciale dell attuale panorama aziendale virtuale e mobile, mentre le

Dettagli

Architetture dei WIS. Definizione di WIS. Benefici dei WIS. Prof.ssa E. Gentile a.a. 2011-2012

Architetture dei WIS. Definizione di WIS. Benefici dei WIS. Prof.ssa E. Gentile a.a. 2011-2012 Architetture dei WIS Prof.ssa E. Gentile a.a. 2011-2012 Definizione di WIS Un WIS può essere definito come un insieme di applicazioni in grado di reperire, cooperare e fornire informazioni utilizzando

Dettagli

LA FORZA DELLA SEMPLICITÀ. Business Suite

LA FORZA DELLA SEMPLICITÀ. Business Suite LA FORZA DELLA SEMPLICITÀ Business Suite LA MINACCIA È REALE Le minacce online alla tua azienda sono reali, qualunque cosa tu faccia. Chiunque abbia dati o denaro è un bersaglio. Gli incidenti relativi

Dettagli

Brochure Cisco Security

Brochure Cisco Security Brochure Cisco Security La sicurezza oggi è ancora più importante Gli approcci tradizionali alla sicurezza avevano un solo scopo: proteggere le risorse in rete da rischi e malware provenienti dall esterno.

Dettagli

Internet Security Threat Report Volume X

Internet Security Threat Report Volume X Internet Security Threat Report Volume X Il 28 gennaio 2002 è stato pubblicato il primo volume dell Internet Security Threat Report da Riptech, società di Managed Security Services acquisita da Symantec

Dettagli

Legal Snapshot. Sicurezza delle informazioni SCENARIO ESIGENZE SOLUZIONE

Legal Snapshot. Sicurezza delle informazioni SCENARIO ESIGENZE SOLUZIONE Sicurezza delle informazioni Legal Snapshot SCENARIO Il contesto attuale è caratterizzato da continui cambiamenti ed evoluzioni tecnologiche che condizionano gli ambiti sociali ed aziendali. La legislazione

Dettagli

Corporate profile Via A. Carrante 1/F - 70124 BARI tel. 080.21 49 681 - fax 080.21 40 682 www.mastergroupict.com info@mastergroupict.

Corporate profile Via A. Carrante 1/F - 70124 BARI tel. 080.21 49 681 - fax 080.21 40 682 www.mastergroupict.com info@mastergroupict. Corporate profile Chi siamo MasterGroup ICT è un Azienda globale di Formazione e Consulenza ICT che supporta l evoluzione delle competenze individuali e l innovazione delle organizzazioni. Si propone al

Dettagli

Sicurezza informatica in azienda: solo un problema di costi?

Sicurezza informatica in azienda: solo un problema di costi? Sicurezza informatica in azienda: solo un problema di costi? Silvano Marioni, CISSP Manno, Centro Galleria 2 14 ottobre 2005 www.ated.ch Parliamo di sicurezza informatica Quali minacce possono interessarci

Dettagli

Symantec Mobile Security

Symantec Mobile Security Protezione avanzata dalle minacce per i dispositivi mobili Data-sheet: Gestione degli endpoint e mobiltà Panoramica La combinazione di app store improvvisati, la piattaforma aperta e la consistente quota

Dettagli

RSA Authentication. Presentazione della soluzione

RSA Authentication. Presentazione della soluzione RSA Authentication Manager ExpreSS Presentazione della soluzione I rischi associati all uso dell autenticazione basata solo su password sono noti da tempo. Eppure, ancora oggi, il 44% delle organizzazioni

Dettagli

Agenda. La protezione della Banca. attraverso la convergenza della Sicurezza Fisica e Logica. innovazione per nuovi progetti

Agenda. La protezione della Banca. attraverso la convergenza della Sicurezza Fisica e Logica. innovazione per nuovi progetti La protezione della Banca attraverso la convergenza della Sicurezza Fisica e Logica Roma, 21-22 Maggio 2007 Mariangela Fagnani (mfagnani@it.ibm.com) ABI Banche e Sicurezza 2007 2007 Corporation Agenda

Dettagli

Accesso alle applicazioni protetto. Ovunque.

Accesso alle applicazioni protetto. Ovunque. Scheda tecnica Accesso alle applicazioni protetto. Ovunque. Utenti mobili protetti Nelle organizzazioni odierne, ai responsabili IT viene spesso richiesto di fornire a diversi tipi di utente l'accesso

Dettagli

Botnet e APT, una minaccia crescente per i Service Provider

Botnet e APT, una minaccia crescente per i Service Provider Botnet e APT, una minaccia crescente per i Service Provider Page 1 of 7 - Confidenziale Indice 1. Il Contesto Attuale: APT e Minacce Evolute... 3 2. Inefficacia degli attuali sistemi di sicurezza... 3

Dettagli

IDENTITY AS A SERVICE

IDENTITY AS A SERVICE IDENTITY AS A SERVICE Identità digitale e sicurezza nell impresa Riccardo Paterna SUPSI, 18 SETTEMBRE 2013 LA MIA IDENTITA DIGITALE La mia identità: Riccardo Paterna Riccardo Paterna Solution Architect

Dettagli

CyberEdge: la soluzione AIG

CyberEdge: la soluzione AIG Protezione contro le conseguenze dei cyber-rischi. BUSINESS Insurance CyberEdge: la soluzione AIG I cyber-rischi sono un dato di fatto in un mondo che ruota attorno alle informazioni e ai sistemi informativi

Dettagli

Semplifica la Gestione HR. Una guida per scegliere il giusto Software HR Cloud

Semplifica la Gestione HR. Una guida per scegliere il giusto Software HR Cloud Semplifica la Gestione HR Una guida per scegliere il giusto Software HR Cloud Indice Introduzione 3 Vantaggi per tutti 4 Cosa è il Cloud? 4 Quali sono i benefici? 5 Cibo per le menti 7 Domande indispensabili

Dettagli

L'utilizzo di strumenti di Social Network & Community in banca. Romano Stasi Segretario Generale ABI Lab

L'utilizzo di strumenti di Social Network & Community in banca. Romano Stasi Segretario Generale ABI Lab L'utilizzo di strumenti di Social Network & Community in banca Romano Stasi Segretario Generale ABI Lab Milano, 16 marzo 2010 Priorità ICT di investimento e indagine per le banche Italiane canali Fonte:ABI

Dettagli

LA TEMATICA. Questa situazione si traduce facilmente:

LA TEMATICA. Questa situazione si traduce facilmente: IDENTITY AND ACCESS MANAGEMENT: LA DEFINIZIONE DI UN MODELLO PROCEDURALE ED ORGANIZZATIVO CHE, SUPPORTATO DALLE INFRASTRUTTURE, SIA IN GRADO DI CREARE, GESTIRE ED UTILIZZARE LE IDENTITÀ DIGITALI SECONDO

Dettagli

Relazione conferenza di organizzazione Camera del Lavoro di Genova di Marco Arcangeli

Relazione conferenza di organizzazione Camera del Lavoro di Genova di Marco Arcangeli Relazione conferenza di organizzazione Camera del Lavoro di Genova di Marco Arcangeli Quando si pensa allo sviluppo impetuoso che l'informatica - ma, più in generale - la tecnologia, ha avuto nel corso

Dettagli

Abstract. Reply e il Cloud Computing: la potenza di internet e un modello di costi a consumo. Il Cloud Computing per Reply

Abstract. Reply e il Cloud Computing: la potenza di internet e un modello di costi a consumo. Il Cloud Computing per Reply Abstract Nei nuovi scenari aperti dal Cloud Computing, Reply si pone come provider di servizi e tecnologie, nonché come abilitatore di soluzioni e servizi di integrazione, volti a supportare le aziende

Dettagli

U N CASE DI SUCCESSO NEL SETTORE ASSICURATIVO

U N CASE DI SUCCESSO NEL SETTORE ASSICURATIVO U N CASE DI SUCCESSO NEL SETTORE ASSICURATIVO Aditinet Consulting SpA Sede Legale: viale Odone Belluzzi, 57 00128 Roma tel. 06.45439252, fax 06.45439253 Partita IVA e Codice Fiscale: 04137280964 Capitale

Dettagli

,17(59(172 'U*LXVHSSH=$'5$ 'LUHWWRUH*HQHUDOH $VVRFLD]LRQH%DQFDULD,WDOLDQD

,17(59(172 'U*LXVHSSH=$'5$ 'LUHWWRUH*HQHUDOH $VVRFLD]LRQH%DQFDULD,WDOLDQD ,17(59(172 'U*LXVHSSH=$'5$ 'LUHWWRUH*HQHUDOH $VVRFLD]LRQH%DQFDULD,WDOLDQD La capacità di crescere e creare valore per le banche nell ambito della new economy passa attraverso una serie di scelte strategiche

Dettagli

Progetto NAC (Network Access Control) MARCO FAGIOLO

Progetto NAC (Network Access Control) MARCO FAGIOLO Progetto NAC (Network Access Control) MARCO FAGIOLO Introduzione Per sicurezza in ambito ICT si intende: Disponibilità dei servizi Prevenire la perdita delle informazioni Evitare il furto delle informazioni

Dettagli

Semplificazione e Nuovo CAD L area riservata dei siti web scolastici e la sua sicurezza. Si può fare!

Semplificazione e Nuovo CAD L area riservata dei siti web scolastici e la sua sicurezza. Si può fare! Si può fare! Premessa La sicurezza informatica La sicurezza rappresenta uno dei più importanti capisaldi dell informatica, soprattutto da quando la diffusione delle reti di calcolatori e di Internet in

Dettagli

INFORMATION SECURITY MANAGEMENT SYSTEM

INFORMATION SECURITY MANAGEMENT SYSTEM INFORMATION SECURITY MANAGEMENT SYSTEM Gestione della sicurezza informatica in azienda Guida informativa per le PMI con il contributo della 1 Sommario Introduzione 5 Obiettivi 6 Continuità operativa del

Dettagli

Infosecurity. Servizi innovativi per le imprese. La sicurezza in informatica. La sicurezza per lo sviluppo delle reti e del mercato ICT

Infosecurity. Servizi innovativi per le imprese. La sicurezza in informatica. La sicurezza per lo sviluppo delle reti e del mercato ICT Infosecurity Servizi innovativi per le imprese. La sicurezza in informatica La sicurezza per lo sviluppo delle reti e del mercato ICT Milano, 10 febbraio 2005 Pietro Varaldo Direttore generale Federcomin

Dettagli

PROFILO AZIENDALE 2011

PROFILO AZIENDALE 2011 PROFILO AZIENDALE 2011 NET STUDIO Net Studio è un azienda che ha sede in Toscana ma opera in tutta Italia e in altri paesi Europei per realizzare attività di Consulenza, System Integration, Application

Dettagli

Come semplificare la sicurezza delle sedi aziendali remote

Come semplificare la sicurezza delle sedi aziendali remote Come semplificare la sicurezza delle sedi aziendali remote Udo Kerst, Director Product Management Network Security Oggi, garantire la sicurezza delle vostre reti aziendali è più importante che mai. Malware,

Dettagli

FUTURE INTERNET 4 FUTURE SERVICES

FUTURE INTERNET 4 FUTURE SERVICES Nel Semestre di Presidenza del Consorzio ELIS FUTURE INTERNET 4 FUTURE SERVICES Executive Summary Sistema integrato di iniziative formative di innovazione per la famiglia professionale ICT Febbraio 2011

Dettagli

Symantec Insight e SONAR

Symantec Insight e SONAR Teniamo traccia di oltre 3, miliardi di file eseguibili Raccogliamo intelligence da oltre 20 milioni di computer Garantiamo scansioni del 70% più veloci Cosa sono Symantec Insight e SONAR Symantec Insight

Dettagli

Implicazioni sociali dell informatica

Implicazioni sociali dell informatica Fluency Implicazioni sociali dell informatica Capitolo 10 Privacy I nostri corpi I nostri luoghi Le informazioni Le comunicazioni personali La privacy Con i moderni dispositivi è possibile violare la privacy

Dettagli

Università di Venezia Corso di Laurea in Informatica. Marco Fusaro KPMG S.p.A.

Università di Venezia Corso di Laurea in Informatica. Marco Fusaro KPMG S.p.A. Università di Venezia Corso di Laurea in Informatica Laboratorio di Informatica Applicata Introduzione all IT Governance Lezione 10 e 11 Marco Fusaro KPMG S.p.A. 1 Risk Analysis I termini risk analysis

Dettagli

LA SICUREZZA INFORMATICA SU INTERNET LE MINACCE

LA SICUREZZA INFORMATICA SU INTERNET LE MINACCE LE MINACCE I rischi della rete (virus, spyware, adware, keylogger, rootkit, phishing, spam) Gli attacchi per mezzo di software non aggiornato La tracciabilità dell indirizzo IP pubblico. 1 LE MINACCE I

Dettagli

www.intego.com PL/ATTIVA/IT/1009

www.intego.com PL/ATTIVA/IT/1009 www.intego.com PL/ATTIVA/IT/1009 Esistono virus per Mac OS X? Esistono virus che colpiscono Mac OS X? Poiché di recente la stampa informatica ha discusso molto riguardo a virus e computer Mac, abbiamo

Dettagli

LA RISPOSTA CHE CERCHI È QUI!

LA RISPOSTA CHE CERCHI È QUI! Ottobre 2013 Vuoi proteggere la tua rete per correre sicuro e veloce? LA RISPOSTA CHE CERCHI È QUI! OFFERTA OFFERTA è il servizio chiavi in mano pensato per tutti i clienti che vogliono affidare a FASTWEB

Dettagli

EMC Documentum Soluzioni per il settore assicurativo

EMC Documentum Soluzioni per il settore assicurativo Funzionalità EMC Documentum per il settore assicurativo La famiglia di prodotti EMC Documentum consente alle compagnie assicurative di gestire tutti i tipi di contenuto per l intera organizzazione. Un

Dettagli

Symantec Protection Suite Enterprise Edition per Gateway Domande frequenti

Symantec Protection Suite Enterprise Edition per Gateway Domande frequenti Domande frequenti 1. Che cos'è? fa parte della famiglia Enterprise delle Symantec Protection Suite. Protection Suite per Gateway salvaguarda i dati riservati e la produttività dei dipendenti creando un

Dettagli

Estratto dell'agenda dell'innovazione e del Trade Bari 2011. Speciale: I casi. Introduzione dell'area tematica IL CASO BOOKINGSHOW

Estratto dell'agenda dell'innovazione e del Trade Bari 2011. Speciale: I casi. Introduzione dell'area tematica IL CASO BOOKINGSHOW Estratto dell'agenda dell'innovazione e del Trade Bari 2011 Speciale: I casi Introduzione dell'area tematica IL CASO BOOKINGSHOW Innovare e competere con le ICT: casi di successo - PARTE II Cap.9 Far evolvere

Dettagli

Un'efficace gestione del rischio per ottenere vantaggi competitivi

Un'efficace gestione del rischio per ottenere vantaggi competitivi Un'efficace gestione del rischio per ottenere vantaggi competitivi Luciano Veronese - RSA Technology Consultant Marco Casazza - RSA Technology Consultant 1 Obiettivi della presentazione Dimostrare come

Dettagli

gestione documentale dalla dematerializzazione dei documenti alla digitalizzazione dei processi fino all azienda digitale

gestione documentale dalla dematerializzazione dei documenti alla digitalizzazione dei processi fino all azienda digitale gestione documentale dalla dematerializzazione dei documenti alla digitalizzazione dei processi fino all azienda digitale Gestione documentale Gestione documentale Dalla dematerializzazione dei documenti

Dettagli

12 previsioni sulla sicurezza per il 2012

12 previsioni sulla sicurezza per il 2012 12 previsioni sulla sicurezza per il 2012 Ogni anno, in questo periodo, mi riunisco coni i miei team di ricerca per parlare di ciò che l anno appena iniziato porterà in termini di minacce ai nostri clienti.

Dettagli

UNIVERSITA' DEGLI STUDI DI PARMA

UNIVERSITA' DEGLI STUDI DI PARMA I II REGOLAMENTO DI ACCESSO AI SERVIZI DI RETE III NORME DI ATTUAZIONE DEL REGOLAMENTO DI ACCESSO AI SERVIZI DI RETE DIRETTIVE PER LA SICUREZZA DEI SERVIZI DI RETE SOMMARIO PREFAZIONE 3 PROFILO DI RISCHIO:

Dettagli

Kaspersky. OpenSpace Security. Kaspersky Open Space Security. La SOLUZIONE più COMPLETA per la SICUREZZA. della vostra AZIENDA

Kaspersky. OpenSpace Security. Kaspersky Open Space Security. La SOLUZIONE più COMPLETA per la SICUREZZA. della vostra AZIENDA Kaspersky Kaspersky Open Space Security OpenSpace Security KOSS è una suite di prodotti per la sicurezza di tutti i componenti di rete, dagli smartphone fino agli Internet Gateway. I dati elaborati dai

Dettagli

Allegato 1. Le tecniche di frode on-line

Allegato 1. Le tecniche di frode on-line Allegato 1 Le tecniche di frode on-line Versione : 1.0 13 aprile 2011 Per una migliore comprensione delle tematiche affrontate nella circolare, riportiamo in questo allegato un compendio dei termini essenziali

Dettagli

Physeon presenta I 5 MACRO TREND DEL 2014 NEL COMMERCIO IN CINA

Physeon presenta I 5 MACRO TREND DEL 2014 NEL COMMERCIO IN CINA Physeon presenta I 5 MACRO TREND DEL 2014 NEL COMMERCIO IN CINA Il seguente report è stato realizzato da Physeon, sintetizzando i rapporti cinesi che ci sono pervenuti in lingua inglese ed è da considerarsi

Dettagli

Sicurezza Informatica e Digital Forensics

Sicurezza Informatica e Digital Forensics Sicurezza Informatica e Digital Forensics ROSSANO ROGANI CTU del Tribunale di Macerata ICT Security e Digital Forensics Mobile + 39 333 1454144 E-Mail info@digital-evidence.it INTERNET E LA POSSIBILITÀ

Dettagli

Potete gestire centralmente tutti i dispositivi mobili aziendali?

Potete gestire centralmente tutti i dispositivi mobili aziendali? Potete gestire centralmente tutti i dispositivi mobili aziendali? Gestite tutti i vostri smartphone, tablet e computer portatili da una singola console con Panda Cloud Systems Management La sfida: l odierna

Dettagli

Sommario. L'Azienda I Servizi Le Soluzioni I Partner

Sommario. L'Azienda I Servizi Le Soluzioni I Partner 1 Sommario L'Azienda I Servizi Le Soluzioni I Partner 2 L azienda 3 Profilo La Società Essematica nasce nel 1987 da un team di specialisti e ricercatori informatici che, aggregando le esperienze maturate

Dettagli

Riciclaggio digitale. Documento di sintesi. Analisi delle valute online e del loro uso nel cybercrime

Riciclaggio digitale. Documento di sintesi. Analisi delle valute online e del loro uso nel cybercrime Documento di sintesi Riciclaggio digitale Analisi delle valute online e del loro uso nel cybercrime Di Raj Samani, EMEA, McAfee François Paget e Matthew Hart, McAfee Labs Alcune recenti iniziative delle

Dettagli

La Sicurezza Informatica nella Pubblica Amministrazione

La Sicurezza Informatica nella Pubblica Amministrazione Ernst & Young Technology and Security Risk Services per gli Organismi Pagatori Regionali Firenze, 12 giugno 2003 La Sicurezza Informatica nella Pubblica Amministrazione 1 La Sicurezza Informatica nella

Dettagli

www.avg.it Come navigare senza rischi

www.avg.it Come navigare senza rischi Come navigare senza rischi 01 02 03 04 05 06.Introduzione 01.Naviga in Sicurezza 02.Social Network 08.Cosa fare in caso di...? 22.Supporto AVG 25.Link e riferimenti 26 [02] 1.introduzione l obiettivo di

Dettagli

Guida ai certificati SSL User Guide

Guida ai certificati SSL User Guide Guida ai certificati SSL User Guide PROBLEMATICHE DEL WEB... 2 PRIVACY...3 AUTORIZZAZIONE/AUTENTICAZIONE...4 INTEGRITA DEI DATI...4 NON RIPUDIO...4 QUALI SONO I PRINCIPALI STRUMENTI UTILIZZATI PER GARANTIRE

Dettagli

BANCA VIRTUALE/1 tecnologie dell informazione della comunicazione

BANCA VIRTUALE/1 tecnologie dell informazione della comunicazione BANCA VIRTUALE/1 Il termine indica un entità finanziaria che vende servizi finanziari alla clientela tramite le tecnologie dell informazione e della comunicazione, senza ricorrere al personale di filiale

Dettagli

Security Summit 2010

<Insert Picture Here> Security Summit 2010 Security Summit 2010 Corporate Forensics: dall infrastruttura alla metodologia Walter Furlan, CON.NEXO Presentazione CON.NEXO CON.NEXO, in qualità di Partner ORACLE, è la prima azienda

Dettagli

Obiettivo: realizzazione di reti sicure TIPI DI ATTACCO. Politica di sicurezza: a) scelte tecnologiche b) strategie organizzative

Obiettivo: realizzazione di reti sicure TIPI DI ATTACCO. Politica di sicurezza: a) scelte tecnologiche b) strategie organizzative Obiettivo: realizzazione di reti sicure Politica di sicurezza: a) scelte tecnologiche b) strategie organizzative Per quanto riguarda le scelte tecnologiche vi sono due categorie di tecniche: a) modifica

Dettagli

Windows Vista, il nuovo sistema operativo Microsoft che cerca le giuste risposte ai quesiti di sicurezza

Windows Vista, il nuovo sistema operativo Microsoft che cerca le giuste risposte ai quesiti di sicurezza Windows Vista, il nuovo sistema operativo Microsoft che cerca le giuste risposte ai quesiti di sicurezza Microsoft Windows è il sistema operativo più diffuso, ma paradossalmente è anche quello meno sicuro.

Dettagli

ISTR XV: FOCUS SULLA SITUAZIONE ITALIANA E NUOVI TREND

ISTR XV: FOCUS SULLA SITUAZIONE ITALIANA E NUOVI TREND PER ULTERIORI INFORMAZIONI CONTATTARE: Emanuela Lombardo Gaia Fasciani Roberta Aliberti Viotti Symantec Italia Competence 02/241151 02/76281027 emanuela_lombardo@symantec.com aliberti@competencecommunication.com

Dettagli

Protagonisti di INNOVAZIONE un progetto industriale unico in Italia

Protagonisti di INNOVAZIONE un progetto industriale unico in Italia Claudio De Paoli IT Security Practice Manager Un approccio innovativo alla sicurezza degli accessi ai servizi di ebanking Roma, gennaio 2011 Cybercrime: Costante aumento di Incidenti e frodi Il mercato

Dettagli