SICUREZZA DI RETE IL PUNTO DI VISTA DELL ISP. By Alessandro Bottonelli.

Transcript

1 SICUREZZA DI RETE IL PUNTO DI VISTA DELL ISP By Alessandro Bottonelli

2 Sicurezza di Rete Definizioni: Network Security (NETSEC) Information System Security (INFOSEC) I requisiti comuni: Disponibilità (availability) Autenticazione (authentication) Integrità (integrity) Confidenzialità (confidentiality)

3 Distinzioni fra NetSec e InfoSec Cambiano gli oggetti da proteggere: NetSec: Router, Linee, Apparati di Accesso InfoSec: Sistemi Informativi, Database, Software Cambiano i soggetti da autenticare: NetSec: oggetti di rete (terminali, nodi, etc.) InfoSec: persone fisiche

4 Statistiche NetSec e InfoSec IL NEMICO Dipendenti ed ex sono il problema (87% degli incidenti) Gli outsider sono una piccola parte del problema

5 Statistiche NetSec e InfoSec Distribuzione degli incidenti: 81% provocati da dipendenti 6% provocati da ex-dipendenti 13% provocati da persone esterne (Fonte: Datapro Research)

6 Statistiche NetSec e InfoSec Perché: 52% errore umano 15% incendi 10% disonestà 10% sabotaggio 10% allagamenti 3% terrorismo (Fonte: Datapro Research)

7 Il campo d azione dell ISP Teoricamente: L ISP dovrebbe occuparsi di NETSEC L ISP non dovrebbe occuparsi di INFOSEC In pratica il confine non è più così netto: Sistemi Informativi e Reti convergono (p.e.: A.S.P.) Alcune applicazioni sono ormai percepite come servizi di rete (p.e: Posta Elettronica, News, DNS)

8 Il campo d azione dell ISP

9 L importanza di NETSEC Sulle reti transitano applicazioni critiche E-commerce, Home Banking, Finance Le reti sono sempre più gestite da privati Le reti sono interconnesse e internazionali I legislatori si fanno sempre più attenti

10 L importanza delle policy Le policy pubbliche (p.e.: EU Commission): Danno una piattaforma comune alle legislazioni locali Influenzano le policy aziendali Intervengono: sui limiti della pura logica di mercato sulle questioni di sicurezza nazionale

11 L importanza delle policy Le policy aziendali: Uniformano gli orientamenti delle unit Fissano gli obiettivi di business Sono la base per le procedure operative

12 Il campo d azione dell ISP Due gli obiettivi core di security dell ISP: Proteggere la propria infrastruttura di rete Proteggere il proprio Sistema Informativo AL FINE DI Garantire la Qualità del Servizio al Cliente (e quindi garantirsi la continuità del business)

13 Il campo d azione dell ISP Proteggere la rete locale o i terminali del cliente non è una attività core dell ISP: Tuttavia molti ISP la propongono come servizio a valore In alternativa il cliente finale può rivolgersi a terze parti In caso di utenti tecnologicamente non sofisticati: L ISP proteggendo il cliente protegge in qualche misura anche la sua rete

14 Il campo d azione dell ISP Sicurezza Internet, il problema di fondo : Internet non è stata originariamente concepita sicura L accesso ai servizi è by definition aperto Internet è diventata una complessa rete globale (autostrada virtuale) Con utenti tecnologicamente sofisticati Ed utenti tecnologicamente analfabeti (che, come autisti spericolati su una autostrada reale, rappresentano un pericolo anche per i primi)

15 I costi della (in)sicurezza L insicurezza costa: Gli incidenti provocano danni materiali e/o di immagine all utente Esistono anche costi sociali perché un incidente ad un utente può riflettersi sulla comunità delle reti interconnesse (v. RedCode Worm) La sicurezza costa: Gli investimenti in contromisure preventive o a posteriori devono riflettere: il valore (materiale e non) delle risorse da proteggere il fattore di rischio di un determinato incidente

16 I costi della (in)sicurezza Il caso del RedCode Worm :

17 I costi della (in)sicurezza Il caso del RedCode Worm : Da 156 host insicuri a host infettati in 13 ore Di cui host nel dominio.it (quasi 1 su 100 )

18 Conclusioni Sia la sicurezza che la insicurezza costano L ISP deve essere sicuro per: Obiettivi di business ( e QoS e immagine ) Vincoli legali L ISP deve sicuramente occuparsi di NETSEC

19 Conclusioni L ISP deve sicuramente occuparsi di INFOSEC per i propri sistemi interni L ISP può occuparsi di INFOSEC per i sistemi di propri clienti E difficile stabilire il confine fra INFOSEC e NETSEC

20 Conclusioni L ISP deve definire i propri obbiettivi di business A questo servono policy (pubbliche ed aziendali) Gli investimenti in sicurezza devono essere commisurati: al valore di ciò che si protegge al fattore di rischio