legati alla realtà delle Pubbliche Amministrazioni Roma, 11 maggio 2007

Transcript

1 Computer Crime: i Rischi Tipici legati alla realtà delle Pubbliche Amministrazioni Roma, 11 maggio 2007

2 Definizione di Rischio 2 Nella fattispecie il rischio nel settore dell infrastrutture dell ICT viene indentificato come conseguenza dell avverarsi di una minaccia su un dato asset Nel mondo della sicurezza delle informazioni abbiamo già speso alcune parole sul concetto di Hacking ed Hacker nelle funzioni rispettive di: oggetto di minaccia e agente di minaccia. Il rischio è un concetto connesso con le aspettative umane. Indica un potenziale effetto negativo su un bene che può derivare da determinati processi in corso o da determinati eventi futuri. [wikipedia]

3 Definizione di Rischio nell ICT 3 Per la sicurezza delle informazioni un rischio viene definito dalla relazione di tre variabili: 1 - La probabilità che esista una minaccia. (se sono in affari sicuramente esiste) 2 - La probabilità che via siano delle vulnerabilità. (se uso sistemi informativi ho periodicamente certezza che vi siano) 3 - L impatto potenziale. (elemento che si desume dalle prime 2 variabili)

4 Prima variabile: le minacce 4 - Perchè si è negli affari? - La sicurezza è il tuo business? - Se no che cosa devi proteggere? Puoi censirlo? Ha un valore? Vende cancelleria e toner su e-bay dopo averli rubati in azienda Sys Admin cancella i log dopo aver scaricato films la notte - Perchè hai dei computer nella tua realtà lavorativa? Aumentare la Produttività Aumentare l Efficienza Abbassare i Costi Ride con un amico sulle foto aziendali che ha rubato dal Wireless non protetto della vostra azienda Invia le Mail compromettenti del suo capo ad un amico giornalista per non aver aeauto avuto il pe premio produziona Cambiano i timestamp degli invii fiscali per la verifica del giorno dopo

5 Seconda variabile: le vulnerabilità 5 Nella Sicurezza dei calcolatori, la parola vulnerabilità si riferisce ad un debolezza presente su un sistema tale da permettere ad un attaccante (o agente di minaccia) di violare: - Confidenzialità -Integrità - Disponibilità dei dati li contenuti o del sistema stesso. Esempi ne abbiamo in quantità durante il laboratorio pomeridiano

6 Terza variabile: l impatto 6 L impatto contestualizzato alla sicurezza delle informazioni è la conseguenza del verificarsi di una minaccia, ed eà quasi sempre espresso in impatto finanziario/economico. Quando ci si riferisce all analisi dei rischi uno degli obbiettivi più immediati consiste nel mitigare gli impatti di tutte quelle minaccie che non possono essere del tutto eliminate, cosa per altro assai comune nel settore ICT. Le vulnerabilià tradizionali sfruttate dai worm, ad esempio, subiscono una mitigazione d impatto attraverso l adozione di software antivirus basati sull identificazione euristica di codici malevoli.

7 Rischi concretizzati 7 Lettura e divulgazione di informazioni riservate Esistono svariate forme di minacce legate alla divulgazione di informazioni riservate per lo più legate alla normativa sulla privacy, basti pensare alla possibilità di diffondere gli esiti di analisi mediche disponibili attraverso portali ospedalieri a chi non è il reale destinatario di quei dati. Non esiste però solo la minaccia legata alla sfera dei dati sensibili, ma anche la minaccia che il dato visualizzato od ottenuto possa essere utilizzato per un attacco successivo portato con tecniche di Ingegneria Sociale.

8 Rischi concretizzati 8 Disservizi e disservizi distribuiti Come abbiamo già accennato all inizio dell intervento la classificazione in ottica di sicurezza di un dato dipende da tre diversi fattori, confidenzialità integrità e disponibilità di undatoodiunsistema. Uno degli attacchi più alla portata di tutti consiste proprio nel rendere non-disponibile un servizio o un sistema, attraverso la saturazione delle risorse o sfruttando vulnerabilità dei programmi costituenti il sistema stesso. Questa tipologia di attacchi viene definita DoS (Denial of Service) quando portato da una sola entità della rete verso un obbiettivo definito, mentre viene definito DDOS (Distribuited DoS) quando più entità ià convergono in un attacco rivolto ad un solo obbiettivo

9 Rischi concretizzati 9 Sistemi Server ed Apparati di rete Quando si parla di minacce legate alle realtà produttive ed alle realtà aziendali, in generale ci si focalizza su eventuali falle di sicurezza ed eventuali criticità riscontrabili in quegli elementi di rete che hanno una funzione chiave per la corretta frubilità dell infrastruttura di business. I sistemi server hanno per definizione una funzione di serventi verso le utenze, aumentando l esposizione di conseguenza, e rendendo più evidente l impatto aseguito di un effrazione informatica. Gli apparati di rete per motivi di funzionalità sono necessariamente punti di transito dei dati e come tali elementi di notevole interesse per un agente di minaccia esterno od interno all infrastruttura.

10 Rischi concretizzati 10 Comunicazioni senza fili L'abbreviazione WLAN (Wireless Local Area Network) significa rete locale senza fili. Nel caso specifico della WLAN un'apparecchiatura finale comunica senza fili con un cosiddetto Access Point, collegato a sua volta a Internet o a una rete locale. Una configurazione imprudente del WLAN Access Point può determinare l'accesso illimitato alla rete locale. Sono quindi possibili l'accesso al computer e ai dati e l'utilizzazione abusiva del collegamento a Internet. Una cifratura insufficiente dei collegamenti WLAN consente Una cifratura insufficiente dei collegamenti WLAN consente la lettura parallela dei dati per il tramite di strumenti ausiliari relativamente semplici.

11 Summa conclusiva 11 La sicurezza è un processo non un prodotto, di conseguenza deve essere coadiuvato da dei prospetti di crescita e di presidio. Il processo sicurezza deve potersi evolvere con l evolversi delle minacce, e con esso il livello di sicurezza dei sistemi. La sicurezza deve essere gestita oltre che implementata, per facilitare la sua evoluzione. Il fattore umano è un elemento determinante per una corretta manutenzione del livello di sicurezza desiderato Esistono differenti approcci per mantenere un buon livello di sicurezza, come abbiamo visto uno più orientato agli aspetti organizzativi ed uno maggiormente orientato al fattore tecnologico.

12 Riferimenti e link utili 12 Riferimenti: p// Link utili: