Frodi online e Cybercrime

Transcript

1 Frodi online e Cybercrime Cosa li accomuna e come mitigarli Giovanni Napoli - RSA Pre-Sales Manager 1

2 La cruda realtà del software engineering Non e possibile dimostrare la correttezza formale di un software Semplici contesti informatici a volte mal si prestano ad essere modellati e validati matematicamente Dobbiamo imparare a convivere con vulnerabilita che hanno un elevato rapporto costi/benefici Rischio = Minaccia x Vulnerabilità x Impatto 2

3 La cruda realtà del software engineering Scarsa progettazione software diventa feature 3

4 La cruda realtà del software engineering Scarsa progettazione software diventa feature <a href=" download>what a cute kitty!</a> <a href=" download="kittyviewer.exe">what a cute kitty!</a> Provatelo ad esempio con Internet Explorer e Chrome 4

5 La cruda realtà del software engineering Scarsa progettazione software diventa feature Carenza di requisiti che guidano software a supporto di processi aziendali 5

6 Un grave esempio: Heartbleed Che cos é? Un bug in OpenSSL OpenSSL dalla fino alla 1.0.1f sono vulnerabili OpenSSL 1.0.1g NON e vulnerabile Un banale errore di programmazione Bug Fix Il bug e probabilmente presente fin da marzo 2012 OR à At recompile time 6

7 Un grave esempio: Heartbleed Quali sono gli impatti? Un server affetto dalla vulnerabilità è soggetto a perdite di dati sensibili tra i quali: Password User Login SSL Private Key Un certificato SSL Server è pubblico. Se un attacker possiede la chiave privata associata, la sola cosa che manca è un semplice attacco DNS Bug exploit che non lascia traccia 7

8 Un grave esempio: Heartbleed Come funziona? SERVER SEI ANCORA LI? SE CI SEI, RISPONDI CON PATATE (6 LETTERE) Alice vuole queste 6 lettere: PATATE Alice vuole queste 6 lettere: PATATE PATATE 8

9 Un grave esempio: Heartbleed Come funziona? SERVER SEI ANCORA LI? SE CI SEI, RISPONDI CON MELE (4 LETTERE) queste 4 lettere: MELE Alice vuole queste 4 lettere: MELE Alice vuole MELE 9

10 Un grave esempio: Heartbleed Come funziona? SERVER SEI ANCORA LI? SE CI SEI, RISPONDI CON BINGO (500 LETTERE) Alice vuole queste 500 lettere: BINGO Alice vuole queste 500 lettere: BINGO BINGO VIENE DIFATTI FORNITO UN PACCHETTO DI RISPOSTA DI 500 BYTE!!! 10

11 Heartbleed in ambito frodi e cybercrime Ricordiamoci sempre le motivazioni degli attacker Ambito frodi Ambito cybercrime Catastrophic Up to 11 Intercettare comunicazioni private Phishing Collezionare indirizzi , login, password Impersonare utenti e servizi Rubare dati sensibili senza la necessità di avere privilegi particolari 11

12 Phishing e Social Eng ti trovano ovunque 12

13 Analisi Comportamentale è Essenziale I criminali si comportano diversamente da utenti legittimi Velocità Sequenza delle pagine Origine Contesto Comportamento Homepage Add Bill Payee Sign-in Bill Pay Home My Account Select Bill Payee Enter Pay Amount Submit Checking Account View Checking 13

14 Come mitigare attività di cybercrime ASSET DATA CONFIG DATA VMS DATA Vulnerability Management CONTEXT Identity/Access/Role Based Employee Context SOC/CIRC Single UI Incident Management Business Continuity BIA RSA Solution Capabilities Site Assessment CONTEXT Dashboard Metrics Reports Host Scan Link Link to Packet Link to SIEM CONTEXT DLP Scans INTEL INTEL INTEL INTEL AV IPS IPS WEB FW ALERTS, THREATS Security Monitoring & Analytics Log Capture & Analysis CONTEXT, NEW INTEL Full Packet Capture & Analysis EVENTS/ALERTS FRAUD DETECTION Portal Security ID Verification Multi-Factor Audit Fraud Detection Federation COMMUNITY INTEL INTEL 14

15 Target Data Breach: Approccio RSA xxx yyy yyy L attacco ha sfruttato la debolezza di un Partner Target si è perso gli alert di difesa perimetrale L attacker ha sfruttato la debolezza dei controlli per espandere il suo perimetro d azione Target si è perso anche gli eventi legati all asportazione dei dati aziendali Avrebbe Mai dimenticare: forse potuto Intelligence disporre di un is efficace King, framework Context is di Queen Governance Risk e Compliance Avrebbe forse Target potuto avere integrare a per manutenere Monitorare tutti le ed sorgenti i soli controlli di intelligence di disposizione informazioni un di intelligence framework di con Vendor/Partner il proprio sulle sicurezza cyber necessari? threats Avrebbe forse potuto assessment contesto aziendale/operativo assicurare regolari e di business ed al disporre adeguati di Collezionare piu efficaci livelli di compliance informazioni strumenti e di di di fine di prioritizzare meglio gli alert risk intelligence ed investigazione, rilevanti di capacità di integrazione di assessment effettuare una sulle piu terze efficace parti investigazione con le quali informazioni Identificare di intelligence attori (TA), e di tecniche maggiore utilizzate solitamente delle anomalie? (TTP) collabora? competenza del proprio personale o dei propri consulenti? Comunicare tali informazioni agli Stakeholder interni ed esterni alla nostra Azienda Integrare le informazioni di intelligence all interno della nostra infrastruttura ed organizzazione IT 15

16 Intelligence Driven Security 16

17