Quale sicurezza per l'utente mobile?

Transcript

1 Quale sicurezza per l'utente mobile? Alessio L.R. Pennasilico - apennasilico@clusit.it Seminari Clusit Novembre - Treviso

2 Alessio L.R. Pennasilico Security Committed: Associazione Informatici Professionisti - AIP Associazione Italiana Professionisti Sicurezza Informatica CLUSIT, Italian Linux Society, Metro Olografix, Sikurezza.org Hacker s Profiling Project, CrISTAL 2

3 Il problema Esiste sempre un fumetto che racconta un problema sentito e reale :) 3

4 Agenda Caratteristiche e necessità degli utenti mobili Definire il perimetro di sicurezza degli utenti mobili Rischi intrinsechi per gli utenti mobili Case history Nuovi device e nuovi pericoli Infrastrutture aziendali per la gestione del mobile Mettere in sicurezza la rete: politiche di accesso in rete, politiche di autenticazione e prevenzione perdita dati Sicurezza: da indirizzi IP e ACL agli utenti ed i processi 4

5 Caratteristiche e necessità degli utenti mobili -

6 Navigo ergo sum Diversi punti di accesso (rete aziendale, wifi, Casa, Hot Point, Albergo, treno, stazioni di servizio, ristoranti\locali, aeroporti...) Diversi tipi di device (Tablet, smartphone, Portatili, Internet cafe, Home computers...) Diversi sistemi operativi (OSX, ios, Android, Windows, Windows Phone, Linux...) 6

7 Navigo ergo sum Diversi tipi di Utenza (User, Pro, Geek, Utonto, Maniaco, Precisino...) Diversi tipi di uso (Dati, Video, Calls, Videoconference, Mail, Web Browsing, Messenger, Social, Office, Lavoro, Diversione...) 7

8 Navigo ergo sum Diversi livelli di sicurezza (Antivirus? Antimalware? Web Security? Encryption? DLP? SSO?...) Diversi... 8

9 Datemi un accesso e solleverò il mondo Accedere sempre e ovunque Non perdere la sessione se cambio connessione Usability Accesso a risorse aziendali e messenger aziendali e privati Multimedia 9

10 Datemi un accesso e solleverò il mondo Applicazioni VPN con giudizio Facebook & soci Sincronia dati Protezione dati HTTPs... 10

11 Utenti mobili: i vantaggi Connesso Ovunque (Lavoro Ovunque) Ho tutto sempre con me Minori costi operativi L abito talvolta FA il monaco Soddisfazione Relax Produttività... 11

12 Utenti mobili: svantaggi Connesso Ovunque (Lavoro Ovunque) Ho tutto sempre con me... 12

13 BYOD Gli utenti hanno i loro device li vogliono usare in ufficio Proibirlo causa tentativi di violazione delle policy aziendali 13

14 I device degli utenti Non sono sotto il controllo dello staff IT Avranno le patch? Avranno un antivirus/malware aggiornato? Che tipo di password useranno? Avranno i dischi criptati? Come possiamo certificarli come adatti ad ospitare informazioni aziendali? 14

15 La soluzione? Non ignorare il problema Non imporre divieti inaccettabili Gestire la situazione, mitigando i rischi 15

16 Peculato? Gli utenti vogliono usare a casa i device aziendali Proibirlo causa tentativi di violazione delle policy aziendali 16

17 I device aziendali Come impedire che vengano installati software non autorizzati? Come prevenire l uso da persone non autorizzate? Come proteggere i device quando sono fuori dall ufficio? 17

18 Definire il perimetro di sicurezza degli utenti mobili -

19 Utenti mobili e perimetro Dove sono? A Cosa accedono? Loro o mio il device? Come li riconosco? Che dati conservano?... 19

20 Rischi intrinsechi per gli utenti mobili -

21 Rischi intrinsechi Perdo il device Perdo i dati Mi rubano/copiano i dati 21

22 Rischi intrinsechi Perdo la connessione Vedono cosa faccio Installo qualcosa di pericoloso Accedo a mia insaputa ad internet / rete aziendale Mi usano come testa di ponte Decido di essere una testa di ponte... 22

23 Case History -

24 Controllo degli accessi Vitek Boden, in 2000, was arrested, convicted and jailed because he released millions of liters of untreated sewage using his wireless laptop. It happened in Maroochy Shire, Queensland, may be as a revenge against his last former employer. 24

25 Worm per cellulari... Cabir sfrutta la tecnologia Bluetooth per propagarsi attraverso gli smartphone che utilizzano Symbian OS, fra cui la piattaforma Series 60 di Nokia. Più precisamente, il codicillo virale è in grado di attivare automaticamente una connessione wireless verso un dispositivo compatibile e trasmettere a quest'ultimo una copia di sé stesso contenuta all'interno di un file d'installazione (caribe.sis) in formato Nokia Phone Game File: sfruttando una debolezza del sistema operativo, il virus riesce a mascherare la propria identità e farsi passare come l'utility Caribe Security Manager. Punto Informatico, Giugno

26 Applicazioni Quante e quali applicazioni potrebbero fare quante e quali cose non volute? 26

27 Videogame con sorpresa 27

28 Fartdroid Quale security con utenti che installano fartdroid? 28

29 iphone Worm: Rickrolls Jailbreak di iphone: qualcuno cambia la password di root? (Novembre 2009) 29

30 Esperimento Chi c è nel vostro albergo? 30

31 Le tigri di Telecom Libro di Andrea Pompili che racconta come è stato ottenuto l accesso a dati di Kroll tramite l interazione con un loro utente mobile in albergo... 31

32 Nuovi device e nuovi pericoli -

33 SmartPhone Più potente del mio vecchio PC Più banda di seabone 20 anni fa 33

34 Tablet Quanti dati contiene? Con che accessi? Come è protetto? 34

35 3G + WiFi Posso diventare un punto di accesso (o di uscita) rispetto alla rete aziendale? (routing) 35

36 Nuovi device: come li gestisco? Ho una struttura Wifi per permettere l accesso? Gestisco l esposizione dei dati verso l esterno? Come distinguo interni da esterni? 36

37 Nuovi device: come li gestisco? Come controllo i device mobili? Come controllo il traffico IP all interno del mio perimetro? La mia struttura mi permette di scrivere policy di sicurezza per utente? 37

38 Nuovi device: come li gestisco? Come gestisco il consumo di risorse? Come gestisco gli accessi multipli su device multipli?... 38

39 Infrastrutture aziendali per la gestione del mobile -

40 RIM Blackberry Enterprise Server (BES) 40

41 Apple ed i dati in the cloud 41

42 MDM Che OS supporta? Che feature? Modalità di Licensing? 42

43 VPN Acronimo di? 43

44 Captive Portal Come regolo gli accessi WiFi in azienda? 44

45 Mettere in sicurezza la rete: politiche di accesso in rete, politiche di autenticazione e prevenzione perdita dati -

46 Mettere in sicurezza la rete politiche di accesso in rete politiche di autenticazione, prevenzione perdita dati... 46

47 Sicurezza: da indirizzi IP e ACL agli utenti ed i processi -

48 politiche di accesso in rete Chi accede alla mia rete Con cosa vi accede Quante volte Dove può andare A cosa può accedere Che privilegi ha Che tipo di monitoraggio ho?... 48

49 Utenti Dove tengo il DB degli utenti? come autorizzo? come revoco le autorizzazioni? 49

50 Politiche di autenticazione Chi sei? Come ti riconosco? Come sei? Quanti sei? Dove sei? Dove vai? Cosa vuoi? Come faccio il controllo? Capisco quante sessioni e da quanti punti di accesso accedi? Come riconosco la tua location? Come controllo e capisco a quali dati vuoi accedere? Come controllo le tue attività?... 50

51 Che cosa controllo? UTM? Proxy? IDS? IPS? DLP? 51

52 Prevenzione perdita dati Fai encryption locale? Fai encryption remota? Cripti gli accessi? Dove permetti lo storage dei dati? Come controlli l accesso ai dati? Che politiche hai in caso di perdita di dati? Che politiche hai in caso di perdita del device?... 52

53 NAC Da quanto tempo non ti colleghi? Quali e quante patch hai? Il tuo antivirus è aggiornato? 53

54 Conclusioni -

55 Conclusioni L aumento di produttività che deriva dall utilizzo di tecnologie che permettono di lavorare mobile è evidente L aumento dei rischi per l infrastruttura altrettanto 55

56 Cosa fare? Non ignorare il problema Non imporre divieti inaccettabili Gestire la situazione, mitigando i rischi 56

57 Conclusioni: cosa fare? Una buona politica di analisi L implementazione di soluzioni di mercato Gestione organizzativa e tecnica costante 57

58 These slides are written by Alessio L.R. Pennasilico aka mayhem. They are subjected to Creative Commons Attribution-ShareAlike-2.5 version; you can copy, modify, or sell them. Please cite your source and use the same licence :) Grazie dell attenzione! Domande? Alessio L.R. Pennasilico - apennasilico@clusit.it facebook:alessio.pennasilico - twitter:mayhemspp Seminari Clusit Novembre - Treviso