Security by design. Come la gestione di un progetto può minimizzare i rischi per il business. Alessio L.R. Pennasilico -

Save this PDF as:
 WORD  PNG  TXT  JPG

Dimensione: px
Iniziare la visualizzazioe della pagina:

Download "Security by design. Come la gestione di un progetto può minimizzare i rischi per il business. Alessio L.R. Pennasilico - apennasilico@clusit."

Transcript

1 Security by design Come la gestione di un progetto può minimizzare i rischi per il business Alessio L.R. Pennasilico - 22 Febbraio Milano

2 Alessio L.R. Pennasilico Security Committed: AIP Associazione Informatici Professionisti, CLUSIT AIPSI Associazione Italiana Professionisti Sicurezza Informatica Italian Linux Society, Sikurezza.org, AIP/OPSI Hacker s Profiling Project, CrISTAL! 2

3 Voi! Potete fare la differenza... 3

4 Project Groups Initiating Planning Executing Monitoring and Controlling Closing 4

5 Knowledge Areas Project Integration Management Project Scope Management Project Time Management Project Cost Management Project Quality Management Project Human Resource Management Project Communications Management Project Risk Management Project Procurement Management 5

6 Quali rischi? -

7 Cosa dobbiamo affrontare? Rischi reali, concreti semplici da trasformare in incidenti alta probabilità di conversione in incident grande impatto sul business 7

8 Perché è un vostro problema? Rischi facili da prevenire difficili da mitigare a posteriori time, quality, human resources Voi potete eliminare questi rischi includendo la security tra i requisiti di progetto! 8

9 SQL Injection Video su SQL Injection 9

10 Altri rischi? Posso interrogare il DB e ottenere tutti i dati contenuti: ' UNION ALL SELECT NULL,username,password,NULL FROM utenti WHERE 'x'='x 10

11 11

12 Come mi proteggo? Evito di processare i caratteri speciali come Prevedo il processo che si chiama normalizzare l input 12

13 Esempio $user=mysql_escape_string($_post['user']); $password=mysql_escape_string($_post['password']); $query="select * FROM Users WHERE username='$user' AND password='$password'; 13

14 Altri esempi criptare sempre le password criptare il database... utilizzare tutti gli strumenti a disposizione 14

15 15

16 Local File Inclusion <?php include('/var/www/articoli/'. $_REQUEST['articolo']);?> L'utilizzo normale sarebbe: ma posso usarlo così: 16

17 Remote File Inclusion <?php include($_get['page']);?> Se la usassi così? 17

18 Funzioni exec() - system() - eval() <?php system("echo ".$_REQUEST['parametro']);?> Se la usassi così? /tmp/hacked 18

19 XSS Affligge siti web con scarso controllo di variabili derivate da input dell'utente. Permette di inserire codice a livello browser al fine di modificare il codice sorgente della pagina web visitata. In questo modo un cracker può tentare di recuperare dati sensibili quali cookies. 19

20 20

21 Come prevenire Tutti gli attacchi precedenti sono del tutto inefficaci se il codice è stato scritto normalizzando l input inserito dall utente 21

22 22

23 Come proteggersi? Criptando le comunicazioni utilizzando VPN, certificati digitali, SSL 23

24 Tool Esistono molti strumenti OpenSource, Gratuiti, che permettono di sfruttare queste vulnerabilità ad attaccanti poco esperti: OwaspZAP / Nikto SQLNinja / SQLmap DSniff / Hydra Metasploit OpenVAS / Nessus... 24

25 Metadomanda... Come garantisco Confidenzialità, Integrità e Disponibilità dei documenti di progetto? 25

26 E per il pregresso? Non sempre è possibile fare tutto nuovo e bene si possono usare tecniche di mitigation sul backend 26

27 Cosa mi aspetto 27

28 Con cosa devo confrontarmi 28

29 Cosa fare? fare hardening dei sistemi e delle comunicazioni dividere i dati di test da quelli di produzione... utilizzare tutti gli strumenti utili che i prodotti utilizzati/utilizzabili mettono a disposizione Bisogna lavorare sull intera infrastruttura nel suo complesso! 29

30 Come prevenire il problema? Utilizzando Standard Best Practice ISO Vendor guidelines 30

31 Standard di riferimento OWASP OSSTMM PCI/DSS ISO9001 ISO27001 ITIL 31

32 Cosa potete fare? Predisporre in fase di progetto le misure necessarie per mitigare i problemi su infrastruttura -programmi/codice implementazione - gestione - documentazione organizzazione - staff 32

33 Conclusioni -

34 Security by Design Se costruisco una casa senza progettare uscite di sicurezza costruirle a lavori finiti sarà disastroso 34

35 Cosa voglio ottenere? 35

36 Approccio olistico Ogni progetto si sviluppa in un contesto esistente spesso complesso, spesso non ottimale, spesso di spesso con difficoltà di integrazione Molte soluzioni permettono di mitigare i problemi generati dal contesto 36

37 Knowledge Areas Project Integration Management Project Scope Management Project Time Management Project Cost Management Project Quality Management Project Human Resource Management Project Communications Management Project Risk Management Project Procurement Management 37

38 Conclusioni Voi gestite il progetto Voi potete fare la differenza Conoscendo i rischi potete azzerarli Potete includere la sicurezza come parte del progetto 38

39 These slides are written by Alessio L.R. Pennasilico aka mayhem. They are subjected to Creative Commons Attribution-ShareAlike-2.5 version; you can copy, modify, or sell them. Please cite your source and use the same licence :) Grazie dell attenzione! Domande? Alessio L.R. Pennasilico - facebook:alessio.pennasilico - twitter:mayhemspp linkedin:alessio.pennasilico 22 Febbraio Milano

14 Marzo 2013 Security Summit Milano

14 Marzo 2013 Security Summit Milano Lamento pubblico con chi mi può capire Alessio L.R. Pennasilico - apennasilico@clusit.it 14 Marzo 2013 Security Summit Milano $whois -=mayhem=- Security Evangelist @! Committed: AIP Associazione Informatici

Dettagli

Cyber Security Day. 6 ottobre 2014. Con il supporto di:

Cyber Security Day. 6 ottobre 2014. Con il supporto di: Cyber Security Day 6 ottobre 2014 Con il supporto di: ovvero dei dispositivi mobili Alessio L.R. Pennasilico - apennasilico@clusit.it Università degli Studi di Verona Ottobre 2014 $whois -=mayhem=- Security

Dettagli

L'utente poco saggio pensa che gli informatici lo boicottino

L'utente poco saggio pensa che gli informatici lo boicottino L'utente poco saggio pensa che gli informatici lo boicottino Come far usare cloud e mobile in azienda, senza farsi odiare e senza mettere a rischio i dati? Alessio L.R. Pennasilico - apennasilico@clusit.it

Dettagli

Tra smart technology e hacker quali sono i rischi che le aziende devono affrontare?

Tra smart technology e hacker quali sono i rischi che le aziende devono affrontare? Tra smart technology e hacker quali sono i rischi che le aziende devono affrontare? Alessio L.R. Pennasilico - apennasilico@clusit.it Security Question Time Treviso, Gennaio 2015 $whois -=mayhem=- Security

Dettagli

Caro Babbo Natale... Alessio L.R. Pennasilico - apennasilico@clusit.it. 3 Ottobre 2013 Security Summit Verona

Caro Babbo Natale... Alessio L.R. Pennasilico - apennasilico@clusit.it. 3 Ottobre 2013 Security Summit Verona Caro Babbo Natale... Alessio L.R. Pennasilico - apennasilico@clusit.it 3 Ottobre 2013 Security Summit Verona $ whois -=mayhem=- Security Evangelist @ Members of: Associazione Informatici Professionisti,

Dettagli

Content Security Spam e nuove minacce

Content Security Spam e nuove minacce Content Security Spam e nuove minacce Alessio L.R. Pennasilico - apennasilico@clusit.it Antonio Ieranò - antonio.ierano@cisco.com Security Summit 16 Marzo 2010 ATA Hotel Executive, Milano Alessio L.R.

Dettagli

Come usare cloud per salvare l analogico

Come usare cloud per salvare l analogico Come usare cloud per salvare l analogico Il caso di Arag Italia ed il Cloud Computing Phone/Fax +39 045 8271202 Via Roveggia 43, Verona Via Doria 3, Milano http://www.aisgroup.it/ info@aisgroup.it 27 Gennaio

Dettagli

Virtualization (in)security

Virtualization (in)security Virtualization (in)security Dovevo scrivere Cloud da qualche parte :) Security Summit 16 Marzo 2011 ATA Hotel Executive, Milano - mayhem@alba.st facebook:alessio.pennasilico twitter:mayhemspp http://www.linkedin.com/in/mayhem

Dettagli

VoIP e Sicurezza: parliamone!

VoIP e Sicurezza: parliamone! VoIP e Sicurezza: parliamone! Marco Misitano misi-at-aipsi.org Alessio L.R. Pennasilico Mayhem-at-aipsi.org $ whois misi Marco Misitano, si occupa professionalmente di sicurezza informatica da oltre dieci

Dettagli

Mobile Business Treviso, 9 Maggio 2014

Mobile Business Treviso, 9 Maggio 2014 i tuoi dispositivi visti con gli occhi di un hacker Alessio L.R. Pennasilico - apennasilico@clusit.it Mobile Business Treviso, 9 Maggio 2014 $whois -=mayhem=- Security Evangelist @! Committed: AIP Associazione

Dettagli

L'oro dei nostri giorni. I dati aziendali, i furti, la loro protezione in un ambiente oltre i confini

L'oro dei nostri giorni. I dati aziendali, i furti, la loro protezione in un ambiente oltre i confini L'oro dei nostri giorni. I dati aziendali, i furti, la loro protezione in un ambiente oltre i confini Alessio L.R. Pennasilico - apennasilico@clusit.it Gastone Nencini - gastone_nencini@trendmicro.it Security

Dettagli

Mi sono impazziti i log! Cosa potevo fare?

Mi sono impazziti i log! Cosa potevo fare? Mi sono impazziti i log! Cosa potevo fare? Alessio L.R. Pennasilico - apennasilico@clusit.it Security Summit 16 Marzo 2010 ATA Hotel Executive, Milano Alessio L.R. Pennasilico Security Evangelist @ Board

Dettagli

Cloud, Security, SaaS, ed altre meraviglie Come uscirne illesi!

Cloud, Security, SaaS, ed altre meraviglie Come uscirne illesi! Cloud, Security, SaaS, ed altre meraviglie Come uscirne illesi! Alessio L.R. Pennasilico - apennasilico@clusit.it Antonio Ieranò - antonio.ierano@cisco.com Security Summit 15 Marzo 2015 ATA Hotel Executive,

Dettagli

Il Content Security dall'ambiente fisico al virtuale : come approcciare le nuove sfide?

Il Content Security dall'ambiente fisico al virtuale : come approcciare le nuove sfide? Il Content Security dall'ambiente fisico al virtuale : come approcciare le nuove sfide? Alessio L.R. Pennasilico - apennasilico@clusit.it Gastone Nencini - gastone_nencini@trendmicro.it Security Summit

Dettagli

Attacchi alle infrastrutture virtuali

Attacchi alle infrastrutture virtuali Come proteggere le informazioni e difendersi nei nuovi ambienti tecnologici beneficiando al massimo dei vantaggi Alessio L.R. Pennasilico - apennasilico@clusit.it Gastone Nencini - gastone_nencini@trendmicro.it

Dettagli

Quando il CIO scende in fabbrica

Quando il CIO scende in fabbrica Strategie di protezione ed esempi pratici Alessio L.R. Pennasilico - apennasilico@clusit.it Maurizio Martinozzi - maurizio_martinozzi@trendmicro.it Security Summit Verona, Ottobre 2014 $whois -=mayhem=-

Dettagli

Privacy: 15 dicembre, nuove regole

Privacy: 15 dicembre, nuove regole Privacy: 15 dicembre, nuove regole E tu, ti sei adeguato ai nuovi obblighi?!! Con il patrocinio del Comune di Pescantina 4 Dicembre 2009 mayhem@alba.st Security Evangelist @! Board of Directors: Associazione

Dettagli

Concetti base di sicurezza applicativa web. Massimo Carnevali Responsabile Esercizio dei Sistemi Informativi Comune di Bologna

Concetti base di sicurezza applicativa web. Massimo Carnevali Responsabile Esercizio dei Sistemi Informativi Comune di Bologna Concetti base di sicurezza applicativa web Massimo Carnevali Responsabile Esercizio dei Sistemi Informativi Comune di Bologna Agenda Concetti base Esempio reale (SQL code injection) Come cambia lo scenario

Dettagli

La tua tecnologia vista da un hacker

La tua tecnologia vista da un hacker La tua tecnologia vista da un hacker Quali rischi corriamo ogni giorno? Alessio L.R. Pennasilico mayhem@obiectivo.it Confindustria Vicenza - 26 Febbraio 2015 $whois -=mayhem=- Security Evangelist @ Committed:

Dettagli

Il Project Management nell Implementazione dell'it Service Operations

Il Project Management nell Implementazione dell'it Service Operations Con il patrocinio di: Sponsorizzato da: Il Framework ITIL e gli Standard di PMI : : possibili sinergie Milano, Venerdì, 11 Luglio 2008 Il Project Management nell Implementazione dell'it Service Operations

Dettagli

[1] Cross Site Scripting [2] Remote / Local File Inclusion [3] SQL Injection

[1] Cross Site Scripting [2] Remote / Local File Inclusion [3] SQL Injection ---------------------------------------------------------------------..... _/ / _ / / \ \/ / / / / \ / \ \ \ / /_/ \ /\ / \ \ \ / /_/ > Y \ \ \ >\_/ / > / \ / / \/ \/ \/ \/ / / \/ ---------------------------------------------------------------------

Dettagli

PTSv2 in breve: La scelta migliore per chi vuole diventare un Penetration Tester. Online, accesso flessibile e illimitato

PTSv2 in breve: La scelta migliore per chi vuole diventare un Penetration Tester. Online, accesso flessibile e illimitato La scelta migliore per chi vuole diventare un Penetration Tester PTSv2 in breve: Online, accesso flessibile e illimitato 900+ slide interattive e 3 ore di lezioni video Apprendimento interattivo e guidato

Dettagli

Prospettive e programmi internazionali

Prospettive e programmi internazionali Cyber Security Energia Prospettive e programmi internazionali Alessio L.R. Pennasilico - apennasilico@clusit.it Roma - Settembre 2015 #iosonopreoccupato 2 $whois -=mayhem=- Security Evangelist @ Obiectivo

Dettagli

Chi elabora i tuoi dati oltre a te?

Chi elabora i tuoi dati oltre a te? Chi elabora i tuoi dati oltre a te? Alessio L.R. Pennasilico - apennasilico@clusit.it Cristiano Cafferata - ccafferata@sonicwall.com Security Summit 22 Marzo 2012 - Milano Alessio L.R. Pennasilico Security

Dettagli

Sconfiggi i ransomware di ultima generazione con la sicurezza sincronizzata

Sconfiggi i ransomware di ultima generazione con la sicurezza sincronizzata Sconfiggi i ransomware di ultima generazione con la sicurezza sincronizzata Alessio L.R. Pennasilico - apennasilico@clusit.it Walter Narisoni - walter.narisoni@sophos.com Security Summit Milano - Marzo

Dettagli

Esempi pratici, risultati e contromisure consigliate. Massimo Biagiotti

Esempi pratici, risultati e contromisure consigliate. Massimo Biagiotti L attività di un Ethical Hacker Esempi pratici, risultati e contromisure consigliate Massimo Biagiotti Information Technology > Chiunque operi nel settore sa che il panorama dell IT è in continua evoluzione

Dettagli

SQL Injection The dark side of webapplication *** Siamo davvero certi che chi gestisce i nostri dati sensibili lo faccia in modo sicuro?

SQL Injection The dark side of webapplication *** Siamo davvero certi che chi gestisce i nostri dati sensibili lo faccia in modo sicuro? SQL Injection The dark side of webapplication *** Siamo davvero certi che chi gestisce i nostri dati sensibili lo faccia in modo sicuro? Che cos'e' SQL? Acronimo di 'Structured Query Language E' un linguaggio

Dettagli

PMBOK Guide 3 rd Edition 2004

PMBOK Guide 3 rd Edition 2004 PMBOK Guide 3 rd Edition 2004 Un modello di riferimento per la gestione progetti a cura di Tiziano Villa, PMP febbraio 2006 PMI, PMP, CAPM, PMBOK, PgMP SM, OPM3 are either marks or registered marks of

Dettagli

La Sicurezza Informatica come professione. Certificazioni, mondo del lavoro, prospettive

La Sicurezza Informatica come professione. Certificazioni, mondo del lavoro, prospettive Associazione Informatici Professionisti Osservatorio Privacy e Sicurezza delle Informazioni La Sicurezza Informatica come professione. Certificazioni, mondo del lavoro, prospettive Paolo Giardini AIP Privacy

Dettagli

Il controllo di progetto come strumento di IT Governance

Il controllo di progetto come strumento di IT Governance Il controllo di progetto come strumento di IT Governance ing. Giorgio Beghini 20 febbraio 2003 - Vicenza OST Organizzazione Sistemi Tecnologie Via T. Aspetti, 157-35134 Padova tel: 049-60 90 78 fax:049-88

Dettagli

NCP Networking Competence Provider Srl Sede legale: Via di Porta Pertusa, 4-00165 Roma Tel: 06-88816735, Fax: 02-93660960. info@ncp-italy.

NCP Networking Competence Provider Srl Sede legale: Via di Porta Pertusa, 4-00165 Roma Tel: 06-88816735, Fax: 02-93660960. info@ncp-italy. NCP Networking Competence Provider Srl Sede legale: Via di Porta Pertusa, 4-00165 Roma Tel: 06-88816735, Fax: 02-93660960 info@ncp-italy.com Introduzione Il penetration testing, conosciuto anche come ethical

Dettagli

V.I.S.A. VoiP Infrastructure Security Assessment

V.I.S.A. VoiP Infrastructure Security Assessment V.I.S.A. VoiP Infrastructure Security Assessment INTRODUZIONE Il penetration testing, conosciuto anche come ethical hacking, ha come obiettivo quello di simulare le tecniche di attacco adottate per compromettere

Dettagli

Analisi di vulnerabilità e prevenzione di attacchi SQL injection e Cross-site Scripting

Analisi di vulnerabilità e prevenzione di attacchi SQL injection e Cross-site Scripting Pattern Recognition and Applications Lab Analisi di vulnerabilità e prevenzione di attacchi SQL injection e Cross-site Scripting Dott. Ing. Igino Corona igino.corona (at) diee.unica.it Corso Sicurezza

Dettagli

ISO 27000 family. La GESTIONE DEI RISCHI Nei Sistemi di Gestione. Autore: R.Randazzo

ISO 27000 family. La GESTIONE DEI RISCHI Nei Sistemi di Gestione. Autore: R.Randazzo ISO 27000 family La GESTIONE DEI RISCHI Nei Sistemi di Gestione Autore: R.Randazzo La Norme che hanno affrontato il Tema della gestione dei rischi Concetto di Rischio Agenda Il Rischio all interno della

Dettagli

Utenti aziendali, device personali, informazioni riservate

Utenti aziendali, device personali, informazioni riservate Utenti aziendali, device personali, informazioni riservate Come trasformare un possibile incubo in un vantaggio per l azienda Alessio L.R. Pennasilico - apennasilico@clusit.it Maurizio Martinozzi - maurizio_martinozzi@trendmicro.it

Dettagli

Navigazione automatica e rilevazione di errori in applicazioni web

Navigazione automatica e rilevazione di errori in applicazioni web Politecnico di Milano Navigazione automatica e rilevazione di errori in applicazioni web Relatore: Prof. Stefano Zanero Fabio Quarti F e d e r i c o V i l l a A.A. 2006/2007 Sommario Obiettivo: Illustrare

Dettagli

I fattori condizionanti il progetto. Tempo. Norme. Progetto. Tecnologie. Costi. P3 Poliedra Progetti in Partenariato

I fattori condizionanti il progetto. Tempo. Norme. Progetto. Tecnologie. Costi. P3 Poliedra Progetti in Partenariato I fattori condizionanti il progetto Tempo Norme Progetto Costi Tecnologie Alcune definizioni.. Programma Gruppo di progetti gestiti in modo coordinato per ottenere benefici non ottenibili in caso di gestione

Dettagli

Applicazioni software e gestione delle vulnerabilità: un caso concreto di successo

Applicazioni software e gestione delle vulnerabilità: un caso concreto di successo Applicazioni software e gestione delle vulnerabilità: un caso concreto di successo Roberto Obialero, GCFW, GCFA Fabio Bucciarelli, GCFA, CEH Agenda Analisi del contesto (attacchi,

Dettagli

Introduzione a phpmyadmin

Introduzione a phpmyadmin Introduzione a phpmyadmin http://www.phpmyadmin.net Per chiarimenti, http://www.ing.unibs.it/~alberto.lazzaroni 1 phpmyadmin: cosa è, a cosa serve È un software di amministrazione di database MySql (MySql

Dettagli

www.iks.it informazioni@iks.it 049.870.10.10 Copyright IKS srl

www.iks.it informazioni@iks.it 049.870.10.10 Copyright IKS srl www.iks.it informazioni@iks.it 049.870.10.10 Il nostro obiettivo è fornire ai Clienti soluzioni abilitanti e a valore aggiunto per la realizzazione di servizi di business, nell ambito nell infrastruttura

Dettagli

Quale sicurezza per l'utente mobile?

Quale sicurezza per l'utente mobile? Quale sicurezza per l'utente mobile? Alessio L.R. Pennasilico - apennasilico@clusit.it Seminari Clusit 2012 23 Novembre - Treviso Alessio L.R. Pennasilico Security Evangelist @ Committed: Associazione

Dettagli

Kali Linux OpenSourceDay 2013 Università degli studi di Udine -Fabio Carletti aka Ryuw- the quieter you became, the more you are able to hear

Kali Linux OpenSourceDay 2013 Università degli studi di Udine -Fabio Carletti aka Ryuw- the quieter you became, the more you are able to hear Kali Linux OpenSourceDay 2013 Università degli studi di Udine -Fabio Carletti aka Ryuw- the quieter you became, the more you are able to hear Whoami?...FabioCarletti Member:Clusit,DebianItalia,Sikurezza.org,MetroOlo

Dettagli

Protezione integrale per la vostra azienda PROTECTION SERVICE FOR BUSINESS

Protezione integrale per la vostra azienda PROTECTION SERVICE FOR BUSINESS Protezione integrale per la vostra azienda PROTECTION SERVICE FOR BUSINESS La sicurezza IT è un dovere! La sicurezza IT è fondamentale per qualsiasi azienda. Le conseguenze di un attacco malware o di una

Dettagli

IS Governance. Francesco Clabot Consulenza di processo. francesco.clabot@netcom-srl.it

IS Governance. Francesco Clabot Consulenza di processo. francesco.clabot@netcom-srl.it IS Governance Francesco Clabot Consulenza di processo francesco.clabot@netcom-srl.it 1 Fondamenti di ISO 20000 per la Gestione dei Servizi Informatici - La Norma - 2 Introduzione Che cosa è una norma?

Dettagli

SQL INJECTION. Details and Prevention. Programmazione Sicura. Giuseppe Pietravalle. Giuseppe Santaniello

SQL INJECTION. Details and Prevention. Programmazione Sicura. Giuseppe Pietravalle. Giuseppe Santaniello SQL INJECTION Details and Prevention Giuseppe Santaniello Giuseppe Pietravalle Programmazione Sicura A.A. 2014/2015 OWASP Open Web Application Security Project (OWASP) è un progetto open-source per la

Dettagli

$whois. Introduzione Attacco a una webapp Attacco a un sistema Conclusioni. http://voidsec.com voidsec@voidsec.com

$whois. Introduzione Attacco a una webapp Attacco a un sistema Conclusioni. http://voidsec.com voidsec@voidsec.com $whois Paolo Stagno Luca Poletti http://voidsec.com voidsec@voidsec.com Nell anno 2013: Aumento del 30% degli attacchi a siti e web application 14 zero-day 5,291 nuove vulnerabilità scoperte, 415 di queste

Dettagli

Il processo di sviluppo sicuro. Kimera Via Bistolfi, 49 20134 Milano www.kimera.it info@kimera.it

Il processo di sviluppo sicuro. Kimera Via Bistolfi, 49 20134 Milano www.kimera.it info@kimera.it Il processo di sviluppo sicuro Kimera Via Bistolfi, 49 20134 Milano www.kimera.it info@kimera.it Kimera Via Bistolfi, 49 20134 Milano www.kimera.it info@kimera.it Argomenti: Perchè farlo Il processo di

Dettagli

Protezione dei dati in azienda: la difficoltà di coniugare obiettivi e complessità

Protezione dei dati in azienda: la difficoltà di coniugare obiettivi e complessità L Eccellenza nei servizi e nelle soluzioni IT integrate. Protezione dei dati in azienda: la difficoltà di coniugare obiettivi e complessità 2012 MARZO Omnitech s.r.l. Via Fiume Giallo, 3-00144 Roma Via

Dettagli

Quando inizi ad accettare l'impossibile, rischi di scoprire la verità

Quando inizi ad accettare l'impossibile, rischi di scoprire la verità Quando inizi ad accettare l'impossibile, rischi di scoprire la verità (sulla sicurezza delle applicazioni in the cloud) Alessio L.R. Pennasilico - apennasilico@clusit.it 5 Giugno 2013 Security Summit Roma

Dettagli

Legenda: Vengono riportate qui brevi descrizioni di alcuni dei più noti e comuni tipi di vulnerabilità,in base al loro grado di pericolosità.

Legenda: Vengono riportate qui brevi descrizioni di alcuni dei più noti e comuni tipi di vulnerabilità,in base al loro grado di pericolosità. Legenda: Vengono riportate qui brevi descrizioni di alcuni dei più noti e comuni tipi di vulnerabilità,in base al loro grado di pericolosità. Livello di Pericolosità 3: Login Cracking: Il cracking è il

Dettagli

I tutorial di MadLabs.. Installazione e prima configurazione

I tutorial di MadLabs.. Installazione e prima configurazione I tutorial di MadLabs.. Installazione e prima configurazione Come installare php nuke Introduzione PHP Nuke è uno dei CMS (content management System) più usati del web. Per chi non lo sapesse, un CMS è

Dettagli

CORSO PER CERTIFICAZIONE PROJECT MANAGER PROFESSIONAL PMP DEL PROJECT MANAGEMENT INSTITUTE

CORSO PER CERTIFICAZIONE PROJECT MANAGER PROFESSIONAL PMP DEL PROJECT MANAGEMENT INSTITUTE CORSO PER CERTIFICAZIONE PROJECT MANAGER PROFESSIONAL PMP DEL PROJECT MANAGEMENT INSTITUTE OTTOBRE DICEMBRE 2017 LA COMMISSIONE INDUSTRIA DIPENDENTI DELL ORDINE DEGLI INGEGNERI DELLA PROVINCIA DI MODENA

Dettagli

La Certificazione ISO/IEC 27001. Sistema di Gestione della Sicurezza delle Informazioni

La Certificazione ISO/IEC 27001. Sistema di Gestione della Sicurezza delle Informazioni Sistema di Gestione della Sicurezza delle Informazioni 2015 Summary Chi siamo Il modello operativo di Quality Solutions Introduzione alla ISO 27001 La metodologia Quality Solutions Focus on: «L analisi

Dettagli

Prodotto Release <1.0> Gennaio 2015

Prodotto <ADAM DASHBOARD> Release <1.0> Gennaio 2015 Prodotto Release Gennaio 2015 Il presente documento e' stato redatto in coerenza con il Codice Etico e i Principi Generali del Controllo Interno Sommario Sommario... 2 Introduzione...

Dettagli

Attacchi alle applicazioni web: SQL injection e Cross-site scripting (XSS)

Attacchi alle applicazioni web: SQL injection e Cross-site scripting (XSS) UNIVERSITÀ DEGLI STUDI DI CATANIA Facoltà di Ingegneria Corso di laurea Specialistica in Ingegneria Informatica Tesina di Sicurezza nei Sistemi informativi Simona Ullo Attacchi alle applicazioni web: SQL

Dettagli

Questo punto richiederebbe uno sviluppo molto articolato che però a mio avviso va al di là delle possibilità fornite al candidato dal tempo a disposizione. Mi limiterò quindi ad indicare dei criteri di

Dettagli

VULNERABILITY ASSESSMENT E PENETRATION TEST

VULNERABILITY ASSESSMENT E PENETRATION TEST VULNERABILITY ASSESSMENT E PENETRATION TEST Una corretta gestione della sicurezza si basa innanzitutto su un adeguata conoscenza dell attuale livello di protezione dei propri sistemi. Partendo da questo

Dettagli

Eurisko Srl - Consulenza SAP

Eurisko Srl - Consulenza SAP EURISKO Srl Sede legale e commerciale Via Chiaverano 78-10010 Cascinette d Ivrea (TO) Tel. 0125617513 Sito Web www.euriskosrl.it P.IVA 08407400012 Eurisko Srl - Consulenza SAP Eurisko è una società di

Dettagli

Incident & Vulnerability Management: Integrazione nei processi di un SOC. Fabio Civita. Roma, 13 Maggio 2014 Complesso Monumentale S.

Incident & Vulnerability Management: Integrazione nei processi di un SOC. Fabio Civita. Roma, 13 Maggio 2014 Complesso Monumentale S. Il braccio destro per il business. Incident & Vulnerability Management: Integrazione nei processi di un SOC Roma, 13 Maggio 2014 Complesso Monumentale S.Spirito in Sassia Il braccio destro per il business.

Dettagli

IaaS Insurance as a Service

IaaS Insurance as a Service IaaS Insurance as a Service il tassello mancante nella gestione della sicurezza Alessio L.R. Pennasilico - apennasilico@clusit.it Cesare Burei - cesare.burei@margas.it Verona - Ottobre 2015 $whois -=mayhem=-

Dettagli

--- PREMESSE INTRODUZIONE. .:luxx:.

--- PREMESSE INTRODUZIONE. .:luxx:. SQL INJECTION --- SICUREZZA.:luxx:. PREMESSE Questa guida accenna ad alcuni metodi di SQL injection e si sofferma sulla prevenzione di tali attacchi, per comprendere al meglio il testo è necessaria una

Dettagli

LINEA PROJECT MANAGEMENT

LINEA PROJECT MANAGEMENT LINEA PROJECT MANAGEMENT ITIL FOUNDATION V3 46.10.3 3 giorni Il corso, nell ambito della Gestione dei Servizi IT, mira a: 1. Comprendere Struttura e Processi di ITIL V3 - Information Technology Infrastructure

Dettagli

Security Scan e Penetration Testing

Security Scan e Penetration Testing Security Scan e Penetration Testing esperienze di una realtà specializzata http://www.infosec.it info@infosec.it Il Net Probing INFOSEC Relatore: Stefano Venturoli Infosecurity 2002 Security Scan e Penetration

Dettagli

Sistema Integrato ModULAreper la gestionee prevenzione dei Rischi

Sistema Integrato ModULAreper la gestionee prevenzione dei Rischi 01 / 10 / 2014 Relatore Rita Mangiaracina Sistema Integrato ModULAreper la gestionee prevenzione dei Rischi Proposta progettuale Il progetto Simulator è realizzato nell ambito del Bando Smart Cities and

Dettagli

U.S.R Campania Polo Qualità di Napoli e PMI SIC. insieme. Project Management Skills for Life

U.S.R Campania Polo Qualità di Napoli e PMI SIC. insieme. Project Management Skills for Life U.S.R Campania Polo Qualità di Napoli e PMI SIC insieme Project Management Skills for Life Novembre 2014 www.pmi-sic.org 1 Finalità dell iniziativa fornire agli studenti, meritevoli delle IV e V classi

Dettagli

Misura delle prestazioni dei processi aziendali con sistemi di integrazione dati open source

Misura delle prestazioni dei processi aziendali con sistemi di integrazione dati open source Università degli Studi di Modena e Reggio Emilia Facoltà di Ingegneria Enzo Ferrari di Modena Corso di Laurea in Ingegneria Informatica (509/99) Misura delle prestazioni dei processi aziendali con sistemi

Dettagli

1- Corso di IT Strategy

1- Corso di IT Strategy Descrizione dei Corsi del Master Universitario di 1 livello in IT Governance & Compliance INPDAP Certificated III Edizione A. A. 2011/12 1- Corso di IT Strategy Gli analisti di settore riportano spesso

Dettagli

La certificazione dei sistemi di gestione della sicurezza ISO 17799 e BS 7799

La certificazione dei sistemi di gestione della sicurezza ISO 17799 e BS 7799 Convegno sulla Sicurezza delle Informazioni La certificazione dei sistemi di gestione della sicurezza ISO 17799 e BS 7799 Giambattista Buonajuto Lead Auditor BS7799 Professionista indipendente Le norme

Dettagli

ERP Operational Security Evaluate, Build, Monitor

ERP Operational Security Evaluate, Build, Monitor ERP Operational Security Evaluate, Build, Monitor Pasquale Vinci Agenda La sicurezza negli ERP I cyber-criminali L area grigia: metodi e contromisure Approccio KPMG Italy Evaluate

Dettagli

panoramica sugli strumenti

panoramica sugli strumenti SICUREZZA IN RETE panoramica sugli strumenti A cura di: Ing. Michele Mordenti Forlì, 27 Marzo 2006 In collaborazione con il Comune di Forlì SOMMARIO Presentazione del FoLUG Software libero Password Firewall

Dettagli

Problem Management proattivo di sicurezza secondo ITIL: attività di Etichal Hacking

Problem Management proattivo di sicurezza secondo ITIL: attività di Etichal Hacking Seminario associazioni: Seminario a cura di itsmf Italia Problem Management proattivo di sicurezza secondo ITIL: attività di Etichal Hacking Andrea Praitano Agenda Struttura dei processi ITIL v3; Il Problem

Dettagli

Sicurezza Informatica:

Sicurezza Informatica: Sicurezza Informatica: Hacker, Aziende, Rischi e Strumenti. Come districarsi in mezzo a tutto questo? twitter: mayhemspp FaceBook: alessio.pennasilico 27 Aprile 2011 $ whois mayhem Security Evangelist

Dettagli

Indice register_globals escaping

Indice register_globals escaping 1 Indice La sicurezza delle applicazioni web Le vulnerabilità delle applicazioni web La sicurezza in PHP: La direttiva register_globals Filtrare l'input Filtrare l'output (escaping) SQL Injection Cross

Dettagli

IT SECURITY: Il quadro normativo di riferimento e la Certificazione BS 7799 - ISO/IEC 17799

IT SECURITY: Il quadro normativo di riferimento e la Certificazione BS 7799 - ISO/IEC 17799 _ Intervento al Master MTI AlmaWeb 4/2/2002 IT SECURITY: Il quadro normativo di riferimento e la Certificazione BS 7799 - ISO/IEC 17799 Intervento al Master AlmaWeb in Management e Tecnologie dell Informazione

Dettagli

VoIP Forensic. I buchi della telefonia attraverso Internet. Alessio L.R. Pennasilico mayhem@alba.st

VoIP Forensic. I buchi della telefonia attraverso Internet. Alessio L.R. Pennasilico mayhem@alba.st VoIP Forensic I buchi della telefonia attraverso Internet mayhem@alba.st Security Evangelist @ Member / Board of Directors: AIP, AIPSI, CLUSIT, ILS, IT-ISAC, LUGVR, OPSI, No1984.org, Metro Olografix, OpenBeer,

Dettagli

Versione 3.2 Dicembre,2013. MAIN OFFICE Via al Porto Antico 7 - Edificio Millo 16128 GENOVA Phone. 010 5954946 Fax. 010 8680159

Versione 3.2 Dicembre,2013. MAIN OFFICE Via al Porto Antico 7 - Edificio Millo 16128 GENOVA Phone. 010 5954946 Fax. 010 8680159 MAIN OFFICE Via al Porto Antico 7 - Edificio Millo 16128 GENOVA Phone. 010 5954946 Fax. 010 8680159 OPERATIONAL OFFICES GENOVA MILANO ROMA TORINO NETWORK INTEGRATION and SOLUTIONS srl www.nispro.it Per

Dettagli

Chi siamo? Fiorenzo Ottorini CEO Attua s.r.l. Paolo Marani CTO Attua s.r.l. Alessio Pennasilico CSO Alba s.a.s. Pag. /50

Chi siamo? Fiorenzo Ottorini CEO Attua s.r.l. Paolo Marani CTO Attua s.r.l. Alessio Pennasilico CSO Alba s.a.s. Pag. /50 Chi siamo? Fiorenzo Ottorini CEO Attua s.r.l. Paolo Marani CTO Attua s.r.l. Alessio Pennasilico CSO Alba s.a.s. Tecres Tecres utilizza AIM fin dalla prima versione per tenere sotto controllo ogni aspetto

Dettagli

Vulnerabilità informatiche (semplici)..

Vulnerabilità informatiche (semplici).. Vulnerabilità informatiche (semplici).. in infrastrutture complesse....il contenuto di questo speech è di pura fantasia, ogni riferimento a infrastrutture reali o fatti realmente accaduti è puramente casuale

Dettagli

SSL VPN Accesso Remoto Sicuro

SSL VPN Accesso Remoto Sicuro SSL VPN Accesso Remoto Sicuro Accesso con Network Connect per Linux Pagina 1 I l Servizio SSL VPN permette agli utenti istituzionali di realizzare una connessione da qualsiasi parte del mondo (Internet)

Dettagli

penetration test (ipotesi di sviluppo)

penetration test (ipotesi di sviluppo) penetration test (ipotesi di sviluppo) 1 Oggetto... 3 2 Premesse... 3 3 Attività svolte durante l analisi... 3 3.1 Ricerca delle vulnerabilità nei sistemi... 4 3.2 Ricerca delle vulnerabilità nelle applicazioni

Dettagli

SQL Injection: i 5 migliori tool per individuarle

SQL Injection: i 5 migliori tool per individuarle SQL Injection: i 5 migliori tool per individuarle SQL Injection è la principale tecnica sfruttata per colpire una applicazione web basata su un database di tipo SQL, potrebbe consentire ad un malintenzionato

Dettagli

Application Assessment Applicazione ARCO

Application Assessment Applicazione ARCO GESI Application Assessment Applicazione ARCO Milano Hacking Team S.r.l. http://www.hackingteam.it Via della Moscova, 13 info@hackingteam.it 20121 MILANO (MI) - Italy Tel. +39.02.29060603 Fax +39.02.63118946

Dettagli

Corso di Sicurezza Informatica. Sicurezza del software. Ing. Gianluca Caminiti

Corso di Sicurezza Informatica. Sicurezza del software. Ing. Gianluca Caminiti Corso di Sicurezza Informatica Sicurezza del software Ing. Gianluca Caminiti SQL Injection Sommario Premessa sul funzionamento dei siti dinamici SQL Injection: Overview Scenari di attacco: Errata gestione

Dettagli

Introduzione alle problematiche di hacking

Introduzione alle problematiche di hacking Introduzione alle problematiche di hacking Approfondire ed applicare le tecniche utilizzate dagli esperti di sicurezza, per far fronte agli attacchi informatici ed alle più comuni problematiche a cui i

Dettagli

Valorizzazione della professionalità di SW Quality Assurance

Valorizzazione della professionalità di SW Quality Assurance Valorizzazione della professionalità di SW Quality Assurance 17 Esther BEVERE Miriam MERENDA ALTEN Italia Agenda Rilevanza della Professionalità del Software Tester Professionalità nel Testing Percorsi

Dettagli

Application Assessment Applicazione ARCO

Application Assessment Applicazione ARCO GESI Application Assessment Applicazione ARCO Versione 2 Milano 14 Luglio 2006 Hacking Team S.r.l. http://www.hackingteam.it Via della Moscova, 13 info@hackingteam.it 20121 MILANO (MI) - Italy Tel. +39.02.29060603

Dettagli

Linux Day 2009 - Verona Asterisk

Linux Day 2009 - Verona Asterisk - Verona Sabato 24 Ottobre 2009 Asterisk L'opensource conquista la telefonia 1 whois cyrax VoIP Specialist @ http://www.alba.st Responsabile VoIP integration projects Project Manager Area VoIP Application

Dettagli

La Sicurezza dell Informazione nel Web Information System La metodologia WISS

La Sicurezza dell Informazione nel Web Information System La metodologia WISS 1 Introduzione La Sicurezza dell Informazione nel Web Information System La metodologia WISS Ioanis Tsiouras 1 (Rivista ZeroUno, in pubblicazione) I sistemi informativi con le applicazioni basate su Web

Dettagli

LIBERA L EFFICIENZA E LA COMPETITIVITÀ DEI TUOI STRUMENTI! Open Solutions, Smart Integration

LIBERA L EFFICIENZA E LA COMPETITIVITÀ DEI TUOI STRUMENTI! Open Solutions, Smart Integration LIBERA L EFFICIENZA E LA COMPETITIVITÀ DEI TUOI STRUMENTI! Open Solutions, Smart Integration COSA FACCIAMO SEMPLIFICHIAMO I PROCESSI DEL TUO BUSINESS CON SOLUZIONI SU MISURA EXTRA supporta lo sviluppo

Dettagli

Elementi di Sicurezza e Privatezza Lezione 15 Web Security - Code Injection (1)

Elementi di Sicurezza e Privatezza Lezione 15 Web Security - Code Injection (1) Elementi di Sicurezza e Privatezza Lezione 15 Web Security - Code Injection (1) Chiara Braghin chiara.braghin@unimi.it Le 2 maggiori vulnerabilità dei siti Web SQL Injection Il browser spedisce dell input

Dettagli

Product Management & Partnerships Industrial & SCADA Infrastructure Protection. Milano 30 Ottobre 2013

Product Management & Partnerships Industrial & SCADA Infrastructure Protection. Milano 30 Ottobre 2013 Product Management & Partnerships Industrial & SCADA Infrastructure Protection Milano 30 Ottobre 2013 VIDEO IL NUOVO PANORAMA Le minacce sono più complesse E con tante risorse da proteggere il personale

Dettagli

Lavorare con MySQL Parte Seconda.

Lavorare con MySQL Parte Seconda. Lavorare con MySQL Parte Seconda. PHP, dalla versione 4.0, usufruisce difunzioni native per colloquiare con MySQL, senza appoggiarsi ad alcuna libreria o modulo esterno. In questa lezione verranno esaminate

Dettagli

Introduzione a PostgreSQL e phppgadmin

Introduzione a PostgreSQL e phppgadmin Introduzione a PostgreSQL e phppgadmin Gabriele Pozzani Informatica documentale 2011/2012 Corso di laurea in Scienze della comunicazione PostgreSQL il più avanzato database OpenSource al mondo Sviluppato

Dettagli

Monitoraggio di outsourcer e consulenti remoti

Monitoraggio di outsourcer e consulenti remoti 1 Monitoraggio di outsourcer e consulenti remoti Un Whitepaper di Advanction e ObserveIT Daniel Petri 2 Sommario Esecutivo Nel presente whitepaper verrà mostrato come registrare le sessioni remote su gateway

Dettagli

Corso di Amministrazione di Sistema Parte I ITIL 1

Corso di Amministrazione di Sistema Parte I ITIL 1 Corso di Amministrazione di Sistema Parte I ITIL 1 Francesco Clabot Responsabile erogazione servizi tecnici 1 francesco.clabot@netcom-srl.it Fondamenti di ITIL per la Gestione dei Servizi Informatici ITSM

Dettagli

AEO e sicurezza dei sistemi informativi. Luca Boselli, Senior Manager, KPMG Advisory S.p.A. Milano, 26 giugno 2008

AEO e sicurezza dei sistemi informativi. Luca Boselli, Senior Manager, KPMG Advisory S.p.A. Milano, 26 giugno 2008 AEO e sicurezza dei sistemi informativi Luca Boselli, Senior Manager, KPMG Advisory S.p.A. Milano, 26 giugno 2008 Agenda La sicurezza delle informazioni: introduzione e scenario di riferimento La sicurezza

Dettagli

Banche e Sicurezza 2015

Banche e Sicurezza 2015 Banche e Sicurezza 2015 Sicurezza informatica: Compliance normativa e presidio del rischio post circolare 263 Leonardo Maria Rosa Responsabile Ufficio Sicurezza Informatica 5 giugno 2015 Premessa Il percorso

Dettagli

NETASQ V9: PKI & Controllo accessi. Presentation Marco Genovese Presales engineer marco.genovese@netasq.com

NETASQ V9: PKI & Controllo accessi. Presentation Marco Genovese Presales engineer marco.genovese@netasq.com NETASQ V9: PKI & Controllo accessi Presentation Marco Genovese Presales engineer marco.genovese@netasq.com Alcuni concetti Alcuni concetti prima di incominciare per chiarire cosa è una PKI e a cosa serve

Dettagli