OWASP e gli standard per la sicurezza applicativa
|
|
|
- Eloisa Brunelli
- 10 anni fa
- Visualizzazioni
Transcript
1 OWASP e gli standard per la sicurezza applicativa Matteo Meucci OWASP-Italy Chair OWASP Day per la PA Roma 5, Novembre 2009 Copyright The OWASP Foundation Permission is granted to copy, distribute and/or modify this document under the terms of the GNU Free Documentation License. The OWASP Foundation
2 Agenda Introduzione alla Web Application Security Il progetto OWASP (The Open Web Application Security Project) Quali strumenti per implementare software sicuro e difendersi da possibili minacce 2
3 Who am I? Research OWASP-Italy Chair OWASP Testing Guide Lead Work Minded Security Application Security Consulting 8+ years on Information Security focusing on Application Security
4 Introduzione alla Web Application Security
5 Focus: applicazioni, software
6 Applicativo sicuro o insicuro?
7 Ingredienti del software sicuro? Software Facts Expected Number of Users 15 Typical Roles per Instance 4 Modules 155 Modules from Libraries 120 Ingredienti: Sun Java 1.5 runtime, Sun J2EE 1.2.2, Jakarta log4j 1.5, Jakarta Commons 2.1, Jakarta Struts 2.0, Harold XOM 1.1rc4, Hunter JDOMv1 % Vulnerability* Cross Site Scripting 22 65% Reflected 12 Stored 10 SQL Injection 2 Buffer Overflow 5 95% Total Security Mechanisms 3 Modularity.035 Cyclomatic Complexity 323 Encryption 3 Authentication 15 Access Control 3 Input Validation 233 Logging 33 * % Vulnerability values are based on typical use scenarios for this product. Your Vulnerability Values may be higher or lower depending on your software security needs: Usage Intranet Internet Cross Site Scripting Less Than 10 5 Reflected Less Than 10 5 Stored Less Than 10 5 SQL Injection Less Than 20 2 Buffer Overflow Less Than 20 2 Security Mechanisms Encryption 3 15
8 La verifica di sicurezza del software public class HelloWorld extends HttpServlet { public void doget( HttpServletRequest request, HttpServletResponse response) throws IOException, ServletException { response.setcontenttype("text/html"); PrintWriter out = response.getwriter(); out.println("<html><head>"); out.println("<title>hello World</TITLE>"); out.println("</head><body>"); out.println("hello, " + }? Il controllo dei difetti di sicurezza del software dovrebbe essere considerato parte del processo di sviluppo del software.
9 Dove risiedono le maggiori vulnerabilità? Source SANS : The Top Cyber Security Risks (Set 09) Source SANS The Top Cyber Security Risks (Set 09)
10 Perchè le applicazioni web rappresentano il maggior problema di sicurezza oggi? Time-to-Market Le applicazioni devono essere sul disponibili il prima possibile Complessità crescente Il ciclo di vita delle applicazioni ha complessità sempre più crescente Crescente domanda di business Funzionalità vs Sicurezza Ciclo di vita di un applicazione Source: Minor priorità alle funzioni ed alle caratteristiche di sicurezza
11 Web Application Security La sicurezza applicativa comprende tutti i processi che introducono i controlli di sicurezza durante il ciclo di vita di sviluppo del software. Per garantire la protezione dell'applicazione Web, è necessario considerare le vulnerabilità come difetti. Di conseguenza, la protezione delle applicazioni deve rappresentare una pratica integrata nei processi di gestione della qualità durante il ciclo di sviluppo delle applicazioni. Si parla di Web Application Security quando un azienda: progetta, sviluppa e testa i propri applicativi con processi consolidati ed utilizzando linee guida e standard di riferimento (OWASP).
12 Vulnerabilità possibili delle applicazioni web Information Disclosure SSL Weakness Configuration management weakness Old, backup and unreferenced files Access to Admin interfaces HTTP Methods enabled, XST permitted, HTTP Verb Credentials transport over an encrypted channel User enumeration Guessable user account Credentials Brute forcing Bypassing authentication schema Vulnerable remember pwd weak pwd reset Logout function browser cache weakness Bypassing Session Management Schema, Weak Session Token Cookies not secure Session Fixation Exposed sensitive session variables CSRF Path Traversal Bypassing authorization schema Privilege Escalation Bypassable business logic Reflected XSS,Stored XSS,DOM XSS Cross Site Flashing SQL, LDAP. ORM, XML,SSI, Code Injection OS Commanding Buffer overflow Locking Customer Accounts Buffer Overflows WSDL Weakness
13 Minacce La mancanza di policy nella scelta delle password può portare all individuazione di username/password di un insieme di clienti Un meccanismo debole di autenticazione può permettere il bypass dello schema di autenticazione (furto di identità) Un meccanismo di autorizzazione debole può risultare nella individuazione di informazioni riservate, o la possibilità di accedere a funzionalità non autorizzate Furto della sessione temporanea dell utente (controllo temporaneo dell accesso all applicazione) Forzare un utente ad eseguire un azione non voluta (es. bonifico) Attacchi sul browser dei clienti (furto di identità e di informazioni riservate degli utenti) Controllo dei server ospitanti l applicazione e database Intercettazione delle informazioni in transito dall utente al server e di username/password
14 Gli impatti delle vulnerabilità: In generale le vulnerabilità applicative portano a: Perdita/manipolazione di Dati Manipolazione della presentazione delle informazioni Perdita di fiducia, di immagine Perdita di Clienti Esempi: Applicazione compromessa in cui vengono installate applicazioni (es: malware, repository di file illeciti, redirect su siti illeciti) Disclosure: le vulnerabilità sono pubblicate su paper/siti
15 Strategie di difesa Come può una PA difendersi e gestire tutte le problematiche di sviluppo sicuro? Cultura, formazione continua Adottare linee guida di sviluppo sicuro Creare processi di: review del codice verifica dell applicazione Monitorare il proprio processo di sviluppo sicuro
16 OWASP: The Open Web Application Security Project
17 Il progetto Open Web Application Security Project (OWASP) è una organizzazione Open Source dedicata alla creazione e alla diffusione di una cultura per quanto riguarda la sicurezza delle applicazioni web Progetto free, come il materiale disponibile sul portale Migliaia di membri, +100 capitoli locali e altri partecipanti ai progetti. Milioni di hit su al mese Defense Information Systems Agency (DISA), US Federal Trade Commission (FTC), VISA, Mastercard, American Express e molte aziende in Italia hanno adottato la documentazione OWASP nei loro standard e linee guida
18 OWASP Worldwide Community Participants Chapters 18
19 OWASP Dashboard Worldwide Users Most New Visitors ,782,709 page views /10/ /10/ /10/ /10/ /10/ /10/
20 La base di conoscenza di OWASP 6,381 Articoli 427 presentazioni 200 aggiornamenti/giorno 271 mailing lists 180 blog monitorati
21 OWASP Top Ten OWASP Day per la 21 PA 5 Novembre 09 OWASP-Italy
22 Linee Guida OWASP Gratuite e open source Libri a basso costo Coprono tutti i controlli di sicurezza Centinaia di esperti Tutti gli aspetti di sicurezza applicativa 22
23 OWASP Building Guide Al fine di comprendere ed eliminare le cause della insicurezza nel software,owasp ha sviluppato la guida per lo sviluppo delle applicazioni web sicure pensata per: Sviluppatori per implementare i meccanismi di sicurezza ed evitare le vulnerabilità; Project manager che la utilizzano per identificare le attività da svolgere (threat modeling, code review, development); Team di sicurezza che la usano per apprendere le tematiche di application security e l approccio per la messa in sicurezza;
24 OWASP Code Review Guide Descrive la metodologia OWASP per testare il codice di un applicazione (white box testing, conoscendo il codice sorgente)
25 OWASP Testing Guide Descrive la metodologia OWASP per testare la sicurezza di un applicativo web SANS Top NIST Technical Guide to Information Security Testing (Draft) Gary McGraw (CTO Cigital) says: In my opinion it is the strongest piece of Intellectual Property in the OWASP portfolio
26 OWASP Software Assurance Maturity Model 26
27 OWASP WebGoat 27
28 OWASP WebScarab 28
29 Principali progetti OWASP BOOKS Owasp top10 Building guide Code review guide Testing guide TOOLS WebGoat WebScarab SQLMap SQL Ninja SWF Intruder Orizon Code Crawler
30 Il ciclo di vita del software e la sicurezza
31 Il ciclo di vita del software Il Ciclo di Vita del Software (Sofware Development Life Cycle, SDLC) comprende : Define Design Develop Deploy Maintain Quali processi implementare? Awareness Secure Code Guidelines Code Review Application Testing
32 SDLC & OWASP Guidelines e tools Before SDLC Define&Design Development Deploy&Maintenance Awareness Building Guide Code Review Guide Testing Guide OWASP Guidelines OWASP Top10 Web Goat.NET CSRFGuard ESAPI Orizon LAPSE WebScarab SWF Intruder SQLNinja SQLMap Pantera OWASP Tools
33 Verifica della sicurezza In-house o terza parte? Code Review o Application Testing? Adozione di tool o analisi manuale?
34 Verifica della sicurezza: in-house Vantaggi: Portare cultura in azienda Creare competenze Svantaggi Spese per tools, sviluppo metodologie Molto difficile arrivare ad una accuratezza elevata, serve molto tempo per formare il personale
35 Verifica della sicurezza: terza parte Vantaggi: Utilizzo di personale dedicato a queste attività con competenze tecniche allo stato dell arte Risultati più approfonditi Svantaggi Poco scalabile su centinaia di applicazioni in poco tempo
36 Code Review vs Application Testing Secure Code Review: l attività di secure Code Review consiste nell analisi di sicurezza del codice sorgente dell applicativo linea per linea: viene anche chiamato test di tipo white box, per sottolineare il fatto che chi esegue la verifica ha a disposizione la conoscenza completa dell applicativo (insieme dei sorgenti). Web Application Penetration Testing (WAPT): l attività di Web Application Penetration Testing consiste nell effettuare una simulazione reale di un attacco informatico all applicativo in oggetto al fine di valutarne l effettivo livello di sicurezza. Tale test, viene chiamato di tipo black box in quanto in questa circostanza chi compie l analisi non ha a disposizione nessuna conoscenza sul software, e vuole garantire che non siano presenti problematiche di sicurezza prima del deploy in esercizio.
37 Manuale vs Automatico Trovare vulnerabilità nel Trovare vulnerabilità nelle Codice Sorgente La combinazione delle 4 applicazioni sviluppate (White Box Testing) tecniche produce I risultati (Black Box Testing) migliori Manual Code Review Manual Penetration Testing Automated Static Code Analysis Automated Vulnerabilty Scanning
38 Tools At Best 45% MITRE found that all application security tool vendors claims put together cover only 45% of the known vulnerability types (over 600 in CWE) They found very little overlap between tools, so to get 45% you need them all (assuming their claims are true)
39 Conclusione Come affrontare il tema della Web application security nelle PA: Progettare applicativi seguendo una standard riconosciuti in modo che il servizio non sia vulnerabile a possibili attacchi web. Concepire la sicurezza by-design e non come semplice add-on Fattore chiave nello sviluppo in qualità di applicazioni Implementare un programma definito di Software Assurance con linee guida standard, percorsi di formazione, processi di security integrati del ciclo di vita di sviluppo del software
40 Grazie! Domande?
OWASP Day IV: introduzione
OWASP Day IV: introduzione Matteo Meucci OWASP-Italy Chair CEO Minded Security OWASP-Italy Day IV Milan 6th, November 2009 Copyright 2008 - The OWASP Foundation Permission is granted to copy, distribute
Introduzione all OWASP- Day II
Introduzione all OWASP- Day II Matteo Meucci OWASP-Day Università La Sapienza Rome 31 st March, 2008 OWASP-Italy Chair CEO Minded Security [email protected] Copyright 2007 - The OWASP Foundation
Come valutare la maturità del proprio modello di sviluppo del software
Come valutare la maturità del proprio modello di sviluppo del software Matteo Meucci Chair OWASP Day per la PA Roma 9, Novembre 2010 Copyright 2010 - The OWASP Foundation Permission is granted to copy,
Domenico Ercolani Come gestire la sicurezza delle applicazioni web
Domenico Ercolani Come gestire la sicurezza delle applicazioni web Agenda Concetti generali di sicurezza applicativa La soluzione IBM La spesa per la sicurezza non è bilanciata Sicurezza Spesa Buffer Overflow
Le linee guida OWASP per la sicurezza applicativa
Le linee guida per la sicurezza applicativa Matteo Meucci, CISSP, CISA -Italy Chair Testing Guide Lead Convegno ABI 22 Maggio 2007, Roma [email protected] Copyright 2007 - The Foundation Permission
Lo stato dell'arte dei progetti OWASP ed i falsi miti sull'uso dei tool
Lo stato dell'arte dei progetti OWASP ed i falsi miti sull'uso dei tool Matteo Meucci Paolo Perego Security Summit 2011 Giorgio Fedon Milan 15th March, 2011 Copyright 2011- The OWASP Foundation Permission
La gestione della sicurezza applicativa nelle aziende italiane
La gestione della sicurezza applicativa nelle aziende italiane (Matteo Meucci CISA CISSP OWASP-Italy Minded Security ) 17 Aprile 2012 Pag. 1 INDICE DELLA PRESENTAZIONE : Introduzione alla sicurezza del
L'analisi di sicurezza delle applicazioni web: come realizzare un processo nella PA. The OWASP Foundation. Stefano Di Paola. CTO Minded Security
L'analisi di sicurezza delle applicazioni web: come realizzare un processo nella PA Stefano Di Paola CTO Minded Security OWASP Day per la PA Roma 5, Novembre 2009 Copyright 2009 - The OWASP Foundation
La gestione della sicurezza applicativa nelle aziende italiane
La gestione della sicurezza applicativa nelle aziende italiane Matteo Meucci, CISSP, CISA Chair CEO @ Minded Security Security Summit 20 Marzo 2012, Milano Copyright 2007 - The OWASP Foundation Permission
penetration test (ipotesi di sviluppo)
penetration test (ipotesi di sviluppo) 1 Oggetto... 3 2 Premesse... 3 3 Attività svolte durante l analisi... 3 3.1 Ricerca delle vulnerabilità nei sistemi... 4 3.2 Ricerca delle vulnerabilità nelle applicazioni
SPIKE APPLICATION SECURITY: SICUREZZA DIRETTAMENTE ALL INTERNO DEL CICLO DI VITA DEL SOFTWARE
SPIKE APPLICATION SECURITY: SICUREZZA DIRETTAMENTE ALL INTERNO DEL CICLO DI VITA DEL SOFTWARE La sicurezza delle applicazioni web si sposta a un livello più complesso man mano che il Web 2.0 prende piede.
Ciclo di vita del software: strumenti e procedure per migliorarne la sicurezza. Roberto Ugolini [email protected]
Ciclo di vita del software: strumenti e procedure per migliorarne la sicurezza Roberto Ugolini 1 Il processo di sviluppo sicuro del codice (1/2) Il processo di sviluppo sicuro del codice () è composto
Il processo di sviluppo sicuro. Kimera Via Bistolfi, 49 20134 Milano www.kimera.it [email protected]
Il processo di sviluppo sicuro Kimera Via Bistolfi, 49 20134 Milano www.kimera.it [email protected] Kimera Via Bistolfi, 49 20134 Milano www.kimera.it [email protected] Argomenti: Perchè farlo Il processo di
VULNERABILITY ASSESSMENT E PENETRATION TEST
VULNERABILITY ASSESSMENT E PENETRATION TEST Una corretta gestione della sicurezza si basa innanzitutto su un adeguata conoscenza dell attuale livello di protezione dei propri sistemi. Partendo da questo
NCP Networking Competence Provider Srl Sede legale: Via di Porta Pertusa, 4-00165 Roma Tel: 06-88816735, Fax: 02-93660960. info@ncp-italy.
NCP Networking Competence Provider Srl Sede legale: Via di Porta Pertusa, 4-00165 Roma Tel: 06-88816735, Fax: 02-93660960 [email protected] Introduzione Il penetration testing, conosciuto anche come ethical
Security by example. Alessandro `jekil` Tanasi [email protected] http://www.lonerunners.net. LUG Trieste. Alessandro Tanasi - alessandro@tanasi.
Security by example Alessandro `jekil` Tanasi [email protected] http://www.lonerunners.net Chi vi parla? Consulente Penetration tester Forenser Sviluppatore di software per il vulnerability assessment
Politica per la Sicurezza
Codice CODIN-ISO27001-POL-01-B Tipo Politica Progetto Certificazione ISO 27001 Cliente CODIN S.p.A. Autore Direttore Tecnico Data 14 ottobre 2014 Revisione Resp. SGSI Approvazione Direttore Generale Stato
Incident & Vulnerability Management: Integrazione nei processi di un SOC. Fabio Civita. Roma, 13 Maggio 2014 Complesso Monumentale S.
Il braccio destro per il business. Incident & Vulnerability Management: Integrazione nei processi di un SOC Roma, 13 Maggio 2014 Complesso Monumentale S.Spirito in Sassia Il braccio destro per il business.
Ciclo di vita del software: strumenti e procedure per migliorarne la sicurezza
Forum P.A. 07 La Sicurezza ICT nella PA Ciclo di vita del software: strumenti e procedure per migliorarne la sicurezza Roberto Ugolini 1 Sicurezza: il modello ed i servizi Assessment del Sistema di Gestione
Sicurezza Aziendale: gestione del rischio IT (Penetration Test )
Sicurezza Aziendale: gestione del rischio IT (Penetration Test ) Uno dei maggiori rischi aziendali è oggi relativo a tutto ciò che concerne l Information Technology (IT). Solo negli ultimi anni si è iniziato
Simone Riccetti. Applicazioni web:security by design
Simone Riccetti Applicazioni web:security by design Perchè il problema continua a crescere? Connettività: Internet L incremento del numero e delle tipologie d vettori di attacco è proporzionale all incremento
Security by design. Come la gestione di un progetto può minimizzare i rischi per il business. Alessio L.R. Pennasilico - apennasilico@clusit.
Security by design Come la gestione di un progetto può minimizzare i rischi per il business Alessio L.R. Pennasilico - [email protected] 22 Febbraio 2013 - Milano Alessio L.R. Pennasilico Security
TeamPortal. Servizi integrati con ambienti Gestionali
TeamPortal Servizi integrati con ambienti Gestionali 12/2013 Accesso da remoto Accesso da remoto Esempio 1 Sul Firewall devono essere aperte le porte 80 : http (o quella assegnata in fase di installazione/configurazione
Audit & Sicurezza Informatica. Linee di servizio
Audit & Sicurezza Informatica Linee di servizio Application Control Consulting Molte organizzazioni hanno implementato applicazioni client/server integrate, come SAP e Oracle Queste applicazioni aumentano
Corso di Amministrazione di Sistema Parte I ITIL 1
Corso di Amministrazione di Sistema Parte I ITIL 1 Francesco Clabot Responsabile erogazione servizi tecnici 1 [email protected] Fondamenti di ITIL per la Gestione dei Servizi Informatici ITSM
Test e collaudo del software Continuous Integration and Testing
Test e collaudo del software Continuous Integration and Testing Relatore Felice Del Mauro Roma, Cosa è la Continuous Integration A software development practice where members of a team integrate their
Application Assessment Applicazione ARCO
GESI Application Assessment Applicazione ARCO Milano Hacking Team S.r.l. http://www.hackingteam.it Via della Moscova, 13 [email protected] 20121 MILANO (MI) - Italy Tel. +39.02.29060603 Fax +39.02.63118946
Applicazioni software e gestione delle vulnerabilità: un caso concreto di successo
Applicazioni software e gestione delle vulnerabilità: un caso concreto di successo Roberto Obialero, GCFW, GCFA Fabio Bucciarelli, GCFA, CEH Agenda Analisi del contesto (attacchi,
Banking Cybercrime: Attacchi e scenari di banking malware in Italia IEEE-DEST 2012. The OWASP Foundation. Giorgio Fedon Owasp Italy Technical Director
Banking Cybercrime: Attacchi e scenari di banking malware in Italia Giorgio Fedon Owasp Italy Technical Director IEEE-DEST 2012 [email protected] Copyright The OWASP Foundation Permission is granted
DigitPA - P@norama sulle tecnologie innovative
DigitPA - P@norama sulle tecnologie innovative La Sicurezza Applicativa Stato dell arte ed iniziative in corso in SOGEI RELATORE: Francesco GERBINO 17 gennaio 2011 Agenda Presentazione della Società La
Riepilogo delle modifiche di PA-DSS dalla versione 2.0 alla 3.0
Settore delle carte di pagamento (PCI) Standard di protezione dei dati per le applicazioni di pagamento () Riepilogo delle modifiche di dalla versione 2.0 alla 3.0 Novembre 2013 Introduzione Il presente
Ciclo di vita dimensionale
aprile 2012 1 Il ciclo di vita dimensionale Business Dimensional Lifecycle, chiamato anche Kimball Lifecycle descrive il framework complessivo che lega le diverse attività dello sviluppo di un sistema
Configuration Management
Configuration Management Obiettivi Obiettivo del Configuration Management è di fornire un modello logico dell infrastruttura informatica identificando, controllando, mantenendo e verificando le versioni
IS Governance. Francesco Clabot Consulenza di processo. [email protected]
IS Governance Francesco Clabot Consulenza di processo [email protected] 1 Fondamenti di ISO 20000 per la Gestione dei Servizi Informatici - La Norma - 2 Introduzione Che cosa è una norma?
XXVII Convegno Nazionale AIEA
XXVII Convegno Nazionale AIEA Classificazione delle Informazioni e Data Loss Prevention Impatti normativi da governare Milano, 3 Ottobre 2013 Giuseppe Blasi Alessandro Santacroce 0 2013 Protiviti S.r.l.
Gestione in qualità degli strumenti di misura
Gestione in qualità degli strumenti di misura Problematiche Aziendali La piattaforma e-calibratione Il servizio e-calibratione e-calibration in action Domande & Risposte Problematiche Aziendali incertezza
Specifiche Tecnico-Funzionali
AuthSIAR - Modulo di Autenticazione e Autorizzazione Sardegna IT S.r.l. Analisi Tecnico-Funzionale Assessorato all Agricoltura della Regione Sardegna SIAR Sistema Informativo Agricolo Regionale AuthSIAR
Rational Unified Process Introduzione
Rational Unified Process Introduzione G.Raiss - A.Apolloni - 4 maggio 2001 1 Cosa è E un processo di sviluppo definito da Booch, Rumbaugh, Jacobson (autori dell Unified Modeling Language). Il RUP è un
Protocolli di autenticazione ione per la connessione alle reti sociali. Le tecnologie del Web 2.0
Protocolli di autenticazione ione per la connessione alle reti sociali Le tecnologie del Web 2.0 OAuth: cos è Semplice standard aperto per l autenticazione sicura delle API Protocollo aperto per permettere
Cosa si intende per Sicurezza delle Informazioni? Quali sono gli obiettivi di un processo per la Sicurezza delle Informazioni?
Cosa si può fare? LA SICUREZZA DELLE INFORMAZIONI Cosa si intende per Sicurezza delle Informazioni? La Sicurezza delle Informazioni nell impresa di oggi è il raggiungimento di una condizione dove i rischi
ILSISTEMA INTEGRATO DI PRODUZIONE E MANUTENZIONE
ILSISTEMA INTEGRATO DI PRODUZIONE E MANUTENZIONE L approccio al processo di manutenzione Per Sistema Integrato di Produzione e Manutenzione si intende un approccio operativo finalizzato al cambiamento
sito web sito Internet
Siti Web Cos è un sito web Un sito web o sito Internet è un insieme di pagine web correlate, ovvero una struttura ipertestuale di documenti che risiede, tramite hosting, su un web server e accessibile
LA FORZA DELLA SEMPLICITÀ. Business Suite
LA FORZA DELLA SEMPLICITÀ Business Suite LA MINACCIA È REALE Le minacce online alla tua azienda sono reali, qualunque cosa tu faccia. Chiunque abbia dati o denaro è un bersaglio. Gli incidenti relativi
Application Security Governance
Application Security Governance 28 ottobre 2010 Francesco Baldi Security & Risk Management Practice Principal 1 AGENDA Problematiche di sicurezza applicativa Modello di riferimento Processo di sicurezza
INNOVAZIONE E RICERCA AL SERVIZIO DELLE AZIENDE E DELLE PERSONE
INNOVAZIONE E RICERCA AL SERVIZIO DELLE AZIENDE E DELLE PERSONE OD&M Consulting è una società di consulenza specializzata nella gestione e valorizzazione delle persone e nella progettazione di sistemi
System & Network Integrator. Rap 3 : suite di Identity & Access Management
System & Network Integrator Rap 3 : suite di Identity & Access Management Agenda Contesto Legislativo per i progetti IAM Impatto di una soluzione IAM in azienda La soluzione di SysNet: Rap 3 I moduli l
TeamPortal. Infrastruttura
TeamPortal Infrastruttura 05/2013 TeamPortal Infrastruttura Rubriche e Contatti Bacheca Procedure Gestionali Etc Framework TeamPortal Python SQL Wrapper Apache/SSL PostgreSQL Sistema Operativo TeamPortal
Problematiche correlate alla sicurezza informatica nel commercio elettronico
Problematiche correlate alla sicurezza informatica nel commercio elettronico http://www.infosec.it [email protected] Relatore: Stefano Venturoli, General Manager Infosec Italian Cyberspace Law Conference
Architetture Web: un ripasso
Architetture Web: un ripasso Pubblicazione dinamica di contenuti. Come si fa? CGI Java Servlet Server-side scripting e librerie di tag JSP Tag eseguiti lato server Revisione critica di HTTP HTTP non prevede
Application Assessment Applicazione ARCO
GESI Application Assessment Applicazione ARCO Versione 2 Milano 14 Luglio 2006 Hacking Team S.r.l. http://www.hackingteam.it Via della Moscova, 13 [email protected] 20121 MILANO (MI) - Italy Tel. +39.02.29060603
Un CMS potente e versatile
1 Un CMS potente e versatile www.plone.org www.tecnoteca.com 2 Cos è Plone E un CMS open source, distribuito con licenza GPL screen sito plone base E facile da installare, utilizzare ed estendere. Consente
Progetti Open Source Per La Sicurezza Delle Web Applications OWASP. The OWASP Foundation http://www.owasp.org
Progetti Open Source Per La Sicurezza Delle Web Applications Marco Morana Mercoledi 5 Novembre 2008 Giornata Della Sicurezza Informatica In Sardegna Copyright 2008 - The Foundation Permission is granted
LA TEMATICA. Questa situazione si traduce facilmente:
IDENTITY AND ACCESS MANAGEMENT: LA DEFINIZIONE DI UN MODELLO PROCEDURALE ED ORGANIZZATIVO CHE, SUPPORTATO DALLE INFRASTRUTTURE, SIA IN GRADO DI CREARE, GESTIRE ED UTILIZZARE LE IDENTITÀ DIGITALI SECONDO
Associazione Italiana Information Systems Auditors
Associazione Italiana Information Systems Auditors Agenda AIEA - ruolo ed obiettivi ISACA - struttura e finalità La certificazione CISA La certificazione CISM 2 A I E A Costituita a Milano nel 1979 Finalità:
Sicurezza delle Applicazioni Informatiche. Qualificazione dei prodotti di back office Linee Guida RER
Sicurezza delle Applicazioni Informatiche Qualificazione dei prodotti di back office Linee Guida RER 1 Cliente Redatto da Verificato da Approvato da Regione Emilia-Romagna CCD CCD Nicola Cracchi Bianchi
SOA GOVERNANCE: WHAT DOES IT MEAN? Giorgio Marras
SOA GOVERNANCE: WHAT DOES IT MEAN? Giorgio Marras 2 Introduzione Le architetture basate sui servizi (SOA) stanno rapidamente diventando lo standard de facto per lo sviluppo delle applicazioni aziendali.
Gartner Group definisce il Cloud
Cloud Computing Gartner Group definisce il Cloud o Cloud Computing is a style of computing in which elastic and scalable information technology - enabled capabilities are delivered as a Service. Gartner
Una minaccia dovuta all uso dell SNMP su WLAN
Una minaccia dovuta all uso dell SNMP su WLAN Gianluigi Me, [email protected] Traduzione a cura di Paolo Spagnoletti Introduzione Gli attacchi al protocollo WEP compromettono la confidenzialità
Sicurezza informatica in azienda: solo un problema di costi?
Sicurezza informatica in azienda: solo un problema di costi? Silvano Marioni, CISSP Manno, Centro Galleria 2 14 ottobre 2005 www.ated.ch Parliamo di sicurezza informatica Quali minacce possono interessarci
Secure Code Review: dalla teoria alla pratica
Secure Code Review: dalla teoria alla pratica Antonio Parata http://www.emaze.net [email protected] OWASP-Day III Centro di Competenza ICT-Puglia - Dipartimento di Informatica Università degli Studi
Ciclo di vita del software
Ciclo di vita del software Nel corso degli anni, nel passaggio dalla visione artigianale alla visione industriale del software, si è compreso che il processo andava formalizzato attraverso: un insieme
Programmazione server-side: Java Servlet
Programmazione server-side: Java Servlet Corso di Applicazioni Telematiche A.A. 2006-07 Lezione n.11 parte II Prof. Roberto Canonico Università degli Studi di Napoli Federico II Facoltà di Ingegneria Cos
Concetti base di sicurezza applicativa web. Massimo Carnevali Responsabile Esercizio dei Sistemi Informativi Comune di Bologna
Concetti base di sicurezza applicativa web Massimo Carnevali Responsabile Esercizio dei Sistemi Informativi Comune di Bologna Agenda Concetti base Esempio reale (SQL code injection) Come cambia lo scenario
Early Warning. Bollettino VA-IT-130911-01.A
Early Warning Bollettino VA-IT-130911-01.A Guida alla corretta lettura della scheda riassuntiva Early Warning - Bollettino VA-IT-130911-01.A Pag. 2/6 P U B L I C CORRISPONDENZE EARLY WARNING INFORMAZIONI
Gestione Operativa e Supporto
Università di Bergamo Facoltà di Ingegneria GESTIONE DEI SISTEMI ICT Paolo Salvaneschi A6_1 V1.0 Gestione Operativa e Supporto Il contenuto del documento è liberamente utilizzabile dagli studenti, per
PTSv2 in breve: La scelta migliore per chi vuole diventare un Penetration Tester. Online, accesso flessibile e illimitato
La scelta migliore per chi vuole diventare un Penetration Tester PTSv2 in breve: Online, accesso flessibile e illimitato 900+ slide interattive e 3 ore di lezioni video Apprendimento interattivo e guidato
PROXYMA Contrà San Silvestro, 14 36100 Vicenza Tel. 0444 544522 Fax 0444 234400 Email: [email protected]
PROXYMA Contrà San Silvestro, 14 36100 Vicenza Tel. 0444 544522 Fax 0444 234400 Email: [email protected] igrafx Process Central è una soluzione che aiuta le organizzazioni a gestire, sviluppare, documentare
Analizzare e gestire il CLIMA e la MOTIVAZIONE in azienda
Analizzare e gestire il CLIMA e la MOTIVAZIONE in azienda tramite lo strumento e la metodologia LA GESTIONE DEL CLIMA E DELLA MOTIVAZIONE La spinta motivazionale delle persone che operano in azienda è
lem logic enterprise manager
logic enterprise manager lem lem Logic Enterprise Manager Grazie all esperienza decennale in sistemi gestionali, Logic offre una soluzione modulare altamente configurabile pensata per la gestione delle
Cosa è Tower. Sistema di autenticazione per il controllo degli accessi a reti wireless. struttura scalabile. permette la nomadicità degli utenti
Cosa è Tower Sistema di autenticazione per il controllo degli accessi a reti wireless struttura scalabile consente la federazione tra reti di enti/operatori t i differenti permette la nomadicità degli
Security Summit 2010. Insert Company Logo. L evoluzione nella sicurezza delle applicazioni Lucilla Mancini, Massimo Biagiotti, Business-e
Security Summit 2010 Insert Company L evoluzione nella sicurezza delle applicazioni Lucilla Mancini, Massimo Biagiotti, Business-e L evoluzione nella sicurezza delle applicazioni
Comprendere il Cloud Computing. Maggio, 2013
Comprendere il Cloud Computing Maggio, 2013 1 Cos è il Cloud Computing Il cloud computing è un modello per consentire un comodo accesso alla rete ad un insieme condiviso di computer e risorse IT (ad esempio,
KLEIS WEB APPLICATION FIREWALL
KLEIS WEB APPLICATION FIREWALL VERSIONE 2.1 Presentazione www.kwaf.it Cos'è Kleis Web Application Firewall? Kleis Web Application Firewall (KWAF) è un firewall software per la difesa di: Web Application
DIMINUIRE I COSTI CON IL SISTEMA QUALITA
DIMINUIRE I COSTI CON IL SISTEMA QUALITA Lo so che è un argomento impopolare; la mia tesi è che si puo' usare un sistema qualità per abbassare i costi invece che fabbricare carte false. L idea mi è venuta
ALLEGATO 13.2 - Esempio di questionario per la comprensione e valutazione del sistema IT
ALLEGATO 13.2 - Esempio di questionario per la comprensione e valutazione del sistema IT Premessa L analisi del sistema di controllo interno del sistema di IT può in alcuni casi assumere un livello di
Security Scan e Penetration Testing
Security Scan e Penetration Testing esperienze di una realtà specializzata http://www.infosec.it [email protected] Il Net Probing INFOSEC Relatore: Stefano Venturoli Infosecurity 2002 Security Scan e Penetration
IT Cloud Service. Semplice - accessibile - sicuro - economico
IT Cloud Service Semplice - accessibile - sicuro - economico IT Cloud Service - Cos è IT Cloud Service è una soluzione flessibile per la sincronizzazione dei file e la loro condivisione. Sia che si utilizzi
Incident Management. Obiettivi. Definizioni. Responsabilità. Attività. Input
Incident Management Obiettivi Obiettivo dell Incident Management e di ripristinare le normali operazioni di servizio nel piu breve tempo possibbile e con il minimo impatto sul business, garantendo il mantenimento
La consapevolezza della sicurezza nella PA. L esperienza MIUR
La consapevolezza della sicurezza nella PA. L esperienza MIUR Paolo De Santis Direzione Generale per i contratti, gli acquisti e per i sistemi informativi e la statistica - MIUR Il contesto in cui opera
Incentive & La soluzione per informatizzare e gestire il processo di. Performance Management
Incentive & Performance Management La soluzione per informatizzare e gestire il processo di Performance Management Il contesto di riferimento La performance, e di conseguenza la sua gestione, sono elementi
IL PARTNER IDEALE. Consulenza IT & Soluzioni HR
IL PARTNER IDEALE Consulenza IT & Soluzioni HR CHI SIAMO B&A PARTNERS nasce per essere il PARTNER IDEALE di quelle realtà che fanno, delle proprie risorse, il vero potenziale della propria azienda. Investire
ALLEGATO 8.1 DESCRIZIONE PROFILI PROFESSIONALI
PROCEDURA DI SELEZIONE PER L AFFIDAMENTO DEL SERVIZIO DI PROGETTAZIONE, ANALISI, SVILUPPO, MANUTENZIONE ADEGUATIVA, CORRETTIVA ED EVOLUTIVA DI SISTEMI INFORMATIVI SU PIATTAFORMA IBM WEBSPHERE BPM (EX LOMBARDI)
Iniziativa: "Sessione di Studio" a Milano
Iniziativa: "Sessione di Studio" a Milano Gentili Associati, Il Consiglio Direttivo è lieto di informarvi che, proseguendo nell attuazione delle iniziative promosse dall' volte al processo di miglioramento,
Firewall applicativo per la protezione di portali intranet/extranet
Firewall applicativo per la protezione di portali intranet/extranet Descrizione Soluzione Milano Hacking Team S.r.l. http://www.hackingteam.it Via della Moscova, 13 [email protected] 20121 MILANO (MI)
ALLINEARSI: IL DRIVER PER UNA INNOVAZIONE DI SUCCESSO!
ALLINEARSI: IL DRIVER PER UNA INNOVAZIONE DI SUCCESSO! L allineamento del team esecutivo è definibile come l accordo dei membri del team in merito a: 1. Allineamento personale -consapevolezza dell impatto
KLEIS A.I. SECURITY SUITE
KLEIS A.I. SECURITY SUITE Protezione dei servizi non web Kleis A.I. SecureMail, Kleis A.I. SecureEmulation, Kleis A.I. SecureXEmulation, Kleis A.I. SecureTransfer, Kleis A.I. SecureShare www.kwaf.it Protezione
VALUTAZIONE DEL LIVELLO DI SICUREZZA
La Sicurezza Informatica e delle Telecomunicazioni (ICT Security) VALUTAZIONE DEL LIVELLO DI SICUREZZA Auto Valutazione Allegato 1 gennaio 2002 Allegato 1 Valutazione del livello di Sicurezza - Auto Valutazione
COMPETENZE IN ESITO (5 ANNO) ABILITA' CONOSCENZE
MAPPA DELLE COMPETENZE a.s. 2014-2015 CODICE ASSE: tecnico-professionale QUINTO ANNO PT1 scegliere dispositivi e strumenti in base alle loro caratteristiche funzionali; Progettare e realizzare applicazioni
Biotrends - Istruzioni per il Setup
Biotrends - Istruzioni per il Setup Procedura Operativa Standard Autore Data Firma Francesco Izzo 22.08.2009 Approvato da Data Firma Mauro Pedrazzoli Storia delle edizioni Ed Descrizione Autore Dipartimento/Servizio
Il modello di ottimizzazione SAM
Il modello di ottimizzazione control, optimize, grow Il modello di ottimizzazione Il modello di ottimizzazione è allineato con il modello di ottimizzazione dell infrastruttura e fornisce un framework per
Base di dati e sistemi informativi
Base di dati e sistemi informativi Una base di dati è un insieme organizzato di dati opportunamente strutturato per lo svolgimento di determinate attività La base di dati è un elemento fondamentale per