Presentazione introduttiva circa i rischi della cybersecurity e dell'IoT

1. Paolo Prinetto
President of CINI
Paolo.Prinetto@polito.it
Mob. +39 335 227529
www.consorzio-cini.it
Giuseppe
AIRÒ FARULLA
Università «Ca’Foscari»
Lab. Naz. Cybersecurity
giuseppe.airofarulla@unive.it
Mob. +39 388 257 4991
Cybersecurity
1
Cybersecurity
National Lab

2. © CINI - 2018
License & Disclaimer
This presentation is licensed under the
Creative Commons BY-NC License
To view a copy of the license, visit:
http://creativecommons.org/licenses/by-
nc/3.0/legalcode
Ø We disclaim any warranties or representations
as to the accuracy or completeness of this
material.
Ø Materials are provided “as is” without
warranty of any kind, either express or
implied, including without limitation,
warranties of merchantability, fitness for a
particular purpose, and non-infringement.
Ø Under no circumstances shall we be liable for
any loss, damage, liability or expense incurred
or suffered which is claimed to have resulted
from use of this material.
2
License Information Disclaimer

3. © CINI - 2018
Outline
3
Ø Introduzione
Ø Cybersecurity & Cyberspace
Ø Vulnerabilità
Ø Attacchi ed Esempi
Ø Costi
Ø La Privacy
Ø Il Quadro Nazionale di Riferimento

4. www.consorzio-cini.it
Roberto BALDONI
Rocco DE NICOLA
Paolo PRINETTO

5. © CINI - 2018
Sicurezza
Ø Protezione della
persona
Ø Protezione del
cyberspazio
5
Safety Security

6. © CINI - 2018
Sicurezza
Ø Protezione della
persona
Ø Protezione del
cyberspazio
6
Safety Security

7. © CINI - 2018
Cyberspace
7
Ø Quel complesso ecosistema risultante
dall’interazione di persone, software e servizi su
Internet per mezzo di tecnologie, dispositivi e reti a
esso connesse
[standard ISO/IEC 27000:2014 e ISO/IEC 27032:2012]

8. © CINI - 2018
Cybersecurity
8
Ø Non è un problema che mi riguarda

9. © CINI - 2018
Cybersecurity
9
Ø Non è un problema che mi riguarda
… e, in ogni caso, con la mia vita odierna e con la mia
professione di domani c’entra come i cavoli a
merenda!!

10. © CINI - 2018
Ma ne siete proprio sicuri?
10

11. © CINI - 2018
11

12. © CINI - 2018
12
Priorità:
1. Agenda
commerciale
2. Competitività
3. Clima
4. Cybersecurity
5. Immigrazione

13. © CINI - 2018
13
Priorità:
1. Agenda
commerciale
2. Competitività
3. Clima
4. Cybersecurity
5. Immigrazione

14. © CINI - 2018
Cybersecurity
14
Ø Quella pratica che consente a un’entità
(organizzazione, cittadino, nazione, …)
la protezione dei propri asset fisici e
la confidenzialità, integrità e disponibilità delle
proprie informazioni dalle minacce che arrivano dal
cyberspace
[standard ISO/IEC 27000:2014 e ISO/IEC 27032:2012]

15. © CINI - 2018
Cyberspace
15
Ø La cosa più complessa che l’uomo abbia mai costruito:
Ø unione di migliaia di reti
Ø stratificazione di programmi software e protocolli
Ø eterogeneità di apparati e terminali
Ø Internet pensata come strumento di collaborazione friendly
e con servizi best effort
Ø …

16. © CINI - 2018
Cyberspace
16
Ø La cosa più complessa che l’uomo abbia mai costruito:
Ø unione di migliaia di reB
Ø straBficazione di programmi soEware e protocolli
Ø eterogeneità di apparaB e terminali
Ø Internet pensata come strumento di collaborazione friendly
e con servizi best effort
Ø …

17. © CINI - 2018
Vulnerabilità
17
Ø La complessità genera vulnerabilità
Ø bachi nei programmi
Ø errori di progettazione dell’hardware
Ø errate configurazioni
Ø debolezze nei protocolli
Ø …

18. © CINI - 2018
Vulnerabilità
18
Ø Debolezza presente in un elemento software o
hardware di un sistema che può essere sfruttato da
un attaccante per condurre un attacco contro il
sistema stesso

19. © CINI - 2018
A,acchi
19
Ø Le vulnerabilità e il fa,ore umano sono sfru,a@ dai
cyber-criminali per sferrare a,acchi
Ø esfiltrare da@
Ø rubare soldi
Ø arrecare danni
Ø controllare in modo surreEzio stru,ure, servizi e intere
nazioni
Ø …

20. © CINI - 2018
Attacchi
20
Ø Le vulnerabilità e il fattore umano sono sfruttati dai
cyber-criminali per sferrare attacchi mirati a
Ø esfiltrare dati
Ø rubare soldi
Ø arrecare danni
Ø controllare in modo surrettizio strutture, servizi e intere
nazioni
Ø …

21. © CINI - 2018

22. © CINI - 2018
22

23. © CINI - 2018
23

24. © CINI - 2018
Attacchi
24
Ø Le vulnerabilità e il fattore umano sono sfruttati dai
cyber-criminali per sferrare attacchi mirati a
Ø esfiltrare dati
Ø rubare soldi
Ø arrecare danni
Ø controllare in modo surrettizio strutture, servizi e intere
nazioni
Ø …

25. © CINI - 2018

26. © CINI - 2018
26

27. 27

28. © CINI - 2018
Attacchi
28
Ø Le vulnerabilità e il fattore umano sono sfruttati dai
cyber-criminali per sferrare attacchi mirati a
Ø esfiltrare dati
Ø rubare soldi
Ø arrecare danni
Ø controllare in modo surrettizio strutture, servizi e intere
nazioni
Ø …

29. © CINI - 2018

30. Comando Interforze Operazioni Cibernetiche
30 di 22
ANALISI DELLA MINACCIA

31. © CINI - 2018
Attacchi
31
Ø Le vulnerabilità e il fattore umano sono sfruttati dai
cyber-criminali per sferrare attacchi mirati a
Ø esfiltrare dati
Ø rubare soldi
Ø arrecare danni
Ø controllare strutture, servizi e intere nazioni

32. Comando Interforze Operazioni Ciberne2che
32 di 22
ANALISI DELLA MINACCIA
Stuxnet

33. © CINI - 2018
Stuxnet
33
Ø In un articolo del The New York Times
del primo giugno 2012, l’esperto di
politica della Casa Bianca David E.
Sanger scrive un articolo in cui
anticipa la notizia che il presidente
Obama abbia ordinato un cyber-attacco contro l’Iran
Ø Secondo la ricostruzione di Sanger anche alcuni stati europei e alcuni ufficiali
Israeliani erano coinvolti nell’operazione, l’arma utilizzata è il worm Stuxnet
RdN - 12/06/18

34. © CINI - 2018
From cyber to physical
34
l Il worm è riuscito a cambiare la velocità dei rotori in una centrifuga della
centrale iraniana utilizzata per arricchire l’uranio
l La compromissione è stato possibile grazie ad attività di ingegneria sociale
e ad altre tecniche per non farsi scoprire (quando il rotore si era riscaldato
il “virus” continuava a mandare alla centrale operativa messaggi che
confermavano che era tutto ok)

35. © CINI - 2018
Malware
35
Ø Qualsiasi programma usato per disturbare le
operazioni svolte da un computer, rubare
informazioni sensibili, accedere a sistemi informaDci
privaD, o mostrare pubblicità indesiderata
Ø Il principale modo di propagazione del malware è
quello di generare frammenD di soHware parassiD
che si inseriscono all’interno di un codice eseguibile
già esistente

36. © CINI - 2018
Ransomware
36
Ø Malware che introduce limitazioni nell’uso di un
disposiAvo, ad esempio criptando i daA o impedendo
l’accesso al disposiAvo stesso

37. © CINI - 2018

38. © CINI - 2018
Ø Il kit per l’attacco è
disponibile su
Internet a 15
dollari

39. 39

40. © CINI - 2018
40

41. © CINI - 2018
Caveat
41
Qualsiasi “cosa”
connessa a Internet
può essere
attaccata…

42. © CINI - 2018
Tu-o è so-o a-acco
42
[E. Kaspersky, 2018]

43. © CINI - 2018
… sempre …
43
http://map.norsecorp.com/#/

44. Comando Interforze Operazioni Ciberne2che
44 di 22
ANALISI DELLA MINACCIA
Tipi di minaccia
In base ad attori e finalità la minaccia si
distingue in:
• Cybercrime (es: truffa, furto identità ecc);
• Cyber-espionage (acquisizione indebita
dati);
• Cyber-terrorism (con connotazione
ideologica);
• Cyber-warfare (pianificazione e
conduzione operazioni).

45. Comando Interforze Operazioni Cibernetiche
45 di 22
ANALISI DELLA MINACCIA
Tipi di minaccia
In base ad attori e finalità la minaccia si
distingue in:
• Cybercrime (es: truffa, furto identità ecc);
• Cyber-espionage (acquisizione indebita
dati);
• Cyber-terrorism (con connotazione
ideologica);
• Cyber-warfare (pianificazione e
conduzione operazioni).

46. Comando Interforze Operazioni Ciberne2che
46 di 22
ANALISI DELLA MINACCIA
Tipi di minaccia
In base ad attori e finalità la minaccia si
distingue in:
• Cybercrime (es: truffa, furto identità ecc);
• Cyber-espionage (acquisizione indebita
dati);
• Cyber-terrorism (con connotazione
ideologica);
• Cyber-warfare (pianificazione e
conduzione operazioni).

47. Comando Interforze Operazioni Cibernetiche
47 di 22
ANALISI DELLA MINACCIA

48. Comando Interforze Operazioni Ciberne2che
Liaoning CV 16 USS TRUMAN
ANALISI DELLA MINACCIA

49. Comando Interforze Operazioni Ciberne2che
49 di 22
ANALISI DELLA MINACCIA
Tipi di minaccia
In base ad attori e finalità la minaccia si
distingue in:
• Cybercrime (es: truffa, furto identità ecc);
• Cyber-espionage (acquisizione indebita
dati);
• Cyber-terrorism (con connotazione
ideologica);
• Cyber-warfare (pianificazione e
conduzione operazioni).

50. Comando Interforze Operazioni Cibernetiche
50 di 22
CYBER COME FORMA DI GUERRA “IBRIDA“
Guerra Ibrida: nuova tipologia di guerra
complessa che impiega un uso
centralizzato, controllato e combinato di
tattiche nascoste e non (tra cui cyber attack)
Cyber attack:
ü favorevole rapporto costo/ efficacia;
ü “sotto la soglia“ della reazione militare;
ü assenza di confini geografici e difficoltà attribuzione.

51. © CINI - 2018
Alcuni problemi
Ø Incremento della superficie di attacco

52. © CINI - 2018
Caveat
52
Qualsiasi “cosa”
connessa a Internet
può essere
attaccata…

53. © CINI - 2018
Surface of attack
53

54. © CINI - 2018
Surface of attack
Ø Cyber Physical Systems
Ø SCADA
Ø Cars
Ø …
54
Safety Critical Systems

55. © CINI - 2018
Alcuni problemi
Ø Incremento della superficie di attacco
Ø Attribuzione

56. © CINI - 2018
Alcuni problemi
Ø Incremento della superficie di attacco
Ø Attribuzione
Ø Deterrenza

57. © CINI - 2018
Deterrenza
57
Ø Prevenzione di una azione attraverso una minaccia
credibile di rappresaglia con conseguenze di
dimensioni non accettabili per l’attaccante e/o at-
traverso operazioni che portino alla convinzione che
il costo dell’azione supera i benefici percepiti.

58. © CINI - 2018
Alcuni problemi
Ø Incremento della superficie di attacco
Ø Attribuzione
Ø Deterrenza
Ø Social engineering
58

59. © CINI - 2018
Social engineering
59
Ø Tenta9vo di influenzare una persona con l’obieCvo finale
di farle rivelare informazioni confidenziali oppure farla
agire in maniera tale da consen9re accesso o uso non
autorizzato di sistemi, re9 o informazioni (dall’aCvità
criminale classica eredita il conceJo di inganno)
Ø Perché spendere tempo nel ricercare le vulnerabilità di
un sistema, quando con l’inganno si può oJenere la
password?

60. © CINI - 2018
Phishing
60
Ø Truffa via Internet in cui l’aggressore cerca di ingannare
la vi?ma inducendola a fornire informazioni personali,
come ad esempio credenziali d’accesso, deEagli sul
conto corrente bancario e sulle carte di credito
Ø Si realizza Hpicamente tramite l’invio, più o meno mirato,
di e-mail che imitano nella grafica e nelle impostazioni
siH bancari o postali con le quali si richiede di inviare daH
personali

61. © CINI - 2018
61

62. © CINI - 2018
62

63. © CINI - 2018
63

64. 64

65. © CINI - 2018
Contromisure
65
Ø La migliore contromisura è l’educazione e
l’allenamento del personale a individuare e impedire
i tentaAvi di social engineering

66. © CINI - 2018
Costi
66

67. © CINI - 2018
Costi
67

68. © CINI - 2018
Costi
68
PIL dell’Austria nel 2017
434 miliardi di $

69. 69

70. 70

71. © CINI - 2018
… e la privacy ?
Ø General
Data
Protec<on Regula<on
Ø [Regolamento UE 2016/679]
Ø Entra in vigore il
25 maggio 2018
Ø Riguarda TUTTI !!!!!
71
GDPR

72. © CINI - 2018
Pizzeria Google
72

73. © CINI - 2018
Che fare?
Ø Sviluppare una buona
difesa
Ø A livello:
Ø personale
Ø nazionale
Ø transnazionale
73

74. © CINI - 2018
Che fare?
Ø Sviluppare una buona
difesa
Ø A livello:
Ø personale
Ø nazionale
Ø transnazionale
74

75. © CINI - 2018
Che fare?
Ø Sviluppare una buona
difesa
Ø A livello:
Ø personale
Ø nazionale
Ø transnazionale
75

76. © CINI - 2018
Livello nazionale
DPCM Gentiloni:
Ø Riferimento strategico e
operativo entro cui
operare in modo
coordinato tra pubblico e
privato, militare e civile,
dalle grandi organizzazioni
ai cittadini
76

77. © CINI - 2018
Il quadro nazionale di riferimento
Ø Organizzare la difesa
tramite:
Ø Condivisione delle
informazioni
Ø Riduzione dei tempi di
transito
Ø Velocità di risposta
Ø Gestione della risposta ai
livelli appropriati
77

78. © CINI - 2018
Il quadro nazionale di riferimento
Ø Organizzare la difesa
tramite:
Ø Condivisione delle
informazioni
Ø Riduzione dei tempi di
transito
Ø Velocità di risposta
Ø GesDone della risposta ai
livelli appropriaD
78

79. © CINI - 2018
Una Lezione dalla Storia
Costruito senza pensare
alla sicurezza
79
Internet

80. © CINI - 2018
History Lessons
Costruito senza pensare
alla sicurezza
Possiamo permetterci lo
stesso con le reti IoT?
80
Internet IoT

81. © CINI - 2018
History Lessons
Costruito senza pensare
alla sicurezza
Possiamo perme=erci lo
stesso con le re> IoT?
81
Internet IoT