Davide Del Vecchio, profile picture
Uploaded byDavide Del Vecchio
PDF, PPTX7,366 views

Come realizzare e gestire un Security Operations Center.

Il documento fornisce una panoramica su come creare e gestire un Security Operations Center (SOC), evidenziando le sue funzioni, servizi, e l'importanza delle certificazioni e del design adeguato. Un SOC può fornire servizi di incident response e supporto alla sicurezza informatica, con un focus su attività di monitoraggio e gestione proattiva dei rischi. Vengono anche suggerite best practices per il team di design, implementazione, e miglioramento continuo delle tecnologie e dei servizi offerti.

Technology◦
Related topics:
Security Operations•

Embed presentation

Download as PDF, PPTX
Come realizzare e gestire un Security Operations Center Cos’è, come si realizza e tante altre cose che ho imparato negli ultimi anni... Davide Del Vecchio Responsabile SOC Enterprise di FASTWEB SpA
Agenda  Chi sono  Cos’è un SOC  La realizzazione  Gli spazi  Servizi erogati  Conoscenze / Certificazioni / Skill Come realizzare e gestire un SOC – Davide Del Vecchio
Chi sono Oggi: • Responsabile del SOC Enterprise (MSS) di FASTWEB SpA. • Autore freelance per WIRED Italia • Socio fondatore del Centro Studi Hermes (http://logioshermes.org) • Autore del blog http://socstartup.blogspot.com • Socio CLUSIT • Socio ISACA • Certificato: CISM, ITILv3 In passato: • Consulente in ambito IT Security per 10 anni • Ho partecipato allo startup di 2 SOC • Responsabile per 2 anni della rubrica «vulnerabilità» di ICT Security Magazine • Ricercatore indipendente nell’ambito della sicurezza informatica conosciuto con il nickname «Dante» (pubblicazione di numerosi advisory, ricerche, tool) • Relatore presso numerosi congressi nazionali ed internazionali
Cos’è un SOC Un Security Operations Center (SOC) è Un SOC può anche fornire servizi di Incident Response, in questo un centro operativo da cui vengono erogati caso svolge la funzione di C-SIRT servizi finalizzati alla Sicurezza dei Sistemi (Computer Security Incident Response Team) informativi: Anche se le due funzioni sono logicamente e funzionalmente  Dedicato alla sicurezza interna assimilabili, alcune grandi aziende dispongono di strutture SOC e dell’azienda stessa (SOC Corporate / C-SIRT separate. Interno);  Dedicato all’erogazione dei servizi ai Clienti (Managed Security Services - MSS); • Quando un SOC è dedicato alla sicurezza interna dell’azienda stessa il suo principale compito è di fornire la capacità di analizzare le informazioni e rilevare potenziali rischi e/o tentativi di intrusione, nonché rispondere in modo tempestivo ad eventuali incidenti di sicurezza. Un SOC fornisce inoltre tutti quegli strumenti necessari a misurare le performance dei sistemi dedicati alla sicurezza e quindi a valutare correttamente il livello di rischio/esposizione aziendale. • Un SOC dedicato all’erogazione di servizi di sicurezza verso terzi viene solitamente denominato MSSP (Managed Security Service Provider). Un MSSP eroga servizi che sollevano le aziende dalle gestione operativa della sicurezza aziendale. Questi servizi sono solitamente gestiti tramite un centro di eccellenza in cui convergono competenze e tecnologie messe al servizio dei Clienti.
Classificazione dei servizi SOC / MSS  Gestione: tutte le attività di gestione delle funzionalità di sicurezza legate all'infrastruttura IT (rete, sistemi ed applicazioni) sono centralizzate nel SOC, la funzionalità dei sistemi è in questo modo demandata a specialisti di sicurezza e non ad un generico reparto IT  Monitoring: l'infrastruttura IT e di Sicurezza vengono monitorate in tempo reale al fine di individuare tempestivamente tentativi di intrusione, di attacco o di misuse (utilizzo non corretto) dei sistemi  Incident Response: un team di specialisti in collaborazione con il Cliente individua il miglior approccio possibile per mitigare un attacco in corso (incident handling, DDoS mitigation, crisis team)  Servizi Proattivi: sono servizi finalizzati a migliorare il livello di protezione dell'organizzazione (risk evaluation, security assessment, early warning, security awareness, event correlation)
Il progetto di realizzazione Pre-design Security Improvement Operations Design Center Implementation
Pre-design Certificazioni utili al design Analisi del mercato dei servizi di sicurezza Parla con altre persone già coinvolte nel mercato Costruisci il team di design Visita altri Security Operations Center Studia i competitor Budget Timing
Pre-design Certificazioni utili al design Alcune certificazioni possono risultare molto utili durante la fase di design. Ti metteranno in grado di risparmiare tempo e denaro evitando di farti commettere gli errori più comuni. Alcuni esempi di certificazioni utili al design sono: ITIL, ISO27001LA, PMP, etc L’approccio più razionale. In generale, è utile ricordare che “ho seguito le best practice” è la migliore risposta alla domanda (che sicuramente vi sentirete fare prima o poi) “perché stai facendo/hai fatto le cose in questa maniera?”
Pre-design Analisi del mercato dei servizi di sicurezza Mai dimenticare che si è guidati dal mercato. Bisogna implementare i servizi che sono richiesti dal mercato. Bisogna evitare di trasformare il SOC in un centro di ricerca. Un buon esempio di un’analisi di mercato (facile da trovare sul web) sono i magic quadrant di GARTNER. Esiste anche un’analisi di mercato di GARTNER ad hoc sui servizi di sicurezza gestita del mercato europeo.
Pre-design Parlare con persone già coinvolte nel mercato Per capire meglio la situazione dei servizi di sicurezza gestita nel tuo paese, dovresti provare a parlare con il maggior numero di persone possibili già coinvolte in questo mercato. Prova ad iscriverti a gruppi specifici su LinkedIN, chiama gli amici e parla con i protagonisti più conosciuti del mercato.
Pre-design Costruire il team di design I componenti del team di design dovrebbero essere sia interni che esterni (consulenti) all’azienda. Se hai l’opportunità, coinvolgi le persone del marketing, i pre-sale e il NOC. Le persone del marketing ed i pre-sale ti aiuteranno a spingere sui venditori mentre le persone del NOC ti potranno aiutare a risolvere i classici problemi ben noti di burocrazia interni alla compagnia. Più persone riuscirai a coinvolgere (ma non troppe) e più queste spingeranno il progetto sia internamente che sul mercato.
Pre-design Visitare altri Security Operations Center Se possibile, visita altri SOC e prova a capire come funzionano (o come dovrebbero funzionare!).
Pre-design Studiare i competitor Prova a capire: • Quali servizi erogano • Quali non erogano e perché • Le mancanze, i difetti ed i possibili miglioramenti • I prezzi ed il modello d’offerta.
Pre-design Budget Valuta quali sono le risorse economiche a cui puoi attingere, quali tipi di tecnologie potrai implementare (un SIEM per esempio è molto costoso) e se sarai in grado di acquisire il know-how (certificazioni e corsi).
Pre-design Timing L’azienda ti darà un obiettivo temporale. Nel migliore dei casi riuscirai a negoziarlo, nel peggiore sarà mandatorio. Sarai in grado di effettuare lo startup del SOC ed implementare tutti i servizi che hai in mente? Quali sarai in grado di offrire nei tempi previsti?
Design Decidere i servizi da erogare Effettuare il design dei servizi Effettuare le scelte tecnologiche Definire i KPI/KPO Le facility Condividere le figure professionali tra i servizi Pianificare una strategia di mercato
Design Decidere i servizi da erogare Decidi i servizi da erogare basando la tua scelta sui fattori presi in considerazione nella fase di pre-design: analisi del mercato, budget a disposizione, tempi, etc.
Design Effettuare il design dei servizi Studia come i servizi devono essere erogati.
Design Scegliere le tecnologie Dovrai scegliere quali tecnologie gestire e vendere. Una buona metodologia per la scelta può essere: 1. Analisi di mercato 2. Creazione di una short list 3. PoC (Proof of Concept) 4. Valutazione 5. Scelta
Design Definire i KPI/KPO Per il governo del SOC è molto importante definire i Key Performance Indicators e i Key Performance Objectives. Utile coinvolgere nelle decisioni anche i tecnici. Esempi? Ticket gestiti, apparati gestiti, numero cessazioni, numero escalation…
Design Le Facility Dal punto di vista delle facility, avrai bisogno di una stanza (open space) con accesso ristretto, computer e telefoni (con cuffia), il videowall (in realtà quasi inutile ma è ciò che i clienti si aspettano di vedere). Da non dimenticare che la rete del SOC dovrà essere divisa mediante un firewall (e un IPS) dal resto della rete (slide 41 per dettagli).
Design Condividere le figure professionali tra i servizi Prova a pensare a quale tipo di risparmio puoi ottenere facendo gestire dallo stesso gruppo di analisti più servizi o ancora (più complicato) far gestire gli stessi servizi da due strutture (ad esempio l’allarmistica di notte potrebbe essere seguita da un NOC).
Design Pianificare una strategia di marketing Contatta il marketing (sarebbe meglio che una persona del team di design venisse dal marketing) e pianifica una strategia.
Implementation Scrivere processi e procedure Acquisire il know-how Implementare le tecnologie Creare una cultura della sicurezza nei venditori Creare un ambiente di test Far partire la strategia di marketing Applicare KPI/KPO
Implementation Scrivere processi e procedure Coinvolgi il personale tecnico (se possibile, delega) nella scrittura delle procedure tecniche (dovrai comunque leggerle ed approvarle). Cerca di far scrivere i processi a persone che sono già da molto tempo in azienda in maniera tale che siano consapevoli del funzionamento dei processi interni, dei problemi di burocrazia e di quelli “politici”.
Implementation Acquisire il know-how Per acquisire il know-how si può: • Assumere personale (consulenti o dipendenti, con relativi pro e contro) • Iscriversi a corsi ed ottenere certificazioni
Implementation Implementare le tecnologie Implementa le tecnologie che hai selezionato durante la fase di design.
Implementation Creare una cultura della sicurezza nelle vendite Fai sapere alle vendite che esistono dei nuovi servizi da vendere. Organizza incontri, prepara loro dei powerpoint (di semplice comprensione) sia per spiegar loro i servizi e sia per venderli.
Implementation Creare un ambiente di test Avrai bisogno di un ambiente di laboratorio dove testare le nuove configurazioni, le nuove tecnologie, i PoC, etc.
Implementation Far partire la strategia di marketing Dai il via alla strategia di marketing.
Implementation Applicare KPI/KPO I KPI e KPO dovranno essere applicati al lavoro di ogni giorno. «Non si può gestire ciò che non si può misurare»
Improvement Valutare le certificazioni utili al SOC Valutare le certificazioni utili al team del SOC Mantienere tu ed il tuo team aggiornato Fare in modo che il mercato ti conosca Fare in modo che il management ti conosca Effettuare uno scouting dei nuovi servizi erogabili Effettuare un periodico aggiornamento delle tecnologie Tenere sotto controllo KPI/KPO
Improvement Valutare le certificazioni utili al SOC (visto come struttura) Alcune certificazioni sono richieste dai bandi di gara, per esempio la ISO27001 è quasi sempre presente.
Improvement Valutare le certificazioni utili al team del SOC Alcune saranno richieste dai bandi di gara, altre ti saranno utili nelle fasi di troubleshooting. Una short list di certificazioni utili come esempio: GIAC, CISM, Security+, vendor specific, CCNA, CISSP, ITIL, etc. (vedi dettagli nella slide 56)
Improvement Mantenere tu ed il tuo team aggiornati riguardo le news di sicurezza Leggi ogni giorno le sorgenti più importanti di notizie legate all’IT Security / hacking. Ad esempio: dark reading, twitter, the hacker news, gruppi linkedin, twitter, update di status di persone conosciute, etc.
Improvement Fare in modo che il mercato ti conosca Organizza incontri, prendi parte a conferenze, usa LinkedIN, twitter, apri un blog e più in generale fai in modo che le altre persone capiscano che sei un attore importante del mercato.
Improvement Fare in modo che il management ti conosca Non dimenticare mai che sei parte di un’organizzazione più grande. Il tuo management deve sempre sapere cosa stai facendo e quali sono i tuoi risultati. Organizza presentazioni periodiche, diffondi le informazioni e nel caso in cui arrivi un nuovo ed importante cliente, fallo sapere a più gente possibile.
Improvement Effettuare uno scouting dei nuovi servizi erogabili È molto importante non smettere mai di parlare con i clienti, leggere le analisi di mercato, etc per capire dove sta andando il mercato per riuscire ad intercettare in tempo i bisogni dei clienti.
Improvement Effettuare un periodico rinnovo delle tecnologie Almeno una volta l’anno dovresti controllare che le tecnologie che stai vendendo/gestendo (UTM, proxy, IPS, etc) o che stai usando (SIEM, ticketing, etc) sono ancora lo stato dell’arte per le tue necessità. Se così non fosse, dovresti valutare un rinnovo delle stesse.
Improvement Monitorare KPI/KPO I Key Performance Indicator e i Key Performance Objectives sono il termometro del tuo lavoro. Se riuscirai a scegliere i giusti KPI/KPO, questi ti aiuteranno a capire se stai lavorando bene o meno, se puoi fare meglio o no, se stai lavorando troppo o troppo poco ed a prendere delle decisioni in maniera razionale.
Caratteristiche degli spazi Open Space Il posto di lavoro ideale per un SOC è l’openspace. Non ci devono essere muri tra gli analisti. Hanno bisogno di analizzare insieme eventi, configurazioni, problemi etc e discutere senza barriere. Anche se alcuni si lamentano… Accesso ristretto L’accesso all’openspace deve essere ristretto e solo il personale autorizzato deve poter entrare nella stanza. Fai attenzione al pavimento ed al soffitto flottante: non ci deve essere la possibilità semplice di sfruttarli per saltare l’autenticazione. La scrivania Un telefono (con cuffie) e 2 computer: uno connesso ad internet e l’altro connesso alla rete di management del SOC. La scrivania dovrebbe essere posizionata a mezza luna in maniera tale che ogni analista sia in grado di vedere chiaramente il videowall. Tra le scrivanie ci dovrebbero essere dei separatori per fare in modo che un Cliente al telefono non possa accidentalmente ascoltare la comunicazione di un altro Cliente. Può essere presa in analisi l’ipotesi di utilizzare un thin client. Il videowall Ogni SOC ha un videowall. Il mio suggerimento è di costruirlo con degli LCD e non con degli schermi retroproiettati. Gli schermi retroproiettati (sono dei videoproiettori) sono più economici all’inizio ma hanno dei costi di manutenzione molto alti dovuti al fatto che le lampade si fulminano spesso. La rete La rete di management del SOC deve essere divisa dal resto della rete dell’azienda per mezzo di un firewall (e un IPS).
SOC di Swisscom
I servizi erogati ed il modello logico Governance SOC MSSP - Managed Security Services Security Solution Management Vulnerability Management Channels Change Incident Threat Security Monitoring Proactive Security Management Management Management Security Services Security Mobile Event & Log DDoS Log Early Professional Device Security Correlation Protection Management Warning Services Management (Q4 2012) (Q4 2012)
Servizi di Sicurezza Argomenti
Security Device Management Obiettivo Delegare la gestione degli apparati di sicurezza (FIREWALL , IDS/IPS, ANTIVIRUS, HONEYPOT, etc.): • Gestisce gli apparati chi conosce approfonditamente la tecnologia e ha già affrontato i problemi più comuni in centinaia di installazioni; • In caso di attacco il team del SOC conosce dove/come agire per riportare la situazione in sicurezza minimizzando i disservizi; • Le modifiche vengono gestite entro tempi stabiliti (SLA) e le configurazioni sono validate da personale specializzato: no configurazioni improvvisate!! (e.g. un IDS implementato in modo maldestro può bloccare traffico lecito e creare disservizi, un firewall non correttamente configurato, dando un falso senso di sicurezza, apre la strada verso i sistemi interni!) Azienda Security Operation Center Secure Connection Service Manager Security Firewall / IDS / etc. Analyst Product Specialist
Early Warning Obiettivo Prevenire, contenere o contrastare possibili incidenti di natura informatica aggregando ed analizzando le tematiche di sicurezza che coinvolgono i Clienti. In generale, fornire all’azienda gli strumenti per decidere in modo consapevole sulle azioni da intraprendere per garantire la sicurezza dei propri sistemi IT • Individuare le minacce che possono avere un impatto reale sulla sicurezza filtrando i casi non significativi e non afferenti alla realtà del Cliente; • Informazioni affidabili e verificate da uno staff di esperti al fine di suggerire le corrette contromisure in base al reale pericolo che una minaccia rappresenta; • Analizzare le problematiche rispetto a molteplici punti di vista, sia tecnologici che di impatto sul business; • Avere strumento comprensibile contenente informazioni «pre-digerite» permette al reparto IT aziendale di risparmiare tempo (e costi) durante le fasi implementative Security Operation Azienda A Center C. Presentazione (report, web-portal, etc.) Azienda B Security Analyst Azienda C A. Raccolta informazioni B. Elaborazione dati (analisi di molteplici (analisi e contestualizzazione) fonti)
Log Management & Collection Il Provvedimento Obiettivo Il Provvedimento del Garante della privacy Raccogliere e conservare tutti i log del cliente, in pubblicato nella GU il 24 dic. 08 obbliga particolare quelli di “accesso” in conformità alla tutte le aziende e la pubblica normativa italiana. amministrazione a conservare i “log” di tutti Analizzare e correlare gli eventi per individuare gli accessi amministrativi” a dispositivi e comportamenti anomali ed eventuali tentativi di applicazioni che contengono “dati intrusione personali”. Plus della gestione attraverso il SOC: • Supporto e consulenza nell’identificazione delle sorgenti di log • Garanzia di immutabilità e integrità dei dati raccolti • Utilizzo di piattaforma tecnologiche leader di mercato • Soluzioni Scalabili e Modulari che consentono di crescere facilmente seguendo le necessità del cliente
Professional Services Obiettivo Offrire ai Clienti consulenza professionale specializzata attraverso attività che consentano di ottenere una fotografia del livello di sicurezza di un’area della propria infrastruttura IT. Penetration Test PCI-DSS ASV Vulnerability scan Assessment Tipologia di servizi offerti Web Mobile Application Assessment Assessment Wi-Fi Assessment
Professional Services Penetration test e Vulnerability Assessment Obiettivo Individuare problematiche di sicurezza proponendo dei sistemi informatici specificati, simulando le metodologie di attacco utilizzate da persone fisiche o malware ai fini di compromettere la riservatezza, disponibilità e integrità dei dati aziendali e valutarne al meglio i possibili impatti sul business Potenziali impatti e minacce I sistemi aziendali, se non adeguatamente protetti e regolarmente aggiornati, possono essere oggetto di attacchi mirati (es. spionaggio industriale) o attacchi distribuiti (es. propagazione di malware)
Professional Services Web Application Assessment Obiettivo Individuare problematiche di sicurezza delle applicazioni web, simulando le metodologie di attacco utilizzate da persone fisiche o malware ai fini di compromettere la riservatezza, disponibilità e integrità dei dati aziendali o la sicurezza della navigazione dei visitatori Potenziali impatti e minacce I siti web sono obiettivi privilegiati poichè più esposti ed utilizzati da un grande numero di utenti (es. clienti, fornitori, dipendenti). Sono soggetti a disservizi, danno di immagine, furto credenziali utente, frodi
Professional Services Wireless Assessment Obiettivo Identificare reti Wireless all’interno degli edifici aziendali, capire se un utente non autorizzato possa accedervi e quindi esporre il Cliente a rischi per la confidenzialità, integrità e disponibilità dei dati contenuti nei sistemi aziendali raggiungibili da tali reti. Potenziali impatti e minacce Le reti wireless non sicure possono rappresentare la testa di ponte verso i sistemi interni e causare accessi non autorizzati a risorse aziendali e furti di informazioni riservate
Professional Services Mobile Assessment Obiettivo Identificare problematiche di sicurezza delle piattaforme di Mobile Device Management (MDM) aziendali e verificare che applicazioni mobile custom non introducano problematiche di sicurezza che possano consentire il furto di informazioni aziendali o l’accesso non autorizzato a sistemi remoti che trasferiscono dati con tali applicazioni Potenziali impatti e minacce Un eventuale smarrimento o furto di un dispositivo, o l’infezione da parte di malware, può portare all’esposizione di informazioni aziendali verso terzi
Professional Services PCI-DSS ASV scan Obiettivo Effettuare Vulnerability Assessment trimestrali verso i sistemi esterni dei Clienti al fine di soddisfare la conformità al requisito 11.2.2 dello standard PCI-DSS ed emettere la documentazione richiesta PCI: è una società a responsabilità limitata con sede in USA, fondata da American Express, Discover Financial Services, Potenziali impatti e minacce JCB International, MasterCard Worldwide e Visa Inc. La mancata conformità a questo standard può essere sanzionata con PCI-DSS: standard che definisce le misure di protezione dei multe da parte delle aziende emittenti processi di gestione dei pagamenti effettuati attraverso delle carte di credito e con carta di credito: l’estromissione dal circuito dei pagamenti, oltre a creare potenziali http://it.pcisecuritystandards.org/minisite/en/pci-dss-v2- problemi con clausole assicurative, 0.php rivalse legali, ecc. ASV (Approved Scanning Vendor): aziende autorizzate che validano l’aderenza a certi requisiti DSS attraverso l’esecuzione di Vulnerbility Assessment
Distribuited Denial of Service Mitigation Obiettivo Un attacco «Distribuited Denial of Service» (DDoS) si verifica quando più sistemi in maniera coordinata inondano, la larghezza di banda o le risorse di un sistema, al fine di ostacolare e bloccare le attività arrecando gravi perdite economiche e d’immagine. Scopo del servizio è rilevare l’attacco ed attuare tutte le contromisure necessarie a limitarne l’impatto. Azienda Traffico lecito Traffico illecito Security Operation Center Anti-DDoS Technology Corporate Firewall
Mobile Security Rischi per la riservatezza Nel corso degli ultimi anni si è enormemente diffuso l’utilizzo di dispositivi mobili (es., smartphone e tablet) non solo per scopi personali ma anche per finalità lavorative. Questa situazione pone un importante rischio per la sicurezza perché tali dispositivi, se non adeguatamente protetti e gestiti, possono portare all’esposizione di informazioni aziendali verso terzi. Obiettivo L’obiettivo del servizio è quello di rendere disponibile una piattaforma di Mobile Device Management (MDM) in modalità SaaS con le seguenti caratteristiche: • Console di amministrazione centralizzata per la gestione dei dispositivi mobili aziendali assegnati ai dipendenti. • Console di amministrazione centralizzata per la gestione dei dispositivi personali di chi intende usufruire di dati e servizi aziendali (es. posta elettronica) con il proprio dispositivo personale (BYOD). • Possibilità di impostare e gestire policy di sicurezza su tutti i dispositivi mobili connessi alla piattaforma.
Certificazioni e skill Certificazioni tecniche Utili ad analisti e personale tecnico. CEH (Certified Ethical Hacker). Corso + esame: 2895$. CGIH (Certified GIAC Incident Handler). Corso + Esame 3500$ OSCP (Offensive Security Certified Professional). Corso + Esame 4000$ ISECOM OPST (Open Source Security tester). Costo non disponibile. ISECOM OPSA (Open Source Security Analyst). Costo non disponibile. Certificazioni vendor specific. Certificazioni più ad alto livello Utili ai coordinatori degli analisti ed al responsabile del SOC. CISM (Certified Information Security Manager) - Esame 500€. Corso ~800€. CISSP (Certified Information Systems Security Professional) – Costo esame: ~500€. ISO27001 Lead Auditor. Esame + corso ~1800€. PMP (Project Manager Professional) Esame 340€ per i membri PMI (129$ costo per essere associato alla PMI) oppure 465€ per i non associati PMI. Costo del corso 3K€. ITIL v3 foundations. Costo esame: ~150€ CISA (Certified Information System Auditor) Costo esame 500€. Costo corso ~800€.
Thank you Riferimenti: davide.delvecchio@fastweb.it http://socstartup.blogspot.com https://grandiaziende.fastweb.it (sezione security)

More Related Content

PPTX
Wazuh Pre.pptx
byemnabenamor3
 
PDF
Security Process in DevSecOps
byOpsta
 
PDF
Finding Your Way in Container Security
byKsenia Peguero
 
PDF
SABSA: Key features, advantages & benefits summary
bySABSAcourses
 
PPTX
Cyber attaques APT avec le framework MITRE ATT&CK
byEyesOpen Association
 
PPTX
Security models for security architecture
byVladimir Jirasek
 
PPTX
cyberedu_module_4_cybersecurite_organisation_02_2017.pptx
byJean-Michel Razafindrabe
 
PPTX
NIST CSF Overview
byPriyanka Aash
 
Wazuh Pre.pptx
byemnabenamor3
 
Security Process in DevSecOps
byOpsta
 
Finding Your Way in Container Security
byKsenia Peguero
 
SABSA: Key features, advantages & benefits summary
bySABSAcourses
 
Cyber attaques APT avec le framework MITRE ATT&CK
byEyesOpen Association
 
Security models for security architecture
byVladimir Jirasek
 
cyberedu_module_4_cybersecurite_organisation_02_2017.pptx
byJean-Michel Razafindrabe
 
NIST CSF Overview
byPriyanka Aash
 

What's hot

PPSX
NIST presentation on RMF 2.0 / SP 800-37 rev. 2
byNetLockSmith
 
PDF
DevOps - Interview Question.pdf
byMinhTrnNht7
 
PPTX
DevOps to DevSecOps Journey..
bySiddharth Joshi
 
PPTX
IDS,SNORT ET SÉCURITÉ RESEAU
byCHAOUACHI marwen
 
PDF
Mise en place d’un OpenVPN sous PfSense
byLaouali Ibrahim bassirou Been Makao
 
PPTX
Enterprise Security Architecture Design
byPriyanka Aash
 
PDF
Understanding the NIST Risk Management Framework: 800-37 Rev. 2
byDenise Tawwab
 
PPTX
Enterprise Mobile Device Management (MDM)
bySPEC INDIA
 
PDF
DevSecOps : de la théorie à la pratique
bybertrandmeens
 
PDF
Microsoft 365 Enterprise Security with E5 Overview
byDavid J Rosenthal
 
PPT
MANAGEMENT DES SYSTMES DE MANAGEMENT: L'APPORT DE ISO 27001
bylancedafric.org
 
PDF
Dave Williams - Nagios Log Server - Practical Experience
byNagios
 
PDF
Microsoft Azure Sentinel
byBGA Cyber Security
 
PPTX
IIJ GIOアカデミー / ハイブリッドクラウド（基礎編）
byIIJ
 
PPTX
Wazuh Pre.pptx
byemnabenamor3
 
PPTX
SABSA Implementation(Part II)_ver1-0
byMaganathin Veeraragaloo
 
PDF
Introduction to Cloud Security
bySusanne Tedrick
 
PDF
ETUDE ET MISE EN PLACE D’UNE SOLUTION DE GESTION DE LA SECURITE DU RESEAU : C...
byTidiane Sylla
 
PDF
Information Security Strategic Management
byMarcelo Martins
 
PPTX
Containers and workload security an overview
byKrishna-Kumar
 
NIST presentation on RMF 2.0 / SP 800-37 rev. 2
byNetLockSmith
 
DevOps - Interview Question.pdf
byMinhTrnNht7
 
DevOps to DevSecOps Journey..
bySiddharth Joshi
 
IDS,SNORT ET SÉCURITÉ RESEAU
byCHAOUACHI marwen
 
Mise en place d’un OpenVPN sous PfSense
byLaouali Ibrahim bassirou Been Makao
 
Enterprise Security Architecture Design
byPriyanka Aash
 
Understanding the NIST Risk Management Framework: 800-37 Rev. 2
byDenise Tawwab
 
Enterprise Mobile Device Management (MDM)
bySPEC INDIA
 
DevSecOps : de la théorie à la pratique
bybertrandmeens
 
Microsoft 365 Enterprise Security with E5 Overview
byDavid J Rosenthal
 
MANAGEMENT DES SYSTMES DE MANAGEMENT: L'APPORT DE ISO 27001
bylancedafric.org
 
Dave Williams - Nagios Log Server - Practical Experience
byNagios
 
Microsoft Azure Sentinel
byBGA Cyber Security
 
IIJ GIOアカデミー / ハイブリッドクラウド（基礎編）
byIIJ
 
Wazuh Pre.pptx
byemnabenamor3
 
SABSA Implementation(Part II)_ver1-0
byMaganathin Veeraragaloo
 
Introduction to Cloud Security
bySusanne Tedrick
 
ETUDE ET MISE EN PLACE D’UNE SOLUTION DE GESTION DE LA SECURITE DU RESEAU : C...
byTidiane Sylla
 
Information Security Strategic Management
byMarcelo Martins
 
Containers and workload security an overview
byKrishna-Kumar
 

Similar to Come realizzare e gestire un Security Operations Center.

PDF
Security Operations Center
bySylvio Verrecchia - IT Security Engineer
 
PPT
Last Pw Siem 2
byPierluigi Sartori
 
PPTX
Managed Security Services vs In house management
byPierluigi Sartori
 
PDF
iDialoghi - ICT Security Consulting
byiDIALOGHI
 
PPTX
Grumelli UNI.AIAS.EPC_31gennaio2024 - Dussmann v3.pptx
byUNI - Ente Italiano di Normazione
 
PPT
Guardigli Sicurezza Nell Informatica Aziendale 3 4 Nov 2005
byMarco Guardigli
 
PPTX
"Security by design" presentata al Security Summit 2014
byPierluigi Sartori
 
PDF
Controlli Cybersecurity
byvalter venturini
 
PDF
Presentazione Gruppo Sintesi
byPaolo Pelloni
 
PDF
L'organizzazione digitale in cammino verso il futuro
byAICQ Comitato Qualità del Software e Servizi ICT
 
PPTX
Isab informatica strategie di Cyber Security
byVilma Pozzi
 
PDF
Smau Bologna | R2B Marco Bozzetti(AIPSI)
bySMAU
 
PDF
Oracle, sicurezza in sanità. TBIZ2011
byTechnologyBIZ
 
PDF
Ads Profile Bu Professional Services
byPaolo Rocca
 
PDF
Fine vita di xp e cni il punto di vista di un system integrator di cyber se...
byAngeloluca Barba
 
PDF
I casi di sicurezza nel mondo retail
byDI.TECH - Innovazione per la distribuzione
 
PPT
Sogei - Guardigli Disaster Recovery E Business Continuity Nella It Nov 2006v2
byMarco Guardigli
 
PPT
Gruppo Sintesi Servizi Uc
byPaolo Pelloni
 
PPTX
Cyber Security in Multi Cloud Architecture - Luca Di Bari - Codemotion Rome 2017
byCodemotion
 
PPTX
Cloud Computing fondamenti di sicurezza
byMario Gentili
 
Security Operations Center
bySylvio Verrecchia - IT Security Engineer
 
Last Pw Siem 2
byPierluigi Sartori
 
Managed Security Services vs In house management
byPierluigi Sartori
 
iDialoghi - ICT Security Consulting
byiDIALOGHI
 
Grumelli UNI.AIAS.EPC_31gennaio2024 - Dussmann v3.pptx
byUNI - Ente Italiano di Normazione
 
Guardigli Sicurezza Nell Informatica Aziendale 3 4 Nov 2005
byMarco Guardigli
 
"Security by design" presentata al Security Summit 2014
byPierluigi Sartori
 
Controlli Cybersecurity
byvalter venturini
 
Presentazione Gruppo Sintesi
byPaolo Pelloni
 
L'organizzazione digitale in cammino verso il futuro
byAICQ Comitato Qualità del Software e Servizi ICT
 
Isab informatica strategie di Cyber Security
byVilma Pozzi
 
Smau Bologna | R2B Marco Bozzetti(AIPSI)
bySMAU
 
Oracle, sicurezza in sanità. TBIZ2011
byTechnologyBIZ
 
Ads Profile Bu Professional Services
byPaolo Rocca
 
Fine vita di xp e cni il punto di vista di un system integrator di cyber se...
byAngeloluca Barba
 
I casi di sicurezza nel mondo retail
byDI.TECH - Innovazione per la distribuzione
 
Sogei - Guardigli Disaster Recovery E Business Continuity Nella It Nov 2006v2
byMarco Guardigli
 
Gruppo Sintesi Servizi Uc
byPaolo Pelloni
 
Cyber Security in Multi Cloud Architecture - Luca Di Bari - Codemotion Rome 2017
byCodemotion
 
Cloud Computing fondamenti di sicurezza
byMario Gentili
 

Come realizzare e gestire un Security Operations Center.

  • 1.
    Come realizzare egestire un Security Operations Center Cos’è, come si realizza e tante altre cose che ho imparato negli ultimi anni... Davide Del Vecchio Responsabile SOC Enterprise di FASTWEB SpA
  • 2.
    Agenda  Chi sono  Cos’è un SOC  La realizzazione  Gli spazi  Servizi erogati  Conoscenze / Certificazioni / Skill Come realizzare e gestire un SOC – Davide Del Vecchio
  • 3.
    Chi sono Oggi: • Responsabiledel SOC Enterprise (MSS) di FASTWEB SpA. • Autore freelance per WIRED Italia • Socio fondatore del Centro Studi Hermes (http://logioshermes.org) • Autore del blog http://socstartup.blogspot.com • Socio CLUSIT • Socio ISACA • Certificato: CISM, ITILv3 In passato: • Consulente in ambito IT Security per 10 anni • Ho partecipato allo startup di 2 SOC • Responsabile per 2 anni della rubrica «vulnerabilità» di ICT Security Magazine • Ricercatore indipendente nell’ambito della sicurezza informatica conosciuto con il nickname «Dante» (pubblicazione di numerosi advisory, ricerche, tool) • Relatore presso numerosi congressi nazionali ed internazionali
  • 4.
    Cos’è un SOC UnSecurity Operations Center (SOC) è Un SOC può anche fornire servizi di Incident Response, in questo un centro operativo da cui vengono erogati caso svolge la funzione di C-SIRT servizi finalizzati alla Sicurezza dei Sistemi (Computer Security Incident Response Team) informativi: Anche se le due funzioni sono logicamente e funzionalmente  Dedicato alla sicurezza interna assimilabili, alcune grandi aziende dispongono di strutture SOC e dell’azienda stessa (SOC Corporate / C-SIRT separate. Interno);  Dedicato all’erogazione dei servizi ai Clienti (Managed Security Services - MSS); • Quando un SOC è dedicato alla sicurezza interna dell’azienda stessa il suo principale compito è di fornire la capacità di analizzare le informazioni e rilevare potenziali rischi e/o tentativi di intrusione, nonché rispondere in modo tempestivo ad eventuali incidenti di sicurezza. Un SOC fornisce inoltre tutti quegli strumenti necessari a misurare le performance dei sistemi dedicati alla sicurezza e quindi a valutare correttamente il livello di rischio/esposizione aziendale. • Un SOC dedicato all’erogazione di servizi di sicurezza verso terzi viene solitamente denominato MSSP (Managed Security Service Provider). Un MSSP eroga servizi che sollevano le aziende dalle gestione operativa della sicurezza aziendale. Questi servizi sono solitamente gestiti tramite un centro di eccellenza in cui convergono competenze e tecnologie messe al servizio dei Clienti.
  • 5.
    Classificazione dei serviziSOC / MSS  Gestione: tutte le attività di gestione delle funzionalità di sicurezza legate all'infrastruttura IT (rete, sistemi ed applicazioni) sono centralizzate nel SOC, la funzionalità dei sistemi è in questo modo demandata a specialisti di sicurezza e non ad un generico reparto IT  Monitoring: l'infrastruttura IT e di Sicurezza vengono monitorate in tempo reale al fine di individuare tempestivamente tentativi di intrusione, di attacco o di misuse (utilizzo non corretto) dei sistemi  Incident Response: un team di specialisti in collaborazione con il Cliente individua il miglior approccio possibile per mitigare un attacco in corso (incident handling, DDoS mitigation, crisis team)  Servizi Proattivi: sono servizi finalizzati a migliorare il livello di protezione dell'organizzazione (risk evaluation, security assessment, early warning, security awareness, event correlation)
  • 6.
    Il progetto direalizzazione Pre-design Security Improvement Operations Design Center Implementation
  • 7.
    Pre-design Certificazioni utilial design Analisi del mercato dei servizi di sicurezza Parla con altre persone già coinvolte nel mercato Costruisci il team di design Visita altri Security Operations Center Studia i competitor Budget Timing
  • 8.
    Pre-design Certificazioni utilial design Alcune certificazioni possono risultare molto utili durante la fase di design. Ti metteranno in grado di risparmiare tempo e denaro evitando di farti commettere gli errori più comuni. Alcuni esempi di certificazioni utili al design sono: ITIL, ISO27001LA, PMP, etc L’approccio più razionale. In generale, è utile ricordare che “ho seguito le best practice” è la migliore risposta alla domanda (che sicuramente vi sentirete fare prima o poi) “perché stai facendo/hai fatto le cose in questa maniera?”
  • 9.
    Pre-design Analisi delmercato dei servizi di sicurezza Mai dimenticare che si è guidati dal mercato. Bisogna implementare i servizi che sono richiesti dal mercato. Bisogna evitare di trasformare il SOC in un centro di ricerca. Un buon esempio di un’analisi di mercato (facile da trovare sul web) sono i magic quadrant di GARTNER. Esiste anche un’analisi di mercato di GARTNER ad hoc sui servizi di sicurezza gestita del mercato europeo.
  • 10.
    Pre-design Parlare conpersone già coinvolte nel mercato Per capire meglio la situazione dei servizi di sicurezza gestita nel tuo paese, dovresti provare a parlare con il maggior numero di persone possibili già coinvolte in questo mercato. Prova ad iscriverti a gruppi specifici su LinkedIN, chiama gli amici e parla con i protagonisti più conosciuti del mercato.
  • 11.
    Pre-design Costruire ilteam di design I componenti del team di design dovrebbero essere sia interni che esterni (consulenti) all’azienda. Se hai l’opportunità, coinvolgi le persone del marketing, i pre-sale e il NOC. Le persone del marketing ed i pre-sale ti aiuteranno a spingere sui venditori mentre le persone del NOC ti potranno aiutare a risolvere i classici problemi ben noti di burocrazia interni alla compagnia. Più persone riuscirai a coinvolgere (ma non troppe) e più queste spingeranno il progetto sia internamente che sul mercato.
  • 12.
    Pre-design Visitare altriSecurity Operations Center Se possibile, visita altri SOC e prova a capire come funzionano (o come dovrebbero funzionare!).
  • 13.
    Pre-design Studiare icompetitor Prova a capire: • Quali servizi erogano • Quali non erogano e perché • Le mancanze, i difetti ed i possibili miglioramenti • I prezzi ed il modello d’offerta.
  • 14.
    Pre-design Budget Valutaquali sono le risorse economiche a cui puoi attingere, quali tipi di tecnologie potrai implementare (un SIEM per esempio è molto costoso) e se sarai in grado di acquisire il know-how (certificazioni e corsi).
  • 15.
    Pre-design Timing L’aziendati darà un obiettivo temporale. Nel migliore dei casi riuscirai a negoziarlo, nel peggiore sarà mandatorio. Sarai in grado di effettuare lo startup del SOC ed implementare tutti i servizi che hai in mente? Quali sarai in grado di offrire nei tempi previsti?
  • 16.
    Design Decidere i servizida erogare Effettuare il design dei servizi Effettuare le scelte tecnologiche Definire i KPI/KPO Le facility Condividere le figure professionali tra i servizi Pianificare una strategia di mercato
  • 17.
    Design Decidere i servizida erogare Decidi i servizi da erogare basando la tua scelta sui fattori presi in considerazione nella fase di pre-design: analisi del mercato, budget a disposizione, tempi, etc.
  • 18.
    Design Effettuare il designdei servizi Studia come i servizi devono essere erogati.
  • 19.
    Design Scegliere le tecnologie Dovraiscegliere quali tecnologie gestire e vendere. Una buona metodologia per la scelta può essere: 1. Analisi di mercato 2. Creazione di una short list 3. PoC (Proof of Concept) 4. Valutazione 5. Scelta
  • 20.
    Design Definire i KPI/KPO Peril governo del SOC è molto importante definire i Key Performance Indicators e i Key Performance Objectives. Utile coinvolgere nelle decisioni anche i tecnici. Esempi? Ticket gestiti, apparati gestiti, numero cessazioni, numero escalation…
  • 21.
    Design Le Facility Dal puntodi vista delle facility, avrai bisogno di una stanza (open space) con accesso ristretto, computer e telefoni (con cuffia), il videowall (in realtà quasi inutile ma è ciò che i clienti si aspettano di vedere). Da non dimenticare che la rete del SOC dovrà essere divisa mediante un firewall (e un IPS) dal resto della rete (slide 41 per dettagli).
  • 22.
    Design Condividere le figureprofessionali tra i servizi Prova a pensare a quale tipo di risparmio puoi ottenere facendo gestire dallo stesso gruppo di analisti più servizi o ancora (più complicato) far gestire gli stessi servizi da due strutture (ad esempio l’allarmistica di notte potrebbe essere seguita da un NOC).
  • 23.
    Design Pianificare una strategiadi marketing Contatta il marketing (sarebbe meglio che una persona del team di design venisse dal marketing) e pianifica una strategia.
  • 24.
    Implementation Scrivere processi eprocedure Acquisire il know-how Implementare le tecnologie Creare una cultura della sicurezza nei venditori Creare un ambiente di test Far partire la strategia di marketing Applicare KPI/KPO
  • 25.
    Implementation Scrivere processi eprocedure Coinvolgi il personale tecnico (se possibile, delega) nella scrittura delle procedure tecniche (dovrai comunque leggerle ed approvarle). Cerca di far scrivere i processi a persone che sono già da molto tempo in azienda in maniera tale che siano consapevoli del funzionamento dei processi interni, dei problemi di burocrazia e di quelli “politici”.
  • 26.
    Implementation Acquisire il know-how Peracquisire il know-how si può: • Assumere personale (consulenti o dipendenti, con relativi pro e contro) • Iscriversi a corsi ed ottenere certificazioni
  • 27.
    Implementation Implementare le tecnologie Implementale tecnologie che hai selezionato durante la fase di design.
  • 28.
    Implementation Creare una culturadella sicurezza nelle vendite Fai sapere alle vendite che esistono dei nuovi servizi da vendere. Organizza incontri, prepara loro dei powerpoint (di semplice comprensione) sia per spiegar loro i servizi e sia per venderli.
  • 29.
    Implementation Creare un ambientedi test Avrai bisogno di un ambiente di laboratorio dove testare le nuove configurazioni, le nuove tecnologie, i PoC, etc.
  • 30.
    Implementation Far partire lastrategia di marketing Dai il via alla strategia di marketing.
  • 31.
    Implementation Applicare KPI/KPO I KPIe KPO dovranno essere applicati al lavoro di ogni giorno. «Non si può gestire ciò che non si può misurare»
  • 32.
    Improvement Valutare le certificazioniutili al SOC Valutare le certificazioni utili al team del SOC Mantienere tu ed il tuo team aggiornato Fare in modo che il mercato ti conosca Fare in modo che il management ti conosca Effettuare uno scouting dei nuovi servizi erogabili Effettuare un periodico aggiornamento delle tecnologie Tenere sotto controllo KPI/KPO
  • 33.
    Improvement Valutare le certificazioniutili al SOC (visto come struttura) Alcune certificazioni sono richieste dai bandi di gara, per esempio la ISO27001 è quasi sempre presente.
  • 34.
    Improvement Valutare le certificazioniutili al team del SOC Alcune saranno richieste dai bandi di gara, altre ti saranno utili nelle fasi di troubleshooting. Una short list di certificazioni utili come esempio: GIAC, CISM, Security+, vendor specific, CCNA, CISSP, ITIL, etc. (vedi dettagli nella slide 56)
  • 35.
    Improvement Mantenere tu edil tuo team aggiornati riguardo le news di sicurezza Leggi ogni giorno le sorgenti più importanti di notizie legate all’IT Security / hacking. Ad esempio: dark reading, twitter, the hacker news, gruppi linkedin, twitter, update di status di persone conosciute, etc.
  • 36.
    Improvement Fare in modoche il mercato ti conosca Organizza incontri, prendi parte a conferenze, usa LinkedIN, twitter, apri un blog e più in generale fai in modo che le altre persone capiscano che sei un attore importante del mercato.
  • 37.
    Improvement Fare in modoche il management ti conosca Non dimenticare mai che sei parte di un’organizzazione più grande. Il tuo management deve sempre sapere cosa stai facendo e quali sono i tuoi risultati. Organizza presentazioni periodiche, diffondi le informazioni e nel caso in cui arrivi un nuovo ed importante cliente, fallo sapere a più gente possibile.
  • 38.
    Improvement Effettuare uno scoutingdei nuovi servizi erogabili È molto importante non smettere mai di parlare con i clienti, leggere le analisi di mercato, etc per capire dove sta andando il mercato per riuscire ad intercettare in tempo i bisogni dei clienti.
  • 39.
    Improvement Effettuare un periodicorinnovo delle tecnologie Almeno una volta l’anno dovresti controllare che le tecnologie che stai vendendo/gestendo (UTM, proxy, IPS, etc) o che stai usando (SIEM, ticketing, etc) sono ancora lo stato dell’arte per le tue necessità. Se così non fosse, dovresti valutare un rinnovo delle stesse.
  • 40.
    Improvement Monitorare KPI/KPO I KeyPerformance Indicator e i Key Performance Objectives sono il termometro del tuo lavoro. Se riuscirai a scegliere i giusti KPI/KPO, questi ti aiuteranno a capire se stai lavorando bene o meno, se puoi fare meglio o no, se stai lavorando troppo o troppo poco ed a prendere delle decisioni in maniera razionale.
  • 41.
    Caratteristiche degli spazi Open Space Il posto di lavoro ideale per un SOC è l’openspace. Non ci devono essere muri tra gli analisti. Hanno bisogno di analizzare insieme eventi, configurazioni, problemi etc e discutere senza barriere. Anche se alcuni si lamentano… Accesso ristretto L’accesso all’openspace deve essere ristretto e solo il personale autorizzato deve poter entrare nella stanza. Fai attenzione al pavimento ed al soffitto flottante: non ci deve essere la possibilità semplice di sfruttarli per saltare l’autenticazione. La scrivania Un telefono (con cuffie) e 2 computer: uno connesso ad internet e l’altro connesso alla rete di management del SOC. La scrivania dovrebbe essere posizionata a mezza luna in maniera tale che ogni analista sia in grado di vedere chiaramente il videowall. Tra le scrivanie ci dovrebbero essere dei separatori per fare in modo che un Cliente al telefono non possa accidentalmente ascoltare la comunicazione di un altro Cliente. Può essere presa in analisi l’ipotesi di utilizzare un thin client. Il videowall Ogni SOC ha un videowall. Il mio suggerimento è di costruirlo con degli LCD e non con degli schermi retroproiettati. Gli schermi retroproiettati (sono dei videoproiettori) sono più economici all’inizio ma hanno dei costi di manutenzione molto alti dovuti al fatto che le lampade si fulminano spesso. La rete La rete di management del SOC deve essere divisa dal resto della rete dell’azienda per mezzo di un firewall (e un IPS).
  • 42.
  • 43.
    I servizi erogatied il modello logico Governance SOC MSSP - Managed Security Services Security Solution Management Vulnerability Management Channels Change Incident Threat Security Monitoring Proactive Security Management Management Management Security Services Security Mobile Event & Log DDoS Log Early Professional Device Security Correlation Protection Management Warning Services Management (Q4 2012) (Q4 2012)
  • 44.
  • 45.
    Security Device Management Obiettivo Delegarela gestione degli apparati di sicurezza (FIREWALL , IDS/IPS, ANTIVIRUS, HONEYPOT, etc.): • Gestisce gli apparati chi conosce approfonditamente la tecnologia e ha già affrontato i problemi più comuni in centinaia di installazioni; • In caso di attacco il team del SOC conosce dove/come agire per riportare la situazione in sicurezza minimizzando i disservizi; • Le modifiche vengono gestite entro tempi stabiliti (SLA) e le configurazioni sono validate da personale specializzato: no configurazioni improvvisate!! (e.g. un IDS implementato in modo maldestro può bloccare traffico lecito e creare disservizi, un firewall non correttamente configurato, dando un falso senso di sicurezza, apre la strada verso i sistemi interni!) Azienda Security Operation Center Secure Connection Service Manager Security Firewall / IDS / etc. Analyst Product Specialist
  • 46.
    Early Warning Obiettivo Prevenire, contenereo contrastare possibili incidenti di natura informatica aggregando ed analizzando le tematiche di sicurezza che coinvolgono i Clienti. In generale, fornire all’azienda gli strumenti per decidere in modo consapevole sulle azioni da intraprendere per garantire la sicurezza dei propri sistemi IT • Individuare le minacce che possono avere un impatto reale sulla sicurezza filtrando i casi non significativi e non afferenti alla realtà del Cliente; • Informazioni affidabili e verificate da uno staff di esperti al fine di suggerire le corrette contromisure in base al reale pericolo che una minaccia rappresenta; • Analizzare le problematiche rispetto a molteplici punti di vista, sia tecnologici che di impatto sul business; • Avere strumento comprensibile contenente informazioni «pre-digerite» permette al reparto IT aziendale di risparmiare tempo (e costi) durante le fasi implementative Security Operation Azienda A Center C. Presentazione (report, web-portal, etc.) Azienda B Security Analyst Azienda C A. Raccolta informazioni B. Elaborazione dati (analisi di molteplici (analisi e contestualizzazione) fonti)
  • 47.
    Log Management &Collection Il Provvedimento Obiettivo Il Provvedimento del Garante della privacy Raccogliere e conservare tutti i log del cliente, in pubblicato nella GU il 24 dic. 08 obbliga particolare quelli di “accesso” in conformità alla tutte le aziende e la pubblica normativa italiana. amministrazione a conservare i “log” di tutti Analizzare e correlare gli eventi per individuare gli accessi amministrativi” a dispositivi e comportamenti anomali ed eventuali tentativi di applicazioni che contengono “dati intrusione personali”. Plus della gestione attraverso il SOC: • Supporto e consulenza nell’identificazione delle sorgenti di log • Garanzia di immutabilità e integrità dei dati raccolti • Utilizzo di piattaforma tecnologiche leader di mercato • Soluzioni Scalabili e Modulari che consentono di crescere facilmente seguendo le necessità del cliente
  • 48.
    Professional Services Obiettivo Offrire aiClienti consulenza professionale specializzata attraverso attività che consentano di ottenere una fotografia del livello di sicurezza di un’area della propria infrastruttura IT. Penetration Test PCI-DSS ASV Vulnerability scan Assessment Tipologia di servizi offerti Web Mobile Application Assessment Assessment Wi-Fi Assessment
  • 49.
    Professional Services Penetration teste Vulnerability Assessment Obiettivo Individuare problematiche di sicurezza proponendo dei sistemi informatici specificati, simulando le metodologie di attacco utilizzate da persone fisiche o malware ai fini di compromettere la riservatezza, disponibilità e integrità dei dati aziendali e valutarne al meglio i possibili impatti sul business Potenziali impatti e minacce I sistemi aziendali, se non adeguatamente protetti e regolarmente aggiornati, possono essere oggetto di attacchi mirati (es. spionaggio industriale) o attacchi distribuiti (es. propagazione di malware)
  • 50.
    Professional Services Web ApplicationAssessment Obiettivo Individuare problematiche di sicurezza delle applicazioni web, simulando le metodologie di attacco utilizzate da persone fisiche o malware ai fini di compromettere la riservatezza, disponibilità e integrità dei dati aziendali o la sicurezza della navigazione dei visitatori Potenziali impatti e minacce I siti web sono obiettivi privilegiati poichè più esposti ed utilizzati da un grande numero di utenti (es. clienti, fornitori, dipendenti). Sono soggetti a disservizi, danno di immagine, furto credenziali utente, frodi
  • 51.
    Professional Services Wireless Assessment Obiettivo Identificarereti Wireless all’interno degli edifici aziendali, capire se un utente non autorizzato possa accedervi e quindi esporre il Cliente a rischi per la confidenzialità, integrità e disponibilità dei dati contenuti nei sistemi aziendali raggiungibili da tali reti. Potenziali impatti e minacce Le reti wireless non sicure possono rappresentare la testa di ponte verso i sistemi interni e causare accessi non autorizzati a risorse aziendali e furti di informazioni riservate
  • 52.
    Professional Services Mobile Assessment Obiettivo Identificareproblematiche di sicurezza delle piattaforme di Mobile Device Management (MDM) aziendali e verificare che applicazioni mobile custom non introducano problematiche di sicurezza che possano consentire il furto di informazioni aziendali o l’accesso non autorizzato a sistemi remoti che trasferiscono dati con tali applicazioni Potenziali impatti e minacce Un eventuale smarrimento o furto di un dispositivo, o l’infezione da parte di malware, può portare all’esposizione di informazioni aziendali verso terzi
  • 53.
    Professional Services PCI-DSS ASVscan Obiettivo Effettuare Vulnerability Assessment trimestrali verso i sistemi esterni dei Clienti al fine di soddisfare la conformità al requisito 11.2.2 dello standard PCI-DSS ed emettere la documentazione richiesta PCI: è una società a responsabilità limitata con sede in USA, fondata da American Express, Discover Financial Services, Potenziali impatti e minacce JCB International, MasterCard Worldwide e Visa Inc. La mancata conformità a questo standard può essere sanzionata con PCI-DSS: standard che definisce le misure di protezione dei multe da parte delle aziende emittenti processi di gestione dei pagamenti effettuati attraverso delle carte di credito e con carta di credito: l’estromissione dal circuito dei pagamenti, oltre a creare potenziali http://it.pcisecuritystandards.org/minisite/en/pci-dss-v2- problemi con clausole assicurative, 0.php rivalse legali, ecc. ASV (Approved Scanning Vendor): aziende autorizzate che validano l’aderenza a certi requisiti DSS attraverso l’esecuzione di Vulnerbility Assessment
  • 54.
    Distribuited Denial ofService Mitigation Obiettivo Un attacco «Distribuited Denial of Service» (DDoS) si verifica quando più sistemi in maniera coordinata inondano, la larghezza di banda o le risorse di un sistema, al fine di ostacolare e bloccare le attività arrecando gravi perdite economiche e d’immagine. Scopo del servizio è rilevare l’attacco ed attuare tutte le contromisure necessarie a limitarne l’impatto. Azienda Traffico lecito Traffico illecito Security Operation Center Anti-DDoS Technology Corporate Firewall
  • 55.
    Mobile Security Rischi perla riservatezza Nel corso degli ultimi anni si è enormemente diffuso l’utilizzo di dispositivi mobili (es., smartphone e tablet) non solo per scopi personali ma anche per finalità lavorative. Questa situazione pone un importante rischio per la sicurezza perché tali dispositivi, se non adeguatamente protetti e gestiti, possono portare all’esposizione di informazioni aziendali verso terzi. Obiettivo L’obiettivo del servizio è quello di rendere disponibile una piattaforma di Mobile Device Management (MDM) in modalità SaaS con le seguenti caratteristiche: • Console di amministrazione centralizzata per la gestione dei dispositivi mobili aziendali assegnati ai dipendenti. • Console di amministrazione centralizzata per la gestione dei dispositivi personali di chi intende usufruire di dati e servizi aziendali (es. posta elettronica) con il proprio dispositivo personale (BYOD). • Possibilità di impostare e gestire policy di sicurezza su tutti i dispositivi mobili connessi alla piattaforma.
  • 56.
    Certificazioni e skill Certificazioni tecniche Utili ad analisti e personale tecnico. CEH (Certified Ethical Hacker). Corso + esame: 2895$. CGIH (Certified GIAC Incident Handler). Corso + Esame 3500$ OSCP (Offensive Security Certified Professional). Corso + Esame 4000$ ISECOM OPST (Open Source Security tester). Costo non disponibile. ISECOM OPSA (Open Source Security Analyst). Costo non disponibile. Certificazioni vendor specific. Certificazioni più ad alto livello Utili ai coordinatori degli analisti ed al responsabile del SOC. CISM (Certified Information Security Manager) - Esame 500€. Corso ~800€. CISSP (Certified Information Systems Security Professional) – Costo esame: ~500€. ISO27001 Lead Auditor. Esame + corso ~1800€. PMP (Project Manager Professional) Esame 340€ per i membri PMI (129$ costo per essere associato alla PMI) oppure 465€ per i non associati PMI. Costo del corso 3K€. ITIL v3 foundations. Costo esame: ~150€ CISA (Certified Information System Auditor) Costo esame 500€. Costo corso ~800€.
  • 57.
    Thank you Riferimenti: davide.delvecchio@fastweb.it http://socstartup.blogspot.com https://grandiaziende.fastweb.it (sezione security)