Scegliere i servizi Cloud: il metodo di approccio e il rischio CloudLuca Moroni ✔✔
Presentazione 10 Novembre 2017 all'interno del seminario Contratti Cloud, E-Commerce, CRM: novità legali, profili di cyber-security e regimi fiscali presso lo studio Adacta Vicenza
Isaca venice it club fvg Confindustria Udine 23062014
La Sicurezza delle informazioni e l’emergente problematica della Cybersecurity sono temi che necessitano di un approccio strutturato anche nelle piccole e medie aziende.
· E’ necessario irrobustire le difese integrando la sicurezza IT con un approccio olistico che consideri gli aspetti di governance, management e compliance.
· Nell'incontro sono stati presentati alcuni strumenti che permettono alle aziende di attuare un approccio strutturato ai temi della sicurezza, anche attraverso l’utilizzo di best practice quali COBIT 5, di una certificazione dell’azienda ISO27001 o della certificazione dei responsabili della sicurezza quali CISM, CRISK, Lead auditor /
Implementer ISO 27001.
Festival ICT Milano 2015 - Presentazione della pubblicazione ISACA Tradotta in Italiano della specifica COBIT per la Governance dei Dispositivi Mobili e IoT
Scegliere i servizi Cloud: il metodo di approccio e il rischio CloudLuca Moroni ✔✔
Presentazione 10 Novembre 2017 all'interno del seminario Contratti Cloud, E-Commerce, CRM: novità legali, profili di cyber-security e regimi fiscali presso lo studio Adacta Vicenza
Isaca venice it club fvg Confindustria Udine 23062014
La Sicurezza delle informazioni e l’emergente problematica della Cybersecurity sono temi che necessitano di un approccio strutturato anche nelle piccole e medie aziende.
· E’ necessario irrobustire le difese integrando la sicurezza IT con un approccio olistico che consideri gli aspetti di governance, management e compliance.
· Nell'incontro sono stati presentati alcuni strumenti che permettono alle aziende di attuare un approccio strutturato ai temi della sicurezza, anche attraverso l’utilizzo di best practice quali COBIT 5, di una certificazione dell’azienda ISO27001 o della certificazione dei responsabili della sicurezza quali CISM, CRISK, Lead auditor /
Implementer ISO 27001.
Festival ICT Milano 2015 - Presentazione della pubblicazione ISACA Tradotta in Italiano della specifica COBIT per la Governance dei Dispositivi Mobili e IoT
Seminario Fondazione Centro Produttivita' Veneto - Vicenza 24 Ottobre 2013Luca Moroni ✔✔
LA SICUREZZA INFORMATICA IN AZIENDA: L'IMPATTO SUL BUSINESS DELLA PMI GUARDANDO LO SCENARIO DEL NORDEST
Linee guida per l’utente sulla sicurezza ICT
Vicenza 24 Ottobre 2013
Talk "Come Costruire un firewall Umano" Italian Hacker Camp 2018Luca Moroni ✔✔
Scopo di questa nuova ricerca è identificare il livello di percezione e di consapevolezza che hanno le aziende nella sicurezza informatica fra i propri dipendenti. L’obiettivo sarà quello di individuare ed evidenziare gli elementi più trascurati su questo che è l’elemento più debole della catena della sicurezza logica. Cercheremo di fornire dei suggerimenti per gestire e mitigare il problema. La sicurezza informatica è un processo ed è costituita da numerosi elementi. Alcuni anni fa questo aspetto era sinonimo di aspetti tecnologici e prodotti come Antivirus e Firewall. Oggi l’evoluzione del concetto ha portato ad includere nel processo anche il fattore umano (H). Chi difende il "fortino" ha bisogno che il suo utente maturi. La tecnologia arriva fino ad un certo punto poi deve scattare la consapevolezza. La frase ricorrente secondo cui la catena della sicurezza è fatta dal l'anello più debole è quanto mai vera. Abbiamo tutti sorriso vedendo il biglietto da visita di Kevin Mitnick fatto di piccoli attrezzi per lo scasso: il genio della ingegneria sociale che non sfrutta la tecnologia per entrare nel "fortino" ma la buona fede delle persone indipendentemente dall’incarico che esse ricoprono in azienda. Una telefonata convinta può trarci facilmente in inganno e portarci a rivelare informazioni sensibili. Per cui non serve un Virus o un Trojan ma il mix di tecnologia e errori umani sono le armi che verranno sempre più utilizzati per carpire i dati delle aziende.
Isab informatica strategie di Cyber SecurityVilma Pozzi
Occorre che ogni azienda studi una propria «Strategia di Cyber-Security» e Isab Informatica dispone delle competenze esperienze e specialisti certificati che possono aiutare il Cliente ad organizzare, integrare e consolidare la difesa dei propri asset aziendali.
Prevenzione degli attacchi informatici che coinvolgono dati sensibili aziendaliConsulthinkspa
I recenti fatti di cronaca ci ricordano la necessità di proteggere in maniera adeguata gli asset più importanti per la sopravvivenza stessa di un'organizzazione: i dati e le piattaforme applicative che ne consentono la fruizione. La capacità di salvaguardare tali valori, di garantirne la massima utilizzabilità e di implementare adeguate misure di monitoraggio ed audit sono sempre più i fattori che contraddistinguono un'organizzazione di successo, e che ambisce a rimanere tale, dai sui competitor: prepararsi adeguatamente per mettere al sicuro i propri dati da eventi imprevisti e per garantire i livelli di compliance previsti dalle leggi e dalle regolamentazioni di settore è diventata oggi un’attività vitale per qualunque organizzazione.
Data Breach: i rischi odierni e come prevenirliCSI Piemonte
Webinar "Il data breach: suggerimenti pratici per gestire gli incidenti" | 30 giugno 2021
Intervento di Selene Giupponi Council Member Women4Cyber Foundation e
Raoul Chiesa Co-Founder Swascan e Presidente Security Brokers
La Sicurezza nei Sistemi di Supervisione e Controllo degli Impianti (SCADA)ciii_inginf
I Sistemi “Gestionali” e la Sicurezza delle Informazioni. Sistemi di Supervisione e Controllo Impianti. Presentazione a cura dell'Ing. Franco Tessarollo
50 Anni Liceo Tron Schio. Cos'è la Cyber Security e perchè è così importanteLuca Moroni ✔✔
Breve seminario sulla sicurezza ai ragazzi del Liceo Tron di Schio in occasione della ricorrenza dei 50 anni dalla nascita a cui sono stato invitato come relatore essendo stato un ex alunno
Seminario Fondazione Centro Produttivita' Veneto - Vicenza 24 Ottobre 2013Luca Moroni ✔✔
LA SICUREZZA INFORMATICA IN AZIENDA: L'IMPATTO SUL BUSINESS DELLA PMI GUARDANDO LO SCENARIO DEL NORDEST
Linee guida per l’utente sulla sicurezza ICT
Vicenza 24 Ottobre 2013
Talk "Come Costruire un firewall Umano" Italian Hacker Camp 2018Luca Moroni ✔✔
Scopo di questa nuova ricerca è identificare il livello di percezione e di consapevolezza che hanno le aziende nella sicurezza informatica fra i propri dipendenti. L’obiettivo sarà quello di individuare ed evidenziare gli elementi più trascurati su questo che è l’elemento più debole della catena della sicurezza logica. Cercheremo di fornire dei suggerimenti per gestire e mitigare il problema. La sicurezza informatica è un processo ed è costituita da numerosi elementi. Alcuni anni fa questo aspetto era sinonimo di aspetti tecnologici e prodotti come Antivirus e Firewall. Oggi l’evoluzione del concetto ha portato ad includere nel processo anche il fattore umano (H). Chi difende il "fortino" ha bisogno che il suo utente maturi. La tecnologia arriva fino ad un certo punto poi deve scattare la consapevolezza. La frase ricorrente secondo cui la catena della sicurezza è fatta dal l'anello più debole è quanto mai vera. Abbiamo tutti sorriso vedendo il biglietto da visita di Kevin Mitnick fatto di piccoli attrezzi per lo scasso: il genio della ingegneria sociale che non sfrutta la tecnologia per entrare nel "fortino" ma la buona fede delle persone indipendentemente dall’incarico che esse ricoprono in azienda. Una telefonata convinta può trarci facilmente in inganno e portarci a rivelare informazioni sensibili. Per cui non serve un Virus o un Trojan ma il mix di tecnologia e errori umani sono le armi che verranno sempre più utilizzati per carpire i dati delle aziende.
Isab informatica strategie di Cyber SecurityVilma Pozzi
Occorre che ogni azienda studi una propria «Strategia di Cyber-Security» e Isab Informatica dispone delle competenze esperienze e specialisti certificati che possono aiutare il Cliente ad organizzare, integrare e consolidare la difesa dei propri asset aziendali.
Prevenzione degli attacchi informatici che coinvolgono dati sensibili aziendaliConsulthinkspa
I recenti fatti di cronaca ci ricordano la necessità di proteggere in maniera adeguata gli asset più importanti per la sopravvivenza stessa di un'organizzazione: i dati e le piattaforme applicative che ne consentono la fruizione. La capacità di salvaguardare tali valori, di garantirne la massima utilizzabilità e di implementare adeguate misure di monitoraggio ed audit sono sempre più i fattori che contraddistinguono un'organizzazione di successo, e che ambisce a rimanere tale, dai sui competitor: prepararsi adeguatamente per mettere al sicuro i propri dati da eventi imprevisti e per garantire i livelli di compliance previsti dalle leggi e dalle regolamentazioni di settore è diventata oggi un’attività vitale per qualunque organizzazione.
Data Breach: i rischi odierni e come prevenirliCSI Piemonte
Webinar "Il data breach: suggerimenti pratici per gestire gli incidenti" | 30 giugno 2021
Intervento di Selene Giupponi Council Member Women4Cyber Foundation e
Raoul Chiesa Co-Founder Swascan e Presidente Security Brokers
La Sicurezza nei Sistemi di Supervisione e Controllo degli Impianti (SCADA)ciii_inginf
I Sistemi “Gestionali” e la Sicurezza delle Informazioni. Sistemi di Supervisione e Controllo Impianti. Presentazione a cura dell'Ing. Franco Tessarollo
50 Anni Liceo Tron Schio. Cos'è la Cyber Security e perchè è così importanteLuca Moroni ✔✔
Breve seminario sulla sicurezza ai ragazzi del Liceo Tron di Schio in occasione della ricorrenza dei 50 anni dalla nascita a cui sono stato invitato come relatore essendo stato un ex alunno
Rete, social network e sicurezza; quando gli alunni vanno in rete, uso consap...Caterina Policaro
"Rete, social network e sicurezza; quando gli alunni vanno in rete, uso consapevole di internet, problematiche di formazione" Intervento di Caterina Policaro a Bologna 31 marzo 2014 - Seminario Dirigenti Scolastici "E-Leadership: Le competenze "digitali" del Dirigente nella scuola ad alta densità tecnologica"
Internet of Things: mercato, tecnologie, applicazioni e competenzeArmando Martin
Oggi l’Internet delle cose è un paradigma tecnologico in cui la comunicazione è estesa all’interazione tra uomini, dispositivi e sottosistemi. L’Internet delle cose è un insieme
di tecnologie digitali che vanno dai tag RFId alle reti di sensori, dalle superfici touch alla realtà aumentata, dai sistemi logistici integrati alle infrastrutture in chiave di sostenibilità
GDPR Day Web Learning: Rischio Data Breachadriana franca
Con la definitiva entrata in vigore del GDPR, non solo le sanzioni per la non conformità si sono inasprite, ma vi è l’obbligo di notifica del cosiddetto data breach all’Autorità Garante entro le 72 ore dalla scoperta. Una violazione dei dati personali comporta anche costi “secondari” – quali le spese legali, la perdita di clienti, il danno reputazionale conseguente ad una cattiva pubblicità – che devono essere presi in considerazione ancor più seriamente in quanto potrebbero letteralmente paralizzare l’attività di un’azienda. Ma guardando il bicchiere con gli occhi dell’ottimista, possiamo renderci conto che la nuova normativa sulla data protection offre altresì una straordinaria opportunità per rafforzare la sicurezza aziendale nel suo complesso e proteggere in modo ancor più efficace l’intero asset di una compagnia.
Una corretta ed adeguata strategia di cybersecurity si basa su tre pilastri fondamentali: processi, tecnologie e persone. Ma troppo spesso le aziende si focalizzano principalmente sui primi due – i processi e le tecnologie – e trascurano il terzo – le persone.
Nel corso del webinar abbiamo parlato di quanto sia invece importante trovare il giusto equilibro tra questi tre elementi, evidenziando l’importanza del fattore umano se considerato come estrema linea difensiva per la sicurezza e per la protezione dei dati personali. E vedremo come alcune semplici misure preventive possano rendere la tua strategia di sicurezza estremamente robusta e a prova di data breach… e di GDPR.
Seqrite Terminator: quello che un tempo era solo un Firewall, si è ora evoluto in un’Appliance UTM che fornisce molte funzionalità di sicurezza, tutto tramite una sola Console.
Scopriamole, affinchè la rete aziendale sia sempre protetta e al sicuro!
Proteggi il tuo cammino verso l’industria 4.Jordi García
Entro il 2019, il 92% delle imprese avranno adottato sistemi di Internet of Things. I benefici della tecnología IoT sono giá largamente provati e conosciuti, tanto quanto i rischi, che non devono essere sottovalutati. Per ridurre al minimo la possibilitá di brecce e intrusioni nella rete, Aruba ha sciluppato un sistema di sicurezza che permette di sfruttare al massimo il potenziale dell’IoT.
ICT Security Forum 2013 - Prevenzione degli attacchi informatici che coinvolg...acaporro
Presentazione tenuta all'ICT Security Forum 2013 concernente le minacce ai dati sensibili aziendali e alcune possibili strategie di protezione che cercano di superare i limiti delle soluzioni tecnologiche ormai consolidate.
Il 20 aprile 2003, presso la Scuola Superiore dell'Amministrazione dell'Interno, Vincenzo Calabrò ha tenuto un seminario dal titolo: Sicurezza in Rete. Questo seminario introduce ai principi, la metodologia ed alcune applicazioni pratiche relative alla Sicurezza in Rete.
https://www.vincenzocalabro.it
Presentazione corso sicurezza informatica Vicenza SoftwarePiero Sbressa
Corso di sicurezza informatica scritto per Vicenza Software. Qua il link per l'iscrizione: http://corsi.vicenzasoftware.com/tutti-i-corsi/corso/sicurezza-informatica/category_pathway-13.html
APT DEMYSTIFIED - STORIA QUOTIDIANA DELL’INSICUREZZA INFORMATICA NELLE AZIEND...qlsrl
Al giorno d’oggi la scena dell’(in)sicurezza informatica, in particolar modo all’interno delle aziende e delle organizzazioni Italiane (PA, PMI, Enterprise, Corporate) è stata prepotentemente invasa dal tema APT. Bisogna realmente preoccuparsi di questo “nuovo” genere di minacce ? Sono davvero così diffuse e pericolose o sono di gran lunga sopravalutate, nella speranza che si crei un nuovo mercato artificiale in favore di qualche vendor ? Nel corso dell’intervento saranno riportate le esperienze, REALI, relative ad un anno di attività Security Assessment svolte all’interno delle aziende Italiane. In questo contesto si cercherà di sensibilizzare la platea relativamente alle minacce che costituiscono un pericolo concreto per la sicurezza delle aziende e delle organizzazioni Italiane.
Guida alla Forensics Readiness in azienda, ovvero preparare l'azienda alla gestione e al tracking forense del data breach e degli incidenti informatici riducendo costi e aumentando efficacia. Forensics Readiness è uno strumento per la tutela aziendale, per poter agire in sede giudiziaria e nei confonti delle compagnie assicurative per documentare e dettagliare il "sinistro" informatico
Alcuni anni fa erano per lo più le banche e le grandi imprese ad essere prese di mira dai criminali informatici; il loro campo di azione è completamente cambiato: tantissime PMI ogni giorno subiscono perdite e danni a causa del “cybercrime”.
Le piccole e medie imprese oggi vengono considerate come obiettivi sensibili, poichè sono le meno attente alle proprie difese informatiche. Danni ai dati dei clienti e fornitori, perdita della proprietà intellettuale, cattiva reputazione da violazione del sistema informatico sono solo alcuni dei punti che bisognerebbe ancora oggi tenere in alta considerazione.
Il talk mira ad illustrare le principali tematiche relative all’argomento con un' introduzione al Penetration Testing aziendale.
Generazione Z di Ettore Guarnaccia - Evento Bersaglio Mobile Breton SpaLuca Moroni ✔✔
Sono stato invitato da Luca Moroni , cybersecurity coach di ISACA, e Antonio Nardo, ICT Director di Breton S.p.A., a tenere un intervento di sensibilizzazione su opportunità e minacce legate all’uso delle moderne tecnologie digitali e social per la nuova generazione, sia nel mondo del lavoro che nella sfera privata. L’intervento si è svolto giovedì 13 giugno presso la sala conferenze di Breton S.p.A., azienda leader a livello mondiale nella produzione di macchine per la lavorazione della pietra naturale, dei metalli e impianti per la pietra composita, con sede principale a Castello di Godego (TV) ma attiva in tutto il mondo. Breton S.p.A. conta più di 900 dipendenti, 7 filiali estere e circa 200 milioni di euro di fatturato annuo.
Ettore Guarnaccia.
Cyber Security Awareness of Critical Infrastructures in North East of Italy S...Luca Moroni ✔✔
Critical Infrastructures (IC) are essential elements in our economic and social life. Cyber incidents in such organizations could create a “domino effect”. This must be an important concern in a National Cyber Security Policy. Now EU Cybersecurity Act
Etel - L’utilizzo dell’aspetto ludico per aumentare la consapevolezza riguard...Luca Moroni ✔✔
Fare prove di Social Engineering ha dei vincoli. Una buona idea è un gioco di ruolo. COME FUNZIONA UN GIOCO DI S.E.?
I partecipanti vengono divisi in gruppi. Non ci sono particolari indicazioni sulle modalità di formazione dei gruppi, che possono essere eterogenei nella loro composizione. Ad ogni gruppo vengono forniti alcuni elementi utili (mappa dell'organizzazione, principi da sfruttare, modalità di attacco disponibili, profili delle potenziali vittime, tipologie degli asset da violare) che vengono utilizzati per costruire uno scenario di attacco che vada a sfruttare un comportamento umano individuato come possibile vulnerabilità.
Slide Intervento Igor Falcomatà per il seminario IoT: Opportunità o minaccia? Il 15 marzo si è tenuto a Trento, presso il Castello del Buonconsiglio, una conferenza sulla Cybersecurity organizzata da ISACA Venice Chapter con l’Università degli Studi di Trento ed in collaborazione con Trentino Network.
L’evento ha affrontato il vasto mondo degli IoT, o Internet delle Cose, illustrando con casi pratici e best practice quelle che sono le opportunità connesse a questo nuovo business, focalizzandosi sulla sicurezza di questi apparati.
Intervista di Paolo Giacon a Luca Moroni per la pubblicazione II MODELLI DI SUCCESSO PER L''INNOVAZIONE E LA RICERCA E SVILUPPO NELLE PICCOLE E MEDIE IMPRESE AD ALTA TECNOLOGIA DELL’’AREA VICENTINA
The document discusses a new website called Calameo that allows users to publish and share eBooks, documents, and presentations online or via mobile apps. Calameo offers free and paid subscription plans, and published content can be protected with digital rights management or made publicly accessible. Users are able to customize publications with covers, bookmarks, and annotations to share knowledge on any topic.
Too many incidents related to "ransomware" in North East of Itally. Companies needs to understand how to protect themselves and ensure continued access to the digital data. The damage of a cyber incidents exceed the threshold of US $ 25mil. Safe rating of Intangible Assets of a company need enhancement of the cyber risks insurance market. But a weak competence require clarification on this topic. The research intent was to identify the real risks and digital vulnerabilities in companies. We have done an evaluation of typical insurance products on IT risk and we have made a CIO/CISO Survey. The final scope was a guideline for approacing the problem of outsourcing Cyber Risk Protection.
ISACA SLOVENIA CHAPTER October 2016 - LubianaLuca Moroni ✔✔
Talk Luca Moroni - Via Virtuosa
Cyber security awareness of critical infrastructures in N/E of Italy: scenarios and guidelines for self-assesementOzaveščenost o varnosti spleta in kritične infrastrukture v severni Italiji: Scenariji in smernice kako opraviti samooceno
This document summarizes Via Virtuosa's strategy and goals. It discusses Via Virtuosa's offerings for customers in northeast Italy such as knowledge of market requirements and startup support. It notes Via Virtuosa's growth between 2010-2015 with 78 new customers and increasing annual revenue. The document outlines future goals such as expanding internationally and industrializing their brokering business model. It seeks future sponsors like business angels, startups, and EU companies seeking an external cybersecurity business unit.
Articolo realtà industriale luglio agosto 2015Luca Moroni ✔✔
Evento realizzato in collaborazione con Confindustria Udine e IT Club FVG. Relatore Paolo Attivissimo noto giornalista esperto su queste tematiche di sicurezza informatica. Udine 23 Giugno 2015
Piataforma per gestire i processi legati al governo dei sistemi di gestione. Ideale per la valutazione del rischio informatico e come strumento per la compliance
1. Antide group
SICCUREZZA E RETE
Quali sono i concetti ed i problemi
legati alla sicurezza su Internet:
soluzioni e tecnologie per ottenerla
Venerdì 21 Settembre 2001
Carlo Alberto Cuman
Luca Moroni
5. Antide group
SONDAGGIO
• Oggi la sicurezza informatica è di scottante attualità:
nonostante le aziende pensino spesso di essere ben
protette, le notizie sulle 'imprese' degli hacker si
moltiplicano. Qual è il vero motivo?
– Gli hacker sono sempre più abili 27%
– Le soluzioni non mantengono le promesse 7%
– Manca la giusta cultura nelle aziende 67%
Fonte: Compterworld set.01
6. Antide group
Problematiche Generali sulla
Sicurezza
• Confidenzialità
– Accesso alle informazioni solo agli utenti legittimi
• Autenticazione
– Stabilire l’identità del fruitore del servizio
• Integrità
– Evitare che le informazioni vengano modificate nella trasmissione
• Non Ripudio
– Le parti non possono negare lo scambio di messaggi
• Controllo degli accessi
– Per esigenze di monitoraggio o tariffazione
• Disponibilità
– Il servizio deve essere sempre disponibile
7. Antide group
Forme di Attacco
• Interruzione del servizio (Denial of service)
– Compromette la Disponibilità
• Modifica delle informazioni (Data manipulation)
– Compromette l’integrità
• Inserimento di informazioni false (Masquerade)
– Incide sul Non ripudio e Autenticazione
• Intercettazione dei Dati (Eavesdropping)
– Compromette la Confidenzialità
ATTIVI
PASSIVI
8. Antide group
Realtà sugli attacchi
• Denial of Service su IIS
– Messaggio molto lungo
• /default.ida?XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXX
• Spamming: liste di realy sul sistema di
posta
– http://www.mailabuse.org/
9. Antide group
Interruzione del Servizio
100110101 …………….
ROSSI BIANCHI
HACKER
• Saturazione canali o buffer del server, invio messaggi di
terminazione delle applicazioni
11. Antide group
Modifica delle informazioni
100110101 111110000
ROSSI BIANCHI
HACKER
100110101 111110000
• Assunzione di falsa identità
12. Antide group
Intercettazione dei dati
100110101 100110101
ROSSI BIANCHI
HACKER
100110101
• Software di intercettazione o manomissione strumenti di
interconnessione o installazione SW ingannevole sul client
13. Antide group
INDIVIDUAZIONE
• ATTACCHI ATTIVI
– Più facili da rilevare
– Difficili da prevenire
• ATTACCHI PASSIVI
– Più difficili da rilevare
– Facili da prevenire
• LA SOLUZIONE MIGLIORE E’ LA PREVENZIONE
– Crittografia
– Adozione di politiche di sicurezza
• Protezione dispositivi
• Limitazione degli accessi
• LA SICUREZZA RICHIEDE DINAMICITA’
14. Antide group
Misure preventive o contromisure
• Innalzare i dispositivi di antintrusione sui singoli sistemi o
a guardia della rete (FIREWALL)
• Eliminare i servizi rivelatisi pericolosi
• Modificare il Software delle applicazioni vulnerabili
• Passare a protocolli più robusti agli attacchi
• Predisposizione di trappole per migliorare la rilevazione
delle intrusioni
• Migliorare la capacità di “logging” e monitoraggio delle
attività potenzialmente riconducibili ad un attacco.
15. Antide group
Software per Test sulla Vulnerabilità
• Sacanner Open Source gratuito
http://www.nessus.org/
• Identifica molte delle vulnerabilità critiche
16. Antide group
Debolezze del protocollo IP
• Quando è stato creato non prevedeva campi per garantire la
sicurezza
• Esistono solo indirizzi IP permessi e negati
• La nuova versione del protocollo IP (IPv6) prevede
meccanismi per garantire autentificazione e riservatezza
17. Antide group
Dice il saggio…..
• Un Hacker non tenterà un attacco se il costo per farlo
supera il valore delle informazioni trasportate
• Un Hacker non tenterà un attacco se il tempo richiesto per
decodificare l’informazione e/o ricavare la chiave è
maggiore del periodo di validità dell’informazione
• Per cui il grado di sicurezza, che coincide con un
rallentamento delle prestazioni, deve essere attentamente
ragionato
18. Antide group
Autenticazione LAN
• In rete lo standard di accesso al servizio è
Username/Password
• Il server ha bisogno di credenziali del client
• Ambiente ristretto e verificabile
• Policy di sicurezza sufficienti
– Scadenza validità password
– Lunghezza e caratteri contenuti nella password
19. Antide group
Autenticazione Internet
• In Internet lo standard di accesso è l’uso delle chiavi
pubbliche e private
• Coinvolgimento di una autorità di certificazione (fidata)
• Anche il server ha bisogno di fornire credenziali al client
• Ambiente potenzialmente vulnerabile
• Policy di sicurezza necessarie, oltre a quelle precedenti
– Criptazione
– Certezza sulla sorgente
21. Antide group
Autorità di certificazione
• Nei maggiori Browser
– Microsoft, Netscape
• Nei Sistemi di posta
– Outlook 2000, Lotus, Netscape
• Nei Web Server
– Microsoft, Lotus, Apache, Netscape, Sun
• Nei sistemi di Network Managment
– Checkpoint, Cisco, ISS, Lucent, Network Assoc.
• Nei sistemi entreprise
– Sap R/3, Notes
• Nelle Smart Card
– GemPlus, Litronic, Schlumberger
• Nei Sistemi EDI
22. Antide group
VERISIGN AGISCE COME CERIFICATE AUTORITY
VERISIGN CREA CERTIFICATE AUTORITY
Prodotti
• Certificati digitali individuali
– Classe 1, Classe 2
• Certificati per Web Server
– Secure Server Ids, Global Server IDs
• Soluzioni per Aziende
– Verisign OnSite
– Consulenza e Formazione su PKI
23. Antide group
Certificato digitale: cos’è?
• E’ l’equivalente elettronico di un documento di identità
come passaporto o carta d’identità
• Firma Digitale
– Identifica irrevocabilmente la persona che ha
il certificato, per impedire contraffazioni
dell’identità
– Autentica il proprietario davanti a tutto
il mondo
• Criptazione
– Criptazione dei dati, al fine di proteggere la privacy delle
informazioni
– Solo il ricevente ha accesso a dette informazioni
24. Antide group
Certificato digitale: come funziona?
• La certificazione avviene con la codifica della chiave pubblica del
richiedente + chiave privata della CA.
• Riduce il traffico verso l’autorità fidata.
• Cosa contiene un certificato
– Versione
– Numero seriale
– Algoritmo di segnatura
– Identità CA
– Periodo di validità
– Identità del soggetto richiedente
– Chiave pubblica
– Check sum
25. Antide group
Posta sicura
• Dal protocollo MIME a S-MIME
– Mantenere la riservatezza dei dati trasmessi
– Autenticare il mittente del messaggio
– Verificare l’originalità dei dati
– Non ripudiare i dati trasferiti
– Poter provare l’invio di un messaggio
– Poter provare la ricezione di un messaggio
– Garantire se necessario l’anonimato
– Permettere di nascondere l’identità degli utenti coinvolti nello
scambio dei dati
– Supporto all’uso dei certificati
27. Antide group
Certificato per Web Server
• Autenticano il sito a coloro che lo visitano
• Inaugurano una sessione sicura SSL per le comunicazioni e
le transazioni attraverso Internet
• Esistono due diverse capacità di criptazione
– 40 e 128 bit
– E’ già pronto 256 bit e verrà utilizzato quando il 128 bit
non da più garanzie
28. Antide group
Protezione del servizio WWW
• Il protocollo SSL
– Mantenere la riservatezza delle informazioni trasmesse
– Autenticare la sorgente dei messaggi
– Verificare l’originalità dei dati
• Ha il compito di creare un canale sicuro per la trasmissione
dati, attraverso un meccanismo di contrattazione iniziale
per definire un Master Secret
• Supporta l’uso dei certificati
• Viene attivato sul Web Server
29. Antide group
HANNO LA FORTE ESIGENZA
STANDARD DE FACTO
Chi usa HTTPS in Italia
• Banche
• Istituti finanziari
• Siti di commercio elettronico con transazioni
• Enti pubblici
• Siti che scambiano informazioni sensibili con
entità esterne
30. Antide group
Sicurezza dei sistemi
La sicurezza non avviene solo proteggendo le
informazioni in transito ma ponendo delle
barriere alle risorse accessibili da Internet
31. Antide group
Accesso remoto
• La prima porta è l’accesso remoto ai server via TELNET.
• L’attacco più classico (dictonary attack) è l’intrusione da
remoto. Il primo muro è la Password di Login
• Contro i programmi di “prova combinazioni” possono
essere sufficienti:
– Chiusura automatica della connessione TCP dopo un prefissato
numero di tentativi di accesso
– Introdurre un breve ritardo prima di restituire l’esito sulla
valutazione delle credenziali.
• E’ necessario formare gli utenti sull’uso della password
– Non riciclo
• Provare con programmi di Password Cracker la
vulnerabilità
32. Antide group
Attacchi indiretti
• Gli agenti software o virus nelle sue diverse forme
attaccano le risorse in modo indiretto
• L’adozione dell’Antivirus è determinante.
– Continuo aggiornamento delle impronte virali
– Interazione con i principali sistemi di posta
– Gestione a livello server
– Continua evoluzione
• Noi abbiamo scelto
33. Antide group
Analisi della sicurezza della rete
• Definizione di un perimetro che circoscriva le rete
locale e le stazioni in esso ospitate
34. Antide group
Analisi della sicurezza della rete
• Individuare i punti di accesso utilizzati dalla rete
locale per scambiare i dati con Internet
35. Antide group
Analisi della sicurezza della rete
• Monitorare i flussi informativi entranti e uscenti
attraverso i punti di accesso, attraverso policy
adeguate
Log
36. Antide group
Assegnamento indirizzi IP
• IP Privato (non riconosciuto in Internet) e IP Pubblico
(riconosciuto)
• Esigenza di assegnazione dinamica IP (DHCP)
• Esigenza di traslare IP Privati in Pubblici e viceversa
(NAT)
IP Pubblico
IP Privato Traduzione
37. Antide group
Firewall
• Con le connessioni always-on (ADSL e HDSL) è
necessario alzare un muro davanti alla propria rete
38. Antide group
Obiettivi del Firewall
• Controllare i servizi a cui accedono gli utenti
• Determinare in quale direzione vengono inoltrate
le richieste di servizio
• Controllare quali utenti accedono ai servizi
• Controllare come ogni servizio viene utilizzato
• Informare gli amministratori in caso di allarmi
• Monitorare l’uso di Internet
• Mascherare gli indirizzi nascondendo l’identità
degli utenti
39. Antide group
Componenti base di un Firewall
• Packet Filtering Router
– E’ un Router che oltre ad instradare controlla il
pacchetto. Il controllo avviene considerando Ip di
provenienza e destinazione, protocollo utilizzato e porta
utilizzata. Non a livello applicativo.
– Scelta fra Tutto Bloccato e lista servizi abilitati o Tutto
Aperto e lista servizi bloccati
• Proxy Server
– Richiesta di credenziali all’utente per accedere al server
remoto e verifica con la politica descritta
40. Antide group
Compiti di un firewall
• Assicurarsi che, se un'azione non è abilitata
dalla policy del sito, tutti i tentativi di
perseguirla falliscano;
• Registrare ad eventi sospetti;
• Avvertire i responsabili del sistema di tutti i
tentativi di incursione;
• Creare statistiche d'accesso
41. Antide group
DMZ
• Se il firewall ha tre porte ethernet può gestire una
rete sicura riservata ai propri server Internet
(DMZ) e isolare la rete locale
42. Antide group
Mercato appliance
• Check Point + Nokia IP (il più noto)
• CISCO PIX
• Watchguard
• Symantec Velociraptor + SUN Cobalt
43. Antide group
Watchguard Firebox Caratteristiche
• Hardware Diskless
• S.O. Linux potenziato per la sicurezza
• Statefull Pachet Filtering (131-197 Mbps) e Advanced
Security Proxies per il massimo controllo del traffico
• Gestione avanzata VPN (150-330 Tunnel contemporanei)
• Potente ma intuitivo software di gestione delle policy di
sicurezza
• NAT Statico e Dinamico e filtri URL
• Reportistica evoluta
• Crittografia simmetrica 3DES (5-100 Mbps)
• 3 interfacce di rete 10/100: Interna, Esterna e DMZ
44. Antide group
Watchguard Firebox Caratteristiche
• Software avanzato di gestione VPN
• Software Client per utenti mobili VPN
• Gestione di Firebox ridondati per la massima disponibilità
• Controlli antispam
45. Antide group
Watchguard Firebox Supporto
• Live Security Service
– Personale specializzato per il supporto tecnico
– Aggiornamenti Software, Segnalazione virus, Tutorials
– Livello Opzionale Avanzato (Gold) per accesso al
Priority Support Team, Supporto tecnico 24/7, 1 ora di
tempo di risposta
46. Antide group
Watchguard Firebox
• Firebox SOHO 10-50 utenti Mil 1-1,4 20%
promo TC a noi 1.060
• Firebox 700 250 ut. Aut. Mil. 7,5 33%
Promo corso gratuito
• Firebox 1000 1000 ut. Aut. Mil. 11,3
• Firebox 2500 5000 ut. Aut. Mil 16,9
• Firebox 4500 5000 ut. Aut. Mil 22,5
47. Antide group
FIREWALL WATCHGUARD ENTRY
LEVEL
• Firebox SOHO e' il firewall per la piccola azienda per
proteggere totalmente dall'accesso indesiderato via
Internet. Non necessita nessun software da caricare nei
posti di lavoro e si configura molto semplicemente tramite
un browser Internet
• Svolge funzioni di NAT, PAT e firewall con filtering dei
pacchetti in ingresso e possibilita' di pubblicare host della
rete privata sulla rete pubblica per far accedere a servizi
come HTTP e FTP ad utenti di Internet esterni.
• Supporto opzionale alla VPN
48. Antide group
VPN
• Permette di estendere la propria rete privata (LAN) verso
altre reti private utilizzando come dorsale una rete pubblica
(e quindi intrinsecamente insicura).
• Permette una forte riduzione dei costi di connettività
• Dati trasmessi da una rete privata all'altra vengono
automaticamente crittografati e de-cirttografati dai firewall
• La funzione di VPN è possibile anche tra la propria rete
locale e un un portatile in Internet: è sufficiente installare
nel portatile un apposito software che si occupi di
crittografare / de-crittografare i dati provenienti dal
firewall.
49. Antide group
Parametri per una VPN
• Velocità della linea Internet
• Garanzie del carrier
• Applicazioni che condividono la banda passante
• Tipo di firewall e sua capacità elaborativa
• Sistema di criptazione dei pacchetti
50. Antide group
UUSecure VPN
• Il primo Carrier mondiale (secondo i recenti benchmark)
con una copertura in oltre 65 paesi. Oltre 2.500 POP
• Proprietario del backbone IP di UUNET
• Servizio chiavi in mano che include il circuito locale e
l’hardware, installazione on-site e supporto 24x7
• Soluzioni flessibili di banda in funzione dei siti da
collegare
• Gestione proattiva e SLA con crediti al cliente
• Criptazione IPSEC
• Usa Lucent Access Point ™