Sicurezza dei sistemi informativi - mat.uniroma3
annuncio pubblicitario
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 CorsodiLaureainMatematica DipartimentodiMatematicaeFisica Sistemiperl’elaborazionedelleinformazioni 8.Sicurezzadeisistemiinformativi DispensedelcorsoIN530a.a.2016/2017 prof.MarcoLiverani Sicurezzadeisistemiinformativi • InambitoITgarantirelasicurezzadiunsistemainformativosignificagarantirne: – riservatezzadelleinformazioni(confidentiality):solochièautorizzatodevepoteraccedere all’informazione; – integritàdelleinformazioni(integrity):leinformazioninondevonoesseredanneggiateo modificatepercasooconintenzionimalevole; – disponibilitàdelleinformazioni(availability):leinformazionidevonoesseresempredisponibilia chièautorizzatoadutilizzarle • • Occuparsidisicurezzainformaticasignificaquindipredisporrepolitiche,processi,controlli e contromisureinformaticheingradodicontrastareleminaccecherischianodi comprometterelariservatezza,l’integritàeladisponibilitàdelleinformazioni Nell’ambitodellasicurezzainformatical’oggettopiùpreziosodaproteggereèl’informazione, ildato,oilserviziodibusinesserogatoconilsupportodelsistemainformatico(es.:ilvalore diuncomputernonèdatosolodalsuoprezzodiacquisto,masoprattuttodall’importanza deldatochegestisceedelserviziocheeroga) M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 1 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 Sicurezzadeisistemiinformativi • • Perchésiadottanodellemisuredisicurezza?Dacosacisivuoleproteggere? Leminacceperunsistemainformativosonodidiversitipi: 1. catastrofinaturalieincidenti imprevisti 2. aggressionedapartedihacker,ossiadapartedisoggettiesterniintenzionatiacomprometterela sicurezzadelsistemainformativo:perdanneggiarel’aziendasottraendoinformazioni, compromettendoleinformazioniorendendoleindisponibilieinquestomodoimpedendola correttaerogazionediunserviziodibusinessolarealizzazionediunprodotto 3. softwaremalevolo,comevirusomalware,ingradodidanneggiareidatioisistemiinformatici, anchesolodeteriorandoneleperformance 4. attivitàscorretteeillecitedapartedipersonaleinternoall’organizzazioneaziendale,dipendentie collaboratoridell’azienda,talvoltaeffettuateinconsapevolmente • Taliminaccesonoingradodiprovocareundannoalbusinessaziendale,attraverso: – lacompromissionedeisistemiinformaticicheconsentonoall’aziendadierogareunservizioai propriclienti; – lafugadinotizieriservate,chepotrebberodanneggiaredirettamentel’azienda(es.:dati commercialiobrevetti)oisuoiclienti(es.:numeridicartedicreditooinformazionisanitarie) – lamodificaolacancellazionedidatirilevanti(es.:spostamentodivalorieconomicisuiconti bancariosucontiassicurativioprevidenziali) DominitematicidellaSicurezzaIT (ISC)2 – InternationalInformationSystemsSecurityCertification Consortium,hadefinito8dominitematici dellasicurezzaIT:questasuddivisionerappresentaunabuonaclassificazionedegliambitidiinterventodella sicurezzainformatica(CISSPknowledge domains) 1.SecurityandRisk Management 5.IdentityandAccessManagement 2.AssetSecurity 6.SecurityAssessmentandTesting Confidentiality,integrity,andavailability concepts; Securitygovernance principles;Compliance;Legaland regulatory issues;Professionalethic;Securitypolicies, standards,procedures andguidelines Physical andlogical assets control,Identification and authentication ofpeople anddevices,Third-partyidentity services,Accesscontrolattacks,Identityandaccess provisioninglifecycle Informationandassetclassification;Ownership (e.g. dataowners,system owners);Protect privacy; Appropriateretention;Datasecuritycontrols;Handling requirements Assessmentandteststrategies,Securityprocess data, Securitycontroltesting,Testoutputs,Security architectures vulnerabilities 3.SecurityEngineering Engineeringprocesses using secure designprinciples, Securitycapabilities ofinformationsystems,Security architectures,designs,andsolution elements vulnerabilities,Web-basedsystems vulnerabilities, Mobilesystems vulnerabilities,Cryptography,Physical security 4.Communication andNetworkSecurity Secure networkarchitecture design,Secure network components,Secure communication channels,Network attacks 7.SecurityOperations Investigations,Incident Management,andDisaster Recovery,Logging andmonitoring activities,Patchand vulnerability management,Change management processes,Recovery strategies Disaster recovery processes andplans Businesscontinuity planning,Physical security 8.SoftwareDevelopmentSecurity Securityinthesoftwaredevelopment lifecycle, Developmentenvironment securitycontrols,Software securityeffectiveness,Acquired softwaresecurityimpact M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 2 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 TheMap ofCybersecurity Domains Alcunitipidiattaccoinformatico • Attacchiingradodisfruttarespecifichedebolezzediunprogrammasoftware – Exploit:sfruttandounbugouna“vulnerabilità”delsoftware,l’attaccanteriesceafareseguireil codicediunprogrammaaltargetsottoattacco,inmododadanneggiareleinformazioni, comprometternelariservatezzaoacquisireprivilegielevatisullamacchina – Shellcode:èunattaccochemedianteunexploitriesceadeseguireunashell delsistemaoperativo sullamacchinatarget – Bufferoverflow (anchestack overflow,heap overflow):èunattaccoche,saturandoun’areadi memoriadellamacchina,sovrascrivelamemoriaadiacente,compromettendoilcorretto funzionamentodelprogrammaodell’interosistema;tipicamentesonodovutiadunainadeguata gestionedell’inputdapartedelprogramma,cheaccettaquantitàdidatiiningressotalidasaturare lamemoriadedicataalprocesso – Cracking:modificasoftwareconl’obiettivodirimuovereuncodicediprotezionediunprogrammao diaccedereadareeprotettedelsistema;vieneeffettuatoeseguendoilreverseengineering del codicebinariodiunprogramma M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 3 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 Alcunitipidiattaccoinformatico • AttacchiingradodisfruttareconnessionidireteeporteTCPdiaccessoalsistematargetodi interveniresultrafficodirete – Backdoor:èunatecnicadiattaccoadunsistemainformaticochesfruttaporte“nascoste”,ma lasciateapertedachigestisceilsistemapereseguirepiùagevolmenteoperazionidimanutenzione delsistema;unabackdoor puòancheessereattivatamedianteunprogramma“trojan”checreauna portadiaccessoviaretealcomputerattivandounserviziononautorizzatoinascoltosuuna specificaportaTCPoUDP – Portscanning:scansionedituttelepossibiliporteTCP/UDPapertesuunhost,alfinedistudiarnela configurazioneeindividuarnedelledebolezzeodeipuntidiattacco – Sniffing:intercettazionedeipacchetticheviaggianosullareteacuièconnessoilcomputer dell’attaccante;l’obiettivoèquellodicarpireinformazioniriservatetrasmesse“inchiaro” – Keylogging:intercettazione(mediantesoftwaremalwareodispositivihardwarecollegatial computerattaccato)deidatidigitatisullatastieradall’utenteduranteunanormalesessionedi lavoro – Spoofing:sitentadiaccedereadunhost,falsificandol’identitàdelcomputerdell’attaccante (indirizzoIP,MACaddress,hostname DNS,ecc.) – DoS/DDoS:Denial ofService/DistributedDenial ofService,sonoattacchiprovenientidauno(DoS)o piùcomputer(DDoS)collegatiallarete,che,utilizzandoportediconnessionedelserversotto attacco,noteeaperteperl’erogazionediservizi,miranoasaturarnelerisorse(es.:numerodi connessionicontemporaneegestibilidalserver)finoarenderenonpiùfruibiliiservizierogatidal server Alcunitipidiattaccoinformatico • Attacchicondotticonl’utilizzodisoftwaremalevolo(malware,virus,...) – Malware:ègenericamenteunsoftwarecheoperaconl’intenzionediviolarelaprotezionedelle informazionipresentisuuncomputerpereliminarleotrafugarle – Trojan Horse:èunsoftwarechevieneeseguitoinconsapevolmentedall’utentesulproprio computere,cosìfacendo,provocal’aperturadiunaportaTCPchevienesfruttatadall’attaccante peraccederealcomputer – Virus:sonosoftwarechedanneggianoidatipresentisulcomputerechehannolacapacitàdi attivarsiagganciandosiadunprogrammanonmalevolo,modificandoneilcodicebinario;ognivolta cheilprogramma“contagiato”vieneeseguito,vieneeseguitoancheilvirus – Spyware:softwarecheinvianoadestinatariesternienonautorizzati,informazionipresentisul computersucuièinstallatoloSpyware • Attacchidisocialengineering,conl’obiettivodisfruttarelascarsaconsapevolezzadella riservatezzadelleinformazioniapparentementenoncritichedapartedelpersonaledi un’organizzazione,peraccedereadinformazioniriservate – Letecnichedisocialengineering prevedonoanchel’acquisizionedimaterialediscarto(fogli stampati,dischetti,CD,DVD,harddiskdismessi,peracquisireinformazioniutiliaportareatermine unattaccoalsistemainformativo – AltretecnicheconsistononelfornirestrumentidotatidiTrojan chevengonopoiinseriti inconsapevolmentedagliutentisuilorocomputer – Tecnichedisocialengineering/socialhacking sonousatepercompierefurtid’identità,trafugando lecredenzialidiunutente(asuainsaputa),perpoiaccederealsistemaattraversocanalistandard M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 4 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 Sicurezzadeisistemiinformativi • Lasicurezzasioccupadipredisporrecontromisureidoneeacontrastareminacceditipo “fisico”editipo“logico”:leprimeriguardanol’integritàdeisistemi(computer,reti,ecc.),le altreriguardanominacceecontromisureditiposoftware Rilevazione fumi Antincendio Sicurezza Fisica Rilevazione allagamento Porte, allarmi, guardiania, videosorveglianza Incendio Allagamento Minacce fisiche Furto e Danneggiamento Sicurezza IT Minacce Sicurezza perimetrale Sicurezza Logica Sicurezza end-point Sicurezza applicativa, Sistemi AAA, Crittografia dei dati Attacchi informatici dalla rete Virus e malware Minacce logiche Accesso non autorizzato ad applicazioni e dati Furto di informazioni Sicurezzafisicadiunsistemainformativo • Lasicurezzafisicadelsistemainformativoriguardaprevalentemente: – sicurezzadell’edificiocheospitailsistemainformativo: • guardiania • telecameredivideosorveglianzaesistemidiregistrazionevideo • localiadaccessoriservatoconporteblindate – controllidiaccessodellepersoneall’edificio • • • • guardianiaepersonalediportineria sistemidiidentificazioneedicontrollodegliaccessidellepersone(conbadgepersonaleodatibiometrici) processidiaccertamentodell’identitàerilasciodichiaviobadgediaccesso sistemiantifurtoodirilevazionedellapresenzainlocaliriservati – sistemianti-incendioeanti-allagamento • rilevatoridifumoefiamme • sistemaautomaticodiallarmeedispositivianti-incendio • porte,pareti,materiali,armadiignifughi – sistemidibusinesscontinuity edidisaster recovery • gruppidicontinuitàelettricaeproceduredispegnimentosicurodeisistemiincasodiprolungataassenzadi energiaelettrica • sistemidiclimatizzazionedeilocaliCEDalfinedigarantirelacorrettatemperaturadieserciziodeisistemi • sistemidiridondanzaelettrica,dicomponentihardwareinformatiche,diconnessionedirete • pianodiripristinodeisistemiedelleattivitàinlocalidiversiedistantidaquellidel“sitoprimario”incasodi disastro(“sitosecondario”o“sitodidisaster recovery”) M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 5 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 Sicurezzalogicadiunsistemainformativo • Sicurezzaperimetrale – l’insiemedeglistrumentiedelletecnicheutilizzateperimpedireaccessinonautorizzatiallarete aziendaledall’esternooattacchiinformaticichepossanocomprometterel’erogazionediservizi – inquestoambitolecontromisuresonostrumenticheanalizzanoipacchetticheviaggianoinrete bloccandoquellisospettioattivandodegliallarmiinloropresenza • Sicurezzadegliend-point – l’insiemedeglistrumentiedelletecnicheusateperproteggereicomputereglialtridispositividi tipo“end-point”,ossialefogliedelgrafodellareteinformaticaaziendale,costituitedaipersonal computeredaglialtridispositiviconnessiinrete – inquestoambitosioperaattraversoappositeconfigurazionidelsistemaoperativodellamacchina end-point (hardening dellaconfigurazione,cifraturadeivolumi),attraversol’aggiornamento softwarecontinuo,l’applicazionedipatchdisicurezzaemediantel’installazionedisoftwareantimalwareeanti-virus • Sicurezzaapplicativa – tecnichediscritturadisoftwaresicuro,limitandoilrischiodipresenzadivulnerabilità,tecnichedi verifica(vulnerability assessment,application penetration test) – strumentiditipoAAA(Authentication,Authorization,Accounting)integraticontutteleapplicazioni delsistemainformativoaziendale Sicurezzaperimetrale • Obiettivo: – rendereaccessibilidallareteesternaiservizioffertidalsistemainformativoaziendale – proteggereilsistemainformativo(eisuoidati)daaccessinonautorizzatidall’esterno – contrastareattacchiinformaticicondottiattraversolarete(DoS/DDoS,port scanning,spoofing,...) M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 6 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 Sicurezzaperimetrale:firewall • IlprincipalestrumentodisicurezzaperimetraleèilFirewall – Èuncomputerdotatodidueopiùinterfaccedireteesvolgeilruolodigatewaytradueopiùreti – Gestisceleregolechedeterminanoiltrafficochepuòpassaredaunareteadun’altra • Tipicamentecollegatreretidistinte: – lareteesterna,fuoridalperimetrodelsistemainformativoaziendale(es.:lareteInternet) – lareteinterna,lareteaziendaleveraepropria,acuisonoconnessigliend-point degliutenti interni;questaretegeneralmentenonèaccessibiledall’esterno,mainodidiquestaretepossono aprireconnessioniversonodidellareteesternasualcuniprotocolliapplicativieversoalcuni indirizziesterni – lareteDMZ(demilitarized zone),laretedelsistemainformativoaziendaleacuisonoconnessigli hostcheeroganoserviziversol’esternoechequindidevonoessereaccessibilidallareteesterna (mailserver,webserver,DNS,ecc.) • Processooperativo: – Valutazionedelladirezionedeltraffico(retesorgente,retedestinazione)eselezionedellepolicydi sicurezzaimpostate – Valutazionedellaraggiungibilitàdell’indirizzodidestinazione(eventualmentetramiteNAT) dall’indirizzodiorigine – ValutazionedellaraggiungibilitàdellaportaTCP/UDPdelserverrichiestadalclientsullabasedelle policydisicurezzaimpostate – Attivazionedellaconnessione,oppure“drop”delpacchetto Sicurezzaperimetrale:IDS/IPS • • IsistemiIDS (intrusion detection system)sonoapparatihardwareoprogrammisoftware dedicatiadanalizzareiltrafficodireteiningressoperrilevaresequenzedidatichesiano riconoscibilicomeaccessinonautorizzatidall’esterno IsistemiIDSsibasanosull’applicazionediregoleeuristicheperdeterminarecheuna connessioneèillecita,untentativodiintrusione(riuscito)nonautorizzato • IsistemiIPS (intrusion prevention system)sono,alcontrario,sistemicheanalizzandoil trafficodireteidentificanountentativodiintrusionedall’esternononautorizzatoenon ancoraeseguitoelobloccano(drop delpacchettodirete) • AdesempioisistemiIDSeIPSsonoingradodiidentificare(IDS)edibloccare(IPS)unport scan dallareteesterna • SpessoquestidispositivisonounacomponenteimplementatanelsoftwaredelFirewall M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 7 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 Sicurezzaperimetrale:ContentFiltering eProxyServer • • Unproxyserverèunacomponente(hardwareosoftware)chericeverichiestedallarete interna(tipicamenteHTTP/HTTPS),modificaipacchettiIPimpostandocomeindirizzoIP clientilproprioindirizzoesterno,edinviandoilpacchettoadestinazione;larispostadel servervienecosìricevutadalProxyServercheprovvedeagirarlaalclient Loscopodiunproxyserver(adesempiounHTTPproxy)èquellodi: – rendereaccessibileunarisorsaesternaanchetramiteunclientconunindirizzoprivato – nonstabilireunaconnessionediretedirettatraclient(interno)eserver(esterno):laconnessioneè intermediatadalproxyinmododeltuttotrasparenteperidueinterlocutori – rifiutareconnessioniversositipresentiinunablack listgestitanellaconfigurazionedelproxy(es.: sitipornografici,sitidi“fishing”,sitiicuicontenuticontravvengonoall’eticaaziendale,ecc.) • Uncontent filter èunasortadiproxycheattualeproprieregolediraggiungibilitào irraggiungibilitàdiunsito,sullabasedelcontenutopresenteneltrafficodiretedall’esterno versol’interno – Ancheunsistemaantivirusoantispaminstallatosuunmailserver,èunasortadicontent filter: entranelmeritodelcontenutodellemailestabiliscesetrasmetterleoeliminarledallacoda Sicurezzaperimetrale:VPN– VirtualPrivateNetwork • • UnaVPNèunaconnessionedireteprivatabasatasuunainfrastrutturaditrasporto pubblica (es.:Internet) LaVPNèbasatasuduecomponenti,gliend-point dellaVPN,chesvolgonoilruolodi gatewayperiltrafficochepassadaunnodoall’altrodellarete: – l’end-point VPNdellareteacuièconnessalasorgentedellatrasmissione,riceveipacchetti destinatiaduncomputerconnessoall’altrocapodellaVPN,licifraconunachiavenotaall’altroendpoint eloinviano – l’end-point VPNdellareteacuièconnessol’host didestinazione,riceveilpacchettocifrato,lo decifraeloinoltraall’indirizzodidestinazione – inquestomodoiltrafficochepassasullaretepubblicaècifratoe,seanchevenisseintercettatoda unattaccante,nonsarebbefaciledecifrarneilcontenuto • lareteVPNpuòessereditretipi: – VPNsite-to-site:duenodidelleduereti(siti)chedevonocomunicareinVPN(es.:duefilialidella stessaazienda)sonoend-point VPN;glialtrinodidellareteutilizzanolaVPNinmodotrasparente – VPNclient-to-site:unodeidueend-point èuncomputerclient,chedeveconnettersiallarete aziendaleinmodalitàsicura;sulclientvieneinstallatounsoftwarechesvolgeilruoloditerminatore VPN – VPNclient-to-client:laVPNvienestabilitaviasoftware(condueagentinstallatisuiduecomputer) traduecomputerclient M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 8 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 Sicurezzaperimetrale:VPN– VirtualPrivateNetwork • VPNsite-to-site(ilterminatoreVPNpuòessererealizzatodalfirewall) • VPNclient-to-site:ilclientèconnessoadunareteaziendaleodirettamenteallarete pubblicaedisponediunclientVPNchesioccupadellacifraturadeltrafficoscambiatoconil terminatoreVPNaziendale Sicurezzadegliend-point • Laprotezionedellepostazionidilavoroedeiserver,icosiddetti“endpoint”delsistema informativoaziendale,puòessereattuatasuquattrolineeprincipali: – – – – • Hardening,aggiornamentocontinuoconpatch SistemiAntivirus Personalfirewall SistemiDataLoss Prevention Hardening dellamacchina – Consistenellaapplicazionediconfigurazionidelsoftwaredibaseedelsoftwareapplicativoche riducanoilrischiodicreareipresuppostiperattacchidall’esterno(es.:disabilitazionediservizi inutiliononutilizzati,impostazionedipasswordnonbanali,definizionediprofilidiautorizzazione pergliutentidellamacchinachelimitinolalorooperatività,ecc.) – Unacomponentefondamentaledell’hardening èl’installazionedituttelepatchdisicurezza disponibiliperilsoftwaredibaseeperilsoftwareapplicativo;l’impostazionedipolitichedi aggiornamentoautomaticocontinuodelsistemaoperativodellepostazionidilavoroèunabuona prassi M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 9 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 Sicurezzadegliend-point • SoftwareAntivirus – Èbuonanormainstallaresututtelepostazionidilavorounsoftwareantivirus – Sonoprogrammicheanalizzanointemporealeilcontenutodifileeprogramminelmomentoincui questivengonoacquisitidall’esterno(viamail,viatrasferimentofiledallarete,mediantememoria dimassaremovibile,ecc.)eidentificanodeipatternnellesequenzedibyte,riconducibiliaquelle checaratterizzanosoftwareinfettatodavirus:queiprogrammivengonoeliminatiocopiatiin un’areadelfilesystemdettadi“quarantena” – Gliantiviruseseguonovalutazionieuristichebasatesuipattern(le“firme”deivirus)aggiornati continuamentedailaboratoridiricercaesviluppodeiproduttorideisoftwareantivirus:èbuona normaquindiconfigurareilsoftwareantivirusperscaricarequotidianamentegliaggiornamenti dellefirmedeinuovivirusscopertidalproduttoredell’antivirus • Personalfirewall – Comecomponentedelsistemaoperativosonospessopresentideisoftwarecheconsentonodi attuaresulpersonalcomputerosulserverdellepolitichediaccettazioneodirifiutodiconnessioni provenientidallarete,analogheaquelledefinitesuifirewall – Questogeneredistrumentononpuòsostituireunfirewallveroeproprioperchéperriuscirea valutarelerichiestediconnessionedall’esterno,lamacchinadevecomunqueaccettarle:pertantoil personalfirewallnonèingradodievitarechelamacchinaend-point vengaattaccata,mapuò limitareinmodosignificativolaprobabilitàchel’attaccoabbiasuccesso Sicurezzadegliend-point • SistemidiDataLoss Prevention (DLP) – Suipersonalcomputer,maanchesuifileserver,sonopresentimolteinformazionianchecriticheo riservate,informa“destrutturata”:sitrattadidatiimportanticontenutisudocumentiMicrosoft Word,tabelleMicrosoftExcel,documentielettroniciinformatoPDFoMicrosoftPowerpoint,ecc. – Taliinformazioninonsonogestitemedianteunprogrammachenelimitil’accessibilitàdapartedegli utentisullabasedispecificheautorizzazioni:queifilepossonoesserefacilmentedistrutti,stampati, condivisiconaltri,ancheconchinonhailpermessodiaccedereataliinformazioni – Lariservatezza,l’integritàeladisponibilitàdelleinformazionipresentisuifileprodotticon strumentidiofficeautomation,dipendonodallaconsapevolezzadell’utente – IsistemiDLParricchisconoilsistemaoperativodellamacchinadifunzionalitàevolutediprotezione delleinformazioninonstrutturate: • permettonodidefinireediattuarepolicydicifratura deifile • policydiprotezione dadanneggiamenti • policyperlacondivisione deifilestessi(es.:impedisconolastampaolacondivisioneviae-maildi documenticherispettanoundeterminatoformatoocontengonospecificipatternriconducibiliad informazioniriservate,ecc.) M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 10 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 Sicurezzaapplicativa • Consistenell’adottaremetodologieestrumentiperrenderesicureleapplicazioni informatichemediantecuigliutentiautorizzatiaccedonoaidatipresentinelsistema informativoaziendale: – progettazioneesviluppodisoftwareintrinsecamentesicuroeresistenteadattacchiinformatici – adozionedicomponentiarchitetturaliingradodioffrireservizidiprotezioneapplicativa ben ingegnerizzatieindipendentidallacodificadeiprogrammi(servizi“AAA”) Metodologiediprogettazioneesviluppo“sicure” • Progettazioneesviluppodisoftwaresicuro – anchegrazieallecontromisureadottateperilcontrollodegliaccessialsistemainformativoela messainprotezionedeidati,lamaggiorpartedegliattacchiinformaticisonoindirizzati direttamenteversoleapplicazioni – gliobiettividegliattacchisonolevulnerabilitàpresentiall’internodelleapplicazionisoftware – sonostatesviluppatenumerosemetodologieperaumentareillivellodiqualitànelprocessodi progettazioneesviluppodelsoftware,alfinediridurrenonsololadifettositàfunzionaledei programmi,madicurareanchelaprogettazionedisoftwareesentedavulnerabilitàintrinseche M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 11 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 Metodologiediprogettazioneesviluppo“sicure” • SecurityDevelopmentLifecycle (SDL):definitodaMicrosoftperridurrelavulnerabilitàdei propriprodotti • Siarticolasusettefasiprincipali: 1. Training:formazionedeiprogrammatorisulletecnichedisvilupposicurodelsoftware 2. Requirements:definizionedeirischirelativiallariservatezzadeidatieallasicurezza 3. Design (progettazione):nelladefinizionedeirequisitidelsoftwaredevonoessereconsideratianche irequisitiinerentilasicurezza;devonoesseredefinitiscenaridiattaccoalsoftware,inmododa realizzarerequisitichesiponganocomecontromisureefficaci 4. Implementation (sviluppo):utilizzoditool disviluppoverificatieapprovatidalresponsabiledello svilupposoftware,attivareopzionieutilitydiwarning sullacompilazionedelsoftware,effettuare verifiche“statiche”sulcodicesoftwareprimadellasuacompilazione 5. Verification (verificaevalidazionedelsoftwareattraversotesteverifichedipianidiattacco):test dinamicianchemediantetool software,test“fuzzy”mediantel’introduzionediinputcasuale, revisionedella“superficiediattacco”delsoftware(l’insiemedegliaspettichepossonoessere oggettodiunattaccoinformatico) 6. Release (rilascio):prepararepianidirispostaadincidentiinformaticiinmododaprodurre tempestivamentecorrezioniepatch,eseguiretestfinalidisicurezzasullareleasesoftwareoggetto dirilascio 7. Response:avalledelrilasciodelsoftware,attuarepianidirispostaallesegnalazionidiincidenti informatici Metodologiediprogettazioneesviluppo“sicure” • IlmodelloCLASP (Comprehensive,Lightweight ApplicationSecurityProcess)fornitodal progettoOWASP (OpenWebApplicationSecurityProject)fornisceunapprocciostrutturato all’integrazionediattivitàdisicurezzainognifasediunciclodisvilupposoftware • Èbasatosucinquepuntidivista(view) – – – – – • Concepts view Role-based view Activity-AssessmentView Activity-Implementation View Vulnerability View Altremetodologie: – – – – Capability Maturity ModelIntegration(CMMI) SystemsSecurityEngineering– Capability Maturity Model(SSE-CMM) SoftwareAssuranceMaturity Model(SAMM) BuildingSecurityinMaturity Model(BSIMM) M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 12 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 Metodologiediprogettazioneesviluppo“sicure” • Leminacceacuièsottopostounsoftwarepossonoessereclassificatesecondoilmodello STRIDE definitodaMicrosoft: – Spoofing:attacchibasatisullafalsificazionedell’identità(es.:webspoofing:falsificazione dell’identitàdiunserverwebperfarcredereadunutentediessereconnessoaduncertoserver mentreèconnessoadunservermalevolo) – Tampering:l’informazioneintransitovienemodificataorimpiazzataprimadiraggiungereil destinatario(es.:modificadiunordine,diunmovimentobancario,ecc.) – Repudiation:ripudiodelleinformazioniprodottedalsistema – Informationdisclosure:divulgazionediinformazioniriservategestitedall’applicazione – Denial ofService:ilservizioerogatodalsoftwareattaccatovieneresoindisponibileagliutenti, inviandoalsoftwareunaquantitàdirichiestetalidasaturarelasuacapacitàdirisposta – Elevation ofprivilege:incrementodeiprivilegidell’utenzaconcuivieneeseguitaunadeterminata applicazione,alfinediviolarel’integritàolariservatezzadeidati SistemiAAA:authentication,authorization,accounting • Sulsistemainformativovengonointrodottedellecomponentiinfrastrutturalicheoffrono servizidiautenticazione,autorizzazioneeaccounting degliutentidelleapplicazioni – Autenticazione:meccanismiperaccertarel’identitàdell’utente(oper“autenticare”la dichiarazionediidentitàfattadall’utente) – Autorizzazione:meccanismidiverificaeattuazionedelleregolediautorizzazioneassegnateadun utenteperl’esecuzionediunadeterminatafunzionalitàapplicativaoperl’accessoadundatootipo didato – Accounting:meccanismidiresponsabilizzazionedell’utente,ancheattraversoiltracciamentodelle operazionisvoltesuidatimedianteleapplicazionioglialtristrumentiresidisponibilisulsistema informativo • Seoffertecomeservizio,lefunzionidevonosoloessererichiamatedalleapplicazioni, attraversoappositiprotocolliofunzionidilibreria: – inquestomodosisemplificalosviluppodelsoftware:nondevonoessereprogettatee implementatelefunzionidiautenticazione,autorizzazioneeaccounting intutteleapplicazioni – sigarantiscemaggioresicurezza:lefunzionisonosviluppateunavoltapertutte(osonobasatesu unprodottodimercato)eintegrateconleapplicazionieisistemi;nonsicorreilrischiochele stessefunzionipossanoessereimplementateinmanieradifferentedaun’applicazioneall’altra – sigarantiscemaggioreflessibilità:lasostituzionediunafunzioneditipoAAAconun’altrapuò esserefattacentralmente,senzadovermodificareogniapplicazione M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 13 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 Autenticazione • L’autenticazionediunutenteneiconfrontidiun’applicazione(odiun’applicazionenei confrontidiun’altraapplicazione)sibasasuunadelleseguentiinformazioni: – qualcosachesiconosce:adesempiounapasswordounPIN; – qualcosachesipossiede:adesempiounbadge,unachiave,untoken; – qualcosachesiè:adesempiol’improntadigitale,ilmodellodellaretinadell’occhio,ecc. • • • Lafasedilogin suun’applicazioneosuunsistemainformaticoèquellaincuil’utente dichiaralapropriaidentità(adesempioattraversounousername univoco)el’applicazioneo ilsistemaloautenticanoattraversolaverificadiunapassword segreta(notasoloall’utente) inseritacontestualmentedall’utente Daquelmomentoinpoivieneapertaunasessionedilavoroentrocuil’utentepuòoperare sull’applicazioneosulsistemasenzadoversiautenticarenuovamente Piùsistemipossonostabilirerelazionidifiduciatradiloroperconsentireadunutentedi autenticarsisuunsistemasenzapoidoversiautenticarenuovamenteanchesuglialtri(anche segliaccountsonodiversi):singlesign-on Autenticazione START Lapasswordè“inchiaro”: l’inviodellapasswordal sistemadiloginèun passaggiocritico,ilcanale deveessereprotetto inputusernamee password NO SÌ username esiste? Lapasswordètrattatain forma“cifrata”,nonviene memorizzata“inchiaro” calcolahash dellapassword à hash(pwd) recuperadarepository accounthash(pwd) associatoausername KO NO iduehash sono uguali? Lapassword“cifrata”è memorizzatasufile, directoryLDAP,database,... SÌ NO KO STOP M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni password scaduta? SÌ inputnuova password OK calcolahash(pwd)e memorizzalosurepository accountassociatoausername 14 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 Autenticazioneforte • Siparladiautenticazioneforte(strongauthentication)quandoilmeccanismodi autenticazioneèbasatosuduedeitrefattori – es.:perautenticarel’utentechedichiaralapropriaidentitàattraversounousername,sifornisce unapasswordeuncodicegeneratodauntoken assegnatoall’utentestesso • Autenticazioneforteconcertificatidigitali – L’utenteèdotatodiunasmart-cardconabordounacoppiadichiavicrittografiche;ilserverdi autenticazionepossiedelachiavepubblicadell’utente – Ilpassocriticoèlagenerazionedellechiavicrittograficheel’assegnazioneagliutenti:questafase deveessereprotettaegestitaconunprocessobendefinitoeverificato – Algoritmo“challenge/response”: 1. 2. ilservergenerauncodiceelosottoponeall’utentecheneproduceunacifraturaasimmetricaconla propriachiaveprivata Seilserverriesceaportareinchiaroilcodiceutilizzandolachiavepubblicadell’utente,alloraavrà compiutolasuaautenticazione:soloconlachiavepubblicadell’utentesipuòriportareinchiaroilcodice cifratoconlasuachiaveprivata;ilcodiceènotoalserverchepuòquindiverificarnel’uguaglianzacon quellogeneratoalpassoprecedente Autenticazioneforte • AutenticazioneforteconOTP(one timepassword) – Unalgoritmogeneraintemporealeunapasswordchepuòessereutilizzatadall’utenteunasola volta:ancheseintercettatadaunattaccantelapasswordnonsaràpiùutileperautenticarsianome diunaltroutente • TretipidialgoritmiprincipaliperlagenerazionediOTP: – AlgoritmibasatisullasincronizzazionetemporaletraserverOTPeclientcheforniscelapassword (leOTPsonovalidesoloperunbreveperiododitempo,es.:30”) – Algoritmibasatisuunacatenadipasswordlegatetraloroegenerateperviaalgoritmica,inbase ancheadun“seme”associatoalclientOTPassegnatoall’utente:ilservereilclientgeneranouna nuovapasswordinbaseallapasswordprecedente – Algoritmiditipochallenge/response:ilservergeneraunnumerocasualeeloinviaalclientche restituiràuncodicebasatosuquelnumerocasualeesul“seme”associatoalclientOTPdell’utente M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 15 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 AutenticazioneforteconOTP OTP Server Secret DB Utente T0:caricamentodei“segreti”associatiai token OTPneldatabasedelserverOTP User: mrossi TokenID: XY987Z OTP Server Secret DB 1234 Utente T1:assegnazionetoken all’utentee registrazioneassociazioneutente/token sulDB AutenticazioneforteconOTP User: mrossi password: s3cr3t OTP: 9753 OTP Server Secret DB RADIUS 9753 1234 Utente T2:autenticazione:utenteinviausername, passwordeOTPgeneratadaltoken sulmomento user:mrossi password:s3cr3t? Secret DB Ok? Ok! OTP Server Autenticazione OK/KO RADIUS T3:OTPserververificausernameepasswordsu unsistemadiautenticazione(ancheesterno) M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 1234 Utente T4:serverOTPverificaseilcodiceOTP puòesseregeneratodaltoken XY987Z assegnatoall’utentemrossi 16 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 Autorizzazione • • • • • Leapplicazioni,isistemiapplicativi,isistemioperativisonostrumentiattraversocuil’utente (ounaltroprogramma)puòaccederealleinformazioniegestirleeseguendodelleoperazioni dilettura,scrittura,modificaecancellazione Agaranziadellasicurezzadelleinformazioni(riservatezza,integritàedisponibilità),isistemi applicativiimplementanomeccanismidiautorizzazione degliutentiperl’accessoaidati attraversolefunzionalitàmesseadisposizionedalsistemastesso Partendodalpresuppostochel’utentenonpuòinalcunmodooperaresuidatigestiti dall’applicazione,un’autorizzazioneèilpermessodicompiereunadeterminataoperazione suuncertotipodidato(es.:inserireunafattura,visualizzareuncertificatomedico, approvareunarichiestadiacquisto,ecc.) Isistemiprevedonoancheautorizzazioninecessarieperassegnareorevocare autorizzazioni:generalmentel’amministratoredelsistemaèautorizzatoaprioriagestirele autorizzazionideglialtriutenti L’applicazionedelleautorizzazionipermettediimplementareunmeccanismodicontrollo degliaccessi aidati: – l’utentechiededieseguireunadeterminataoperazionesuundato – ilsistemaverificasel’utenteèautorizzatoacompieretaleoperazionesuqueldato – ilsistemaconcedeoimpediscel’accessoaldato:controllodegliaccessi • Perpoterautorizzare unutente,questodovràesserestatoprecedentementeautenticato Autorizzazione • • • • • Pergarantireunacorrettapoliticadiautorizzazionedegliutentièopportunodefinireun insiemediruoliapplicativichesiapossibileattribuireagliutenti Ciascunruoloprevedeuninsiemediautorizzazionichesarannocosìattribuiteatuttigli utentiacuiverràassegnatoundeterminatoruolo Sicostruisceunprofilodell’utentedelsistemainformativobasatosuiruoli(equindisulle autorizzazioni)chesiassegnanoall’utente Assegnareorimuovereunruoloadunutentesignificaassegnareorimuovereuninsiemedi autorizzazioniallostessoutente Inun’organizzazionebenstrutturatairuoliapplicatividovrebberocorrispondereairuolidi businessdegliutenti – Es.:perun’applicazionegestionaleinuncontestoscolasticoouniversitario,iprofiliautorizzativi possonoesserecostruitisuiruolididocente,studente,bibliotecario,ecc. – Inquestomodouncambiodiruolonell’organizzazione,porterebbeadunafacileidentificazionedel nuovoprofiloautorizzativodaattribuireall’utente • RBAC:role based access control,èunapoliticadicontrollodegliaccessialleinformazioni basatasuiruoliassegnatiagliutenti M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 17 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 Accounting • • • • Perresponsabilizzaregliutentinell’usodellecredenzialiedelleautorizzazionichesonostate loroassegnate,ènecessariotracciareleoperazionisvoltedagliutentitramitelefunzioni resedisponibilidaisistemiapplicativi Isistemiproduconodelleindicazionisintetichesullasequenzadioperazionisvoltenel tempo:taliinformazionivengonochiamatilog Ilogsonomemorizzatisufileosuappositisistemidiraccoltadeilog;esistonoprotocolli(es.: syslog)elibreriesoftware(es.:log4j)checonsentonodisemplificarelascritturadilogedi inviareilogprodottidaunsistemaversounsistemadiraccolta Esistonovaritipidilog: – logdisistema:informanosullostatodifunzionamentodiunsistemaetraccianoglierroriavvenuto nelcorsodelfunzionamentodelsistemastesso – logapplicativi:informanosullostatodifunzionamentodiunprogrammaesulleoperazionisvolte suidati – logdidatabase:informanosulleoperazionisvoltesuidati;sonoutiliancheperripristinarelostato deldatabaseadunpuntoprecedenteall’esecuzionedideterminateoperazionidimodificadeidati – logdiaudit:informanosulleoperazionisvoltedagliutentimedianteunsistemaoun’applicazione Governancedellasicurezzadelsistemainformativoaziendale • Inunsistemainformativocomplessol’implementazionedisistemiAAAportaaduncontesto difficiledagestire Applications Utente Directories FileShares Utente Sistemi Databases Utente 10.000 utenti 100.000 account ogniutenteha circa10account diversi 1.000.000 autorizzazioni adogniaccountsono assegnatedecinedi autorizzazioni M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 1.000 sistemie applicazioni ogniapplicazioneosistema hadecinediautorizzazioni differenti 18 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 Governancedellasicurezzadelsistemainformativoaziendale • Inparticolarediventacomplicatoattuareunaveragovernance dellasicurezzainformatica – – – – • definizioneeattuazionedipoliticheperlasicurezza definizioneeattuazionediprocessigestionalicontrollati raccoltatempestivadiinformazioniedatiperpotercontrollareemisurareilservizio controlloemisuradieventualiscostamentidairequisitidettatidanormativeeregolamenti(compliance) Alcunedomandeacuiilresponsabiledellasicurezzadelleinformazioniètenutoarispondere: – – – – – – – – – – AqualiinformazionihaaccessoMr X? Chihaaccessoalleinformazionipresentinell’archivioY? ChihaautorizzatoMr Xadaccedereall’archivioY? Siamosicurichegliutentidelnostrosistemainformativoabbianosololeautorizzazioninecessarieperlo svolgimentodellorolavoro? Siamosicuricheleautorizzazioniassegnateagliutentidelsistemainformativorispettinolelineeguida sullasicurezzainterneelenormativevigenti? Qualèilprocessodiconcuivengonoassegnatecredenzialiedautorizzazioniainuovidipendenti dell’azienda?Epericonsulentiesterni?Eperifornitori?Peripartnerconcuicondividiamoalcune informazionioservizi? Qualèilprocessoconcuivengonomodificateleautorizzazionidegliutentichecambianosedeoruolo aziendale?Equandocessanolacollaborazioneconl’aziendacosasuccede? Quantotempovieneimpegnatoogginellagestionedelciclodivitadellecredenzialiedelleautorizzazioni assegnateagliutenti? Abbiamodefinitocriteridiassegnazionedelleautorizzazionibasatesullafunzioneaziendaledegliutenti? Vienepostamaggioreattenzionenellaassegnazionediautorizzazioniriguardantilerisorsepiùcritichedel sistemainformativoaziendale?Qualisonolerisorsepiùcritiche? Governancedellasicurezzadelsistemainformativoaziendale • Perconsentireunaeffettivaattivitàdigovernance dellasicurezzadelsistemainformativo aziendaleènecessario – definiredellepolicy,deiprocessiorganizzativiedeicontrolli – predisporredeisistemiITintegratiingradodiautomatizzareeguidaregliamministratoriegli utentinellaapplicazionedellepolicy,riducendopossibilitàdierroreeviolazionidellepolitichee dellenormativeesistenti • Alcunideiprincipalisistemidisupportoallagovernance dellasicurezza delsistema informativo: – sistemidiRisk Assessment,Risk Analysis,Risk Management:supportoall’analisieallagestionedei rischiacuièsoggettoilsistemainformativoaziendale – sistemidiIdentityManagement,IdentityGovernance:supportoallagestionedelciclodivitadelle credenzialiedelleautorizzazioniassegnateagliutentidelsistemainformativoaziendale – sistemidiAccessManagement,IdentityFederation:centralizzazionedeiservizidiautenticazionee autorizzazione,anchesubase“federata”,ossiaestendendoilperimetrodelservizioadaltre organizzazioniconcuil’aziendahastabilitodegliaccordidicollaborazione(edifiducia) – sistemiSIEM(SecurityInformationEvent Management):supportoallaraccolta,correlazionee analisideilogprovenientidallediversecomponentidelsistemainformativoaziendale M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 19 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 IdentityManagement:contestualizzazione E-mailserver Directoryserver Intranet ERP CRM DataWarehouse ... users & authz users & authz Security Admins Security Admins users & authz Security Admins users & authz Security Admins users & authz users & authz users & authz ?!? (#@$*!!!) Security Admins Responsabile Sicurezzadelle Informazioni Security Admins Security Admins J IdentityManagement:deploy dellasoluzione Directoryserver Intranet ERP CRM DataWarehouse ... users & authz Responsabile Sicurezzadelle Informazioni users & authz users & authz users & authz users & authz users & authz PROVISIONING E-mailserver Policy Processi eProcedure Informazioni Monitoraggio Controllo IDM Security Admins SINCRONIZZAZIONE HR users & authz M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 20 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 IdentityManagement:caratteristicheprincipali • È unacomponentedisicurezzalogicacheconsentedigestirecentralmenteleidentità digitalidellepersoneabilitateadutilizzareilsistemainformativoaziendale • Raccoglieinundatabaseunificatotutteleinformazionirelativeall’identificazionedell’utente sulsistemastessoesututtelepiattaformeintegrateconIDM(virtual identity degliutenti) – Conosceilnominativoedaltridati“anagrafici” perciascunapersonaabilitataadutilizzareilsistema informativoaziendale – Conoscegliaccountconcuiciascunutentesiautenticaedaccedesuivarisistemi • Raccogliealcunedelleinformazionirelativeallastrutturaorganizzativaaziendale – Conoscelacollocazionediognipersonanellastrutturaorganizzativa,alfinedistabilirechiè autorizzatoedèresponsabiledell’assegnazionedicredenzialieprivilegidiaccessoadogniutente • Raccoglieleinformazionirelativeallepiattaformeinformatichechecompongonoilsistema informativoesucuigliutentidovrannoaccedere – Conosceleinformazioniconcuiogniutentevieneidentificatosuciascunapiattaforma(piùaccount utenteperognipersona,unaccountperciascunapiattaforma) – Es.:IBMRACF,MicrosoftActiveDirectory,LotusNotes,ecc. IdentityManagement:caratteristicheprincipali • CosaconosceIDM: – Conosceleanagrafichedegliutentiperidentificarliunivocamente – Conoscelepiattaformeinformatichepresentinelsistemainformativo(MicrosoftWindows/AD, LotusNotes,OS/390-RACF,ecc.) – Conoscelastrutturaorganizzativaaziendale(sedi,direzioni,aree,ruolimacroscopicidegliutenti) • CosafaIDM: – – – – • Assegnagliaccountdiaccessoperlepiattaformeagliutenti Esegueilprovisioning/de-provisioningdegliaccountdiaccessoversolepiattaformetarget Acquisisceleanagrafichedegliutentidalsistemadigestionedellerisorseumane Consenteunaamministrazionedelegatabasatasullastrutturaorganizzativaaziendale CosanonfaIDM: – Nonsostituiscel’anagrafedelpersonale • alcontrario:acquisisceidatidall’anagrafedelpersonale – Nonsostituisceilsistemadigestionedellastrutturaorganizzativaaziendale • alcontrario:recepiscelastrutturaorganizzativanellaconfigurazioneelautilizzacomegrigliaentrocui delegareleattivitàdigestione – Nongestiscel’autenticazioneegliaccessidegliutentiaisistemiinformatici • alcontrario,licontrolla:medianteIDMsiassegnano,sisospendonoesirevocanolecredenzialiperl’accesso aisistemi M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 21 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 IdentityManagement:RiconciliazioneeProvisioning • Riconciliazione eProvisioning sonofunzionalitàpropriedellepiattaformediIdentity Management(IDM) • Riconciliazione eSincronizzazione conaltrisistemi – Èl’operazionecheconsentedicaricaredasistemipreesistentilecredenzialidegliutenti nel databasediIDM(percompletare/aggiornarelevirtual identity degliutenti) – Avvieneunavoltaall’inizializzazionedelsistemaIDMperlepiattaformechedovrannoessere alimentatedalsistemastesso(piattaformetarget) – AvvieneconcontinuitàperlepiattaformechealimentanolabaseinformativadelsistemaIDMeche “innescano” ilprocessodigestionedell’utente(isistemidigestionedellerisorseumaneedella strutturaorganizzativa– lecosiddettetrusted sources) • Provisioning versolepiattaformetarget – Èl’operazioneditrasmissionedellecredenziali utenteedelleinformazioniidentificativedal sistemaIDMversolepiattaformetargetsucuil’utentedovràaccedereedessereautenticatoper poteroperare – AvvieneogniqualvoltasonomodificatiisuoidatisullapiattaformaIDM – Èsoggettaall’approvazione deisoggettiprepostiagestirel’ambitodelleattivitàdell’utente(il direttoreoildirigente)edeisoggettiprepostiallagestionedellepiattaformeinformatiche IdentityManagement:principalibenefici • Sincronizzazioneconunaopiùtrusted sources perautomatizzareerenderetempestivo l’innescodivariazioninelciclodivitadellevirtual identity: – nuoviutenti,spostamentiomodifichedellefunzioniaziendali,conclusionidirapportidi collaborazione • Provisioningversosistemitargetdiautenticazioneeautorizzazionedegliutenti – automazionedelprocessodicreazione,cancellazioneemodificadicredenzialidiaccessoedi autorizzazionilegateallecredenziali • Principalibenefici: – Attuazionedialcunepolicydisicurezzasullecredenzialiesulleautorizzazionidegliutenti(naming convention,passwordpolicy,scadenzadellepassword,scadenzaautomaticadegliaccountdi accesso,ecc.) – Monitoraggiodelprocessodigestionedellecredenzialiedelleautorizzazioni(auditlogdelle operazionicompiutesullecredenzialiesulleautorizzazioniassegnateagliutenti) – Semplificazionedelprocessodigestione:ilpersonaletecnicoaddettoallagestionedellecredenziali edelleautorizzazionihaunostrumentounificato,webbased, pereffettuareleoperazionidi gestione;nonèrichiestalaconoscenzadicomandioproceduresusistemioperativioapplicativi specifici M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 22 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 IdentityManagement:unavistasemplificatasull’architettura Interfacciadigestionewebbased Scheduler Persistenzadeidati Connettorisistemitarget RDBMS DBMSrelazionale (Oracle,MySQL,…) Applicazione J2EE Motorediregoleeworkflow Gateway Virtual Identity Risorseesterne AccessManagement:contestualizzazione Applicazioni gestionali users & authz Intranet Applicazioni webbased ERP Responsabile Sicurezzadelle Informazioni users & authz CRM E-mailServer DataWarehouse ... users & authz users & authz users & authz PROVISIONING users & authz Policy Processi eProcedure Informazioni Monitoraggio Controllo IDM Security Admins SINCRONIZZAZIONE HR users & authz M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 23 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 AccessManagement:deploy dellasoluzione ERP CRM E-mailServer DataWarehouse ... Responsabile Sicurezzadelle Informazioni Access Manager users & authz users & authz PROVISIONING Intranet Autenticazione Autorizzazione Applicazioni gestionali Policy Processi eProcedure users & authz Informazioni Monitoraggio Controllo IDM Security Admins SINCRONIZZAZIONE HR users & authz AccessManagement:caratteristicheprincipali • Èunacomponenteinfrastrutturalediservizioperilconsolidamentodellasicurezza informaticaperleapplicazioniwebbased • Offreservizidiautenticazione,sollevandol’applicazionedataliproblematicheeseparando inmodonettolalogicaapplicativadibusinessdaquelladiautenticazione – – – – Autenticazione“passwordbased” Autenticazione“forte” concertificatidigitaliX.509odispositiviOTP Autenticazione“Kerberos” integrataconildominioActiveDirectory … • Offreservizidiautorizzazione/profilazione,perl’identificazionedell’utenteeperilsingle sign-on chepossonoesseresfruttatidalleapplicazioni • Offrelapossibilitàdiraccogliereinunlogcentralizzatoleinformazionirelativeagliaccessi (riuscitiofalliti)degliutentisulleapplicazioni • SiintegrainmodonaturaleconisistemidiIdentityManagement acuidelegalafunzionedi gestionedelciclodivitadellecredenzialiedelleautorizzazioni M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 24 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 AccessManagement:unavistasemplificatasull’architettura Interfacciadigestionewebbased Applicazione J2EE LogicadiAutenticazioneeAutorizzazione Plug-indiautenticazione LDAP DirectoryServerLDAP (OracleDirectoryServer, OpenLDAP,…) Account, Realm,Policy Agent Agent Appl.1 Appl.1 ... ... Appl.n Appl.n WebServer WebServer WebAppl.Server (MSIIS,JBoss,OAS, Glassfish,…) AccessManagement:processodiautenticazioneeautorizzazione WebClient WebServer AccessManager Richiede URLprotetta Chiede verifica autorizzazione mediante “agent/gateway”di AccessManager Redirectautomaticoversoform dilogin(esempio) Cookiedisessioneassenteonon valido;autenticazionemediante l’authenticationschemadefinito dalleregolediprotezione Presentaformdilogin Compilaformdilogincon credenzialiutente Chiedeverificaautorizzazione mediante“agent/gateway” Invialarisorsaprotettaalclient Visualizzalarisorsaprotetta; richiedeunanuovaURLprotetta (anchesuunaltrowebserver) Chiedeverificaautorizzazione mediante“agent/gateway” Invialarisorsaprotettaalclient Verificacredenzialiutenteecrea cookiedisessione;quindi redirigeallaURLprotetta Verificalecredenzialicontenute nelcookiedisessioneeconcede l’autorizzazione Verificalecredenzialicontenute nelcookiedisessioneeconcede l’autorizzazione Visualizzalarisorsaprotetta M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 25 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 IdentityFederation:contestualizzazione • • Traorganizzazioniaziendalidistintespessointercorronorapportidicollaborazione(es.:due entipubblicichecollaboranosudeterminatitemi,dueaziendecheoperanoinmodalitàdi partnership,un’aziendaeisuoifornitori,ecc.)talidarenderenecessariol’accessodiutenti diunodeiduepartnersualcuneapplicazionidelsistemainformativodell’altropartner Intalicasil’accessosicurovienegarantitotipicamenteassegnandoagliutenti dell’organizzazioneA (fruitoredelleinformazioni)utenzeeautorizzazioniperl’accessoal sistemainformativodell’organizzazioneB (fornitorediinformazionioservizi) Internet Servizi, Dati, Applicazioni Utenti Organizzazione A: i suoi utenti devono accedere ai dati e ai servizi di B • Organizzazione B: fornisce accesso a servizi e dati LagestionedelciclodivitadelleutenzeassegnatedaB adA èpiuttostodifficileper l’organizzazioneB,perchénonhailpienocontrollosuimembridell’organizzazioneA IdentityFederation:deploy dellasoluzione • Vienedefinitoilruolodelledueorganizzazioni: – IdentityProvider(IdP):èl’organizzazionecheconosceeautentical’identitàdegliutenti(A nell’esempio) – ServiceProvider(SP):èl’organizzazionechefornisceserviziapplicativieinformativi • • IdentityFederation:permettedicostruireunasortadi“contestodisinglesign-on”che metteincomunicazionel’AccessManagerdiIdP conl’AccessManagerdiSP IlprotocolloSAML (SecurityAssertion MarkupLanguage)permettediinviaredeimessaggi daIdP adSP peraprireunasessionedilavorofederatadegliutentidiIdP suisistemidiSP: 1. AccessManagerdiIdP autentical’utentecheconosce(appartieneallapropriaorganizzazione) 2. AccessManagerdiIdP inviaun’asserzioneSAMLadAccessManagerdiSP 3. AccessManagerdiSP apreuna Identity Provider (IdP) Service Provider (SP) sessionedilavoro,comese Sessione di lavoro su Banca Dati XYZ applicazione remota l’utentesifosseautenticato Utente del sistema 4 Web informativo aziendale Application sulsistemadiSP,eloautorizza adoperareconundeterminato 1 profilosulsistemadiSP Autenticaz. locale 3 Autorizzazione 4. L’utentediIdP accedealsistema Access Access diSP inmodalitàsicuraenon Manager Manager SAML 2 anonima User User store M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni Asserzione SAML (sessione federata) store 26 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 SPID:SistemaPubblicodiIdentificazioneDigitale • • • • ConilDecretodelPresidentedelConsigliodeiMinistridel24Ottobre2014èstatoistituito inItaliailSistemaPubblicoperlagestionedell’IdentitàDigitaledeicittadini Èunsistemainformatico,supportatodaunanormadilegge,checonsenteallePubbliche Amministrazionidioffrireservizion-lineaicittadini,utilizzandoilsistemaSPIDcome contestodiidentificazione ediqualificazione degliutentiacuioffrireservizidigitali SPIDoperacomeunsistemadiIdentityFederation tralepubblicheamministrazionicentrali elocaliitaliane Nell’ambitodell’architetturadiSPIDvengonodefinititresoggetti: – IdentityProvider(IdP):comeneisistemidiIdentityFederation èl’entepubblicocherilasciaal cittadinolecredenzialidiautenticazioneenegestisceilciclodivita,garantendolealtrepubbliche amministrazionisull’identitàdelcittadinoassociatoatalicredenzialidigitali • Es.:potrebbeesserel’AgenziadelleEntratecheoggirilasciaatuttiicittadiniunCodiceFiscaleeunaTessera Sanitaria,oppureilComunediresidenza,cheoggirilascialaCartad’Identità – Attribute Provider(AP):sonoglienticheistituzionalmentepossonocertificareilpossessodi determinatiruoliorequisitidapartedelcittadinodotatodicredenzialidaunIdP • Es.:potrebbeesserelaCameradiCommerciochecertificacheilsig.Rossièillegalerappresentantediuna certaazienda,ol’OrdinedegliIngegneri,checertificacheilsig.Rossièuningegnereiscrittoall’Albo – ServiceProvider(SP):sonoglienticheeroganoservizion-line,basandosisull’identitàdelcittadino certificatadalIdP edalruolodellostessocittadinocertificatodalAP • Es.:potrebbeesserel’INPSchefornisceilserviziodipagamentodeicontributidi“maternità”perun dipendentedelladittadelsig.Rossichenefadomandaon-line SIEM:SecurityInformationandEvent Management • • • Lecomponentidelsistemainformativoaziendaleproduconoenormiquantitàdidatidilog, chedovrebberoesseretenutisottocontrollodaisistemisti,alfinedirilevareoprevenire malfunzionamentidelsistema Spessoilogfornisconoancheinformazioniodescrizionedieventicheriguardanola sicurezzadelsistemainformativoochecostituisconodegliindizidiuntentativodiattacco informaticoodiuncomportamentoscorrettodapartediunutentedelsistemastesso IsistemiSIEM consentonodi – aggregare inununicopuntoilogprovenientidanumerosefontieterogenee,offrendocosìai sistemistieaglioperatoriresponsabilidellasicurezzaunostrumentounicodacuiosservareil comportamentodisistemidiversi – correlare fraloroinformazioniprovenientidasistemidiversioprodotteintempidiversidauno stessosistema:spessouneventoinséèpocosignificativo,maacquistamaggiorerilevanzase correlatoconaltrieventiavvenutocontemporaneamenteoabrevedistanzaditempo – analizzare ilogsullabasediregole,inmododaportareall’attenzionedell’operatoreunnumero limitatodieventiosegnalazioni – archiviare neltempoinmodosicuroilog,ancheperpoterliutilizzarecomeprovaincasodiindagini eprocedurelegali M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 27 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 SIEM:sintesidell’architettura IlsistemaSIEMècostituitodadiverse componenticollegatefraloro • Raccolta:componenteperl’acquisizionedeilog daisistemisorgente • Analisi,normalizzazione:verificalasingola rigadilogelariscriveinunformatostandard normalizzatorispettoalladiversitàdellesorgenti • Archiviazione:illoginformatooriginale(raw) enormalizzatovienearchiviatosuunostorage digrandidimensioni(puòessereancheprotetto mediantelacostruzionediunacatenadihash) • • Sistema Informativo Raccolta Analisi,Normalizzazione Archiviazione Motoredicorrelazione, applicazionediregolee controlli Correlazioneecontrolli:ilogvengono correlatifraloroevengonoapplicatideicontrolli peridentificareeventirilevantiperlasicurezza Dashboard, Presentazione Dashboard:leinformazionivengonopresentate inmodalitàefficacealpersonaledelSOC (SecurityOperation Center) Security Admins Affidabilitàedisponibilità • Ladisponibilitàel’affidabilitàdiunsistemainformaticosonodueaspettilegatifraloroe inerentilaprobabilitàchesiverifichinodeiguastiodeimalfunzionamentitalida compromettereilsistema(anchepercausadolosa,comeunattaccoinformatico) – Disponibilità:esprimelagaranziadiessereprontoall’usoinesercizio – Affidabilità:esprimelagaranziadicontinuitàdiusoperundeterminatotempo, indipendentementedaquantoduriiltempodirimessainesercizio • Duegrandezzeimportantidastimaresono – MTBF (mean timebefore failure):iltempomediodidisponibilitàdelsistema,primachesiverifichi unguasto – MTTR (mean timetorecover):iltempomedionecessarioperripristinareilcorrettofunzionamento diunsistemaguasto • Disponibilità: D= – Sistemiinserie: MT BF MT BF + MT T R 1 D = D1 ⇥ D2 – Sistemiinparallelo: D = (D1 + D2 ) 2 (D1 ⇥ D2 ) (dallaprobabilitàdiguasto,cheècomplementarealladisponibilità) M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 1 2 28 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 AffidabilitàeDisponibilità • Caratteristichechemiglioranol’affidabilitàeladisponibilitàdiunsistema: – Faulttolerance:capacitàdelsistemadiresistereadeterminatiguastidialcunedellesue componenti Siottieneadottandoridondanzehardwareelogiche,qualiconfigurazionimaster/slave,serverin cluster,servizidiload balancing,ecc. – Businesscontinuity:possibilitàdioperaresenzainterruzionealmenoperlefunzionalitàdimaggiore importanza,senzaquindiinterrompereiservizidibusiness Vieneperseguitaattraversofunzionamentiedoperativitàparallele,svoltegeograficamentee logicamenteinmodoindipendente – Disaster recovery:possibilitàdisuperareeventistraordinarisenzaperditedidatieinformazioni rilevantieriducendoalminimoilperiododiinterruzionedelserviziodibusiness Ègeneralmenteraggiuntostudiandostrategiedidistribuzionedegliassetedeisistemiinformativi supiù“siti”geografici,predisponendomeccanismidireplicadelleinformazionisusitidifferentie medianteprocedurediattivazionedeisitididisaster recovery ediripristinodeiservizidibusiness NormativesullasicurezzaIT • • • Nell’ambitodellasicurezzadelleinformazionisonostatedefinitenumerosenormative e regolamenti cheimpongonoalleorganizzazionieairesponsabilidellasicurezzadeisistemi informatividiadottarepolitiche,procedure econtrolli talidagarantirediaverpredisposto contromisureadeguatepertutelarelariservatezza,l’integritàeladisponibilitàdelle informazioni Lacompliance allenormativeeairegolamentièunaspettomoltoimportantedellasicurezza informatica Alcunenormativesullasicurezzadelleinformazioni: – ISO/IEC27001:definisceirequisitiperunSistemadiGestionedellaSicurezzadelleInformazioni (SGSI oISMSdall'ingleseInformationSecurityManagementSystem); includeaspettirelativialla sicurezzalogica,fisicaedorganizzativa – ISO/IEC27005:definiscedellelineeguidaperlagestionedelrischionell’ambitodellasicurezza delleinformazioni – D.lgs196/2003:TestoUnicosullaprivacy,sullatutelanellagestionedeidatipersonali – Amministratoridisistema:ProvvedimentodelGarantesullaPrivacypergliamministratoridi sistemadel27novembre2008 – PresidenzadelConsigliodeiMinistri,Direttiva16/1/2002:Sicurezzainformaticaedelle telecomunicazioninellepubblicheamministrazioni M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 29 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 NormativaISO/IEC27001 • CometuttiglistandardISO definiscedellelineeguidaperla realizzazionediunsistema Politica per la Sicurezza delle Informazioni Statement Of Applicability Analisi dei Rischi Manuale del Sistema di Gestione della Sicurezza Procedure Aree Engineering CMMI Procedura di Responsabilità Direzione Procedura di Generale dei Documenti Procedura di Approvvigionamento Procedura di Risk Management Piano della Sicurezza Logica Procedura di Project Planning Procedura di Gestione delle Utenze Procedura di Gestione degli Asset Piano della Sicurezza Fisica Procedura di gestione degli incidenti di sicurezza SGSI:SistemaperlaGestione dellaSicurezzadelle Informazioni:ècostituitoda politiche,procedure,documenti, registrazioniedancheda strumentidisupportoesistemidi tipoinformatico Procedura di Controllo degli Accessi • Linee guida e Manuali operativi Modelli Registrazioni NormativaISO/IEC27001 • • ISO27001proponeuninsiemedi133controlliperverificarelostatodiapplicazionedelle lineeguidaedunquelacompletezzael’efficaciadelSGSI Icontrollicopronoiseguentiambiti: 1. InformationSecurityPolicies (definizioneerevisionedellapoliticaperlasicurezza) 2. OrganizationofInformationSecurity(ruoli,responsabilità,separazionedellecompetenze,utilizzo didevice mobiliegestionedeltelelavoro) 3. HumanResourceSecurity(aspettiinerentilasicurezzanellefasidiselezionedelpersonale, gestionedelpersonale,conclusionedelrapportodilavoroconilpersonale) 4. AssetManagement(responsabilitàsugliasset,classificazionedelleinformazioni,gestionedei supportidimemoria) 5. AccessControl(gestionedellecredenzialiedelleautorizzazionidegliutenti) 6. Cryptography (politicanellacifraturadeidati,gestionedellechiavidicifratura) 7. Physical andEnvironmental Security(sicurezzafisica,protezionedegliassetfisici) 8. OperationsSecurity(change management,threat management,backup,logging,monitoring,ecc.) 9. CommunicationsSecurity(sicurezzadellarete) 10. Systemacquisition,development andmaintenance (approvvigionamenti,sviluppoe manutenzionesoftware,manutenzionedeisistemi) 11. InformationSecurityIncident Management (gestionedegliincidentidisicurezza) 12. InformationSecurityAspects ofBusinessContinuity Management (businesscontinuity,disaster recovery,ridondanzadegliapparati,ecc.) 13. Compliance (rispettodellenormativeedeiregolamentidisettore) M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 30 UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica a.a.2016/2017 RonaldL.Rivest,Adi Shamir,andLeonardAdelman Itrematematicinel1978eranoricercatorialMITquandoinventaronol’algoritmoRSAdicrittografiaasimmetrica,chepermettedicifrareofirmare informazioni.IlmodellodicrittografiaasimmetricaerastatopropostosolodueanniprimadaWhitfield Diffie eMartinHellman. M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni 31
