Sicurezza dei sistemi informativi - mat.uniroma3

UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
CorsodiLaureainMatematica
DipartimentodiMatematicaeFisica
Sistemiperl’elaborazionedelleinformazioni
8.Sicurezzadeisistemiinformativi
DispensedelcorsoIN530a.a.2016/2017
prof.MarcoLiverani
Sicurezzadeisistemiinformativi
•
InambitoITgarantirelasicurezzadiunsistemainformativosignificagarantirne:
– riservatezzadelleinformazioni(confidentiality):solochièautorizzatodevepoteraccedere
all’informazione;
– integritàdelleinformazioni(integrity):leinformazioninondevonoesseredanneggiateo
modificatepercasooconintenzionimalevole;
– disponibilitàdelleinformazioni(availability):leinformazionidevonoesseresempredisponibilia
chièautorizzatoadutilizzarle
•
•
Occuparsidisicurezzainformaticasignificaquindipredisporrepolitiche,processi,controlli e
contromisureinformaticheingradodicontrastareleminaccecherischianodi
comprometterelariservatezza,l’integritàeladisponibilitàdelleinformazioni
Nell’ambitodellasicurezzainformatical’oggettopiùpreziosodaproteggereèl’informazione,
ildato,oilserviziodibusinesserogatoconilsupportodelsistemainformatico(es.:ilvalore
diuncomputernonèdatosolodalsuoprezzodiacquisto,masoprattuttodall’importanza
deldatochegestisceedelserviziocheeroga)
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
1
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
Sicurezzadeisistemiinformativi
•
•
Perchésiadottanodellemisuredisicurezza?Dacosacisivuoleproteggere?
Leminacceperunsistemainformativosonodidiversitipi:
1. catastrofinaturalieincidenti imprevisti
2. aggressionedapartedihacker,ossiadapartedisoggettiesterniintenzionatiacomprometterela
sicurezzadelsistemainformativo:perdanneggiarel’aziendasottraendoinformazioni,
compromettendoleinformazioniorendendoleindisponibilieinquestomodoimpedendola
correttaerogazionediunserviziodibusinessolarealizzazionediunprodotto
3. softwaremalevolo,comevirusomalware,ingradodidanneggiareidatioisistemiinformatici,
anchesolodeteriorandoneleperformance
4. attivitàscorretteeillecitedapartedipersonaleinternoall’organizzazioneaziendale,dipendentie
collaboratoridell’azienda,talvoltaeffettuateinconsapevolmente
•
Taliminaccesonoingradodiprovocareundannoalbusinessaziendale,attraverso:
– lacompromissionedeisistemiinformaticicheconsentonoall’aziendadierogareunservizioai
propriclienti;
– lafugadinotizieriservate,chepotrebberodanneggiaredirettamentel’azienda(es.:dati
commercialiobrevetti)oisuoiclienti(es.:numeridicartedicreditooinformazionisanitarie)
– lamodificaolacancellazionedidatirilevanti(es.:spostamentodivalorieconomicisuiconti
bancariosucontiassicurativioprevidenziali)
DominitematicidellaSicurezzaIT
(ISC)2 – InternationalInformationSystemsSecurityCertification Consortium,hadefinito8dominitematici
dellasicurezzaIT:questasuddivisionerappresentaunabuonaclassificazionedegliambitidiinterventodella
sicurezzainformatica(CISSPknowledge domains)
1.SecurityandRisk Management
5.IdentityandAccessManagement
2.AssetSecurity
6.SecurityAssessmentandTesting
Confidentiality,integrity,andavailability concepts;
Securitygovernance principles;Compliance;Legaland
regulatory issues;Professionalethic;Securitypolicies,
standards,procedures andguidelines
Physical andlogical assets control,Identification and
authentication ofpeople anddevices,Third-partyidentity
services,Accesscontrolattacks,Identityandaccess
provisioninglifecycle
Informationandassetclassification;Ownership (e.g.
dataowners,system owners);Protect privacy;
Appropriateretention;Datasecuritycontrols;Handling
requirements
Assessmentandteststrategies,Securityprocess data,
Securitycontroltesting,Testoutputs,Security
architectures vulnerabilities
3.SecurityEngineering
Engineeringprocesses using secure designprinciples,
Securitycapabilities ofinformationsystems,Security
architectures,designs,andsolution elements
vulnerabilities,Web-basedsystems vulnerabilities,
Mobilesystems vulnerabilities,Cryptography,Physical
security
4.Communication andNetworkSecurity
Secure networkarchitecture design,Secure network
components,Secure communication channels,Network
attacks
7.SecurityOperations
Investigations,Incident Management,andDisaster
Recovery,Logging andmonitoring activities,Patchand
vulnerability management,Change management
processes,Recovery strategies
Disaster recovery processes andplans
Businesscontinuity planning,Physical security
8.SoftwareDevelopmentSecurity
Securityinthesoftwaredevelopment lifecycle,
Developmentenvironment securitycontrols,Software
securityeffectiveness,Acquired softwaresecurityimpact
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
2
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
TheMap ofCybersecurity Domains
Alcunitipidiattaccoinformatico
•
Attacchiingradodisfruttarespecifichedebolezzediunprogrammasoftware
– Exploit:sfruttandounbugouna“vulnerabilità”delsoftware,l’attaccanteriesceafareseguireil
codicediunprogrammaaltargetsottoattacco,inmododadanneggiareleinformazioni,
comprometternelariservatezzaoacquisireprivilegielevatisullamacchina
– Shellcode:èunattaccochemedianteunexploitriesceadeseguireunashell delsistemaoperativo
sullamacchinatarget
– Bufferoverflow (anchestack overflow,heap overflow):èunattaccoche,saturandoun’areadi
memoriadellamacchina,sovrascrivelamemoriaadiacente,compromettendoilcorretto
funzionamentodelprogrammaodell’interosistema;tipicamentesonodovutiadunainadeguata
gestionedell’inputdapartedelprogramma,cheaccettaquantitàdidatiiningressotalidasaturare
lamemoriadedicataalprocesso
– Cracking:modificasoftwareconl’obiettivodirimuovereuncodicediprotezionediunprogrammao
diaccedereadareeprotettedelsistema;vieneeffettuatoeseguendoilreverseengineering del
codicebinariodiunprogramma
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
3
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
Alcunitipidiattaccoinformatico
•
AttacchiingradodisfruttareconnessionidireteeporteTCPdiaccessoalsistematargetodi
interveniresultrafficodirete
– Backdoor:èunatecnicadiattaccoadunsistemainformaticochesfruttaporte“nascoste”,ma
lasciateapertedachigestisceilsistemapereseguirepiùagevolmenteoperazionidimanutenzione
delsistema;unabackdoor puòancheessereattivatamedianteunprogramma“trojan”checreauna
portadiaccessoviaretealcomputerattivandounserviziononautorizzatoinascoltosuuna
specificaportaTCPoUDP
– Portscanning:scansionedituttelepossibiliporteTCP/UDPapertesuunhost,alfinedistudiarnela
configurazioneeindividuarnedelledebolezzeodeipuntidiattacco
– Sniffing:intercettazionedeipacchetticheviaggianosullareteacuièconnessoilcomputer
dell’attaccante;l’obiettivoèquellodicarpireinformazioniriservatetrasmesse“inchiaro”
– Keylogging:intercettazione(mediantesoftwaremalwareodispositivihardwarecollegatial
computerattaccato)deidatidigitatisullatastieradall’utenteduranteunanormalesessionedi
lavoro
– Spoofing:sitentadiaccedereadunhost,falsificandol’identitàdelcomputerdell’attaccante
(indirizzoIP,MACaddress,hostname DNS,ecc.)
– DoS/DDoS:Denial ofService/DistributedDenial ofService,sonoattacchiprovenientidauno(DoS)o
piùcomputer(DDoS)collegatiallarete,che,utilizzandoportediconnessionedelserversotto
attacco,noteeaperteperl’erogazionediservizi,miranoasaturarnelerisorse(es.:numerodi
connessionicontemporaneegestibilidalserver)finoarenderenonpiùfruibiliiservizierogatidal
server
Alcunitipidiattaccoinformatico
•
Attacchicondotticonl’utilizzodisoftwaremalevolo(malware,virus,...)
– Malware:ègenericamenteunsoftwarecheoperaconl’intenzionediviolarelaprotezionedelle
informazionipresentisuuncomputerpereliminarleotrafugarle
– Trojan Horse:èunsoftwarechevieneeseguitoinconsapevolmentedall’utentesulproprio
computere,cosìfacendo,provocal’aperturadiunaportaTCPchevienesfruttatadall’attaccante
peraccederealcomputer
– Virus:sonosoftwarechedanneggianoidatipresentisulcomputerechehannolacapacitàdi
attivarsiagganciandosiadunprogrammanonmalevolo,modificandoneilcodicebinario;ognivolta
cheilprogramma“contagiato”vieneeseguito,vieneeseguitoancheilvirus
– Spyware:softwarecheinvianoadestinatariesternienonautorizzati,informazionipresentisul
computersucuièinstallatoloSpyware
•
Attacchidisocialengineering,conl’obiettivodisfruttarelascarsaconsapevolezzadella
riservatezzadelleinformazioniapparentementenoncritichedapartedelpersonaledi
un’organizzazione,peraccedereadinformazioniriservate
– Letecnichedisocialengineering prevedonoanchel’acquisizionedimaterialediscarto(fogli
stampati,dischetti,CD,DVD,harddiskdismessi,peracquisireinformazioniutiliaportareatermine
unattaccoalsistemainformativo
– AltretecnicheconsistononelfornirestrumentidotatidiTrojan chevengonopoiinseriti
inconsapevolmentedagliutentisuilorocomputer
– Tecnichedisocialengineering/socialhacking sonousatepercompierefurtid’identità,trafugando
lecredenzialidiunutente(asuainsaputa),perpoiaccederealsistemaattraversocanalistandard
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
4
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
Sicurezzadeisistemiinformativi
•
Lasicurezzasioccupadipredisporrecontromisureidoneeacontrastareminacceditipo
“fisico”editipo“logico”:leprimeriguardanol’integritàdeisistemi(computer,reti,ecc.),le
altreriguardanominacceecontromisureditiposoftware
Rilevazione fumi
Antincendio
Sicurezza Fisica
Rilevazione allagamento
Porte, allarmi, guardiania,
videosorveglianza
Incendio
Allagamento
Minacce fisiche
Furto e
Danneggiamento
Sicurezza IT
Minacce
Sicurezza perimetrale
Sicurezza Logica
Sicurezza end-point
Sicurezza applicativa,
Sistemi AAA,
Crittografia dei dati
Attacchi informatici
dalla rete
Virus e malware
Minacce logiche
Accesso non autorizzato
ad applicazioni e dati
Furto di informazioni
Sicurezzafisicadiunsistemainformativo
•
Lasicurezzafisicadelsistemainformativoriguardaprevalentemente:
– sicurezzadell’edificiocheospitailsistemainformativo:
• guardiania
• telecameredivideosorveglianzaesistemidiregistrazionevideo
• localiadaccessoriservatoconporteblindate
– controllidiaccessodellepersoneall’edificio
•
•
•
•
guardianiaepersonalediportineria
sistemidiidentificazioneedicontrollodegliaccessidellepersone(conbadgepersonaleodatibiometrici)
processidiaccertamentodell’identitàerilasciodichiaviobadgediaccesso
sistemiantifurtoodirilevazionedellapresenzainlocaliriservati
– sistemianti-incendioeanti-allagamento
• rilevatoridifumoefiamme
• sistemaautomaticodiallarmeedispositivianti-incendio
• porte,pareti,materiali,armadiignifughi
– sistemidibusinesscontinuity edidisaster recovery
• gruppidicontinuitàelettricaeproceduredispegnimentosicurodeisistemiincasodiprolungataassenzadi
energiaelettrica
• sistemidiclimatizzazionedeilocaliCEDalfinedigarantirelacorrettatemperaturadieserciziodeisistemi
• sistemidiridondanzaelettrica,dicomponentihardwareinformatiche,diconnessionedirete
• pianodiripristinodeisistemiedelleattivitàinlocalidiversiedistantidaquellidel“sitoprimario”incasodi
disastro(“sitosecondario”o“sitodidisaster recovery”)
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
5
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
Sicurezzalogicadiunsistemainformativo
•
Sicurezzaperimetrale
– l’insiemedeglistrumentiedelletecnicheutilizzateperimpedireaccessinonautorizzatiallarete
aziendaledall’esternooattacchiinformaticichepossanocomprometterel’erogazionediservizi
– inquestoambitolecontromisuresonostrumenticheanalizzanoipacchetticheviaggianoinrete
bloccandoquellisospettioattivandodegliallarmiinloropresenza
•
Sicurezzadegliend-point
– l’insiemedeglistrumentiedelletecnicheusateperproteggereicomputereglialtridispositividi
tipo“end-point”,ossialefogliedelgrafodellareteinformaticaaziendale,costituitedaipersonal
computeredaglialtridispositiviconnessiinrete
– inquestoambitosioperaattraversoappositeconfigurazionidelsistemaoperativodellamacchina
end-point (hardening dellaconfigurazione,cifraturadeivolumi),attraversol’aggiornamento
softwarecontinuo,l’applicazionedipatchdisicurezzaemediantel’installazionedisoftwareantimalwareeanti-virus
•
Sicurezzaapplicativa
– tecnichediscritturadisoftwaresicuro,limitandoilrischiodipresenzadivulnerabilità,tecnichedi
verifica(vulnerability assessment,application penetration test)
– strumentiditipoAAA(Authentication,Authorization,Accounting)integraticontutteleapplicazioni
delsistemainformativoaziendale
Sicurezzaperimetrale
•
Obiettivo:
– rendereaccessibilidallareteesternaiservizioffertidalsistemainformativoaziendale
– proteggereilsistemainformativo(eisuoidati)daaccessinonautorizzatidall’esterno
– contrastareattacchiinformaticicondottiattraversolarete(DoS/DDoS,port scanning,spoofing,...)
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
6
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
Sicurezzaperimetrale:firewall
•
IlprincipalestrumentodisicurezzaperimetraleèilFirewall
– Èuncomputerdotatodidueopiùinterfaccedireteesvolgeilruolodigatewaytradueopiùreti
– Gestisceleregolechedeterminanoiltrafficochepuòpassaredaunareteadun’altra
•
Tipicamentecollegatreretidistinte:
– lareteesterna,fuoridalperimetrodelsistemainformativoaziendale(es.:lareteInternet)
– lareteinterna,lareteaziendaleveraepropria,acuisonoconnessigliend-point degliutenti
interni;questaretegeneralmentenonèaccessibiledall’esterno,mainodidiquestaretepossono
aprireconnessioniversonodidellareteesternasualcuniprotocolliapplicativieversoalcuni
indirizziesterni
– lareteDMZ(demilitarized zone),laretedelsistemainformativoaziendaleacuisonoconnessigli
hostcheeroganoserviziversol’esternoechequindidevonoessereaccessibilidallareteesterna
(mailserver,webserver,DNS,ecc.)
•
Processooperativo:
– Valutazionedelladirezionedeltraffico(retesorgente,retedestinazione)eselezionedellepolicydi
sicurezzaimpostate
– Valutazionedellaraggiungibilitàdell’indirizzodidestinazione(eventualmentetramiteNAT)
dall’indirizzodiorigine
– ValutazionedellaraggiungibilitàdellaportaTCP/UDPdelserverrichiestadalclientsullabasedelle
policydisicurezzaimpostate
– Attivazionedellaconnessione,oppure“drop”delpacchetto
Sicurezzaperimetrale:IDS/IPS
•
•
IsistemiIDS (intrusion detection system)sonoapparatihardwareoprogrammisoftware
dedicatiadanalizzareiltrafficodireteiningressoperrilevaresequenzedidatichesiano
riconoscibilicomeaccessinonautorizzatidall’esterno
IsistemiIDSsibasanosull’applicazionediregoleeuristicheperdeterminarecheuna
connessioneèillecita,untentativodiintrusione(riuscito)nonautorizzato
•
IsistemiIPS (intrusion prevention system)sono,alcontrario,sistemicheanalizzandoil
trafficodireteidentificanountentativodiintrusionedall’esternononautorizzatoenon
ancoraeseguitoelobloccano(drop delpacchettodirete)
•
AdesempioisistemiIDSeIPSsonoingradodiidentificare(IDS)edibloccare(IPS)unport
scan dallareteesterna
•
SpessoquestidispositivisonounacomponenteimplementatanelsoftwaredelFirewall
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
7
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
Sicurezzaperimetrale:ContentFiltering eProxyServer
•
•
Unproxyserverèunacomponente(hardwareosoftware)chericeverichiestedallarete
interna(tipicamenteHTTP/HTTPS),modificaipacchettiIPimpostandocomeindirizzoIP
clientilproprioindirizzoesterno,edinviandoilpacchettoadestinazione;larispostadel
servervienecosìricevutadalProxyServercheprovvedeagirarlaalclient
Loscopodiunproxyserver(adesempiounHTTPproxy)èquellodi:
– rendereaccessibileunarisorsaesternaanchetramiteunclientconunindirizzoprivato
– nonstabilireunaconnessionediretedirettatraclient(interno)eserver(esterno):laconnessioneè
intermediatadalproxyinmododeltuttotrasparenteperidueinterlocutori
– rifiutareconnessioniversositipresentiinunablack listgestitanellaconfigurazionedelproxy(es.:
sitipornografici,sitidi“fishing”,sitiicuicontenuticontravvengonoall’eticaaziendale,ecc.)
•
Uncontent filter èunasortadiproxycheattualeproprieregolediraggiungibilitào
irraggiungibilitàdiunsito,sullabasedelcontenutopresenteneltrafficodiretedall’esterno
versol’interno
– Ancheunsistemaantivirusoantispaminstallatosuunmailserver,èunasortadicontent filter:
entranelmeritodelcontenutodellemailestabiliscesetrasmetterleoeliminarledallacoda
Sicurezzaperimetrale:VPN– VirtualPrivateNetwork
•
•
UnaVPNèunaconnessionedireteprivatabasatasuunainfrastrutturaditrasporto
pubblica (es.:Internet)
LaVPNèbasatasuduecomponenti,gliend-point dellaVPN,chesvolgonoilruolodi
gatewayperiltrafficochepassadaunnodoall’altrodellarete:
– l’end-point VPNdellareteacuièconnessalasorgentedellatrasmissione,riceveipacchetti
destinatiaduncomputerconnessoall’altrocapodellaVPN,licifraconunachiavenotaall’altroendpoint eloinviano
– l’end-point VPNdellareteacuièconnessol’host didestinazione,riceveilpacchettocifrato,lo
decifraeloinoltraall’indirizzodidestinazione
– inquestomodoiltrafficochepassasullaretepubblicaècifratoe,seanchevenisseintercettatoda
unattaccante,nonsarebbefaciledecifrarneilcontenuto
•
lareteVPNpuòessereditretipi:
– VPNsite-to-site:duenodidelleduereti(siti)chedevonocomunicareinVPN(es.:duefilialidella
stessaazienda)sonoend-point VPN;glialtrinodidellareteutilizzanolaVPNinmodotrasparente
– VPNclient-to-site:unodeidueend-point èuncomputerclient,chedeveconnettersiallarete
aziendaleinmodalitàsicura;sulclientvieneinstallatounsoftwarechesvolgeilruoloditerminatore
VPN
– VPNclient-to-client:laVPNvienestabilitaviasoftware(condueagentinstallatisuiduecomputer)
traduecomputerclient
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
8
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
Sicurezzaperimetrale:VPN– VirtualPrivateNetwork
•
VPNsite-to-site(ilterminatoreVPNpuòessererealizzatodalfirewall)
•
VPNclient-to-site:ilclientèconnessoadunareteaziendaleodirettamenteallarete
pubblicaedisponediunclientVPNchesioccupadellacifraturadeltrafficoscambiatoconil
terminatoreVPNaziendale
Sicurezzadegliend-point
•
Laprotezionedellepostazionidilavoroedeiserver,icosiddetti“endpoint”delsistema
informativoaziendale,puòessereattuatasuquattrolineeprincipali:
–
–
–
–
•
Hardening,aggiornamentocontinuoconpatch
SistemiAntivirus
Personalfirewall
SistemiDataLoss Prevention
Hardening dellamacchina
– Consistenellaapplicazionediconfigurazionidelsoftwaredibaseedelsoftwareapplicativoche
riducanoilrischiodicreareipresuppostiperattacchidall’esterno(es.:disabilitazionediservizi
inutiliononutilizzati,impostazionedipasswordnonbanali,definizionediprofilidiautorizzazione
pergliutentidellamacchinachelimitinolalorooperatività,ecc.)
– Unacomponentefondamentaledell’hardening èl’installazionedituttelepatchdisicurezza
disponibiliperilsoftwaredibaseeperilsoftwareapplicativo;l’impostazionedipolitichedi
aggiornamentoautomaticocontinuodelsistemaoperativodellepostazionidilavoroèunabuona
prassi
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
9
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
Sicurezzadegliend-point
•
SoftwareAntivirus
– Èbuonanormainstallaresututtelepostazionidilavorounsoftwareantivirus
– Sonoprogrammicheanalizzanointemporealeilcontenutodifileeprogramminelmomentoincui
questivengonoacquisitidall’esterno(viamail,viatrasferimentofiledallarete,mediantememoria
dimassaremovibile,ecc.)eidentificanodeipatternnellesequenzedibyte,riconducibiliaquelle
checaratterizzanosoftwareinfettatodavirus:queiprogrammivengonoeliminatiocopiatiin
un’areadelfilesystemdettadi“quarantena”
– Gliantiviruseseguonovalutazionieuristichebasatesuipattern(le“firme”deivirus)aggiornati
continuamentedailaboratoridiricercaesviluppodeiproduttorideisoftwareantivirus:èbuona
normaquindiconfigurareilsoftwareantivirusperscaricarequotidianamentegliaggiornamenti
dellefirmedeinuovivirusscopertidalproduttoredell’antivirus
•
Personalfirewall
– Comecomponentedelsistemaoperativosonospessopresentideisoftwarecheconsentonodi
attuaresulpersonalcomputerosulserverdellepolitichediaccettazioneodirifiutodiconnessioni
provenientidallarete,analogheaquelledefinitesuifirewall
– Questogeneredistrumentononpuòsostituireunfirewallveroeproprioperchéperriuscirea
valutarelerichiestediconnessionedall’esterno,lamacchinadevecomunqueaccettarle:pertantoil
personalfirewallnonèingradodievitarechelamacchinaend-point vengaattaccata,mapuò
limitareinmodosignificativolaprobabilitàchel’attaccoabbiasuccesso
Sicurezzadegliend-point
•
SistemidiDataLoss Prevention (DLP)
– Suipersonalcomputer,maanchesuifileserver,sonopresentimolteinformazionianchecriticheo
riservate,informa“destrutturata”:sitrattadidatiimportanticontenutisudocumentiMicrosoft
Word,tabelleMicrosoftExcel,documentielettroniciinformatoPDFoMicrosoftPowerpoint,ecc.
– Taliinformazioninonsonogestitemedianteunprogrammachenelimitil’accessibilitàdapartedegli
utentisullabasedispecificheautorizzazioni:queifilepossonoesserefacilmentedistrutti,stampati,
condivisiconaltri,ancheconchinonhailpermessodiaccedereataliinformazioni
– Lariservatezza,l’integritàeladisponibilitàdelleinformazionipresentisuifileprodotticon
strumentidiofficeautomation,dipendonodallaconsapevolezzadell’utente
– IsistemiDLParricchisconoilsistemaoperativodellamacchinadifunzionalitàevolutediprotezione
delleinformazioninonstrutturate:
• permettonodidefinireediattuarepolicydicifratura deifile
• policydiprotezione dadanneggiamenti
• policyperlacondivisione deifilestessi(es.:impedisconolastampaolacondivisioneviae-maildi
documenticherispettanoundeterminatoformatoocontengonospecificipatternriconducibiliad
informazioniriservate,ecc.)
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
10
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
Sicurezzaapplicativa
•
Consistenell’adottaremetodologieestrumentiperrenderesicureleapplicazioni
informatichemediantecuigliutentiautorizzatiaccedonoaidatipresentinelsistema
informativoaziendale:
– progettazioneesviluppodisoftwareintrinsecamentesicuroeresistenteadattacchiinformatici
– adozionedicomponentiarchitetturaliingradodioffrireservizidiprotezioneapplicativa ben
ingegnerizzatieindipendentidallacodificadeiprogrammi(servizi“AAA”)
Metodologiediprogettazioneesviluppo“sicure”
•
Progettazioneesviluppodisoftwaresicuro
– anchegrazieallecontromisureadottateperilcontrollodegliaccessialsistemainformativoela
messainprotezionedeidati,lamaggiorpartedegliattacchiinformaticisonoindirizzati
direttamenteversoleapplicazioni
– gliobiettividegliattacchisonolevulnerabilitàpresentiall’internodelleapplicazionisoftware
– sonostatesviluppatenumerosemetodologieperaumentareillivellodiqualitànelprocessodi
progettazioneesviluppodelsoftware,alfinediridurrenonsololadifettositàfunzionaledei
programmi,madicurareanchelaprogettazionedisoftwareesentedavulnerabilitàintrinseche
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
11
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
Metodologiediprogettazioneesviluppo“sicure”
•
SecurityDevelopmentLifecycle (SDL):definitodaMicrosoftperridurrelavulnerabilitàdei
propriprodotti
•
Siarticolasusettefasiprincipali:
1. Training:formazionedeiprogrammatorisulletecnichedisvilupposicurodelsoftware
2. Requirements:definizionedeirischirelativiallariservatezzadeidatieallasicurezza
3. Design (progettazione):nelladefinizionedeirequisitidelsoftwaredevonoessereconsideratianche
irequisitiinerentilasicurezza;devonoesseredefinitiscenaridiattaccoalsoftware,inmododa
realizzarerequisitichesiponganocomecontromisureefficaci
4. Implementation (sviluppo):utilizzoditool disviluppoverificatieapprovatidalresponsabiledello
svilupposoftware,attivareopzionieutilitydiwarning sullacompilazionedelsoftware,effettuare
verifiche“statiche”sulcodicesoftwareprimadellasuacompilazione
5. Verification (verificaevalidazionedelsoftwareattraversotesteverifichedipianidiattacco):test
dinamicianchemediantetool software,test“fuzzy”mediantel’introduzionediinputcasuale,
revisionedella“superficiediattacco”delsoftware(l’insiemedegliaspettichepossonoessere
oggettodiunattaccoinformatico)
6. Release (rilascio):prepararepianidirispostaadincidentiinformaticiinmododaprodurre
tempestivamentecorrezioniepatch,eseguiretestfinalidisicurezzasullareleasesoftwareoggetto
dirilascio
7. Response:avalledelrilasciodelsoftware,attuarepianidirispostaallesegnalazionidiincidenti
informatici
Metodologiediprogettazioneesviluppo“sicure”
•
IlmodelloCLASP (Comprehensive,Lightweight ApplicationSecurityProcess)fornitodal
progettoOWASP (OpenWebApplicationSecurityProject)fornisceunapprocciostrutturato
all’integrazionediattivitàdisicurezzainognifasediunciclodisvilupposoftware
•
Èbasatosucinquepuntidivista(view)
–
–
–
–
–
•
Concepts view
Role-based view
Activity-AssessmentView
Activity-Implementation View
Vulnerability View
Altremetodologie:
–
–
–
–
Capability Maturity ModelIntegration(CMMI)
SystemsSecurityEngineering– Capability Maturity Model(SSE-CMM)
SoftwareAssuranceMaturity Model(SAMM)
BuildingSecurityinMaturity Model(BSIMM)
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
12
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
Metodologiediprogettazioneesviluppo“sicure”
•
Leminacceacuièsottopostounsoftwarepossonoessereclassificatesecondoilmodello
STRIDE definitodaMicrosoft:
– Spoofing:attacchibasatisullafalsificazionedell’identità(es.:webspoofing:falsificazione
dell’identitàdiunserverwebperfarcredereadunutentediessereconnessoaduncertoserver
mentreèconnessoadunservermalevolo)
– Tampering:l’informazioneintransitovienemodificataorimpiazzataprimadiraggiungereil
destinatario(es.:modificadiunordine,diunmovimentobancario,ecc.)
– Repudiation:ripudiodelleinformazioniprodottedalsistema
– Informationdisclosure:divulgazionediinformazioniriservategestitedall’applicazione
– Denial ofService:ilservizioerogatodalsoftwareattaccatovieneresoindisponibileagliutenti,
inviandoalsoftwareunaquantitàdirichiestetalidasaturarelasuacapacitàdirisposta
– Elevation ofprivilege:incrementodeiprivilegidell’utenzaconcuivieneeseguitaunadeterminata
applicazione,alfinediviolarel’integritàolariservatezzadeidati
SistemiAAA:authentication,authorization,accounting
•
Sulsistemainformativovengonointrodottedellecomponentiinfrastrutturalicheoffrono
servizidiautenticazione,autorizzazioneeaccounting degliutentidelleapplicazioni
– Autenticazione:meccanismiperaccertarel’identitàdell’utente(oper“autenticare”la
dichiarazionediidentitàfattadall’utente)
– Autorizzazione:meccanismidiverificaeattuazionedelleregolediautorizzazioneassegnateadun
utenteperl’esecuzionediunadeterminatafunzionalitàapplicativaoperl’accessoadundatootipo
didato
– Accounting:meccanismidiresponsabilizzazionedell’utente,ancheattraversoiltracciamentodelle
operazionisvoltesuidatimedianteleapplicazionioglialtristrumentiresidisponibilisulsistema
informativo
•
Seoffertecomeservizio,lefunzionidevonosoloessererichiamatedalleapplicazioni,
attraversoappositiprotocolliofunzionidilibreria:
– inquestomodosisemplificalosviluppodelsoftware:nondevonoessereprogettatee
implementatelefunzionidiautenticazione,autorizzazioneeaccounting intutteleapplicazioni
– sigarantiscemaggioresicurezza:lefunzionisonosviluppateunavoltapertutte(osonobasatesu
unprodottodimercato)eintegrateconleapplicazionieisistemi;nonsicorreilrischiochele
stessefunzionipossanoessereimplementateinmanieradifferentedaun’applicazioneall’altra
– sigarantiscemaggioreflessibilità:lasostituzionediunafunzioneditipoAAAconun’altrapuò
esserefattacentralmente,senzadovermodificareogniapplicazione
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
13
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
Autenticazione
•
L’autenticazionediunutenteneiconfrontidiun’applicazione(odiun’applicazionenei
confrontidiun’altraapplicazione)sibasasuunadelleseguentiinformazioni:
– qualcosachesiconosce:adesempiounapasswordounPIN;
– qualcosachesipossiede:adesempiounbadge,unachiave,untoken;
– qualcosachesiè:adesempiol’improntadigitale,ilmodellodellaretinadell’occhio,ecc.
•
•
•
Lafasedilogin suun’applicazioneosuunsistemainformaticoèquellaincuil’utente
dichiaralapropriaidentità(adesempioattraversounousername univoco)el’applicazioneo
ilsistemaloautenticanoattraversolaverificadiunapassword segreta(notasoloall’utente)
inseritacontestualmentedall’utente
Daquelmomentoinpoivieneapertaunasessionedilavoroentrocuil’utentepuòoperare
sull’applicazioneosulsistemasenzadoversiautenticarenuovamente
Piùsistemipossonostabilirerelazionidifiduciatradiloroperconsentireadunutentedi
autenticarsisuunsistemasenzapoidoversiautenticarenuovamenteanchesuglialtri(anche
segliaccountsonodiversi):singlesign-on
Autenticazione
START
Lapasswordè“inchiaro”:
l’inviodellapasswordal
sistemadiloginèun
passaggiocritico,ilcanale
deveessereprotetto
inputusernamee
password
NO
SÌ
username
esiste?
Lapasswordètrattatain
forma“cifrata”,nonviene
memorizzata“inchiaro”
calcolahash dellapassword
à hash(pwd)
recuperadarepository
accounthash(pwd)
associatoausername
KO
NO
iduehash sono
uguali?
Lapassword“cifrata”è
memorizzatasufile,
directoryLDAP,database,...
SÌ
NO
KO
STOP
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
password
scaduta?
SÌ
inputnuova
password
OK
calcolahash(pwd)e
memorizzalosurepository
accountassociatoausername
14
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
Autenticazioneforte
•
Siparladiautenticazioneforte(strongauthentication)quandoilmeccanismodi
autenticazioneèbasatosuduedeitrefattori
– es.:perautenticarel’utentechedichiaralapropriaidentitàattraversounousername,sifornisce
unapasswordeuncodicegeneratodauntoken assegnatoall’utentestesso
•
Autenticazioneforteconcertificatidigitali
– L’utenteèdotatodiunasmart-cardconabordounacoppiadichiavicrittografiche;ilserverdi
autenticazionepossiedelachiavepubblicadell’utente
– Ilpassocriticoèlagenerazionedellechiavicrittograficheel’assegnazioneagliutenti:questafase
deveessereprotettaegestitaconunprocessobendefinitoeverificato
– Algoritmo“challenge/response”:
1.
2.
ilservergenerauncodiceelosottoponeall’utentecheneproduceunacifraturaasimmetricaconla
propriachiaveprivata
Seilserverriesceaportareinchiaroilcodiceutilizzandolachiavepubblicadell’utente,alloraavrà
compiutolasuaautenticazione:soloconlachiavepubblicadell’utentesipuòriportareinchiaroilcodice
cifratoconlasuachiaveprivata;ilcodiceènotoalserverchepuòquindiverificarnel’uguaglianzacon
quellogeneratoalpassoprecedente
Autenticazioneforte
•
AutenticazioneforteconOTP(one timepassword)
– Unalgoritmogeneraintemporealeunapasswordchepuòessereutilizzatadall’utenteunasola
volta:ancheseintercettatadaunattaccantelapasswordnonsaràpiùutileperautenticarsianome
diunaltroutente
•
TretipidialgoritmiprincipaliperlagenerazionediOTP:
– AlgoritmibasatisullasincronizzazionetemporaletraserverOTPeclientcheforniscelapassword
(leOTPsonovalidesoloperunbreveperiododitempo,es.:30”)
– Algoritmibasatisuunacatenadipasswordlegatetraloroegenerateperviaalgoritmica,inbase
ancheadun“seme”associatoalclientOTPassegnatoall’utente:ilservereilclientgeneranouna
nuovapasswordinbaseallapasswordprecedente
– Algoritmiditipochallenge/response:ilservergeneraunnumerocasualeeloinviaalclientche
restituiràuncodicebasatosuquelnumerocasualeesul“seme”associatoalclientOTPdell’utente
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
15
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
AutenticazioneforteconOTP
OTP
Server
Secret
DB
Utente
T0:caricamentodei“segreti”associatiai
token OTPneldatabasedelserverOTP
User: mrossi
TokenID: XY987Z
OTP
Server
Secret
DB
1234
Utente
T1:assegnazionetoken all’utentee
registrazioneassociazioneutente/token sulDB
AutenticazioneforteconOTP
User: mrossi
password: s3cr3t
OTP: 9753
OTP
Server
Secret
DB
RADIUS
9753
1234
Utente
T2:autenticazione:utenteinviausername,
passwordeOTPgeneratadaltoken sulmomento
user:mrossi
password:s3cr3t?
Secret
DB
Ok?
Ok!
OTP
Server
Autenticazione
OK/KO
RADIUS
T3:OTPserververificausernameepasswordsu
unsistemadiautenticazione(ancheesterno)
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
1234
Utente
T4:serverOTPverificaseilcodiceOTP
puòesseregeneratodaltoken XY987Z
assegnatoall’utentemrossi
16
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
Autorizzazione
•
•
•
•
•
Leapplicazioni,isistemiapplicativi,isistemioperativisonostrumentiattraversocuil’utente
(ounaltroprogramma)puòaccederealleinformazioniegestirleeseguendodelleoperazioni
dilettura,scrittura,modificaecancellazione
Agaranziadellasicurezzadelleinformazioni(riservatezza,integritàedisponibilità),isistemi
applicativiimplementanomeccanismidiautorizzazione degliutentiperl’accessoaidati
attraversolefunzionalitàmesseadisposizionedalsistemastesso
Partendodalpresuppostochel’utentenonpuòinalcunmodooperaresuidatigestiti
dall’applicazione,un’autorizzazioneèilpermessodicompiereunadeterminataoperazione
suuncertotipodidato(es.:inserireunafattura,visualizzareuncertificatomedico,
approvareunarichiestadiacquisto,ecc.)
Isistemiprevedonoancheautorizzazioninecessarieperassegnareorevocare
autorizzazioni:generalmentel’amministratoredelsistemaèautorizzatoaprioriagestirele
autorizzazionideglialtriutenti
L’applicazionedelleautorizzazionipermettediimplementareunmeccanismodicontrollo
degliaccessi aidati:
– l’utentechiededieseguireunadeterminataoperazionesuundato
– ilsistemaverificasel’utenteèautorizzatoacompieretaleoperazionesuqueldato
– ilsistemaconcedeoimpediscel’accessoaldato:controllodegliaccessi
•
Perpoterautorizzare unutente,questodovràesserestatoprecedentementeautenticato
Autorizzazione
•
•
•
•
•
Pergarantireunacorrettapoliticadiautorizzazionedegliutentièopportunodefinireun
insiemediruoliapplicativichesiapossibileattribuireagliutenti
Ciascunruoloprevedeuninsiemediautorizzazionichesarannocosìattribuiteatuttigli
utentiacuiverràassegnatoundeterminatoruolo
Sicostruisceunprofilodell’utentedelsistemainformativobasatosuiruoli(equindisulle
autorizzazioni)chesiassegnanoall’utente
Assegnareorimuovereunruoloadunutentesignificaassegnareorimuovereuninsiemedi
autorizzazioniallostessoutente
Inun’organizzazionebenstrutturatairuoliapplicatividovrebberocorrispondereairuolidi
businessdegliutenti
– Es.:perun’applicazionegestionaleinuncontestoscolasticoouniversitario,iprofiliautorizzativi
possonoesserecostruitisuiruolididocente,studente,bibliotecario,ecc.
– Inquestomodouncambiodiruolonell’organizzazione,porterebbeadunafacileidentificazionedel
nuovoprofiloautorizzativodaattribuireall’utente
•
RBAC:role based access control,èunapoliticadicontrollodegliaccessialleinformazioni
basatasuiruoliassegnatiagliutenti
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
17
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
Accounting
•
•
•
•
Perresponsabilizzaregliutentinell’usodellecredenzialiedelleautorizzazionichesonostate
loroassegnate,ènecessariotracciareleoperazionisvoltedagliutentitramitelefunzioni
resedisponibilidaisistemiapplicativi
Isistemiproduconodelleindicazionisintetichesullasequenzadioperazionisvoltenel
tempo:taliinformazionivengonochiamatilog
Ilogsonomemorizzatisufileosuappositisistemidiraccoltadeilog;esistonoprotocolli(es.:
syslog)elibreriesoftware(es.:log4j)checonsentonodisemplificarelascritturadilogedi
inviareilogprodottidaunsistemaversounsistemadiraccolta
Esistonovaritipidilog:
– logdisistema:informanosullostatodifunzionamentodiunsistemaetraccianoglierroriavvenuto
nelcorsodelfunzionamentodelsistemastesso
– logapplicativi:informanosullostatodifunzionamentodiunprogrammaesulleoperazionisvolte
suidati
– logdidatabase:informanosulleoperazionisvoltesuidati;sonoutiliancheperripristinarelostato
deldatabaseadunpuntoprecedenteall’esecuzionedideterminateoperazionidimodificadeidati
– logdiaudit:informanosulleoperazionisvoltedagliutentimedianteunsistemaoun’applicazione
Governancedellasicurezzadelsistemainformativoaziendale
•
Inunsistemainformativocomplessol’implementazionedisistemiAAAportaaduncontesto
difficiledagestire
Applications
Utente
Directories
FileShares
Utente
Sistemi
Databases
Utente
10.000
utenti
100.000
account
ogniutenteha
circa10account
diversi
1.000.000
autorizzazioni
adogniaccountsono
assegnatedecinedi
autorizzazioni
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
1.000
sistemie
applicazioni
ogniapplicazioneosistema
hadecinediautorizzazioni
differenti
18
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
Governancedellasicurezzadelsistemainformativoaziendale
•
Inparticolarediventacomplicatoattuareunaveragovernance dellasicurezzainformatica
–
–
–
–
•
definizioneeattuazionedipoliticheperlasicurezza
definizioneeattuazionediprocessigestionalicontrollati
raccoltatempestivadiinformazioniedatiperpotercontrollareemisurareilservizio
controlloemisuradieventualiscostamentidairequisitidettatidanormativeeregolamenti(compliance)
Alcunedomandeacuiilresponsabiledellasicurezzadelleinformazioniètenutoarispondere:
–
–
–
–
–
–
–
–
–
–
AqualiinformazionihaaccessoMr X?
Chihaaccessoalleinformazionipresentinell’archivioY?
ChihaautorizzatoMr Xadaccedereall’archivioY?
Siamosicurichegliutentidelnostrosistemainformativoabbianosololeautorizzazioninecessarieperlo
svolgimentodellorolavoro?
Siamosicuricheleautorizzazioniassegnateagliutentidelsistemainformativorispettinolelineeguida
sullasicurezzainterneelenormativevigenti?
Qualèilprocessodiconcuivengonoassegnatecredenzialiedautorizzazioniainuovidipendenti
dell’azienda?Epericonsulentiesterni?Eperifornitori?Peripartnerconcuicondividiamoalcune
informazionioservizi?
Qualèilprocessoconcuivengonomodificateleautorizzazionidegliutentichecambianosedeoruolo
aziendale?Equandocessanolacollaborazioneconl’aziendacosasuccede?
Quantotempovieneimpegnatoogginellagestionedelciclodivitadellecredenzialiedelleautorizzazioni
assegnateagliutenti?
Abbiamodefinitocriteridiassegnazionedelleautorizzazionibasatesullafunzioneaziendaledegliutenti?
Vienepostamaggioreattenzionenellaassegnazionediautorizzazioniriguardantilerisorsepiùcritichedel
sistemainformativoaziendale?Qualisonolerisorsepiùcritiche?
Governancedellasicurezzadelsistemainformativoaziendale
•
Perconsentireunaeffettivaattivitàdigovernance dellasicurezzadelsistemainformativo
aziendaleènecessario
– definiredellepolicy,deiprocessiorganizzativiedeicontrolli
– predisporredeisistemiITintegratiingradodiautomatizzareeguidaregliamministratoriegli
utentinellaapplicazionedellepolicy,riducendopossibilitàdierroreeviolazionidellepolitichee
dellenormativeesistenti
•
Alcunideiprincipalisistemidisupportoallagovernance dellasicurezza delsistema
informativo:
– sistemidiRisk Assessment,Risk Analysis,Risk Management:supportoall’analisieallagestionedei
rischiacuièsoggettoilsistemainformativoaziendale
– sistemidiIdentityManagement,IdentityGovernance:supportoallagestionedelciclodivitadelle
credenzialiedelleautorizzazioniassegnateagliutentidelsistemainformativoaziendale
– sistemidiAccessManagement,IdentityFederation:centralizzazionedeiservizidiautenticazionee
autorizzazione,anchesubase“federata”,ossiaestendendoilperimetrodelservizioadaltre
organizzazioniconcuil’aziendahastabilitodegliaccordidicollaborazione(edifiducia)
– sistemiSIEM(SecurityInformationEvent Management):supportoallaraccolta,correlazionee
analisideilogprovenientidallediversecomponentidelsistemainformativoaziendale
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
19
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
IdentityManagement:contestualizzazione
E-mailserver
Directoryserver
Intranet
ERP
CRM
DataWarehouse
...
users &
authz
users &
authz
Security
Admins
Security
Admins
users &
authz
Security
Admins
users &
authz
Security
Admins
users &
authz
users &
authz
users &
authz
?!?
(#@$*!!!)
Security
Admins
Responsabile
Sicurezzadelle
Informazioni
Security
Admins
Security
Admins
J
IdentityManagement:deploy dellasoluzione
Directoryserver
Intranet
ERP
CRM
DataWarehouse
...
users &
authz
Responsabile
Sicurezzadelle
Informazioni
users &
authz
users &
authz
users &
authz
users &
authz
users &
authz
PROVISIONING
E-mailserver
Policy
Processi
eProcedure
Informazioni
Monitoraggio
Controllo
IDM
Security
Admins
SINCRONIZZAZIONE
HR
users &
authz
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
20
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
IdentityManagement:caratteristicheprincipali
•
È unacomponentedisicurezzalogicacheconsentedigestirecentralmenteleidentità
digitalidellepersoneabilitateadutilizzareilsistemainformativoaziendale
•
Raccoglieinundatabaseunificatotutteleinformazionirelativeall’identificazionedell’utente
sulsistemastessoesututtelepiattaformeintegrateconIDM(virtual identity degliutenti)
– Conosceilnominativoedaltridati“anagrafici” perciascunapersonaabilitataadutilizzareilsistema
informativoaziendale
– Conoscegliaccountconcuiciascunutentesiautenticaedaccedesuivarisistemi
•
Raccogliealcunedelleinformazionirelativeallastrutturaorganizzativaaziendale
– Conoscelacollocazionediognipersonanellastrutturaorganizzativa,alfinedistabilirechiè
autorizzatoedèresponsabiledell’assegnazionedicredenzialieprivilegidiaccessoadogniutente
•
Raccoglieleinformazionirelativeallepiattaformeinformatichechecompongonoilsistema
informativoesucuigliutentidovrannoaccedere
– Conosceleinformazioniconcuiogniutentevieneidentificatosuciascunapiattaforma(piùaccount
utenteperognipersona,unaccountperciascunapiattaforma)
– Es.:IBMRACF,MicrosoftActiveDirectory,LotusNotes,ecc.
IdentityManagement:caratteristicheprincipali
•
CosaconosceIDM:
– Conosceleanagrafichedegliutentiperidentificarliunivocamente
– Conoscelepiattaformeinformatichepresentinelsistemainformativo(MicrosoftWindows/AD,
LotusNotes,OS/390-RACF,ecc.)
– Conoscelastrutturaorganizzativaaziendale(sedi,direzioni,aree,ruolimacroscopicidegliutenti)
•
CosafaIDM:
–
–
–
–
•
Assegnagliaccountdiaccessoperlepiattaformeagliutenti
Esegueilprovisioning/de-provisioningdegliaccountdiaccessoversolepiattaformetarget
Acquisisceleanagrafichedegliutentidalsistemadigestionedellerisorseumane
Consenteunaamministrazionedelegatabasatasullastrutturaorganizzativaaziendale
CosanonfaIDM:
– Nonsostituiscel’anagrafedelpersonale
• alcontrario:acquisisceidatidall’anagrafedelpersonale
– Nonsostituisceilsistemadigestionedellastrutturaorganizzativaaziendale
• alcontrario:recepiscelastrutturaorganizzativanellaconfigurazioneelautilizzacomegrigliaentrocui
delegareleattivitàdigestione
– Nongestiscel’autenticazioneegliaccessidegliutentiaisistemiinformatici
• alcontrario,licontrolla:medianteIDMsiassegnano,sisospendonoesirevocanolecredenzialiperl’accesso
aisistemi
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
21
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
IdentityManagement:RiconciliazioneeProvisioning
•
Riconciliazione eProvisioning sonofunzionalitàpropriedellepiattaformediIdentity
Management(IDM)
•
Riconciliazione eSincronizzazione conaltrisistemi
– Èl’operazionecheconsentedicaricaredasistemipreesistentilecredenzialidegliutenti nel
databasediIDM(percompletare/aggiornarelevirtual identity degliutenti)
– Avvieneunavoltaall’inizializzazionedelsistemaIDMperlepiattaformechedovrannoessere
alimentatedalsistemastesso(piattaformetarget)
– AvvieneconcontinuitàperlepiattaformechealimentanolabaseinformativadelsistemaIDMeche
“innescano” ilprocessodigestionedell’utente(isistemidigestionedellerisorseumaneedella
strutturaorganizzativa– lecosiddettetrusted sources)
•
Provisioning versolepiattaformetarget
– Èl’operazioneditrasmissionedellecredenziali utenteedelleinformazioniidentificativedal
sistemaIDMversolepiattaformetargetsucuil’utentedovràaccedereedessereautenticatoper
poteroperare
– AvvieneogniqualvoltasonomodificatiisuoidatisullapiattaformaIDM
– Èsoggettaall’approvazione deisoggettiprepostiagestirel’ambitodelleattivitàdell’utente(il
direttoreoildirigente)edeisoggettiprepostiallagestionedellepiattaformeinformatiche
IdentityManagement:principalibenefici
•
Sincronizzazioneconunaopiùtrusted sources perautomatizzareerenderetempestivo
l’innescodivariazioninelciclodivitadellevirtual identity:
– nuoviutenti,spostamentiomodifichedellefunzioniaziendali,conclusionidirapportidi
collaborazione
•
Provisioningversosistemitargetdiautenticazioneeautorizzazionedegliutenti
– automazionedelprocessodicreazione,cancellazioneemodificadicredenzialidiaccessoedi
autorizzazionilegateallecredenziali
•
Principalibenefici:
– Attuazionedialcunepolicydisicurezzasullecredenzialiesulleautorizzazionidegliutenti(naming
convention,passwordpolicy,scadenzadellepassword,scadenzaautomaticadegliaccountdi
accesso,ecc.)
– Monitoraggiodelprocessodigestionedellecredenzialiedelleautorizzazioni(auditlogdelle
operazionicompiutesullecredenzialiesulleautorizzazioniassegnateagliutenti)
– Semplificazionedelprocessodigestione:ilpersonaletecnicoaddettoallagestionedellecredenziali
edelleautorizzazionihaunostrumentounificato,webbased, pereffettuareleoperazionidi
gestione;nonèrichiestalaconoscenzadicomandioproceduresusistemioperativioapplicativi
specifici
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
22
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
IdentityManagement:unavistasemplificatasull’architettura
Interfacciadigestionewebbased
Scheduler
Persistenzadeidati
Connettorisistemitarget
RDBMS
DBMSrelazionale
(Oracle,MySQL,…)
Applicazione
J2EE
Motorediregoleeworkflow
Gateway
Virtual
Identity
Risorseesterne
AccessManagement:contestualizzazione
Applicazioni
gestionali
users &
authz
Intranet
Applicazioni
webbased
ERP
Responsabile
Sicurezzadelle
Informazioni
users &
authz
CRM
E-mailServer
DataWarehouse
...
users &
authz
users &
authz
users &
authz
PROVISIONING
users &
authz
Policy
Processi
eProcedure
Informazioni
Monitoraggio
Controllo
IDM
Security
Admins
SINCRONIZZAZIONE
HR
users &
authz
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
23
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
AccessManagement:deploy dellasoluzione
ERP
CRM
E-mailServer
DataWarehouse
...
Responsabile
Sicurezzadelle
Informazioni
Access
Manager
users &
authz
users &
authz
PROVISIONING
Intranet
Autenticazione
Autorizzazione
Applicazioni
gestionali
Policy
Processi
eProcedure
users &
authz
Informazioni
Monitoraggio
Controllo
IDM
Security
Admins
SINCRONIZZAZIONE
HR
users &
authz
AccessManagement:caratteristicheprincipali
•
Èunacomponenteinfrastrutturalediservizioperilconsolidamentodellasicurezza
informaticaperleapplicazioniwebbased
•
Offreservizidiautenticazione,sollevandol’applicazionedataliproblematicheeseparando
inmodonettolalogicaapplicativadibusinessdaquelladiautenticazione
–
–
–
–
Autenticazione“passwordbased”
Autenticazione“forte” concertificatidigitaliX.509odispositiviOTP
Autenticazione“Kerberos” integrataconildominioActiveDirectory
…
•
Offreservizidiautorizzazione/profilazione,perl’identificazionedell’utenteeperilsingle
sign-on chepossonoesseresfruttatidalleapplicazioni
•
Offrelapossibilitàdiraccogliereinunlogcentralizzatoleinformazionirelativeagliaccessi
(riuscitiofalliti)degliutentisulleapplicazioni
•
SiintegrainmodonaturaleconisistemidiIdentityManagement acuidelegalafunzionedi
gestionedelciclodivitadellecredenzialiedelleautorizzazioni
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
24
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
AccessManagement:unavistasemplificatasull’architettura
Interfacciadigestionewebbased
Applicazione
J2EE
LogicadiAutenticazioneeAutorizzazione
Plug-indiautenticazione
LDAP
DirectoryServerLDAP
(OracleDirectoryServer,
OpenLDAP,…)
Account,
Realm,Policy
Agent
Agent
Appl.1
Appl.1
...
...
Appl.n
Appl.n
WebServer
WebServer
WebAppl.Server
(MSIIS,JBoss,OAS,
Glassfish,…)
AccessManagement:processodiautenticazioneeautorizzazione
WebClient
WebServer
AccessManager
Richiede URLprotetta
Chiede verifica autorizzazione
mediante “agent/gateway”di
AccessManager
Redirectautomaticoversoform
dilogin(esempio)
Cookiedisessioneassenteonon
valido;autenticazionemediante
l’authenticationschemadefinito
dalleregolediprotezione
Presentaformdilogin
Compilaformdilogincon
credenzialiutente
Chiedeverificaautorizzazione
mediante“agent/gateway”
Invialarisorsaprotettaalclient
Visualizzalarisorsaprotetta;
richiedeunanuovaURLprotetta
(anchesuunaltrowebserver)
Chiedeverificaautorizzazione
mediante“agent/gateway”
Invialarisorsaprotettaalclient
Verificacredenzialiutenteecrea
cookiedisessione;quindi
redirigeallaURLprotetta
Verificalecredenzialicontenute
nelcookiedisessioneeconcede
l’autorizzazione
Verificalecredenzialicontenute
nelcookiedisessioneeconcede
l’autorizzazione
Visualizzalarisorsaprotetta
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
25
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
IdentityFederation:contestualizzazione
•
•
Traorganizzazioniaziendalidistintespessointercorronorapportidicollaborazione(es.:due
entipubblicichecollaboranosudeterminatitemi,dueaziendecheoperanoinmodalitàdi
partnership,un’aziendaeisuoifornitori,ecc.)talidarenderenecessariol’accessodiutenti
diunodeiduepartnersualcuneapplicazionidelsistemainformativodell’altropartner
Intalicasil’accessosicurovienegarantitotipicamenteassegnandoagliutenti
dell’organizzazioneA (fruitoredelleinformazioni)utenzeeautorizzazioniperl’accessoal
sistemainformativodell’organizzazioneB (fornitorediinformazionioservizi)
Internet
Servizi, Dati,
Applicazioni
Utenti
Organizzazione A: i suoi
utenti devono accedere ai
dati e ai servizi di B
•
Organizzazione B: fornisce
accesso a servizi e dati
LagestionedelciclodivitadelleutenzeassegnatedaB adA èpiuttostodifficileper
l’organizzazioneB,perchénonhailpienocontrollosuimembridell’organizzazioneA
IdentityFederation:deploy dellasoluzione
•
Vienedefinitoilruolodelledueorganizzazioni:
– IdentityProvider(IdP):èl’organizzazionecheconosceeautentical’identitàdegliutenti(A
nell’esempio)
– ServiceProvider(SP):èl’organizzazionechefornisceserviziapplicativieinformativi
•
•
IdentityFederation:permettedicostruireunasortadi“contestodisinglesign-on”che
metteincomunicazionel’AccessManagerdiIdP conl’AccessManagerdiSP
IlprotocolloSAML (SecurityAssertion MarkupLanguage)permettediinviaredeimessaggi
daIdP adSP peraprireunasessionedilavorofederatadegliutentidiIdP suisistemidiSP:
1. AccessManagerdiIdP autentical’utentecheconosce(appartieneallapropriaorganizzazione)
2. AccessManagerdiIdP inviaun’asserzioneSAMLadAccessManagerdiSP
3. AccessManagerdiSP apreuna
Identity Provider (IdP)
Service Provider (SP)
sessionedilavoro,comese
Sessione di lavoro su
Banca Dati XYZ
applicazione remota
l’utentesifosseautenticato
Utente del sistema
4
Web
informativo aziendale
Application
sulsistemadiSP,eloautorizza
adoperareconundeterminato
1
profilosulsistemadiSP
Autenticaz. locale
3 Autorizzazione
4. L’utentediIdP accedealsistema
Access
Access
diSP inmodalitàsicuraenon
Manager
Manager
SAML
2
anonima
User
User
store
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
Asserzione SAML
(sessione federata)
store
26
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
SPID:SistemaPubblicodiIdentificazioneDigitale
•
•
•
•
ConilDecretodelPresidentedelConsigliodeiMinistridel24Ottobre2014èstatoistituito
inItaliailSistemaPubblicoperlagestionedell’IdentitàDigitaledeicittadini
Èunsistemainformatico,supportatodaunanormadilegge,checonsenteallePubbliche
Amministrazionidioffrireservizion-lineaicittadini,utilizzandoilsistemaSPIDcome
contestodiidentificazione ediqualificazione degliutentiacuioffrireservizidigitali
SPIDoperacomeunsistemadiIdentityFederation tralepubblicheamministrazionicentrali
elocaliitaliane
Nell’ambitodell’architetturadiSPIDvengonodefinititresoggetti:
– IdentityProvider(IdP):comeneisistemidiIdentityFederation èl’entepubblicocherilasciaal
cittadinolecredenzialidiautenticazioneenegestisceilciclodivita,garantendolealtrepubbliche
amministrazionisull’identitàdelcittadinoassociatoatalicredenzialidigitali
• Es.:potrebbeesserel’AgenziadelleEntratecheoggirilasciaatuttiicittadiniunCodiceFiscaleeunaTessera
Sanitaria,oppureilComunediresidenza,cheoggirilascialaCartad’Identità
– Attribute Provider(AP):sonoglienticheistituzionalmentepossonocertificareilpossessodi
determinatiruoliorequisitidapartedelcittadinodotatodicredenzialidaunIdP
• Es.:potrebbeesserelaCameradiCommerciochecertificacheilsig.Rossièillegalerappresentantediuna
certaazienda,ol’OrdinedegliIngegneri,checertificacheilsig.Rossièuningegnereiscrittoall’Albo
– ServiceProvider(SP):sonoglienticheeroganoservizion-line,basandosisull’identitàdelcittadino
certificatadalIdP edalruolodellostessocittadinocertificatodalAP
• Es.:potrebbeesserel’INPSchefornisceilserviziodipagamentodeicontributidi“maternità”perun
dipendentedelladittadelsig.Rossichenefadomandaon-line
SIEM:SecurityInformationandEvent Management
•
•
•
Lecomponentidelsistemainformativoaziendaleproduconoenormiquantitàdidatidilog,
chedovrebberoesseretenutisottocontrollodaisistemisti,alfinedirilevareoprevenire
malfunzionamentidelsistema
Spessoilogfornisconoancheinformazioniodescrizionedieventicheriguardanola
sicurezzadelsistemainformativoochecostituisconodegliindizidiuntentativodiattacco
informaticoodiuncomportamentoscorrettodapartediunutentedelsistemastesso
IsistemiSIEM consentonodi
– aggregare inununicopuntoilogprovenientidanumerosefontieterogenee,offrendocosìai
sistemistieaglioperatoriresponsabilidellasicurezzaunostrumentounicodacuiosservareil
comportamentodisistemidiversi
– correlare fraloroinformazioniprovenientidasistemidiversioprodotteintempidiversidauno
stessosistema:spessouneventoinséèpocosignificativo,maacquistamaggiorerilevanzase
correlatoconaltrieventiavvenutocontemporaneamenteoabrevedistanzaditempo
– analizzare ilogsullabasediregole,inmododaportareall’attenzionedell’operatoreunnumero
limitatodieventiosegnalazioni
– archiviare neltempoinmodosicuroilog,ancheperpoterliutilizzarecomeprovaincasodiindagini
eprocedurelegali
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
27
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
SIEM:sintesidell’architettura
IlsistemaSIEMècostituitodadiverse
componenticollegatefraloro
•
Raccolta:componenteperl’acquisizionedeilog
daisistemisorgente
•
Analisi,normalizzazione:verificalasingola
rigadilogelariscriveinunformatostandard
normalizzatorispettoalladiversitàdellesorgenti
•
Archiviazione:illoginformatooriginale(raw)
enormalizzatovienearchiviatosuunostorage
digrandidimensioni(puòessereancheprotetto
mediantelacostruzionediunacatenadihash)
•
•
Sistema
Informativo
Raccolta
Analisi,Normalizzazione
Archiviazione
Motoredicorrelazione,
applicazionediregolee
controlli
Correlazioneecontrolli:ilogvengono
correlatifraloroevengonoapplicatideicontrolli
peridentificareeventirilevantiperlasicurezza
Dashboard,
Presentazione
Dashboard:leinformazionivengonopresentate
inmodalitàefficacealpersonaledelSOC
(SecurityOperation Center)
Security
Admins
Affidabilitàedisponibilità
•
Ladisponibilitàel’affidabilitàdiunsistemainformaticosonodueaspettilegatifraloroe
inerentilaprobabilitàchesiverifichinodeiguastiodeimalfunzionamentitalida
compromettereilsistema(anchepercausadolosa,comeunattaccoinformatico)
– Disponibilità:esprimelagaranziadiessereprontoall’usoinesercizio
– Affidabilità:esprimelagaranziadicontinuitàdiusoperundeterminatotempo,
indipendentementedaquantoduriiltempodirimessainesercizio
•
Duegrandezzeimportantidastimaresono
– MTBF (mean timebefore failure):iltempomediodidisponibilitàdelsistema,primachesiverifichi
unguasto
– MTTR (mean timetorecover):iltempomedionecessarioperripristinareilcorrettofunzionamento
diunsistemaguasto
•
Disponibilità:
D=
– Sistemiinserie:
MT BF
MT BF + MT T R
1
D = D1 ⇥ D2
– Sistemiinparallelo:
D = (D1 + D2 )
2
(D1 ⇥ D2 )
(dallaprobabilitàdiguasto,cheècomplementarealladisponibilità)
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
1
2
28
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
AffidabilitàeDisponibilità
•
Caratteristichechemiglioranol’affidabilitàeladisponibilitàdiunsistema:
– Faulttolerance:capacitàdelsistemadiresistereadeterminatiguastidialcunedellesue
componenti
Siottieneadottandoridondanzehardwareelogiche,qualiconfigurazionimaster/slave,serverin
cluster,servizidiload balancing,ecc.
– Businesscontinuity:possibilitàdioperaresenzainterruzionealmenoperlefunzionalitàdimaggiore
importanza,senzaquindiinterrompereiservizidibusiness
Vieneperseguitaattraversofunzionamentiedoperativitàparallele,svoltegeograficamentee
logicamenteinmodoindipendente
– Disaster recovery:possibilitàdisuperareeventistraordinarisenzaperditedidatieinformazioni
rilevantieriducendoalminimoilperiododiinterruzionedelserviziodibusiness
Ègeneralmenteraggiuntostudiandostrategiedidistribuzionedegliassetedeisistemiinformativi
supiù“siti”geografici,predisponendomeccanismidireplicadelleinformazionisusitidifferentie
medianteprocedurediattivazionedeisitididisaster recovery ediripristinodeiservizidibusiness
NormativesullasicurezzaIT
•
•
•
Nell’ambitodellasicurezzadelleinformazionisonostatedefinitenumerosenormative e
regolamenti cheimpongonoalleorganizzazionieairesponsabilidellasicurezzadeisistemi
informatividiadottarepolitiche,procedure econtrolli talidagarantirediaverpredisposto
contromisureadeguatepertutelarelariservatezza,l’integritàeladisponibilitàdelle
informazioni
Lacompliance allenormativeeairegolamentièunaspettomoltoimportantedellasicurezza
informatica
Alcunenormativesullasicurezzadelleinformazioni:
– ISO/IEC27001:definisceirequisitiperunSistemadiGestionedellaSicurezzadelleInformazioni
(SGSI oISMSdall'ingleseInformationSecurityManagementSystem); includeaspettirelativialla
sicurezzalogica,fisicaedorganizzativa
– ISO/IEC27005:definiscedellelineeguidaperlagestionedelrischionell’ambitodellasicurezza
delleinformazioni
– D.lgs196/2003:TestoUnicosullaprivacy,sullatutelanellagestionedeidatipersonali
– Amministratoridisistema:ProvvedimentodelGarantesullaPrivacypergliamministratoridi
sistemadel27novembre2008
– PresidenzadelConsigliodeiMinistri,Direttiva16/1/2002:Sicurezzainformaticaedelle
telecomunicazioninellepubblicheamministrazioni
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
29
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
NormativaISO/IEC27001
•
CometuttiglistandardISO
definiscedellelineeguidaperla
realizzazionediunsistema
Politica per la Sicurezza delle Informazioni
Statement Of Applicability
Analisi dei Rischi
Manuale del Sistema di Gestione della Sicurezza
Procedure Aree
Engineering CMMI
Procedura di
Responsabilità Direzione
Procedura di Generale dei
Documenti
Procedura di
Approvvigionamento
Procedura di Risk
Management
Piano della Sicurezza Logica
Procedura di Project
Planning
Procedura di Gestione delle
Utenze
Procedura di Gestione degli
Asset
Piano della Sicurezza Fisica
Procedura di gestione degli
incidenti di sicurezza
SGSI:SistemaperlaGestione
dellaSicurezzadelle
Informazioni:ècostituitoda
politiche,procedure,documenti,
registrazioniedancheda
strumentidisupportoesistemidi
tipoinformatico
Procedura di Controllo degli
Accessi
•
Linee guida e Manuali operativi
Modelli
Registrazioni
NormativaISO/IEC27001
•
•
ISO27001proponeuninsiemedi133controlliperverificarelostatodiapplicazionedelle
lineeguidaedunquelacompletezzael’efficaciadelSGSI
Icontrollicopronoiseguentiambiti:
1. InformationSecurityPolicies (definizioneerevisionedellapoliticaperlasicurezza)
2. OrganizationofInformationSecurity(ruoli,responsabilità,separazionedellecompetenze,utilizzo
didevice mobiliegestionedeltelelavoro)
3. HumanResourceSecurity(aspettiinerentilasicurezzanellefasidiselezionedelpersonale,
gestionedelpersonale,conclusionedelrapportodilavoroconilpersonale)
4. AssetManagement(responsabilitàsugliasset,classificazionedelleinformazioni,gestionedei
supportidimemoria)
5. AccessControl(gestionedellecredenzialiedelleautorizzazionidegliutenti)
6. Cryptography (politicanellacifraturadeidati,gestionedellechiavidicifratura)
7. Physical andEnvironmental Security(sicurezzafisica,protezionedegliassetfisici)
8. OperationsSecurity(change management,threat management,backup,logging,monitoring,ecc.)
9. CommunicationsSecurity(sicurezzadellarete)
10. Systemacquisition,development andmaintenance (approvvigionamenti,sviluppoe
manutenzionesoftware,manutenzionedeisistemi)
11. InformationSecurityIncident Management (gestionedegliincidentidisicurezza)
12. InformationSecurityAspects ofBusinessContinuity Management (businesscontinuity,disaster
recovery,ridondanzadegliapparati,ecc.)
13. Compliance (rispettodellenormativeedeiregolamentidisettore)
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
30
UniversitàdegliStudiRomaTre- CorsodiLaureainMatematica
a.a.2016/2017
RonaldL.Rivest,Adi Shamir,andLeonardAdelman
Itrematematicinel1978eranoricercatorialMITquandoinventaronol’algoritmoRSAdicrittografiaasimmetrica,chepermettedicifrareofirmare
informazioni.IlmodellodicrittografiaasimmetricaerastatopropostosolodueanniprimadaWhitfield Diffie eMartinHellman.
M.Liverani- DispensedelcorsoIN530- Sistemiperl'elaborazionedelleinformazioni
31