Guida al SysadminPentester-Hacker Etico Ovvero cosa sapere e cosa no Alessandro Vannini THE S.P.E.H WAY – OVVERO LA VIA DEL SYSADMIN\PENTESTER\ETHICAL HACKER GUIDA ALLE CERTIFICAZIONI ED ALLA SCELTA DEL PERCORSO INCIPIT Caro Appassionato, Studente, Professionista IT o solo Curioso, se sei arrivato qui vuol dire che in un qualche modo hai trovato questa guida su come un giorno provare ( si dice sempre provare perché niente è mai sicuro in questo mestiere) a diventare una figura professionale che gestirà reti e le proteggerà da un lato, cercherà di bucarle e trovarne la vulnerabilità dall’altro o magari, come me, sarà entrambe le cose per scelta obbligata: ho sempre protetto i dati ed alla fine mi hanno chiesto di provare a vedere se quelli degli altri erano altrettanto protetti. Questa “guida” è per tutti voi. Questo lavoro non lo è. Spero che tutto lo scritto seguente possa servire a sfatare miti, chiarire dubbi e far venire voglia a molti di voi di mettersi in gioco ma anche a far desistere alcuni dal fare questo mestiere che è il boom del momento, ma è inflazionato da tanta spazzatura mediatica ed inevitabilmente da tanta spazzatura poi nel campo delle competenze necessarie per farlo. Io mi trovo giornalmente a combattere con continue lacune sulle strutture fatte da professionisti o presunti tali, a volte piccole, a volte enormi. Queste persone, che si fanno comunque pagare, creano solo ulteriori vulnerabilità ad un mondo che ne è già saturo. Non si può sapere tutto, non si può coprire tutto, ma, macrosopicamente ci sono davvero errori che possono mettere in crisi l’esistenza di un’azienda e personalmente non posso accettarli, sarebbe meglio a volte che qualcuno cambiasse lavoro. INTRODUZIONE In principio era l’informatica e le reti. Siamo nel 2020. È importante che chi legge sappia esattamente quando questa guida è stata scritta e se può essere ancora attuale. Probabilmente tra due o tre anni non lo sarà più, magari verrà integrata chi lo sa. Ad ogni modo la sicurezza informatica esiste da quando esiste l’informatica. Negli ultimi 20-30 anni alla crescita esponenziale delle reti e soprattutto dei ransomware, exploit, virus degli ultimi dieci anni un acronimo ha iniziato a martellarvi il cervello: CYBERSECURITY. Nessuno ha inventato nulla, noi che siamo cresciuti con le reti e che facciamo i sistemisti da una vita le abbiamo sempre protette. Prima si chiamava SICUREZZA INFORMATICA e detto tra noi era molto più semplice in passato bucare un sistema da fuori di oggi. Il problema reale del mondo della sicurezza è sempre stata l’incompetenza del sysadmin di turno: improvvisato, con lacune continue e semplicemente polleggiato nel suo piccolo orticello senza formazione continua ed aggiornamento di sé stesso. Chi invece ha sempre investito tempo (e tanto denaro) nella formazione di sé stesso ora sorride quando si sposta su Linkedin e vede sotto ogni persona che ha a che fare con l’IT una dicitura di CYBERSEC EXPERT o di ETHICAL HACKER. Sfatiamo il primo mito subito e ve lo sottolineo pure: SE UNA RETE È PROTETTA DA UN SYSADMIN COMPETENTE E L’ACCESSO ALLE RISORSE INTERNE E PERIMETRALI È MONITORATO VOI NON PASSATE DA NESSUNA PARTE. L’ho scritto in stampatello. Urlato. Perché tutti i test, i pentest, le VM e quello che andrete a studiare sono fatte per essere bucate. Una rete sicura non è fatta per essere bucata ed un sysadmin skillato vi sbatte fuori in 10 minuti sempre che non sia qualcuno che ha anche conoscenze di Defensive Security e vi viene pure a bussare alla porta di casa. Potete forse trovare una vulnerabilità intrinseca sul dispositivo della rete, ma non è vostra bravura, non siete hacker, è fortuna bella e buona e succede raramente. Il resto è inadempienza del sysadmin di turno e quello che vogliamo è avere un sysadmin perfetto ( o quasi), non gente che buca cose fatte da mediocri. Prendiamo in esame il secondo mito: l’ETHICAL HACKER o questa dicitura che dà tanto fastidio ad alcuni, me compreso, ma non perché sia comunque errata, perché l’hacker è etico di suo, ma perché chiunque con due cognizioni informatiche se ne forgia. Personalmente detengo una CEH. Non mi sento un hacker, mi chiamano spesso hacker per semplificare. Ho preso la certificazione solamente per completare un percorso. Se ero un hacker lo ero molto prima, se non lo ero, non lo sarò nemmeno dopo. Un hacker secondo me è la pura definizione di qualcuno che conosce perfettamente un mezzo, sa come guidarlo e come modificarlo in modo che se quel mezzo non è suo lo possa usare lo stesso e dopo che l’ha usato nessuno si è accorto di nulla e lui è lì beato come prima pronto a guidarne un altro. Io quel mezzo anche dopo più di 20 anni non mi sento di conoscerlo perfettamente, forse meglio di altri o meno di pochi, ma non mi sento mai arrivato, sono sempre in movimento. Men che meno sarà un hacker chi cracca una wifi con un tutorial. Hacker è un modus vivendi e come tutte le cose non è per tutti e non ci diventi con un pezzo di carta. PREREQUISITI Vuoi fare questo lavoro? Bene, i prerequisiti sono a mio avviso “solo” 3: 1) Devi avere una memoria fuori della norma. Non puoi sbagliare due volte la stessa cosa, non puoi tornare più volte sullo stesso concetto, una volta letto, studiato, testato, deve diventare tuo. Se ogni volta torni a leggerti i passaggi non ce la fai perché il fattore tempo nel tuo mondo è molto ridotto. Se devi andarti ogni volta a rileggere che porta usa quel servizio non ce la fai, se non ricordi le password delle strutture che amministri non ce la fai. È una dote naturale. Non la sviluppi. Certo puoi scriverti tutto ma a livello sicurezza è un buco enorme e passaggi in più. 2) Devi conoscere perfettamente l’inglese. Sistemi, testi, certificazioni ecc è tutto in inglese. Senza quello non vai da nessuna parte. I server? Vanno messi in inglese. Ancora oggi vedo gente che piazza piattaforme in italiano, assurdo. La piattaforma in inglese è nativa, viene patchata prima, trovi milioni di thread in più in caso di problemi ed i supporti tecnici sono al 99% in inglese. La localizzazione linguistica dei sistemi è stato un errore enorme. Anche solo i servizi in lingua di un determinato applicativo sono tutti in ordine, quelli tradotti sono tutti sparsi. Inglese, per tutto. 3) Devi avere tempo. Tempo per formarti, tempo per studiare, tempo per testare e poi tempo per gestire, il “percorso veloce del pentester” di 2 anni non esiste. In due anni non metti nemmeno insieme una formazione junior decente, figuriamoci andare ad operare su reti complesse con N sistemi ed hardware diversi. Non hai tempo? Cerchi una “strada veloce”? Non esiste. Fai solo danno e ti trovi a mettere la firma su qualcosa di certamente incompleto, molte volte mediocre e che poi alla domanda “OK, ma adesso mi sistemi tu i buchi?” trova tante volte nessuna o poche risposte laconiche tipo “ah non saprei” “adesso vediamo” ecc. LE CERTIFICAZIONI Capiamoci. Per fare il Syadmin od il pentester non serve essere certificati ed avere pezzi di carta. Ma la domanda è: voi a chi vi affidereste? A chi affidereste la vostra azienda? Ad uno che ne ha 20-30 o ad uno che non ne ha nessuna? Vi siete già risposti. Il problema delle certificazioni è che possono essere prese anche senza aver raggiunto realmente la competenza. In realtà è un problema vostro, non degli altri. Se andate in giro con 40 pezzi di carta inutile il primo sysadmin o pentester skillato che incontrate vi fa fare una figuraccia e voi avete finito di lavorare perché nel nostro mestiere la parola viaggia veloce e, detto tra noi, chi si è fatto il mazzo, non ci sta a farsi fregare la scena dal ragazzotto improvvisato di turno con 2 anni esperienza. Quindi poi non avete la capacità per controbattere tecnicamente sul campo. La certificazione è SEMPRE IL CORONAMENTO DI UN PERCORSO. Non è l’inizio. Qui sta l’errore maggiore. “Adesso mi prendo una CEH od una OSCP così lavoro!” No. Voi vi pigliate la cert perché ne sapete a pacchi di quell’argomento e lo approfondite oppure perché dopo un anno che smanettate ne sapete talmente tanto che andate a fare una cert. I corsi ufficiali sono ottimi, ma diffidate sempre da corsi che dopo 5 giorni intensivi vi piazzano un esame. Quell’esame è fatto apposta per essere passato, ma non vi serve a niente. Professionalmente è un bagno di sangue. Dopo 5gg di corso se avete portato a casa il 40-50% siete dei mostri. Dopo dovete sputarci sangue sopra e forse dopo 6 mesi potete dare l’esame. I corsi seri (Microsoft, CEH, OSCP ecc) danno 6 mesi per sostenere l’esame e vedrete che sono pure corti. Volete davvero mettervi alla prova? Fate come me: non ho seguito mai nessun corso (uno su Exchange 2007, lo ammetto) e tutti gli esami li ho dati studiando da solo. Non c’era fretta, solo tanto studio e se non ce la facevo col tempo spostavo la data in avanti. Massima soddisfazione e poca possibilità di replica se poi la cert la prendi. Certo a volte sono stato segato e mi è toccato pagare il second shot ma almeno c’era una reale fotografia di quel che sapevo e cosa no. PARTIAMO: Metto tutto in ordine sparso. Perché secondo me sono tutte cose assolutamente necessarie. Non ho la presunzione di dare un ordine alla vostra vita. Scegliete come e cosa vedere\fare\studiare tenendo presente che ogni cosa che saltate è una lacuna ed una potenziale problematica per la vostra rete e per il cliente. Metto Sysadmin e Pentester insieme. Perché? Perché non potete fare una cosa senza aver fatto l’altra. Potete fare solo il sysadmin se vi piace come lavoro ma non solo il pentester senza aver gestito strutture. E qui casca anche il DEV. Perché non c’è? Perché lavora ad un livello più alto e di infrastruttura di solito non sa nulla. Non entro nel merito del DEVOPS. Basti solamente capire che se non sai come è fatta tutta la tua rete per filo e per segno difficilmente riuscirai a trovare i buchi. Di seguito quindi le cose che servono: HARDWARE: CERTIFICAZIONE COMPTIA A+ O SIMILARI Come? Perché devo conoscere il ferro?? Ma certo. Il ferro ha vulnerabilità, il ferro ha firmware che possono avere problemi, il ferro ha firmware che possono essere modificati e cambiati. Puoi orientarti su un brand e prendere magari una HP Flex o similari, COMPTIA fa una cert entry level, carina, ma ti apre un po’ la mente. In ogni caso switch, router, firewall, server, client ecc, devi avere ben chiaro come sono fatti, cosa fanno e perché lo fanno. NETWORKNG CERTIFICAZIONI: CCNA, COMPTIA N+, Watchguard, Fortinet, SOPHOS Qui c’è lo zoccolo duro del sysadmin\pentester. Almeno uno degli zoccoli. Devi conoscere le reti. Non bene. Benissimo. Puoi anche non avere chiaro come funziona il BGP perché non l’hai mai visto, ma protocolli, servizi, router, firewall ecc devono essere il tuo pane. E VPN. Devi avere ben chiaro come funzionano perché tante volte quando non passi dalla rete principale puoi puntare ad attaccare la sede periferica che ha una Site to site con l’azienda principale. Comptia N+ è una cert semplice. Entry level per capire qualcosa delle reti. Poi devi sceglierti almeno un paio di brand di UTM e spenderci sopra del tempo. Questo vuol dire comprarsi degli apparati e sputarci sangue. CCNA di Cisco oggi è la base per chiunque, ma se scegli Sophos o Watchguard Advanced Networking impari esattamente le stesse cose. Una menzione straordinaria va a Mikrtotik. Sono router, ma fanno di tutto e le certificazioni sono valide. Devi imparare reti locali, wifi ecc, quindi più carne al fuoco cucini qui, meglio mangerai alla fine. Una VPN è identica per tutti, si fa solo in modo diverso. Almeno un paio di cert in questo ambito sono obbligatorie. Meglio 3 o 4. E già qui ti vanno via due anni forse. VIRTUALIZZAZIONE CERTIFICAZIONI: VMWARE VCP-DCA\VCP-DCV, MICROSOFT HYPER-V Server virtualization Perché devo conoscere la virtualizzazione? Semplice, oggi è tutto virtuale. Se riesci a bucare un hypervisor hai in mano l’azienda. Certo non è facile ma in ogni caso devi almeno saperlo gestire. Vmware è abbastanza costosa, ma non prendiamoci in giro: l’hanno inventato loro ed è lo standard di mercato. Meglio se le hai tutte e due. Hyper-v sta rimontando. Va citato anche KVM e Citrix, ma nelle infrastrutture locali \ibride è difficile da trovare. Sono più nei datacenter. SISTEMI OPERATIVI CERTIFICAZIONI: MICROSOFT MCSA-MCSE, Comptia Linux+, LINUX LPI Qui non credo ci sia tanto da dire. I sistemi operativi li devi conoscere. Devi sapere cosa sia Active directory, come si comporta, stesso discorso per i sistemi linux. Microsoft MCSA Windows server è già di suo una cosa che ti porta via un anno. Linux LPI un altro bel po’ di tempo. Microsoft MCSE ancora di più. Non si può ignorare che il 95% delle aziende usa Microsoft, come non si può ignorare Linux. Qui il percorso è duro, lungo e comporta almeno 2 anni di gestione ed amministrazione di reti miste. HACKER\PENTESTER CERTIFICAZIONI: EC-COUNCIL CEH – OFFENSIVE SECURITY CERTIFICATIONS (OSCP ed altre) Arriviamo alla marmellata. Prima di tutto sfatiamo un ulteriore mito. La Certified Ethical Hacker è una certificazione che esiste da quasi 20 anni. È l’UNICA attualmente riconosciuta come credito per il Master in Cybersec negli stati uniti e riconosciuta sia dal dipartimento della difesa americana che dall’NSA. Metto il link stavolta perché ci sono cento Ethical certifications che vi vengono vendute come similari. Non sono nemmeno parenti. https://www.eccouncil.org/accreditations/ Per quel che mi riguarda è stata senza dubbio la più complessa certificazione acquisita. Spazia svariati campi ed ha costi molto elevati. Per avere l’eleggibilità per sostenere l’esame SENZA il corso come ho fatto io e come possono fare tutti volendo, devi avere comprovata esperienza che deve essere attestata con lettere firmate da 3 clienti\datori di lavoro ed una volta verificato puoi spendere quei 1200$ per dare l’esame. L’esame è proctored, ti prendono possesso del telefono cellulare con un link che ti inviano e non puoi muoverti dalla sedia e nemmeno guardare in giro. Roba seria. Senza dubbio quando ti siedi a fare un esame da 1200$ un po’ di ansia ce l’hai. 75% di percentuale di risposte esatte per passare. Ci ho messo un anno a prepararla. La CEH NON e’ in competizione con la OSCP. Sono due cose totalmente diverse. Chi le mette alla pari o le compara non ha capito niente. Servono tutte e due o nessuna, dipende, ma la OSCP è una certificazione pratica, molto complessa anche lei e da sola non basta. Dovreste poi farvi le altre Offensive Security e sono 650€ l’una. A livello di curriculum cosa paga di più? Entrambe. CEH è più conosciuta e più blasonata, ma si è persa un po’ nel mare delle restanti mille Ethical Certifications. Quella vera è ancora tenuta in conto. Sono comunque ancora pochi i CEH in circolazione. CEH ed OSCP ancora meno, messe insieme anche qui ti portano via 2 anni con esperienza pregressa, altrimenti, semplicemente, non ci capisci nulla. LINGUAGGI DI PROGRAMMAZIONE: PYTHON, POWERSHELL ecc… Chiaro serve conoscere linguaggi di programmazione. Leggo spesso “più ne sai meglio è”. Certo. Nel nostro mondo è sempre un più ne sai meglio è. Non sono un Dev. Non nasco come DEV. Nasco come infrastruttura. Fortunatamente per me e molti altri come me però posso contare su una serie infinita di script “pappa pronta” da usare ed utilizzare quelle poche nozioni che ho per qualche script. Chi viene dal lato programmazione avrà in questo campo tanto vantaggio in più. Ma oggi il 95% degli hackeraggi è social engineering. Prendi lo script, lo fai eseguire da uno all’interno per sbaglio e sei dentro. Enorme fortuna per noi poveri sistemisti, un po’ meno per gli sviluppatori che con solo lo scripting fanno più fatica. Questo sempre che la rete sia protetta da uno valido. In caso contrario la pappa pronta ce l’hanno loro. � Anche qui se volete investire avete tempo infinito. Il Python è il migliore al momento. Con Powershell si fanno cose da paura. Ma non ho una conoscenza approfondita degli altri linguaggi, devo rimettermi a quel poco che so fare e non fare congetture. Qualcuno più bravo di me vi integrerà magari questa sezione. SOCIAL ENGINEERING Vi ho messo questa sezione perché oggi tutto passa di lì. Gente in grado di bucare ce n’è poca. Non perdete tempo con gli attacchi dictionary o brute force per favore. Non ha più senso. Anche il mio gatto ha password complesse e dopo 10 tentativi vi sbatte fuori. Voi tempo non ne avete. Appoggiatevi sulla vulnerabilità delle persone e giocate lì per farvi dare l’accesso. Ci sono sempre riuscito. È una dote anche quella, ma ci sono degli escamotages anche qui. Tanti. Però questa sezione è un a prerogativa diversa di ogni pentester\hacker che dir si voglia, non vi spiegherò i miei trucchi, abbiate pazienza. � Stiamo parlando sempre di test autorizzati con lettera di incarico preventiva e senza andare oltre i confini dell’azienda che vi ha incaricato. TOOLS Non è mica finito. Ci sono i tools. Userai qualcosa per fare i test no? Bene. Ci sono milioni di tools. Molti gratis, molti a pagamento. Sfatiamo un altro mito. Il gratis non fa come il pagamento. Ti devi sbattere molto di più e quindi hai molto meno tempo a disposizione. Quello che paghi ti agevola esponenzialmente il lavoro. Wireshark, Nmap, Google Hacking, già da soli, se li vuoi studiare, ti portano via un anno tra tutti e tre. Poi ci sono altri tools che userai dopo il percorso CEH,OSCP per fare survey, mappe mentali, accessi. Non puoi guardarli tutti, sono troppi, devi innamorarti di alcuni ed usare quelli e se ti resta tempo dare un’occhiata agli altri. Scegli i tuoi tools accuratamente. Personalmente uso Nessus. Costa un botto, ma trova vulnerabilità in pochi minuti. Il prezzo del tool è sempre corroborato dal test che devi fare. Se non te lo ripaghi hai sbagliato qualcosa. IL PERCORSO UNIVERSITARIO Ultimamente (per fortuna) l’università italiana sta puntando sulla CyberSec. Corsi con Master e sbocchi in sicurezza\reti stanno arrivando. Però sono poco diffusi ed in ogni modo non danno una competenza a 360°. Nel nostro lavoro non c’è ancora una scuola che lo completi. Una volta usciti dall’università dovrete comunque investire in certificazioni parallele e tirocinio presso aziende del settore. Non ho purtroppo esperienza dei corsi e di come si svolgono, non posso quindi entrare in merito. Un corso però che tratta le reti è già un’ottimo trampolino di partenza. I CORSI ONLINE UDEMY, CYBRARY E CHI PIU NE HA PIU NE METTA. Non sono mai riuscito a studiare online. Devo avere testi su carta ed un interlocutore reale. Altrimenti mi perdo dopo poco perché la testa inizia a viaggiare da altre parti e mi trovo con 20 finestre aperte sotto al video del tizio che parla. Se siete in grado di farlo, ottimo per voi, avete l’imbarazzo della scelta. Migliaia e migliaia di corsi e possibilità. Deve esservi chiara una cosa: sono corsi fatti apposta per aiutarvi a crescere, questo vuol dire che sono agevolati all’apprendimento. Non pensate di avvicinarvi ad una rete reale con un corso online di 10 lezioni per favore, ma capite che può essere quello il mezzo per iniziare a capirci qualcosa. In quest’ottica avrete il mondo in mano. Leggo troppo spesso “fatti dare un accesso Udemy Unlimited almeno” oppure “mi sono formato Python su Cybrary”. Ragazzi. NO. Non è curriculum, non sono reali capacità: quelle le vedete se scendete in campo su una rete e provate a gestirla\bucarla. Allora vedete cosa avete tirato su, ma roba reale, protetta da gente che lo fa di mestiere e che non ha tralasciato la propria formazione, lì vi assicuro che diventa davvero difficile. SISTEMI DA USARE (e conoscere) per i test\amministrazione Entrambi. Naturalmente. Windows e Linux. Personalmente ho 2 notebook che uso in contemporanea. Un W10 con tutti i tools ed un KALI modificato con Alfa network ad alto guadagno ed una Panda Network per altre cose. Faccio quasi tutto su Windows perché semplicemente faccio prima. Il Kali è la macchina di sfondamento, Windows è quella da rifinizione. Anche in questo caso dovete conoscere entrambi per usarli naturalmente. IL FATTORE TEMPO ED IL DOMAIN ADMIN Se hai letto tutto questo malloppone che non è nemmeno completo, perché si potrebbe scrivere un romanzo hai già capito: tempo non ce n’è. Il pentester deve fare tanto in poco tempo, quindi conoscere tutto ed alla fine stilare una relazione. Mi è capitato da poco un test su una classe /22. 1200 Hosts. A fare la relazione ci ho messo 3 giorni. Se perdete tempo in test inutili non campate e non tirate fuori nulla. Tante volte la classica scansione vi apre porte per cui non avete nemmeno bisogno di andare di script. Non puntate sempre alla password di domain admin. Chi se ne frega? Se avete in mano le credenziali dell’impiegata dell’amministrazione al gestionale aziendale è già la fine dei giochi per l’azienda. Limitatevi ad un livello di profondità consono all’altalena costi (per voi e per l’azienda) \benefici. Deve essere in asse. CONCLUSIONI E COSA VOGLIO FARE DA GRANDE? Ora che sei arrivato alla fine, sei ancora convinto di poter fare questo lavoro in pochi mesi? Aggiungiamo che il 99% delle volte ti viene chiesto di rimediare alle vulnerabilità. Cosa fai? Gli dici che non sei pronto e passi alla concorrenza con magari il rischio di aver fatto un errore od aver lasciato indietro qualcosa oppure hai un bagaglio tale da portare a termine il lavoro con conseguente rivalutazione al rialzo del compenso? E se vieni assoldato da un CEO per un pentest e dall’altra parte hai uno che ha tutte le competenze sopra? Quando vai fare il debriefing con lui sei pronto tecnicamente a sostenere il confronto? Questo è il mio consiglio: formati, fatti strutture di test, implementa, prova e cresci. Certificati se puoi e forse, a 10 anni dall’inizio della tua carriera potrai provare (e riuscire) a bucare una rete con una sicurezza reale. Se devi basare il tuo lavoro sulla scarsezza delle capacità altrui arriverai solo fino ad un certo livello e prima o poi troverai un muro che ti crollerà addosso perché a nessuno piace pagare un pentester meno bravo del proprio amministratore di rete. L’ideale sarebbe farsi assumere in una società dove si fa questo tipo di lavoro (domani non subissatemi di richieste di lavoro\stage � al momento non ho posizioni libere nella mia). Aggiungo, non abbiamo bisogno di milioni di pentester ed hacker etici nel senso stretto del termine: abbiamo bisogno di persone che proteggono i dati ed amministrano le infrastrutture correttamente sia che siano cloud che on premise. Al crescere dei primi ci sarà sempre meno necessità dei secondi. Se una società è piena di poliziotti vuol dire che ci sono molti reati. Se le persone imparano a proteggersi i reati caleranno e la polizia sarà sempre meno. Il sysadmin è un lavoro che potrai fare tutta la vita, potrai difendere la tua rete o le reti altrui, l’offensive o il pentester? Non ne sono tanto sicuro. Servirà sempre chi testa, ma ancora di più chi protegge. RINGRAZIAMENTI A te che hai letto anche solo due righe dico grazie. Questa non è la verità assoluta, è solo il mio percorso e la mia visione dell’attuale parco IT e delle possibilità limitate a queste due professioni. Non ho la presunzione di insegnare nulla a nessuno ma tutti i giorni mi scontro con queste realtà e vi assicuro: è cognizione di causa, almeno nei miei panorami tecnologici. Grazie a tutti dell’attenzione. Alessandro Vannini.
