SicuraMente

20 critical controls for effective cyber defence: CPNI insieme a SANS indica la strada

Pubblicata sul sito di CPNI (Centre for Protection National Infrastructure in UK)  la lista delle 20 cose più importanti per una efficace difesa dei sistemi. 

La Top Twenty dei Controlli di sicurezza critici sono una baseline, stilata da SANS e CPNI in consorzio con altri stakeholders, di azioni ad alta priorità e controlli di sicurezza che possono essere applicati all'interno di un'organizzazione al fine di migliorare la sua cyber-difesa.  I controlli (e sub-controlli) si concentrano su diverse misure tecniche e attività, con l'obiettivo primario di aiutare le organizzazioni a dare una priorità agli sforzi per la difesa contro i più comuni e dannosi incidenti ed attacchi in rete .. Vedi l'elenco su http://www.sans.org/critical-security-controls/  e su  http://www.cpni.gov.uk/advice/infosec/Critical-controls/

ENISA su Industrial Control Systems/SCADA e come proteggerli

Pubblicato sul sito di ENISA il documento "report Protecting Industrial Control Systems. Recommendations for Europe and Member States". 

The report describes the current situation of Industrial Control Systems security and proposes seven recommendations to improve it. The recommendations call for the creation of the national and pan-European ICS security strategies, the development of a Good Practices Guide on the ICS security, fostering awareness and education as well as research activities or the establishment of a common test bed and ICS-computer emergency response capabilities.

Incidenti di security industriale? su RISI (The Repository of Industrial Security Incidents)

   

 

RISI è il database in cui vengono segnalati incidenti di security industriale che provocano "problemi" a reti e sistemi di controllo ed automazione nell'industria e nelle infrastruttura. Riportando un incidente si posso fornire preziose informazioni agli esperti che curano il database: sono poi loro ad analizzarli e correlarli con altri eventuali incidenti, per poi segnalare trend e le migliori strategie di protezione e rimedio per evitare guai ad altre industrie ed infrastrutture che potrebbero trovarsi in situazioni similari. Segnalando incidenti si ha diritto a consultare gratuitamente il RISI. Il riserbo e la riservatezza per chi segnala sono assicurati dai gestori del sito: non vengono infatti tracciati indirizzo IP ed email, ed è facoltativo fornire le proprie credenziali.

Qui il form per la segnalazione: http://www.securityincidents.org/survey.asp  

 

Security Summit 2011: opinioni, riflessioni e tendenze

Dopo il live twitting della seconda giornata del Security Summit 2011 (#SecuritySummit2011) a Roma in molti mi hanno chiesto opinioni, pareri, sensazioni e tendenze in ambito sicurezza.

Questa volta non voglio entrare nei dettagli dei contenuti della conferenza ma vorrei fornire una chiave di lettura di un po' più alto respiro possibilmente utile a chi non ha potuto partecipare e per chi ha voglia di confrontare le opinioni.

Gli argomenti trattati, come al solito in questa maratona di due giorni che è giunta alla terza edizione capitolina, sono stati tanti e spaziano dalla privacy ai proof of concept di attacchi 0-day, dalla mobilità e dalle botnet di dispositivi mobili ai sistemi documentali il tutto chiaramente nell'ottica del mantenimento della sicurezza informativa.

Anche a seguito di confronti informali e tavole rotonde con ex-colleghi, addetti ai lavori ed i tanti amici relatori e soci clusit sono emersi alcuni fili conduttori in entrambe le giornate: governance, intelligencee commitment.

Anche se i nomi di Sony, di RSA e di Poste Italiane non sono mai stati fatti ufficialmente difatto tutti gli interventi sottolineavano aspetti riconducibili alle tre debacle del momento.

Se da una parte si sente l'esigenza di monitorare con più assiduità e proattività le nuove minacce (cybercrime, APT e Information Leakage) dall'altra sembra che non sempre ci siano dei processi di governance che raccordino e governino nella loro interezza e ramificazioni tutti i processi afferenti la sicurezza informativa in azienda.

Inoltre in molti casi, nonostante il livello d'attenzione riconosciuto come necessario, è stato evidenziato anche un periodo in controtendenza rispetto agli investimenti ed al commitment sulla sicurezza delle informazioni in azienda (cfr. Return On Security Investments, ROSI, pdf v2).

La sensazione diffusa anche "a microfoni spenti" è che siamo di fronte ad un periodo di stasi interlocutoria, di attesa che, chiaramente, non trova analogia nei ritmi di crescita ed affinamento degli attacchi da parte del cybercrime.

Questo sbilanciamento potrebbe creare un gap di contromisure tecnologiche e, soprattutto, organizzative.

Forse, dovremmo rivedere gli investimenti nel settore sicurezza concentrandoli sulla pianificazione strategica e sul governo dei processi perché puntare solamente sugli end-point trasferisce il rischio su un fornitore, su un contratto ma il rischio vero ti resta ancora all'interno, proprio a ridosso del core business dell'azienda.

________
Taccuino 

 

MELANI: ecco il nuovo rapporto

MELANI, la Centrale d’Annuncio e d’Analisi per la Sicurezza dell’Informazione, ovverosia il CERT Svizzero, ha pubblicato oggi il nuovo rapporto semestrale. 

Questo dodicesimo rapporto semestrale è suddiviso in tre sezioni dedicate rispettivamente: alla situazione nazionale svizzera, alla situazione internazionale e alle tendenze per il futuro.

Un'analisi che verte sui dati svizzeri risulta molto interessante anche da un punto di vista più generale, infatti, la tendenza ad infettare gli utenti Internet attraverso l'inserimento di codice malevolo in siti Web legittimi, colpisce la Svizzera come moltissimi altri paesi e quindi le valutazioni svolte da MELANI si prestano bene alle generalizzazioni. Su questo tema viene confermata la tendenza all'incremento di questi attacchi sia dal punto di vista numero degli attacchi sia dal punto di vista dell'importanza dei siti attaccati. A tal proposito viene citato il caso di un noto quotidiano svizzero che è stato attaccato sfruttando una vulnerabilità non patchata della piattaforma open source di gestione della pubblicità online, con l'inserimento di una serie di redirect a server che, appunto, tentavano di installare malware sui PC dei visitatori.

Inoltre, nell'ambito della lotta a questo fenomeno, risulta molto valida l'iniziativa messa in campo da MELANI e SWITCH, il servizio svizzero di registrazione dei nomi di dominio. SWITCH, infatti, a partire dalla fine dello scorso anno, verifica le segnalazioni di siti Web che diffondono malware e contatta referenti e provider interessati, invitandoli a risolvere il problema. In caso di mancata reazione nel corso del primo giorno lavorativo dalla segnalazione, SWITCH blocca l’indirizzo Internet al sito in questione per un periodo massimo di cinque giorni feriali, informando della situazione anche MELANI. A questo punto, se il codice nocivo non viene rimosso, MELANI può chiedere la proroga di questa misura per ulteriori 30 giorni.Nel rapporto viene evidenziato che questa procedura ha portato a un'innalzamento dell'attenzione verso queste problematiche e quindi ad una conseguente generale diminuzione dei tempi di bonifica dei siti.

Potete leggere il resto del post su Punto 1

Al Security Summit 2011: ROSI - Return on Security Investment: Esperienze a confronto

Viene presentata la seconda versione del documento ROSI liberamente disponibile (http://rosi.clusit.it) e frutto del lavoro di Clusit, AIEA, Oracle, Deloitte, Ernst & Young, KPMG e PriceWaterhouseCoopers, che fornisce un aiuto a persone in posizione di responsabilità nell'ICT per definire gli investimenti più opportuni nell'ambito della sicurezza delle informazioni. 
Questa edizione incorpora il contributo di numerosi altri autori, alcuni dei quali chiamati a darne testimonianza, in particolare rispetto all'approccio denominato "bottom-up" e basato sui "pattern". La conferenza prevede anche la presentazione di una recente guideline ROSI pubblicata da ISACA e una concreta possibilità di dibattito con il pubblico.
Intervengono: Giacomo Aimasso, Mauro Cicognini, Claudio Pasi, Alberto Piamonte, Stefano Saibene, Enzo M. Tieghi, Alessandro Vallega.

per iscriversi alla presentazone di ROSIv2:  https://www.securitysummit.it/eventi/view/20

Lotta alle botnet: l'approccio di ENISA

ENISA ha rilasciato oggi due documenti sulle botnet.

Il primo si intitola "Botnets: 10 tough Questions" ed il secondo invece "Botnets: Detection, Measurement, Disinfection & Defence". Questi due documenti rientrano nella strategia messa in atto da ENISA per dare maggiore enfasi ed efficacia alla lotta alla criminalità su Internet.

Il primo documento, come riferisce il comunicato stampa di ENISA, è un distillato dei risultati di una ricerca condotta da ENISA con i massimi esperti della lotta contro le botnet, inclusi gli Internet Service Provider, i ricercatori di sicurezza, le forze dell'ordine, i Computer Emergency Response Team (CERT) e i produttori di anti-virus. Le analisi di ENISA vertono su domande che investono temi generali e a cui è molto spesso difficile dare delle risposte. Infatti, ripensare alla affidabilità dei dati sulle botnet, al ruolo dei governi, alle necessità di aggiornamento delle norme o agli investimenti che si rendono necessari è certamente un modo per affrontare i nodi alla radice e cercare di trovare delle soluzioni che possano essere direttamente applicate sul campo.

Il secondo documento, invece, affronta il tema della valutazione delle minacce portate dalle botnet. "Le dimensioni non sono tutto - il numero di macchine infette, da solo, è un modo inadeguato per misurare la minaccia" dice il Dott. Hogben, editor del rapporto. Questo documento, inoltre, cerca di comparare le modalità di risposta da mettere in campo contro le botnet ed infatti riporta un set di 25 best-practice per attaccare le botnet seguendo tutti i possibili approcci, neutralizzandole, prevenendo nuove infezioni e riducendo al minimo la redditività del cybercrime che le utilizza...

Potete leggere il resto del post su Punto 1

Il nuovo report del CERT svizzero

Da qualche giorno MELANI, il CERT svizzero, ha pubblicato l'undicesimo rapporto semestrale sulla sicurezza informatica. Come ormai ci hanno abituato i bravissimi esperti svizzeri il rapporto è davvero una preziosa risorsa per tutti coloro che lavorano nel campo della prevenzione e gestione degli incidenti informatici.

Ciò che rilevano al CERT svizzero è che nel primo semestre del 2010 è stato registrato a livello mondiale un aumento dei casi di spionaggio e di furto di dati informatici, inoltre molti siti web e reti informatiche vengono manomessi da criminali allo scopo di infettare gli ignari utenti ed infine si registra una significativa presenza di attacchi che hanno scopi politici.

Tra le molte riflessioni degne di nota, ho trovato molto interessante la considerazione in merito agli impatti della rapida proliferazione degli smartphone e degli accessi mobili a Internet. MELANI infatti si sofferma sulla opportunità di tenere conto del fatto che i provider di telefonia mobile utilizzano la Network-Address-Port-Translation (NAPT), ovvero, quella tecnica che consente a migliaia di utenti di utilizzare il medesimo indirizzo IP con porte diverse. Ciò ha un grande impatto sulle modalità con le quali sono registrati le attività degli utenti su Internet, infatti, di norma, per identificare un collegamento e il suo utente sono necessari l’indirizzo IP, la data e l’ora. Questi dati sono peraltro memorizzati regolarmente nei file di log dei servizi Web. Però per identificare un utente mobile dovrebbe essere noto anche il numero della porta. Questo dato viene però registrato raramente. MELANI afferma quindi che si terrà conto di questa circostanza nel quadro della revisione in corso della legge federale del 6 ottobre 2000 sulla sorveglianza della corrispondenza postale e del traffico delle telecomunicazioni (LSCPT) e nella struttura delle relative disposizioni di esecuzione. Molto interessante...

Potete leggere il resto del post su Punto 1

Pubblicata una nuova Stuxnet White Paper

 “Analysis of the Siemens WinCC / PCS7 ‘Stuxnet’ Malware for Industrial Control System Professionals”. 
La white paper si trova al Eric Byres website: 
http://www.tofinosecurity.com/professional/siemens-pcs7-wincc-malware

ISA99, uno standard per la security industriale

ISA99, lo standard per Industrial Automation & Control System Security è al suo terzo capitolo.  Dopo la Part2 (ANSI/ISA-99.02.01-2009, Security for Industrial Automation and Control Systems: Establishing an Industrial Automation and Control Systems Security Program, approvato come standard ANSI ad inizio 2009)  e  Part1 (ANSI/ISA-TR99.00.01-2007,Security for Industrial Automation and Control Systems: Concepts, Terminology and Models, approvato anch'esso come standard ANSI a fine 2007),  ora è disponibile per revisione ed input (entro fine ottobre 2010) Part3 dal titolo "System Security requirements and security assurance levels".  Il documento è disponibile sul sito www.isa99.org, tra i "Review Drafts"