SicuraMente

SICUREZZA: DE GENNARO, ITALIA INDIETRO IN DIFESA CYBER-MINACCE

Ricevo dai colleghi di AIIC 

SERVE SISTEMA PROTEZIONE NAZIONALE CONTRO GLI ATTACCHI INFORMATICI, COME IN ALTRI PAESI

Il Direttore del Dis, Gianni De Gennaro, nel corso di una conferenza alla Scuola di perfezionamento per le forze di polizia ha affermato ''Un Paese puo' essere messo in ginocchio da un'aggressione informatica, come e' avvenuto qualche anno fa all'Estonia e noi siamo indietro nelle misure di difesa''. 

De Gennaro ha ricordato che ''Paesi come gli Stati Uniti, l'Inghilterra e la Francia hanno organizzato un sistema di difesa nazionale (funziona come una grande protezione civile) contro il rischio di attacchi cibernetici che noi non abbiamo''.

In Parlamento, ha aggiunto, ''c'e' comunque una proposta di legge sul tema, il Copasir ha fatto una relazione e la presidenza del Consiglio ha costituito un gruppo di esperti per elaborare una proposta. Speriamo si arrivi presto ad una definizione''. 

 

20 critical controls for effective cyber defence: CPNI insieme a SANS indica la strada

Pubblicata sul sito di CPNI (Centre for Protection National Infrastructure in UK)  la lista delle 20 cose più importanti per una efficace difesa dei sistemi. 

La Top Twenty dei Controlli di sicurezza critici sono una baseline, stilata da SANS e CPNI in consorzio con altri stakeholders, di azioni ad alta priorità e controlli di sicurezza che possono essere applicati all'interno di un'organizzazione al fine di migliorare la sua cyber-difesa.  I controlli (e sub-controlli) si concentrano su diverse misure tecniche e attività, con l'obiettivo primario di aiutare le organizzazioni a dare una priorità agli sforzi per la difesa contro i più comuni e dannosi incidenti ed attacchi in rete .. Vedi l'elenco su http://www.sans.org/critical-security-controls/  e su  http://www.cpni.gov.uk/advice/infosec/Critical-controls/

Digital Agenda Assembly

Il 16 e 17 giugno si è svolta a Bruxelles la Digital Agenda Assembly, ovvero la prima conferenza dedicata ai temi dello sviluppo digitale in Europa. L'organizzazione di questo evento è stata particolarmente completa. Nei due giorni di conferenza, infatti, sono stati organizzati ben 24 workshop e due sessioni plenarie. La mattina del primo giorno si è svolto il Workshop dedicato al tema "Cybersecurity: barriers and incentives" che era moderato da Eneken Tikk, Head of Legal and Policy Branch del CCDCOE (Cooperative Cyber Defence Centre of Exellence di Tallin). Il workshop prevedeva una prima sessione con tre presentazioni e una tavola rotonda dopo il coffee break.

Io ho aperto la sessione delle presentazioni con un intervento dal titolo: "Cybersecurity: State of the Art and Future Trends in Italy" che ha tratteggiato le varie iniziative che sono state avviate in Italia. E, come è successo al Security Summit di Roma, il pubblico ha riservato una grande attenzione alla proposta di realizzazione di un AntiBotnet Center Italiano. A seguire è stata la volta di Karim Antonio Lesina, Executive Director EMEA Government Affairs di AT&T, che ha fatto una presentazione molto interessante ponendo una grande attenzione ai temi della collaborazione internazionale, della lotta alle botnet e ell'evoluzione dell'approccio verso la cybersecurity. L'ultima presentazione è stata di Michel J.G. van Eeten, della  Delft University of Technology. In questa presentazione si è approcciato al tema della responsabilità nella sicurezza che hanno gli Internet Service Provider. L'analisi era basata su dati quantitativi e mostrava, tra l'altro che, anche normalizzando i dati per tenere conto della dimensione dei provider, la lista dei Top 50 ISP che contribuiscono maggiormente allo spam mondiale è quasi immutata da 4 anni. Infatti nei Top 50, ben 32 ISP sono stabilmente presenti ogni anno.

I temi che invece sono emersi nella successiva Tavola Rotonda (i panelist erano: Kurt Erik Lindqvist, CEO di Netnod un provider svedese, Mika Lauhde di Nokia e Michel J.G. van Eeten della Delft University of Technology) sono stati:

• la cybersecurity come argomento che attraversa sempre più le agende dei politici e delle persone del marketing
• le interdipendenze tra diversi settori e Stati,  nei temi di security, sono sempre più significative
• le Public-Private Partneships come futuro della cybersecurity
• l'Information Sharing come fattore essenziale per la riuscita di qualsiasi iniziativa
• l'approccio globale alla sicurezza coem unica possibilità di successo

Potete leggere alcuni ulteriori approfondimenti su Punto 1

 

Nuovo Consiglio Direttivo AIIC (Associazione Italiana Esperti in Infrastrutture Critiche)

Cambio al vertice di AIIC -Associazione Italiana esperti in Infrastrutture Critiche (www.infrastrutturecritiche.it) - a carattere tecnico-scientifico, che raccoglie i professionisti, docenti e ricercatori chiamati ad occuparsi della strategica protezione delle infrastrutture critiche del Paese.

È stato eletto il nuovo consiglio direttivo per il prossimo triennio con la nomina a presidente del ricercatore Sandro Bologna (subentra a Salvatore Tucci), a vicepresidenti Bruno Carbone (Enav) e Silvio Fantin (GSE), segretario Roberto Setola (Università Campus Biomedico) e tesoriere Guido Pagani (Banca d’Italia). Nel nuovo direttivo siedono anche Emiliano Casalicchio (Università Roma Tor Vergata), Gregorio D’Agostino (Enea), Dario de Marchi (Acquirente Unico), Luisa Franchina (Presidenza del Consiglio dei Ministri Dip. Protezione Civile), Stefano Panzieri (Università Roma Tre), Andrea Rigoni (Poste Italiane GC-SEC Global Cyber Security Center) ed Enzo Maria Tieghi (ServiTecno). I colleghi Carbone e Tieghi sono anche soci Clusit.

 

Cyber Shot 2010: l'esercitazione di Cyber Defence Nazionale

Nei giorni scorsi si è svolta, presso il Comando C4 Difesa, l'esercitazione di "cyber defence" nazionale "Cyber Shot 2010", nella quale i CERT delle Forze Armate e di alcune istituzioni civili hanno simulato la reazione ad una crisi internazionale che sfociava in una serie di attacchi di Cyber Warfare. L'esercitazione era finalizzata a valutare le capacita' di risposta e cooperazione delle organizzazioni partecipanti e a perfezionare le procedure di scambio informativo in ambito nazionale. 

L'esercitazione, organizzata dal CERT-Difesa Technical Centre, è durata tre giorni (e le fasi preparatorie per i player altri 5) e, come accennavo prima, ha visto la partecipazione in veste di player (è il termine tecnico che si usa in queste occasioni) del personale dei CERT dell'Esercito, della Marina, dell'Aeronautica, dell'Arma dei Carabinieri, della ULS MEF/Consip e dell'ENAV, hanno inoltre partecipato in veste di centri di coordinamento il CNAIPIC (Centro Nazionale Anticrimine Informatico per la Protezione delle Infrastrutture Critiche) e il CERT-SPC (il CERT della PA), infine, in qualità di osservatori erano presenti la Presidenza del Consiglio dei Ministri e alcune rappresentanze del mondo industriale.

L'esercitazione è stata gestita, per la prima volta, realizzando dei veri e propri attacchi cyber verso dei sistemi simulati che erano sotto la responsabilità dei vari player riuniti in una grande sala operativa ospitata presso il Comando C4 Difesa. Nel corso dei tre giorni ci si è confrontati con diverse tipologie di attacchi, alcune delle quali abbastanza sofisticate e pensate per cercare di passare inosservate. 

Potete leggere il resto del post su Punto 1

Ecco il nuovo manuale per la security degli acquedotti (e non solo!)

    Finalmente pubblicato il nuovo manuale per la security di reti e sistemi di controllo e telecontrollo per gli acquedotti e di tutte le infrastrutture con impianti distribuiti sul territorio e monitorati da remoto.

Tratto dall'edizione olandese del Report TNO "SCADA Security Good Practices for the Drinking water sector" di Eric Luiijf, il volume italiano, curato da Enzo M. Tieghi, è arricchito da alcune appendici che ne fanno un volume di pratico utilizzo.

In primo piano ci sono le 39 "regole d'oro" per proteggere dai rischi informatici i sistemi SCADA di quotidiano utilizzo in tutte le infrastrutture.

Belle parole in prefazione di Gigi Tagliapietra, Presidente Clusit.

Il volume è pubblicato da Franco Angeli Editore, nella Collana di Fondazione Amga (multiutility genovese).

alcune copie sono disponibili per i soci Clusit interessati

Workshop su protezione e sicurezza di infrastrutture critiche (Napoli 18 MAggio 2010)

Si terrà a Napoli il 18 Maggio 2010 presso Villa Doria D’Angri, Via Petrarca, 80 Naples, Italy il workshop di presentazione dei risultati del progetto INSPIRE coordinato dal prof. Salvatore D'Antonio  dell'Università di Napoli Parthenope.  Il workshop vede la partecipazione di autorevoli relatori di stazza internazionale provenienti da primari enti ed organizzazioni di moti Paesi europei e non solo.
Maggiori informazioni su INSPIRE e per iscriversi per partecipare al workshop, seguire il link: http://www.inspire-inco.eu/

Sicurezza e Microsoft: ossimoro?

 Ancora non si fermano le polemiche sulle vulnerabilità di IE, sul ruolo che sembra aver ricoperto nel braccio di ferro Google Vs Cina.

Dapprima era confermata solo per IE6, poi è stato reso noto un Proof of Concept per IE7 tanto da spingere Microsoft ad ipotizzare un rilascio straordinario (out of band).

Mentre in Italia fonti ufficiali (SPC CERT) e auterevoli confermano che al momento IE8 è immune da questa vulnerabilità, Francia (CERTA) e Germania (BSI) consigliano di utilizzare un browser alternativo.

A questo scenario già abbastanza confuso e critico, si aggiunge il full disclosure di Tavis Ormandy, security engineer presso Google.

Per mantenere il supporto legacy per le applicazioni 16-bit, dal 1993 tutti i sistemi Microsoft si portano dietro questa vulnerabilità.

La cosa interessante è che la stessa Microsoft, a detta dello scopritore della vulnerabilità, fu informata il 12 giugno 2009 la quale confermò la ricezione 10 giorni dopo.

Nessuna patch o workaround ufficiale. Un silenzio che ha portato l'autore alla pubblicazione della vulnerabilità.

Curioso tempismo o meno resta un momentaccio per gli utenti microsoft. L'immagine, trovata in internet rende al meglio l'idea dello stato di sicurezza avvertito dagli utenti MS.

________
Taccuino

riformabrunetta.it sotto attacco dos

Neonato riformabrunetta.it? O forse non ha nemmeno fatto in tempo a nascere. Certo è che è stato già preso sott'occhio da ignoti (al momento) che hanno sferrato un attacco dos.

I tecnici del ministero riferiscono di lavorare per ripristinare al più presto.

Certo che la corsa all'innovazione non ci fa una gran bella figura nè come cittadino nè come impresa che deve investire nel pubblico. 

Sociologicamente interessanti i commenti alla notizia.

___________
via Taccuino

FDA (Food & Drug Adiministration USA) allerta sulla CyberSecurity nei Medical Devices

 I Dispositivi Medici  Chirurgici e Diagnostici messi in reti LAN sono un rischio per la salute e sicurezza del paziente. L'amico Dan Matlis dal suo Blog ci segnala gli articoli in cui FDA (Agenzia USA corrispondente alla nostra AIFA, Agenzia del Farmaco del Ministero della Salute) allerta produttori, ospedali e tutti gli utilizzatori di dispositivi medici chirurgici ed apparecchi di diagnostica a prestare particolare attenzione all'aspetto Cybersecurity. Vedi qui L'articolo dal sito FDA