SicuraMente

Due settimane da Incubo per la Cyber Security (in Olanda)!

Due settimane da Incubo per la Cyber Security (in Olanda)! 

Le prime due settimane del Febbraio 2012 saranno ricordate a lungo dagli specialisti di Cyber Security, e non solo da quelli olandesi.  Ecco il racconto di Rob Hulsebos, esperto olandese di CyberSecurity 

Come tutti sappiamo, buona parte del territorio olandese è sotto il livello del mare: ci sono molte dighe e sistemi per la gestione interna delle acque a garantire che gli olandesi non finiscano con piedi, e non solo quelli, a mollo. 

Ecco qui di seguito l'incredibile sequenza ...

20 critical controls for effective cyber defence: CPNI insieme a SANS indica la strada

Pubblicata sul sito di CPNI (Centre for Protection National Infrastructure in UK)  la lista delle 20 cose più importanti per una efficace difesa dei sistemi. 

La Top Twenty dei Controlli di sicurezza critici sono una baseline, stilata da SANS e CPNI in consorzio con altri stakeholders, di azioni ad alta priorità e controlli di sicurezza che possono essere applicati all'interno di un'organizzazione al fine di migliorare la sua cyber-difesa.  I controlli (e sub-controlli) si concentrano su diverse misure tecniche e attività, con l'obiettivo primario di aiutare le organizzazioni a dare una priorità agli sforzi per la difesa contro i più comuni e dannosi incidenti ed attacchi in rete .. Vedi l'elenco su http://www.sans.org/critical-security-controls/  e su  http://www.cpni.gov.uk/advice/infosec/Critical-controls/

Incidenti di security industriale? su RISI (The Repository of Industrial Security Incidents)

   

 

RISI è il database in cui vengono segnalati incidenti di security industriale che provocano "problemi" a reti e sistemi di controllo ed automazione nell'industria e nelle infrastruttura. Riportando un incidente si posso fornire preziose informazioni agli esperti che curano il database: sono poi loro ad analizzarli e correlarli con altri eventuali incidenti, per poi segnalare trend e le migliori strategie di protezione e rimedio per evitare guai ad altre industrie ed infrastrutture che potrebbero trovarsi in situazioni similari. Segnalando incidenti si ha diritto a consultare gratuitamente il RISI. Il riserbo e la riservatezza per chi segnala sono assicurati dai gestori del sito: non vengono infatti tracciati indirizzo IP ed email, ed è facoltativo fornire le proprie credenziali.

Qui il form per la segnalazione: http://www.securityincidents.org/survey.asp  

 

Security Summit 2011: opinioni, riflessioni e tendenze

Dopo il live twitting della seconda giornata del Security Summit 2011 (#SecuritySummit2011) a Roma in molti mi hanno chiesto opinioni, pareri, sensazioni e tendenze in ambito sicurezza.

Questa volta non voglio entrare nei dettagli dei contenuti della conferenza ma vorrei fornire una chiave di lettura di un po' più alto respiro possibilmente utile a chi non ha potuto partecipare e per chi ha voglia di confrontare le opinioni.

Gli argomenti trattati, come al solito in questa maratona di due giorni che è giunta alla terza edizione capitolina, sono stati tanti e spaziano dalla privacy ai proof of concept di attacchi 0-day, dalla mobilità e dalle botnet di dispositivi mobili ai sistemi documentali il tutto chiaramente nell'ottica del mantenimento della sicurezza informativa.

Anche a seguito di confronti informali e tavole rotonde con ex-colleghi, addetti ai lavori ed i tanti amici relatori e soci clusit sono emersi alcuni fili conduttori in entrambe le giornate: governance, intelligencee commitment.

Anche se i nomi di Sony, di RSA e di Poste Italiane non sono mai stati fatti ufficialmente difatto tutti gli interventi sottolineavano aspetti riconducibili alle tre debacle del momento.

Se da una parte si sente l'esigenza di monitorare con più assiduità e proattività le nuove minacce (cybercrime, APT e Information Leakage) dall'altra sembra che non sempre ci siano dei processi di governance che raccordino e governino nella loro interezza e ramificazioni tutti i processi afferenti la sicurezza informativa in azienda.

Inoltre in molti casi, nonostante il livello d'attenzione riconosciuto come necessario, è stato evidenziato anche un periodo in controtendenza rispetto agli investimenti ed al commitment sulla sicurezza delle informazioni in azienda (cfr. Return On Security Investments, ROSI, pdf v2).

La sensazione diffusa anche "a microfoni spenti" è che siamo di fronte ad un periodo di stasi interlocutoria, di attesa che, chiaramente, non trova analogia nei ritmi di crescita ed affinamento degli attacchi da parte del cybercrime.

Questo sbilanciamento potrebbe creare un gap di contromisure tecnologiche e, soprattutto, organizzative.

Forse, dovremmo rivedere gli investimenti nel settore sicurezza concentrandoli sulla pianificazione strategica e sul governo dei processi perché puntare solamente sugli end-point trasferisce il rischio su un fornitore, su un contratto ma il rischio vero ti resta ancora all'interno, proprio a ridosso del core business dell'azienda.

________
Taccuino 

 

Primoris Era e le altre: chi ha paura del Social Network?

Potremmo spendere i proverbiali fiumi di parole per descrivere l’impatto dirompente che il modello di informazione veicolato (imposto?) dai Social Network sta causando nelle nostre vite reali e digitali: dal ruolo primario giocato nelle rivoluzioni del Maghreb sino alla tragicomica paradossale (e molto meno nobile) vicenda di Giggs, in cui il bavaglio imposto alla carta stampata di Sua Maestà è stato aggirato in modo ridicolo e impietoso dal boato assordante dei cinguettii (ormai dovremo abituarci al termine tweet) sollevatisi dal Social Network azzurro.

Recentemente, a ricordarci le implicazioni dei Social Media in termini di sicurezza informatica ci ha pensato @PrimorisEra, conosciuta anche con il romantico soprannome di “The tweeter who loved me”.

Colloquia con Jonathan Pollet sulla protezione dei sistemi di controllo e SCADA dopo Stuxnet

Occasione ghiotta e rara quella di poter assistere a Roma (31 maggio 2011 ore 15-17) allo speech di Jonathan Pollet, esperto Usa di Cyber Security, uno dei massimi esperti di protezione di sistemi SCADA per controllo e telecontrollo di impianti nelle infrastrutture e nelle industrie di produzione.
L’argomento prescelto, attuale ed innovativo, riguarda alcuni degli aspetti più insidiosi che si sono affacciati sui sistemi di controllo con l’avvento di Stuxnet nel 2010: le Minacce Avanzate e Persistenti (APT, Advanced Persistent Threats).
Il relatore, Jonathan Pollet, ha avuto esperienze di ingegneria di sistemi e loro protezione in aziende petrolifere, di energia, industriali ed Infrastrutture Critiche sia in USA che in altri Paesi. Da oltre 10 anni la Industrial Cyber Security è la sua professione.
La conferenza è aperta a tutti ed è gratuita, previa registrazione: Qui trovate la locandina ed il modulo di iscrizione

P.S. L’amico-collega Jonathan Pollet, in coda alla Tavola Rotonda che conclude l’incontro, si è reso disponibile a rispondere in diretta, a quesiti che pensate possano essere interessanti anche per altri partecipanti. Non esitate quindi a farmeli pervenire in anticipo per poterli poi discutere apertamente in sala.

Bruce Schneier (Bt): "Gli Stati si preparino alle cyber-war"

 Bruce Schneier, uno dei relatori più seguiti al recente Security Summit organizzato da Clusit a Milano a Marzo 2011, e CTO dell'operatore inglese British Telecom, afferma: "Servono strategie chiare per proteggersi dagli attacchi. E' urgente capire a chi spetta la difesa delle infrastrutture critiche di un Paese"

...  articlo completo qui

"Night Dragon", cyber-attacco alle infrastrutture energetiche

Da "Repubblica": Già colpite una dozzina di multinazionali del settore sparse in Europa, Cina e Stati Uniti. L'operazione è simile a quella lanciata alla fine dello scorso anno contro le aziende nucleari iraniane. Intanto, gli hacker di "Anonymous" annunciano per domenica una nuova offensiva contro i siti del governo italiano

qui l'articolo 

Nuovo Consiglio Direttivo AIIC (Associazione Italiana Esperti in Infrastrutture Critiche)

Cambio al vertice di AIIC -Associazione Italiana esperti in Infrastrutture Critiche (www.infrastrutturecritiche.it) - a carattere tecnico-scientifico, che raccoglie i professionisti, docenti e ricercatori chiamati ad occuparsi della strategica protezione delle infrastrutture critiche del Paese.

È stato eletto il nuovo consiglio direttivo per il prossimo triennio con la nomina a presidente del ricercatore Sandro Bologna (subentra a Salvatore Tucci), a vicepresidenti Bruno Carbone (Enav) e Silvio Fantin (GSE), segretario Roberto Setola (Università Campus Biomedico) e tesoriere Guido Pagani (Banca d’Italia). Nel nuovo direttivo siedono anche Emiliano Casalicchio (Università Roma Tor Vergata), Gregorio D’Agostino (Enea), Dario de Marchi (Acquirente Unico), Luisa Franchina (Presidenza del Consiglio dei Ministri Dip. Protezione Civile), Stefano Panzieri (Università Roma Tre), Andrea Rigoni (Poste Italiane GC-SEC Global Cyber Security Center) ed Enzo Maria Tieghi (ServiTecno). I colleghi Carbone e Tieghi sono anche soci Clusit.

 

[WARNING] Gawker Media hacked. In altre parole account compromessi su Lifehacker, Gizmodo, Gawker, Jezebel, io9, Jalopnik, Kotaku, Deadspin e Fleshbot

Ieri mi ero allarmato per un accesso anomalo al mio profilo facebook.

Stanotte ho letto che GaWKER MEDIA ha comunicato di essere stata vittima di un attacco.

Il risultato è la compromissione degli account *registrati* usati per commentare sulle loro piattaforme Lifehacker, Gizmodo, Gawker, Jezebel, io9, Jalopnik, Kotaku, Deadspin e Fleshbot.

Due modi per avere la conferma di essere vittime involontarie di questo attacco: usare un widget oppure controllare se il proprio indirizzo di mail è nell'elenco ormai pubblico e pubblicamente disponibile (un torrent da 500 MB) dopo la rivendicazione dell'attacco da parte di un gruppo chiamato Gnosis.

Se volete effettuare manualmente il controllo calcolate lo sha-256 (no salt) del vostro indirizzo di mail usato per registrarvi a gawker (non è salvato in chiaro) e controllate qui in base ai primi caratteri del risultato della funzione hash.

Non ricordavo nemmeno di essere registrato ma ovviamente la mia mail è presente nella lista pubblica e non mi resta che pensare che la password era la stessa usata anche per facebook: ecco probabilmente spiegato il login dal New Jersey di ieri.

Lessons learned? Tenere sempre traccia degli account che si registrano (e che non si usano  abitualmente, ndr) e della mail che si usa per la registrazione. L'ideale sarebbe usare password diverse per servizi diversi ma mi rendo conto della difficoltà oggettiva e della controtendenza dei servizi in the cloud.

In ogni caso, controllate e cambiate immediatamente la password e/o le password ai servizi che utilizzate con le medesime credenziali.

________
Taccuino