Author Archives: Walter Palumbo

Articoli

CISO: ben arrivato

Sei appena arrivato in una nuova realtà aziendale come CISO e non sai da dove partire, vediamo un pò di fare il punto della situazione.

CISO (Chief Information Security Officer), garantire la sicurezza dei dati, condividere le raccomandazioni per le aree chiave, identificare vulnerabilità e misurare il rischio definendone le priorità e mitigazioni o risoluzioni da operare.

Step necessari al primo ingresso: Capire dove ti trovi.

Il primo passo da fare è mettere da parte qualsiasi ipotesi e prendersi il tempo necessario per conoscere le seguenti cose chiave:

  • Quali sono gli strumenti a nostra disposizione.
  • Quali sono i processi da attenzionare.
  • Quali sono le persone interessate.

Quindi riassumendo, osservare e valutare, stabilire relazioni e iniziare a disporre il necessario da mettere in atto per la fase più importante, ridurre il rischio.

Mettiamo mano: iniziamo a familiarizzare con gli strumenti.

Innanzi tutto vediamo di creare un inventario, verificando cosa possiede l’azienda a livello di tecnologie di sicurezza. Fanno parte di questa selezione la protezione degli end point, firewall ecc.

Processi da attenzionare: cosa c’è nell’ambiente che ci circonda.

Partendo sempre dal presupposto che “non puoi proteggere ciò che non conosci”, iniziamo a capire i dati che transitano da e verso dove, cosa contengono, classifichiamoli per importanza.

Dove sono i rischi: impatto sull’azienda a causa di un interruzione.

Dopo aver esaminato e creato una mappa della situazione dell’azienda e identificato le priorità e i processi sottostanti coinvolti, dobbiamo dare una valutazione creando un report di rischio per permettere a chi non tratta la materia, ma deve verificare “il nostro operato” di capire lo stato delle cose.

Il report deve contenere sinteticamente la valutazione del rischio, le priorità e mettere in evidenza lo stato attuale dell’azienda e quali processi hanno maggior impatto sull’azienda e sullo stato di “salute”. Ovviamente il tutto deve essere riassunto il più possibile, altrimenti si rischia di creare confusione e allarmismo.

Iniziamo ad operare: abilitare le attività necessarie.

Sulla base delle dimensioni dell’azienda si potrà collaborare con un team tecnico, ma in mancanza, come spesso succede, cercheremo di attivarci, ma attenzione a non tentare di accettare tutto, altrimenti si rischi inesorabilmente di fallire.
Partiamo dall’elenco che abbiamo e vediamo di studiare un piano di verifica: Database, servizi e-mail, applicazioni CRM, sistema telefonico, insomma tutto quello che abbiamo e cosa occorre per supportarli.

Questi passaggi dovranno diventare il nostro lavoro giornaliero poiché le tecnologie si evolvono e non possiamo soffermarci solo ad una valutazione iniziale. Insomma dobbiamo rendere la valutazione del rischio un processo in corso.

Tutto questo ci sarà più facile se riusciamo a costruire un ponte con ogni realtà presente in azienda. La sicurezza si costruisce anche sulle persone. Chiedete al dirigente di ogni dipartimento se hanno qualcuno che “capisce”.
Organizziamo qualche spazio di tempo per qualche sessione di apprendimento per capire: chi si presenta, quale ruolo ha in azienda e se si tratta di personale qualificato e motivato. E’ importante rimanere in contatto con le persone che operano sul “campo” per comprendere le realtà e i dettagli dei processi aziendali più importanti.

Gli audit di sicurezza: esame e valutazione dei sistemi di sicurezza e delle informazioni.

Avendo a disposizione la mappa mnemonica della situazione passiamo allo step successivo effettuando le analisi e i controlli che coinvolgono le aree necessarie e aiutare l’azienda a raggiungere la sua sicurezza e gli obiettivi di conformità.
L’audit è alla base del nostro lavoro e rappresenta lo step subito dopo il quale dobbiamo implementare tutte le misure necessarie a rafforzare e mitigare gli eventuali difetti rilevati e valutare come respingere eventuali attacchi e le tempiste di recovery.

Un Audit approfondito ci permette anche di rimanere in conformità con le leggi sulla sicurezza dei dati, vedi GDPR e PIA.

Un Audit di sicurezza deve definire:

  • Obiettivi da raggiungere.
  • Pianificare l’audit.
  • Eseguire il lavoro di revisione periodica.
  • Creare due report una più tecnica e l’altra da condividere con chi deve verificare il nostro operato.
  • Adottare le misure necessarie.

Ovviamente questo è solo una panoramica molto ampia di come iniziare e distribuire il lavoro, ma che sicuramente riesce a dare un input iniziale.

Standard
Soluzioni

Cercare settori danneggiati con badblocks

Consente di effettuare una verifica dei settori o blocchi danneggiati su qualsiasi dispositivo di memoria, anche a caldo poiché lavora in sola lettura.

1 – Elencare le partizioni presenti con fdisk -l

2 – Eseguire il comando badblocks -v /dev/partizionedacontrollare > settori_danneggiati.txt (In questo modo possiamo lanciare il programma e verificare anche successivamente l’esito riportato ul file .txt).

Standard
Soluzioni

Linux cups, comandi utili…

Abilitare l’amministrazione remota:
# Allow remote administration…
Order allow,deny

Allow @LOCAL –walter

Allow all


Encryption Required
# Allow remote administration…
Order allow,deny

Allow @LOCAL –walter

Allow all
——————————————————————

Cancellare tutte le stampe in coda sulla stampante da shell:
cancel -a nomestampante

Abilitare la stampante da shell:
/usr/sbin/cupsenable nomestampante

Standard
Articoli

L’indirizzo IP 169.254.1…. ma da dove lo prende?

Quando un server DHCP non è disponibile il dispositivo sceglie il proprio indirizzo IP nell’intervallo 169.254.1.0 e 169.254.254.255. La subnet mask viene automaticamente impostata su 255.255.0.0 e l’indirizzo del gateway è impostato su 0.0.0.0. Questo viene fatto perché è attivo di default un protocollo chiamato APIPA.

Con Automatic Private IP Addressing (APIPA), i client DHCP configurano automaticamente un indirizzo IP e una subnet mask.

Standard
Soluzioni

Valutare la connessione dal prompt dei comandi.

Un incrocio tra ping e tracert: pathping

Valuta la latenza tra i singoli nodi che trova dalla partenza alla destinazione.
Sintassi: pathping ipdestinazione

C:\Users\ced>pathping 10.30.11.1

Traccia route verso 10.30.11.1 su un massimo di 30 hop

0 SW-Developer [10.30.11.23]
1 10.30.11.1

Statistiche di calcolo per 25 secondi…
Da orig. a qui questo nodo/collegamento
Hop RTT Persi/Inv.= Pct Persi/Inv.= Pct Indir.
0 SW-Developer [10.30.11.23]
0/ 100 = 0% |
1 0ms 0/ 100 = 0% 0/ 100 = 0% 10.30.11.1

Traccia completata.

Standard
Soluzioni

Riparare DB MSSQL danneggiato.

Come riparare un db MSSQL con errori o che sospetti sia danneggiato?

  • Impostare un database in modalità utente singolo in Esplora oggetti connettersi a un’istanza del Motore di database di SQL Server, quindi espandere questa istanza.
    Fare clic con il pulsante destro del mouse sul database di cui modificare l’impostazione e quindi scegliere Proprietà.
    Nella finestra di dialogo Proprietà database fare clic sulla pagina Opzioni .
    Selezionare Single nell’opzione Limitazione accesso.
    Se altri utenti sono connessi al database, verrà visualizzato il messaggio Connessioni aperte . Per modificare la proprietà e chiudere tutte le altre connessioni, fare clic su Sì.
  • Eseguire:
    DBCC CHECKDB     (nomedatabase, REPAIR_ALLOW_DATA_LOSS)

Standard
Articoli

Phishing, come riconoscerlo.

Sappiamo tutti ormai cos’è il Phishing,  ma come ci si deve difendere e come riconoscere una mail veritiera da una ingannevole e proveniente da truffatori?

La prima cosa da fare e capire chi è il mittente del messaggio.
Spesso infatti l’indirizzo e-mail presente non è conforme al mittente indicato.

Leggendo il messaggio il contenuto è sempre uguale. Si chiede agli utenti di aggiornare l’account digitando informazioni riservate e si sottolinea l’urgenza dell’operazione, comunicando alla vittima che se non si intraprende l’azione ci saranno conseguenze. Infine si trova un link che dovrebbe portare ad una pagina web apparentemente legittima dove digitare i propri dati.

Per nessun motivo cliccare sul link.
Verifichiamo il link copiando l’indirizzo della browser che vi restituirà l’indirizzo che viene nascosto sotto il link.
La maggior parte degli antivirus moderni ingloba una funzione di anti-phishing che avvisano l’utente della pericolosità della pagina che si tenta di visitare.

Un altra caratteristica della falsa e-mail è che spesso contiene errori ortografici.

Se ricevi una mail sospetta o dannosa puoi inoltrarla ad APWG, che si occupa di raccogliere, analizzare e scambiare gli elenchi di siti frode, contribuirai a tenere traccia delle attività criminali e a migliorare i servizi di prevenzione di frodi.
Per fare questo basta inoltrare la mail ricevuta all’indirizzo e-mail reportphishing@apwg.org

Standard
Articoli

Sicurezza informatica – MAC Attacks

Il MAC Address è utilizzato a livello data-link per permettere la comunicazione di due sistemi, se il sistema trasmittente non conosce il MAC Address di destinazione non potrà mai comunicare.
La sigla MAC significa: “Media Access Control“, controllo di accesso ai supporti ed è rappresentato in esadecimale nel formato XX:XX:XX:XX:XX:XX, sei byte (48bit). I primi 3 ottetti sono detti OUI (Organizationally Unique Identifier) ed identificano il Produttore, i successivi 3 sono assegnati dal Produttore che ha come unico vincolo quello di rispettare l’univocità. Quindi ogni dispositivo Ethernet è associato un indirizzo MAC univoco, questo vuol dire che non possono esistere due indirizzi uguali. Possiamo verificare il MAC Address assegnato alla nostra scheda di rete eseguendo il comando: ipconfig x Win e ifconfig X Lin. E’ possibile scaricare la OUI direttamente dal link: http://standards-oui.ieee.org/oui.txt.
Gli attacchi al MAC sono di tipo DOS (Denial Of Service) cioè tendono a far crascare gli switch di una rete saturandoli, ma anche di Gatering(tramite analisi della rete durante l’attacco).
MAC flooding attack noto anche come MAC Table overflow.
Inondare lo switch inviando molti frame Ethernet, ciascuno contenente indirizzi MAC di differente origine riempiendo la Tabella di abbinamento MAC-porta.
Dopo aver lanciato con successo un attacco di questo tipo sarà possibile analizzare i pacchetti di dati sensibili trasmessi tra altri computer, cosa che non sarebbe possibile se lo switch funzionasse regolarmente infatti quando lo switch supera la capacità della sua tabella si mette a funzionare in fail-open mode, comportandosi come un HUB. Di fatto gli switch tengono conto di ogni entry della tabella e svuotano la tabella cancellando le vecchie voci (aging), di default 5. Se l’attacco quindi smette di andare avanti lo switch riprenderebbe la sua normale funzionalità.
Contromisure:
– Limitare il numero di indirizzi MAC ammessi su una porta. Questo comporterà che superata la soglia definita lo switch inizierà a eliminare il traffico in eccesso.
– Configurare manualmente i MAC accettabili su una porta.
– Abbreviare il tempo di “aging” delle coppie MAC-porta.

Standard