DMARC: un record dns per proteggere noi stessi e i nostri clienti dall’email SCAM

DMARC: un record dns per proteggere noi stessi e i nostri clienti dall’email SCAM

Cos’è lo SCAM? SCAM è un tentativo pianificato di truffa con metodi di ingegneria sociale, come ad esempio fingere di essere qualcun altro, o qualcos’altro, a scopo fraudolento. Questo può essere fatto di persona, per telefono, tramite profili social, siti web e anche tramite email, sfruttando ulteriori tecniche malevole come spam e phishing. Un tipico esempio di Scam è la “truffa alla nigeriana”, in cui viene inviata un’email nella quale si parla di grosse somme di denaro che dovrebbero essere trasferite (o recuperate) da una banca estera che chiede alcune garanzie come la cittadinanza, un conto corrente, un deposito cauzionale. Lo scammer perciò chiede aiuto […]

Dallo Zeroday al sistema di Intelligence

Dallo Zeroday al sistema di Intelligence

Molto spesso parliamo di ZeroDay, del loro valore, del fatto che possono essere rivenduti a prezzi esorbitanti. Come spesso abbiamo detto, la privacy in questo periodo è oggetto della massima attenzione. Se ne parla al telegiornale, se ne parlava a scuola, se ne parlava al bar (perdonatemi il passato, visto il regime di lockdown), ma di fatto la privacy inizia e finisce con l’avvento dei Social Network e con tutto quello che ruota attorno; e dopo il Datagate, Vault7 e Crypto-Ag, abbiamo abbondanti motivi per parlarne. Gli Stati nazionali, sulla base delle loro costituzioni, acquistano strumenti di Intelligence per “controllare […]

Il Grande Malinteso – Business Continuity e Cyber Resilience

Il Grande Malinteso – Business Continuity e Cyber Resilience

Scrivo e ripeto spesso di quanto la business continuity sia una delle metodologie più abusate all’interno delle organizzazioni e non solo. Poiché si basa su principi di buon senso, spinge molti professionisti a pensare di poterne parlare e praticarla senza una vera conoscenza di fondo della disciplina. Con risultati spesso scadenti se non nocivi per la business continuity stessa e per le organizzazioni che ne fanno un uso approssimativo. In realtà non vi è nulla di più difficile che applicare un metodo al buon senso. A questo proposito, gli inglesi dicono con un gioco di parole che common sense (il […]

Digital Twin per la cybersecurity: ambiti di applicazione

Digital Twin per la cybersecurity: ambiti di applicazione

Che cos’è un Digital Twin? Un Digital Twin può essere definito come una rappresentazione virtuale di un oggetto fisico, un processo o un sistema. Esso cattura le caratteristiche, i comportamenti e le interazioni del corrispettivo fisico in tempo reale, consentendo il monitoraggio continuo, l’analisi e la simulazione. Il DT viene creato combinando diverse fonti, tra cui dati provenienti da sensori, dispositivi IoT, da processi operativi o di monitoraggio, per riprodurre fedelmente l’entità fisica. In ambito accademico, molti esperti distinguono il “Digital Twin”, in cui l’interazione tra il mondo fisico e le istanze digitali è automatizzata, bidirezionale e avviene in tempo […]

Il grande data breach

Il grande data breach

Cos’è la protezione dei dati personali Proteggere i dati personali significa garantirne riservatezza, disponibilità e integrità. Lo ripetiamo perché questo periodo di grande paura per la COVID‑19 sembra corrispondere a una vorticosa circolazione di dati personali, più o meno consapevole e più o meno controllata. La paura e la costrizione dovuta alle misure di contenimento hanno fatto aumentare il numero di tweet, messaggi Whatsapp, post Facebook che, in molti casi, contengono dati personali di persone contagiate e, quindi, dati appartenenti alle particolari categorie (quelli sulla salute). Le possibili misure di prevenzione del contagio nei luoghi di lavoro hanno disturbato i […]

Principali problematiche di sicurezza e di privacy nel settore della robotica

Principali problematiche di sicurezza e di privacy nel settore della robotica

L’umanità si trova attualmente sulla soglia di un’era nella quale robot, bot, androidi e altre manifestazioni dell’intelligenza artificiale (AI) sembrano sul punto di lanciare una nuova rivoluzione industriale, suscettibile di toccare tutti gli strati sociali, rendendo imprescindibile che la legislazione ne consideri tutte le implicazioni con l’Unione Europea già sensibile a tali tematiche (si veda ad esempio la Risoluzione del Parlamento europeo del 16 febbraio 2017 recante raccomandazioni alla Commissione concernenti norme di diritto civile sulla robotica). La robotica e l’intelligenza artificiale promettono di portare benefici in termini di efficienza e di risparmio economico non solo in ambito manifatturiero e […]

Bug Hunting: tra responsabilità, etica e collaborazione

Bug Hunting: tra responsabilità, etica e collaborazione

Quando scoprite una vulnerabilità non documentata – un cosiddetto zeroday – oppure siete un’azienda che produce software e vi viene segnalato un bug, cosa fate? Siete responsabili? Siete etici? Il mercato dei bug sta diventando sempre più complesso, connesso a fortissimi interessi economici e caratterizzato da diverse scale di grigio. Seppur esistono delle prassi internazionali (anche in ambito ENISA) che regolano la Coordinated Vulnerability Disclosure, chiamata anche CVD, non sempre la collaborazione tra fornitore e ricercatore di sicurezza porta a un corretto riconoscimento dei bug e, quindi, a un miglioramento generale. In una situazione di non sempre corretta adozione della […]

Una riflessione preliminare sul processo di istituzionalizzazione della Cyber Intelligence

Una riflessione preliminare sul processo di istituzionalizzazione della Cyber Intelligence

«There is nothing more necessary than good intelligence to frustrate a designing Enemy: and nothing that requires greater pains to obtain» George Washington a Robert Hunter Morris, 1 January 1756 «Cyber is such a perfect prefix. Because nobody has any idea what it means, it can be grafted onto any old word to make it seem new, cool and therefore strange, spooky” New York magazine, 23 December 1996 Aspetti concettuali e definitori propedeutici a un processo di istituzionalizzazione della cyber intelligence L’attuale campo disciplinare della Cyber Security (CS) è connotato da un’inflazione di termini definitori di cui Cyber Threat Intelligence […]

I migliori scanner di vulnerabilità per valutare la sicurezza di un’applicazione Web?

I migliori scanner di vulnerabilità per valutare la sicurezza di un’applicazione Web?

Nel Rapporto Clusit 2020 [1], redatto dagli esperti aderenti all’Associazione Italiana per la Sicurezza Informatica, si evidenzia che nel 2019+2020 (primo semestre) gli attacchi informatici gravi in Italia sono stati 1.670 (2019), più 850 nel primo semestre del 2020, con un aumento rispetto al 2018 del 7%. Se si prende in considerazione il lasso di tempo tra il 2014 e il 2019, gli attacchi sono aumentati del 91.2%. Gli attacchi gravi registrati nel primo semestre 2020 (850) sono quasi pari al numero di attacchi registrati in tutto il 2014. La media degli attacchi gravi nel 2019 è 139 al mese, […]

La zona grigia che affligge la cyber security

La zona grigia che affligge la cyber security

Di fronte all’odierno panorama caratterizzato da minacce di livello avanzato, da tempo la best-practice prevede una difesa stratificata e profonda. La prima linea di tale difesa (a parte solide attività di formazione e di manutenzione dei sistemi) solitamente è perimetrale: antivirus, firewall di ultima generazione e sistemi antintrusione (Intrusion Prevention Systems, IPS). Gli altri strati di difesa possono prevedere sistemi per la gestione degli eventi e delle informazioni sulla sicurezza (Security Information and Event Management, SIEM) oltre a soluzioni per la prevenzione della perdita di dati (Data Loss Prevention, DLP) e le innovative soluzioni di risposta e rilevazione degli endpoint […]

Inventario degli asset: l’incompreso

Inventario degli asset: l’incompreso

Questo è il primo di una serie di articoli di approfondimento relativi ad elementi di un sistema di gestione per la sicurezza delle informazioni. Saranno dedicati a temi su cui ci sono i maggiori dubbi e perplessità sulle norme della serie ISO/IEC 27000. Il primo tema, oggetto di questo articolo, è l’inventario degli asset, dichiarato da auditor e consulenti come importantissimo, ma spesso visto come inutile e faticoso da parte dei tecnici. Nell’ambito della gestione dei servizi IT, l’inventario degli asset, con qualche requisito in più, prende il nome di configuration management database (CMDB) o configuration management system (CMS). In […]

L’Italia tra dominio cibernetico e geopolitica ibrida

L’Italia tra dominio cibernetico e geopolitica ibrida

Quando si parla di sicurezza, il pensiero va subito alla protezione delle nostre case, famiglie, attività, comunità. Su questo fronte le forze dell’ordine, tutte, sono impegnate quotidianamente. Tuttavia è necessario aumentare risorse e strumenti in mano alle autorità, occorre un piano di formazione che preveda anche la creazione di corpi specializzati che si occupino direttamente di prevenzione e difesa. Alle strategie per tutelare il cittadino sul piano della sicurezza fisica si devono affiancare misure efficaci sul piano cibernetico, non meno pericoloso e insidioso; come cittadini, rappresentanti del mondo imprenditoriale e Pubblica Amministrazione dobbiamo essere pronti a monitorare e proteggere il […]