Add new lessons

Author: Polpetta

res/sections/28-Les23052017.tex

@@ -0,0 +1,203 @@
+
+\chapter{Security Administrator}
+
+\section{Security Operations}
+
+Operazioni relative alla sicurezza:
+\begin{itemize}
+\item Gestione delle identità e controllo degli accessi: per esempio badge 
+all'ingresso ecc. Ma non solo! Anche controlli di tipo informatico devono essere 
+aggiornati dopo ad esempio il licenziamento di un impiegato, al quale dev'essere 
+negato l'accesso ai dati aziendali alla fine del suo ultimo giorno lavorativo.
+\item \textit{Patching} del sistema e gestione delle configurazioni: il patching 
+è l'anno zero della sicurezza.
+\item Controlli dei cambiamenti e gestione dei rilasci: Il controllo dei 
+cambiamenti ogni cambiamento deve essere documentato e i test sono stati 
+eseguiti allora può essere introdotto.
+Una release nuova vuol dire che chi ha il livello di autorizzazione perchè una 
+nuova release potrebbe comportare comportamenti anomali.
+\item Metriche per la sicurezza e reporting: Ogni società sa dove bisogna 
+andare. Tipica metrica di sicurezza è il caso di \emph{awareness} interna 
+testata con false email di spam. 
+\item Mantenimento dei controlli tecnologici: i controlli vanno mantenuti. 
+Il controllo di sicurezza è un qualcosa che da un risparmio in termini di costi 
+se applicata in maniera efficace. Vendere la sicurezza è difficile, e un buon 
+manager è in grado di venderla.
+
+\item Risposta all'incidente, investigazione e conseguente risoluzione
+Il problema non è come si viene attaccati ma quando si è attaccati: bisogna 
+avere un buon grado di comunicazione e trovare la causa dell'incidente. Anche 
+avere una buona soluzione, per prevenire che l'incidente occorra di nuovo.
+\textit{Investigation} è la fase successiva all'attacco e serve per capire 
+perché e come è successo quello che è successo.
+
+\end{itemize}
+
+%io scrivo ma sono troppo rincoglionito dal pranzo, non capisco cosa scrivo e 
+cosa dice -- bene ma non benissimo
+
+\subsection{IS Auditor e IT Governance}
+
+Esistono cinque indicatori per capire se l'azienda ha fatto un buon lavoro nel 
+veicolare i propri obiettivi ai lavoratori. È importante che i dipendenti 
+sappiano dare risposte a cosa è allineata la compagnia, qual è la sua missione, 
+visione, valori, obiettivi e strategie. Quando un dipendente non lo sa o 
+risponde ``solo per i soldi'' è un segnale negativo.
+
+\paragraph*{IT} L'IT serve per potare avanti obiettivi strategici di business, 
+ed è importante sapere se l'IT è in grado di raggiungere le \textit{performance} 
+e gli obiettivi stabiliti. Inoltre sono presenti requisiti a cui essi devono 
+sottostare, come per esempio quelli legali o quelli lagati alla qualità.
+
+\paragraph*{Efficacia ed efficienza} L'efficienza è l'uso ottimale delle 
+risorse, l'efficacia è il raggiungimento degli obiettivi e dei requisiti 
+prefissati.
+
+
+
+
+%eserciziiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiii
+
+Who can contribute the most to determining the priorities and risk impacts to 
+the organization's information resources?
+\begin{itemize}
+\item Chief Risk Officier
+\item Business Process Owners (risposta esatta): gli owner sono quelli che hanno 
+l'informazione, quindi è lui quello che ha tutti i dati!
+\item Security Manager
+\item Auditor
+\end{itemize}
+
+% Altro esercizio
+A document that describes how access permission is defined and allocated is the:
+\begin{itemize}
+\item Data Classification
+\item Acceptable Usage Policy
+\item End-User Computing Policy
+\item Access Control Policies  (risposta esatta) % LESGOLD SEI UN FIGOOOO
+\end{itemize}
+
+
+%altro esercizio
+
+The role of the Information Security Manager in relation to the security 
+strategy is:
+\begin{itemize}
+\item Primary author with business input (risposta esatta)
+\item Communicator to other departments
+\item Reviewer
+\item Approves the strategy
+\end{itemize}
+
+
+%altro esercizio
+The role most likely to test a control is the:
+\begin{itemize}
+\item Security Administrator (risposta esatta)
+\item Security Architect
+\item Quality Control Analyst: quel "quality control" non è il controllo della 
+qualità in senso di sicurezza, ma è in senso più generico
+\item Security Steering Committee
+\end{itemize}
+
+
+%altro esercizio
+The role responsible for defining security objectives and instituting a security 
+organization is the:
+\begin{itemize}
+\item Chief Security Officer
+\item Executive Management (risposta corretta)
+\item Board of Directors
+\item Chief Information Security Officer (CISO)
+\end{itemize}
+
+
+% altro esercizio
+When implmenting a control, the PRIMARY guide to implementation adheres to:
+\begin{itemize}
+\item Organization policy  (risposta esatta)
+\item Security frameworks such as COBIT, NIST, IOS/IEC
+\item Preventionm Detection, Correction
+\item A layered defense
+\end{itemize}
+
+
+% altro esercizio
+
+The persons on the Security Steering Committee who can contribute the best 
+information relating to insuring Information Security success is:
+\begin{itemize}
+\item Chief Information Securty Officer
+\item Business Process Owners (risposta esatta)
+\item Executive Management
+\item Chief Information Officer
+\end{itemize}
+
+
+
+%NUOVA PARTE STRONZIIIII
+\part{Secure Software}
+
+Analizzeremo come si è evoluto il software e i conseguenti attacchi, a partire 
+dai ``classici'' \textit{buffer overflow}, per arrivare a sfruttare errori nella 
+codifica dei caratteri negli URL degli indirizzi web.
+
+\chapter{Controlli}
+
+\section{Controlli su input}
+
+Ci sono diversi tipi di attacchi che sfruttano gli input, e questi sono: 
+\textbf{dati falsi}, \textbf{buffer overflow}\footnote{Si sfrutta l'allocazione 
+di memoria nei programmi per eseguire codice arbitrario. Molto difficile da 
+applicare ma molto efficace una volta riuscito l'attacco. Da spesso la 
+possibilità all'attaccante di ottenere il controllo della macchina. Vedere il 
+paper: \textit{Smashing The Stack For Fun And Profit.}}.
+
+Per risolvere tutti questi problemi è necessario \textbf{validare l'input}, 
+meglio se tramite le \textit{white list}, ovvero stendere una lista bianca in 
+cui tutto ciò che è scritto nella lista è accettato. Usare una \textit{black 
+list} è il complementare, e detta tutto ciò che non è possibile fare. Ovviamente 
+la seconda è meno restrittiva della prima.
+
+%no dai, sono una componente insicura, non farmi del male
+\section{Interazioni insicure tra componenti}
+
+Un attacco tipico è quando un attaccante riesce a ``intrufolarsi'' in una 
+comunicazione insicura, e riesce a trasmettere dati arbitrari.
+Qual è la debolezza qui? È che la associazione tra dispositivi è stata eseguita 
+prima che per esempio uno dei due dispositivi vada in \textit{sleep}, e non 
+viene eseguita dopo. Quindi una possibile soluzione è eseguire il login, e poi 
+comunicare in maniera criptata.
+
+L'hash garantisce integrity.
+
+Un altro possibile attacco è quello dell'\textbf{SQL Injection}, dove un'intera 
+stringa SQL viene mandata tramite input, che non viene sanitizzato. Un attacco 
+simile con i comandi di sistema operativo si chiama \textbf{OS Command 
+Injection}. Tutti questi problemi vengono risolvi separando i controlli dai 
+dati.
+
+\section{Jail \& Sandbox}
+
+Jail: il sistema operativo mette dei limiti sulle risorse che si possono 
+utilizzare.
+Da qui viene ``Jailbreak''.
+Sandbox: l'applicazione viene fatta girata in un ambiente controllato.
+\todo{rivedere questi appunti perché nessuno riesce più a seguirlo}
+
+\section{Interazione insicura dei componenti}
+
+Questo problema può essere visto anche quando la interazione dei componenti tra 
+loro è sicura, ma quando ne esistono molto potrebber essere insicura.
+
+Un attacco simile può essere il \textit{Cross-Site Scripting}, ovvero quando si 
+fa l'\textit{inject} di codice in una richiesta web.
+
+
+Esistono attacchi anche su componenti che pensiamo sicure come l'SSL. Un esempio 
+è il \textit{SSL strype attack} \todo{Non so come si scriva.}.
+
+Un \textbf{nonce} è un numero che non deve essere casuale, ma dev'essere unico. 
+Va bene che sia anche predicibile. Serve in tutti i livelli di 
+\textit{encryption} decenti.
+