Please enable JavaScript.

Coggle requires JavaScript to display documents.

Introduzione Cybersecurity (Gli attacchi: concetti e tecniche (Analisi di…

- - - - Qualsiasi codice dannoso
    - - Tracciare e spiare
    - - Pubblicità aggressiva
    - - Operazioni eseguite automaticamente
    - - Indurre a compiere operazioni attraverso popup ad esempio
    - - Modificare sistema operativo per creare backdoor
    - - Codice eseguibile dannoso collegati ad altri
    - - Esegue operazioni dannose sotto forma di un'operazione desiderata
    - - Codice dannoso che si replica in maniera dannosa
      - si trasferisce su nuovi computer senza alcun intervento o consapevolezza da parte dell'utente
    - - Il MitM consente all'autore dell'attacco di prendere il controllo su un dispositivo senza che l'utente ne sia a conoscenza
    - - Il MitMo è un tipo di attacco impiegato per acquisire il controllo su un dispositivo mobile
    - - Tipo di malware che limita l'accesso del dispositivo che infetta, richiedendo un riscatto
  - - - Pretexing
        
        Si ha quando l'autore degli attacchi si rivolge a un individuo mentendogli nel tentativo di ottenere l'accesso a dati con privilegi
      - Tailgating
        
        Si ha quando l'autore degli attacchi segue rapidamente una persona autorizzata in un luogo sicuro.
      - Something for Something
        
        Si ha quando l'autore degli attacchi chiede dati personali a un interlocutore in cambio di qualcosa, ad esempio un regalo.
  - - - Email fraudolenta per far installare malware
    - - Sono attacchi mirati, email per particole persone
    - - Analisi dei computer per ottenere informazioni
      - Fase 1
        
        Raccolta informazioni sull'obiettivo, tramite ad esempio scanner
      - Fase 2
        
        Alcune informazioni possono riguardare il sistema operativo, la relativa versione e un elenco di servizi
      - Fase 3
        
        Si cercano vulnerabilità note sul sistema operativo
      - Fase 4
        
        Si ricercano exploit noti o si fabbrica uno ad hoc
    - - Operazioni multi fase avanzata e dissimulata a lungo termine contro obiettivo specifico. Per la competenza richiesta è ben finanziato
  - - - Enorme volume di dati viene inviato a una rete, un host o un'applicazione a una velocità ingestibile. Ciò causa un rallentamento nella trasmissione o nella risposta oppure l'arresto anomalo di un dispositivo o di un servizio.
    - - Pacchetto formattato con intento dannoso viene inviato a un host o a un'applicazione e il ricevente non è in grado di gestirlo
    - - Simile al DoS ma originato da più sorgenti diverse
      - Rete di botnet detti zombie che infettano altri computer
  - - - Aumentare il traffico verso siti dannosi che potrebbero contenere malware o eseguire il social engineering
  - - - Comunicare il problema ai dipendenti
      - Essere sinceri e responsabili
      - Capire cosa ha causato la violazione
      - Verificare che il sistema sia pulito da rootkit
      - Istruire partner e clienti su come evitare future violazioni
- - - - Scegliere un'affermazione significativa
      - Aggiungere caratteri speciali come ! @ # $ % ^ & * ( )
      - Maggiore è la lunghezza e migliore è la passphrase
      - Evitare frasi comuni o famose, ad esempio testi di una canzone famosa
  - - - Oggetto fisico: carta di credito o bancomat
      - Scansione biometrica
- - - - il filtro opera in base agli indirizzi IP d'origine e di destinazione
    - - il filtro opera in base alle porte dati d'origine e di destinazione nonché sugli stati delle connessioni
    - - il filtro opera in base ad applicazioni, programmi e servizi
    - - il filtro opera in base a utente, dispositivo, ruolo, applicazione e profilo della minaccia
    - - esegue il filtraggio delle richieste di contenuti Web quali URL, dominio, mezzi di comunicazione
    - - posizionati davanti ai server Web, i server proxy reverse proteggono, nascondono, eseguono l'offload e distribuiscono gli accessi ai server Web
    - - nasconde o maschera gli indirizzi privati degli host di rete
    - - esegue il filtraggio delle chiamate a porte e servizi di sistema nell'ambito del sistema operativo di un determinato computer
    - - La scansione delle porte è un processo di verifica di computer, server o altri host di rete volto all'individuazione di eventuali porte aperte
      - l numero di porta è utilizzato a entrambe le estremità della trasmissione, affinché ciascun dato venga trasmesso correttamente all'applicazione che lo richiede
      - Risultati scansione porte
        
        Aperta o accettata
        
        L'host ha risposto indicando che un servizio è in ascolto sulla porta.
        
        Chiusa, Rifiutata o Non in ascolto
        
        L'host ha risposto indicando che i tentativi di connessione alla porta verranno rifiutati
        
        Filtrata, Interrotta o Bloccata
        
        Non è stata ricevuta alcuna risposta dall'host.
  - - - I router ISR Cisco, dispongono di numerose funzionalità firewall quali filtraggio del traffico, capacità di eseguire un sistema di prevenzione delle intrusioni (IPS) nonché di funzionalità VPN per un tunneling crittografato sicuro.
    - - dispositivi Cisco Next Generation Firewall offrono tutte le funzionalità di un router ISR nonché quelle di gestione e analisi evoluta della rete
    - - Dedicati alla prevenzione delle intrusioni
    - - È progettato per il tunneling crittografato sicuro
    - - Advanced Malware Protection, AMP) Cisco è presente nei router, firewall, dispositivi IPS e appliance di sicurezza e-mail e Web Cisco di nuova generazione e può anche essere installato, come software, nei computer host
    - - questa categoria è costituita dalle appliance di sicurezza e-mail e Web, dai dispositivi per la decrittografia, dai server per il controllo degli accessi client e dai sistemi per la gestione della sicurezza.
  - - - il rilevamento degli attacchi in tempo reale richiede l'esecuzione di scansioni per mezzo di firewall e di dispositivi di rete IDS/IPS
      - Inoltre, è necessario avvalersi anche di strumenti di rilevamento di malware client/server di nuova generazione dotati di collegamenti con centri globali per lo studio delle minacce
      - Attualmente, i dispositivi e il software per la scansione attiva individuano le anomalie di rete utilizzando l'analisi basata sui contesti e il rilevamento dei comportamenti.
    - - È molto difficile difendersi dagli attacchi DDoS, poiché questi ultimi hanno origine da centinaia, se non migliaia, di host zombie e assumono l'apparenza di traffico legittimo, come mostrato nella figura
      - APT, Advanced Persistent Threat
        
        rubano dati per lunghi periodi di tempo
      - Cisco ha messo a punto AMP Threat Grid
        
        AMP è un software client/server implementato negli endpoint host, come i server standalone o in altri dispositivi di sicurezza di rete
  - - - I botnet sono gruppi di bot, collegati attraverso Internet, controllati da persone o gruppi malintenzionati
      - Questi bot possono essere attivati per distribuire malware, lanciare attacchi DDoS, diffondere e-mail di spam o eseguire attacchi brute-force per la violazione delle password
      - I botnet sono generalmente controllati per mezzo di un server di comando e controllo
    - - Ricognizione: raccolta informazioni
      - Adescamento: creazione payload dannoso
      - Dirottamento: gli hacker inviano il payload dannoso di tipo exploit all'obiettivo per mezzo di e-mail o altri metodi
      - Exploit - l'exploit viene eseguito
      - Installazione - il malware e le backdoor vengono installate all'interno dell'obiettivo.
      - Comando e controllo - il controllo remoto dell'obiettivo viene assunto per mezzo di un canale o di un server di comando e controllo
      - Azione - gli hacker eseguono azioni dannose
  - - - gli honeypot sono strumenti di rilevamento basati sui comportamenti che attirano gli hacker facendo leva sui loro schemi di comportamento dannoso.
      - Cisco Cyber Threat Defense Solution Architecture
        
        si tratta di un'architettura di sicurezza che impiega il rilevamento basato sui comportamenti
    - - La tecnologia Cisco NetFlow viene impiegata per raccogliere informazioni sul flusso dei dati all'interno delle reti
      - Esse mostrano chi e quali dispositivi si trovano nella rete nonché quando e in che modo utenti e dispositivi hanno avuto accesso alla rete
      - Le informazioni vengono trasmesse ai collettori NetFlow che raccolgono, archiviano e analizzano i record.
  - - - sono costituiti da software che raccoglie e analizza gli allarmi relativi alla sicurezza
      - Software che analizza e raccoglie gli avvisi di sicurezza, i registri ed i dati storici e in tempo reale originati dai dispositivi di sicurezza
    - - sono elementi software o hardware progettati per impedire il furto o la fuoriuscita di dati sensibili dalle reti
    - - intervengono sull'accesso alle risorse di rete creando policy che segmentano l'accesso stesso in categorie (in base a ruoli definiti)
    - - può essere realizzato attraverso un dispositivo di rete dedicato oppure impiegando uno dei molti strumenti disponibili all'interno di server e firewall
      - Il compito dell'IDS consiste unicamente nel rilevare, registrare e riferire.
      - La scansione effettuata dall'IDS rallenta la rete
      - Viene eseguita la copia o il mirroring dei dati da parte di uno switch che, in seguito, li inoltra all'IDS per il rilevamento offline.
    - - sono in grado di bloccare o rifiutare traffico in base a regole positive o in caso di corrispondenza della firma
      - Snort e Cisco Sourcefire può rilevare tentativi di verifica, attacchi e operazioni di scansione delle porte. Inoltre, esso si integra all'interno di strumenti di terze parti per la creazione di report e analisi di prestazioni e log.
    - - Una raccolta di richieste ripetibili riferite alle origini dati degli eventi di sicurezza che attiva il rilevamento di un incidente e la risposta associata