Fisiche: Danneggiano gli impianti e le infrastrutture (es. terremoti, incendi...)

Logiche: Sottrazione o danneggiamento di informazioni e risorse (es. clonazione di bancomat)

Accidentali: Errori di configurazione di software e della rete, malfunzionamenti di programmi...

Sfruttando le vulnerabilità (exploit) vengono effettuati attacchi mirati sia all'utilizzo indebito di informazioni riservate, sia al blocco delle risorse (attacchi DoS - Denial of Service)

Virus: Un frammento di software capace di infettare files per potersi riprodurre facendo copie migliorate di sé stesso

Worm: Un malware capace di riprodursi autonomamente, è un programma eseguibile, non necessita altri programmi per potersi riprodurre

Trojan: Malware le cui funzionalità sono mascherate dietro un programma apparentemente utile o innocuo. Spesso si trovano in programmi scaricati da Internet. I trojan necessitano un'azione da parte dell'utente per poter essere eseguiti

Ransomware: Malware creato per limitare l'utilizzo del dispositivo infettato fino a quando non venga pagato un riscatto

Backdoor: "porte segrete" lasciate aperte volontariamente (per manutenzione) per poter bypassare almeno parzialmente le procedure di sicurezza attive in un SI.
Possono essere usate per manomettere un sistema (un utente esterno potrebbe prendere il controllo remoto della macchina senza autorizzazione)

Spyware: Software creati per raccogliere illecitamente informazioni dal sistema su cui sono stati installati per trasmetterli a un destinatario interessato

Da terze parti, ossia da agenti esterni all'organizzazione

Da utenti interni, che utilizzano indebitamente i propri permessi per accedere a informazioni alle quali non dovrebbero accedere

Sostituzione: Ad esempio con chiave numerica e sostituzione monoalfabetica, ho un mapping fisso. Un esempio è il cifrario di Cesare, dove la chiave k è il numero di lettere da saltare ( M=ciao e k=4 ▶ M'=goes)

Trasposizione: La chiave serve per indicare come permutare le lettere contenute nel testo in chiaro durante la codifica

L'algoritmo standard di questa categoria è l'AES, il messaggio viene cifrato utilizzando chiavi di 128,192 o 256 bit. Per la cifratura il messaggio viene:

• spezzato in blocchi da 128 bit
• ogni blocco viene cifrato tramite le fasi di: xor dei bit del messaggio con i bit di chiave, sostituzioni, trasposizioni e combinazioni tra bit in fasi intermedie

La chiave deve essere generata e distribuita con la massima sicurezza

Possibilità di implementare l'algoritmo in hardware con processori dedicati

Tutto ciò che è cifrato con una delle due chiavi può essere decifrato dall'altra chiave della coppia

Non deve essere in alcun modo possibile dedurre una delle due chiavi a partire dalla conoscenza dell'altra

La chiave pubblica può essere distribuita mentre la chiave privata deve restare segreta

Vengono garantite riservatezza e autenticità

Sono possibili attacchi di tipo Man-in-the-middle

Lo scambio è autenticato, perché A, cifrando con la sua chiave privata, certifica la propria identità

Non viene garantita la riservatezza

Il principio su cui si basa la crittografia asimmetrica è l'uso di una funzione f semplice la cui inversa è complessa

❌CONTRO: La cifratura con chiave asimmetrica è lenta, questo perché è richiesta una certa capacità computazionale per risolvere i problemi

Coerenza: Due messaggi identici hanno lo stesso digest

Univocità: Se due messaggi differiscono anche soltanto di un bit devono essere associati a due digest diversi

Non-invertibilità: Dato un digest non deve essere in alcun modo possibile risalire al messaggio originario

Spoofing: Invio di pacchetti con indirizzo di sorgente diverso dal proprio con lo scopo di non essere identificati o di impersonare un altro agente (rubandone di fatto l'identità)

Sniffing: Intercettazione di informazioni scambiate tra due agenti ➡ accesso non autorizzato a informazioni

Hijacking: o Man-in-the-middle, una combinazione di sniffing e spoofing al fine di deviare verso un agente malevolo le comunicazioni e di intercettare e modificare il traffico in modo invisibile ai sistemi compromessi

Flooding: Intasamento della rete con quantità di traffico indesiderato che porta al blocco e all'irragiungibilità del servizio (DoS)

Se l'impronta ricevuta e quella calcolata a partire dal messaggio ricevuto sono diverse si riconosce la manipolazione durante la trasmissione; se invece le due impronte coincidono il messaggio è integro

Decodifica della firma con la chiave pubblica del mittente e recupero del digest originale

Possiede la proprietà del non-ripudio, ovvero viene identificato l'agente che ha generato i dati e viene anche certificato che i dati non siano stati manomessi dopo essere stati firmati

Something You Have (SYH): un oggetto posseduto (es. tessera magnetica)

Something You Are (SYA): una caratteristica fisica (es. impronta digitale)

Something You Know (SYK): un'informazione conosciuta (es. password)

AUTORIZZAZIONE viene verificato se l'agente può svolgere determinate funzioni

Per basi centralizzate è utile che vi sia un unico amminstratore

Soggetti: Sono:

• utenti
• amministratori e programmatori applicativi
• gruppi o classi
• transazioni o applicazioni
  

Per basi distribuite solitamente esistono più autorizzatori divisi in gerarchie

Modi di accesso (read, write, execute...) (per i programmi)

CRUD - create, read, update, delete (per i dati)

Sistema chiuso: gli accessi permessi sono soltanto quelli specificati dalle regole. Tutto ciò che non è esplicitamente permesso è vietato

Sistema aperto: tutti gli accessi sono permessi tranne per quelli specificatamente vietati tramite regole. Tutto ciò che non è esplicitamente vietato è permesso

Le regole di accesso (definite dagli autorizzatori) sono basate su un modelllo a quattro componenti:

• subject
• object
• right
• costraint

Politiche discrezionali: chiamate anche DAC, è discrezione dei proprietari autorizzare altri utenti all'accesso, definire i tipi di accesso da concedere ad altri e definire gli accessi selettivi

Sono inoltre definite le Security Class, dove la componente gerarchica individua il livello e e le categorie individuano le aree di appartenenza dei dati

No-Read-Up: Un soggetto è autorizzato alla lettura di un oggetto solo se il livello del soggetto è maggiore o uguale al livello dell'oggetto

No-Write-Down: Un soggetto è autorizzato alla scrittura di un oggetto solo se il livello del soggetto è minore o uguale al livello dell'oggetto

Tipici livelli di classificazione sono:

• Unclassified (U)
• Confidential (C)
• Secret (S)
• Top Secret (TS)

Queste regole impediscono flussi di dati tra soggetti high e low

1) Il firewall deve essere l'unico punto di contatto tra la rete interna e l'esterno (come un ponte levatoio)

2) Tutti i pacchetti devono essere bloccati tranne quelli autorizzati

Packet filtering: si analizza solo l'intestazione del pacchetto in ricezione in base alle liste contenenti gli IP dai quali accettare/rifiutare

Packet Inspection: supero l'intestazione e ispeziono anche il payload. Viene controllata tutta la sessione di comunicazione. Più lento rispetto al Packet filtering

Application proxy: vengono intercettate le comunicazioni e filtrate le comunicazioni in ingresso al server. Esiste un elemento in mezzo alla comunicazione atto alla protezione del server. Ancora più lento rispetto al Packet inspection

Inoltre, in alcuni casi, soprattutto in architetture a 5-tier, oltre alla presenza di più DMZ esiste anche un "server ostaggio", contenente pagine statiche e usato per monitorare eventuali attacchi

Sensori: raccolgono elementi dai quali rilevare tracce di intrusione

Algoritmi di analisi: implementano l'ID sulla base dei dati raccolti

Componenti di Alerting & Response: componenti attivi che, quando è in atto un attacco intraprendono varie azioni

Le attività normali e intrusive hanno evidenze diverse

Si usano features (catturano le evidenze di intrusione) e modelli (permettono di comporre tali evidenze)

Servono vari componenti: processori per i dati di audit, una base di conoscenza, una 'decision engine' e generatori di allarme e risposte

1) Un network-based IDS rileva gli attacchi analizzando il traffico di rete. I sensori devono essere distribuiti sulla rete

2) Un host-based IDS è un software da installare su ogni macchina da proteggere

1) Analisi di tipo misuse detection, volta a individuare i comportamenti già noti come attacchi. Analizzano l'attività del sistema e la confrontano con le signature

2) Analisi di tipo anomaly detection, individua deviazioni significative dal comportamento normale

Active response: vengono acquisite maggiori informazioni aumentando il livello di sensitività, oppure viene modificato l'ambiente bloccando l'attacco in corso

Passive response: l'IDS invia una notifica all'amministratore del sistema senza intraprendere altre misure