Introduzione alla Sicurezza Informatica: Concetti, Minacce e Difese, Dispense di Informatica

Scarica Introduzione alla Sicurezza Informatica: Concetti, Minacce e Difese e più Dispense in PDF di Informatica solo su Docsity!

ISTITUTO DI ISTRUZIONE SUPERIORE “A. MEUCCI”

73042 – CASARANO (LE)

Prof. Giuseppe Polimeno

LA SICUREZZA INFORMATICA

Per ‘’Sicurezza Informatica’’ (o per Sistema di Sicurezza Informatica) s’intende l’insieme degli strumenti/tecnologie (hardware e software), dei servizi (software/tools dello stesso sistema operativo ed applicativi), delle regole organizzative e dei comportamenti individuali che proteggono i sistemi informatici di un’organizzazione. Proteggere il ”Sistema informatico” significa (ovvero gli obiettivi di un Sistema di sicurezza sono) realizzare 3 macro-obiettivi (soddisfare i requisiti non-funzionali [di qualità dei servizi]):

• garantire la riservatezza/confidenzialità delle informazioni;
• Preservare l’integrità del sistema (dati e servizi);
• garantire disponibilità dei servizi a fronte di eventi imprevedibili Con un acronimo: rendere ‘’sicuro’’ un sistema informatico equivale a sodddisfare i requisiti (C.I.A. = Confidentiality, Integrity, Availability).

Una definizione di sicurezza informatica

La protezione degli asset informatici è ottenuta attraverso misure di carattere tecnico e organizzativo, sia di prevenzione che di protezione, tese ad assicurare:  Riservatezza/Confidenzialità implementare un accesso al sistema (dati e servizi) regolamentato e controllato: inibire l’accesso solo a chi è autorizzato, più precisamente definire chi (who), come (how), cosa (what), quando (when) e dove (where) può accedere;  Integrità garantire la completezza dell’informazione [ prevenire-risolvere perdite parziali-totali di dati, sopratutto quelli determinanti per accedere al resto]; garantire protezione da modifiche non autorizzate operate sui messaggi trasmessi. Il materiale inviato al destinatario non deve poter essere alterato in alcun modo prima di essere consegnato; assicurare la consistenza dei dati, intesa come requisito di congruenza/concordanza, correttezza e validità dei dati (evitare situazioni di informazioni contraddittorie, non univoche, per gli stessi oggetti informativi: dovute ad errate operazioni di modifica/aggiornamento [non si aggiornano tutte le occorrenze di un determinato dato] involontarie o dolose per minare volontariamente l’integrità del sistema)  Disponibilità deve essere garantito quanto più possibile l'accesso ai servizi ed ai dati nei tempi e nei luoghi previsti Requisiti della sicurezza (obiettivi della sicurezza)

La riservatezza impedisce la divulgazione (l’acquisizione, l’utilizzo) di informazioni a persone, risorse e processi non autorizzati. Le organizzazioni limitano l'accesso per garantire che solo gli operatori autorizzati possano utilizzare i dati o altre risorse di rete. I metodi utilizzati per garantire la riservatezza prevedono:  la crittografia dei dati;  l'autenticazione;  il controllo degli accessi. La riservatezza

L'integrità è la completezza e la coerenza dei dati durante l'intero ciclo di vita della gestione degli stessi e dei servizi collegati. Mittente e destinatario devono essere sicuri che il contenuto non subisca alterazioni durante la trasmissione (per cause fortuite o per manipolazioni) I dati vengono sottoposti a una serie di operazioni quali acquisizione, archiviazione, recupero, aggiornamento e trasferimento, e, quindi, devono rimanere inalterati durante tutte queste operazioni da entità non autorizzate. L'integrità

IL CONTROLLO DELL’ACCESSO

Il controllo di accesso è implementato attraverso una serie di procedure di protezione che impediscono l'accesso non autorizzato ad un sistema, ad una risorsa o ad un servizio informatico. Le principali procedure sono rappresentate dall’acronimo AAA ( procedure/servizi):  Authentication;  Authorization;  Accounting (Autenticazione, Autorizzazione, Registrazione/Tracciamento/Contabilizzazione) Controllo accesso

Per esempio i sistemi/servizi AAA Server (cfr. Documentazione CISCO Netacad)  Authentication As the first process, authentication provides a way of identifying a user, typically by having the user enter a valid user name and valid password before access is granted. The AAA server compares a user's authentication credentials with other user credentials stored in a database. If the credentials match, the user is granted access to the network. If the credentials are at variance, authentication fails and network access is denied.  Authorization Following authentication, a user must gain authorization for doing certain tasks. After logging into a system, for instance, the user may try to issue commands. The authorization process determines whether the user has the authority to issue such commands.  Accounting The accounting, which measures the resources a user consumes during access. This can include the amount of system time or the amount of data a user has sent and/or received during a session. Accounting is carried out by logging of session statistics and usage information and is used for authorization control (La tracciabilità/contabilizzazione viene effettuata registrando le statistiche di sessione e le informazioni sull'utilizzo e viene utilizzata per il controllo dell'autorizzazione) AAA Server

Authorization services determine which resources users can access, along with the operations that users can perform. Some systems accomplish this by using an Access Control List, or an ACL. An ACL determines whether a user has certain access privileges once the user authenticates (what and how)). Just because you can log onto the corporate network does not mean that you have permission to use the high-speed color printer (where). Authorization can also control when a user has access to a specific resource (where). For example, employees may have access to a sales database (vendite db) during work hours, but the system locks them out after hours (when). Authorization (fonte Cisco)

Le principali tecniche per garantire l'integrità dei dati sono:  l'hashing;  Le tecniche di checksum  Le procedure di backup-restore I sistemi di integrità dei dati possono includere uno o più dei metodi sopra elencati. Tecniche per implementare l’integrità

I checksum convertono semplicemente ogni informazione in un valore e producono una somma totale, sul lato mittente Un checksum verifica l'integrità dei file o delle stringhe di caratteri, prima e dopo il loro trasferimento da un dispositivo a un altro attraverso una rete locale o Internet. Per verificare l'integrità dei dati, un sistema di ricezione ripete semplicemente il processo. Se le due somme sono uguali, i dati sono validi. Se non sono uguali, si è verificato un cambiamento lungo la linea. Le tecniche di checksum vengono utilizzate in generale per controllare la correttezza/affidabilità (prevenzione/rilevazione di errori e perdite di dati) nella memorizzazioni dei dati. Tecniche checksum

I backup accurati aiutano a mantenere l'integrità dei dati se i dati vengono danneggiati. Un'organizzazione deve verificare il proprio processo di backup per garantire l'integrità degli stessi backup. Il backup, copia di sicurezza o copia di riserva, è l’operazione di memorizzazione, tipicamente su dispositivo di memorizzazione di massa rimovibile, necessaria per risolvere le situazioni di perdita di dati e/o malfunzionamenti dei servizi. L'attività di backup è un’operazione fondamentale per la gestione-manutenzione di un sistema informatico: in caso di guasti, manomissioni, furti, ecc., ci si assicura che esista una copia dei dati, pertanto l'esecuzione del backup è quasi sempre automatica e svolta normalmente con una periodicità stabilita (per esempio una volta al giorno o alla settimana). Backup

Esistono diversi tipi di backup: Backup completo (o Full backup): un backup di tutti i file del sistema. A differenza della disk image, un full backup non include le tavole di allocazione, le partizioni ed i settori di boot. Backup Differenziale: backup cumulativo di tutti i cambiamenti effettuati a partire dall'ultimo backup completo. Il vantaggio è il minor tempo necessario rispetto ad un backup completo. Il backup differenziale memorizzerà poi solo le modifiche che sono state apportate al file system dall’ultima immagine completa. Lo svantaggio è che i dati da salvare aumentano per ogni giorno trascorso dall'ultimo backup. Tipi di Backup

Le soluzioni di backup, ordinate in ordine di prestazioni e costi, sono:

• DISKS embedded (incorporato)
• DAS (directed attached storage) cioè i comuni dispositivi di memorizzazione esterna con interfaccia USB, FIREWIRE, eSATA ecc…
• DAT (digital audio tape) per capacità fino al terabyte, poco costosi. Queste soluzioni sono economiche ma hanno il limite che le prestazioni del servizio di backup sono condizionate dalle capacità, dal carico di lavoro, dalle prestazioni del server a cui sono collegati i dispositivi di storage\backup.
• Soluzioni NAS (network attached storage): sono dispositivi di memorizzazione di massa che presentano una propria interfaccia di rete e quindi sono collegati direttamente ai network device ordinari utilizzati per la comunicazione.
• SAN (Storage Area Network): Parte di una rete ad alta velocità di trasmissione (generalmente Gigabit/sec) costituita esclusivamente da dispositivi di memorizzazione di massa, in alcuni casi anche di tipi e tecnologie differenti. Il suo scopo è quello di rendere tali risorse di immagazzinamento (storage) disponibili per qualsiasi computer (generalmente application server e DBMS server) connesso ad essa. I protocolli attualmente più diffusi, usati per la comunicazione all'interno di una SAN, sono FCP (Fibre Channel Protocol) ed iSCSI (Internet SCSI). Sistemi di Backup

Gli attacchi informatici e i guasti del sistema possono impedire l'accesso a sistemi e servizi di informazione. Ad esempio, interrompere la disponibilità del sito Web di un concorrente riducendolo potrebbe fornire un vantaggio al suo concorrente. Questi attacchi denial-of-service (DoS) minacciano la disponibilità del sistema e impediscono agli utenti legittimi di accedere e utilizzare i sistemi informativi quando necessario. I metodi utilizzati per garantire la disponibilità includono:  la ridondanza del sistema (server cluster);  i backup del sistema;  la manutenzione degli apparati e dei sistemi;  le procedure di aggiornamento dei sistemi operativi;  Procedure di System-Recovery e Disaster-Recovery; DISPONIBILITA’