Washington, 17 lug. – (Adnkronos/Washington Post) – Un impegno comune per combattere la minaccia del ciberterrorismo. E’ lo storico impegno assunto da un gruppo di 15 nazioni tra cui Stati Uniti, Cina e Russia, che per la prima volta hanno espresso la volonta’ comune di ridurre la loro capacita’ di minacciare le reti digitali di altri stati con attacchi ciberterroristici. L’accordo, spiega il Washington Post, e’ stato raggiunto questa settimana all’Onu, e prevede un maggior ruolo delle Nazioni Unite nella creazione delle norme di comportamento comuni nel ciberspazio e un aumento della cooperazione tra gli stati nell’elaborazione delle legislazioni nazionali e delle strategie di sicurezza informatica.
sicurezza
Il governo inglese ingaggia esperti in sicurezza informatica: proteggeranno il Paese dagli attacchi web
Il ministero dell’Interno britannico ha lanciato un concorso per ingaggiare la prossima generazione di esperti informatici in grado di fermare gli attacchi cibernetici ai danni del Paese. Studenti e appassionati di tecnologie informatiche, alcuni dei quali con un passato o un presente da hacker, competeranno per una serie di borse di studio e di posti di lavoro in alcune delle migliori istituzioni del Paese.
Fonte TGCOM
Articoli Correlati
Nuovo aggiornamento di sicurezza per mozilla Firefox
A tempo di record un nuovo aggiornamento di sicurezza per mozilla Firefox. La nuova versione, 3.6.8 viene rilasciata a causa di un bug che rendeva il browser instabile in particolari combinazioni di siti Web e plugin. Qui le note tecniche del rilascio.
Articoli Correlati
Le patch del mese di aprile
Anche questo mese un po’ di patch di sicurezza da Microsoft ed Oracle.
Microsoft in un colpo solo tappa 25 falle di sicurezza di cui tre sono ritenute molto importanti come si legge dal Microsoft security Response Center (MSRC):
MS10-019, che interessa tutte le versioni di Windows, corregge un bug che può consentire ad un cracker di alterare il contenuto di un file PE o CAB senza invalidarne la firma digitale;
MS10-026 risolve una vulnerabilità relativa al codec MP3 incluso in Windows che può essere innescata semplicemente visitando una pagina web contenente uno stream video AVI. Il problema affligge in modo serio Windows 2000, XP e Server 2003/2008 (tranne le edizioni per Itanium), mentre non interessa Windows 7 e Server 2008 R2;
l’MS10-027 illustra un problema di Windows Media Player 9 quando gira su Windows 2000 e XP, poblema che può essere sfruttato inducendo un utente a visitare una certa pagina web contenente del codice maligno.
Poi ce ne sono altre che correggono un problema del tasto F1 in VBScript, un aggiornamento del Kernel di Windows ed svariate altre che potete vedere nel link sopra esposto.
Per quanto riguarda Oracle si consiglia di fare riferimento al seguente link. Anche qui i prodotti affetti sono molti.
Comunque non dimentichiamoci delle varie distribuzioni linux che anche in questo periodo hanno proposto tutta una serie di aggiornamenti e per ultimo l’amato Mac, che dopo la grossa patch/update di due settimane fa che ha di fatto portato la release di Mac OSX alla versione 10.6.3, l’altra notte Apple ha rilasciato un aggiornamento che l’azienda di Cupertino ha chiamato 10.6.3 v1.1.
Buon aggiornamento quindi.
Articoli Correlati
ROSI: un approccio per valutare gli investimenti in sicurezza IT
E’ stato sviluppato un approccio metodologico decisionale per chi deve in aziend acompiere e quindi giustificare investimenti in sicureza aziendale.
Nasce da un’iniziativa italiana promossa da Oracle, Clusit (associazione italiana per la sicurezza informatica) e AIEA (Associazione Italiana Information Systems Auditors). Al gruppo di lavoro hanno partecipato anche Deloitte, Ernst & Young, KPMG e PricewaterhouseCoopers, vale a dire le quattro più importanti società di revisione e consulenza nel campo economico-finanziario.
Queste organizzaizoni, assieme, hanno creato un insieme di linee guida per la valutazione di questo particolare tipo di investimento.
I promotori di ROSI evidenziano come oggigiorno le spese per mettere in sicurezza i l’IT e i dati siano vissute dalle aziende come un mero costo da sostenere per conformarsi alle pratiche correnti e alle normative, e non come un investimento da cui ci si attendono precisi ritorni, magari non a livello economico ma comunque vantaggiosi per l’organizzazione.
“Le spese in sicurezza, in realtà, ripagano essenzialmente con la minore probabilità di subire dei danni. Pertanto, nel momento in cui la minaccia si manifesta, il valore delle contromisure volte a contrastarla diventa almeno pari, se non superiore, al valore del bene protetto, in considerazione dei mancati danni indiretti: riduzione del business, ricadute sulla reputazione aziendale, sanzioni pecuniarie e così via”, sottolineano le parti.
Il metodo ROSI quindi è stato concepito per stimare, tramite criteri oggettivi e best practice, il valore degli investimenti in soluzioni per la sicurezza IT e a giustificarli considerando che essi sono destinati principalmente a prevenire potenziali rischi non completamente quantificabili anziché a generare un beneficio diretto.
ROSI propone due approcci utilizzabili in alternativa o congiuntamente: uno più analitico (approccio top-down), che parte dalle ipotesi per giungere alle conclusioni, e uno più pragmatico (approccio verify), che si basa su una serie di soluzioni note a problemi comuni e cerca di capirne l’applicabilità alla situazione in esame.
In tutti i casi, il percorso si conclude con la redazione di un documento, che trae il sostegno per le proprie tesi dal lavoro precedente (con l’approccio top-down, l’approccio verify o una combinazione dei due)..
Il documento, con licenza creative commons è reperibile qui: Rosi V1 oppure direttamente dal sito del Clusit.
Articoli Correlati
Ubuntu: ricordarsi il classico apt-get update e apt-get upgrade
Alcuni bachi dell’ultima settimana richedono un po’ di attenzione:
- Vulnerabilità su Thunderbird
- Vulnerabilità sul kernel
- Vulnerabilità su apache
- Vulnerabilità su libpng
Sono applicazioni molto utilizzate (il kernel poi….).
Meglio ricordarsi di fare un bell’upgrade.
Articoli Correlati
Password: un po' di precauzioni
Girovagando per Internet si trovano sempre delle cose interessanti.
Un bell’articolo sulla gestione delle password, un po’ datatto ma attuale come non mai per gli amministratori di sistema si puo’ trovare qui.
Buona lettura
Articoli Correlati
Aziende di tutto il mondo sotto attacco hacker
Notizia di oggi che sta riempiendo i giornali e i siti.
Riporto quello tratto da pmi.it:
L’attacco hacker più massiccio, sofisticato ed esteso di tutti i tempi – così verrà ricordato quello scoperto dall’ingegnere Alex Cox, impiegato nell’azienda della Virginia Netwitness, che si occupa di sicurezza per Governo Usa ed FBI – sta terrorizzando le aziende di tutto il mondo. L’iniziativa criminale è partita a fine 2008.
Prese di mira informazioni critiche e dati sensibili di imprese ed enti governativi: 75.000 pc e server, oltre 2.500 aziende in 196 diversi paesi.
Cox ha individuato, il 26 gennaio scorso il sistema, il bot Kneper, utilizzato dagli hacker per carpire i dati. Il funzionamento è piuttosto semplice ma purtroppo efficace, perchè basato sull’ingenuità degli utenti.
Gli hacker hanno indotto i dipendenti a scaricare software maligno che, una volta installato, permette di accedere liberamente ai Pc e ai server aziendali, utilizzando anche un pericoloso spyware già noto come ZeuS.
La base della rete hacker sarebbe stata localizzata in Est-Europa, con un centro di controllo in Germania, ma per ora l’Europa non sembra essere la zona geografica più colpita, bensì Usa, Messico, Egitto, Arabia Saudita e Turchia.
È però necessario sottolineare che l’attacco è ancora in atto, tanto che ancora non è stato possibile quantificare i danni provocati. È pertanto importante continuare a prestare attenzione quando si istallano software scaricati dalla Rete e provenienti da fonti sconosciute.
L’invito arriva mediante email con allegati o link infetti, oppure tramite avvisi che invitano a cliccare su siti infettati, o ancora inviando warnings legati alla necessità di cancellare file dannosi per il computer, inducendo quindi a scaricare programmini creati dagli hacker stessi.
Le mie considerazioni sono:
- Troppe aziende sottovalutano la sicurezza;
- Pochissime hanno un piano integrato per la sicurezza informatica;
- Gli utenti sono troppo poco consapevoli dei rischi per svariati motivi (disinformazione, poca consapevolezza, tanto il sistema magari non è mio)
- Tanti non leggono quello che cliccano (magari non sanno le lingue)
- Spendere in sicurezza? e perchè? tanto non capiterà mai a me
E poi si chiude la stalla quando i buoi sono fuggiti. Questo dal punto di vista degli utenti.
I provider nazionali invece potrebbero fare qualcosa di più, visto che questo diventerà il terreno di scontro delle prossime guerre. Policy di sicurezza più strette, filtri intelligenti per la gestione del traffico e molto altro ancora.
Ovviamente secondo il nostro punto di vista
Articoli Correlati
Password: gli utenti usano ancora password troppo semplici
I tempi passano ma alcune brutte abitudini rimangono. Le password che l’utente medio utilizza sui sistemi informatici sono ancora troppo semplici.
Da recenti studi, sembra che le password più usate siano queste:
- 12345
- 123456
- qwerty
- 65432
- password
- il nome della persona
- il login
- 12345678
- 111111
- etc…
Beh che dire… sono troppo semplici ed espongono l’utente ad una molteplicità di problemi: furto di credenziali, accessi non desiderati, e molto altro.
Eppure metodi semplici ci sono: utilizzare maiuscole minuscole all’interno di una frase che conoscete, utilizzare i numeri, aggiungere qualche simbolo speciale.
Facciamo un esempio.
Utilizziamo una semplice password: password. Troppo semplice vero? Proviamo a complicarla:
- PaSSwoRd
- !PAssw0RD! (non è una o, è uno zero)
- !P455m0rD! (qui abbiamo giocato che la a rovesciata è simila al 4 e la s è simile al 5)
Semplice no? e non sono neanche molto semplici da trovare, neanche con un attacco brute force.
Ma vediamo le linee quida canoniche per creare password complesse e difficili da individuare:
- lunghe almeno 8 caratteri
- non deve essere un termine con un senso compiuto che puo’ essere messo in relazione con la persona o con il sistema sul quale viene utilizzato
- non deve essere rintracciabile su un comune vocabolario (in qualsiasi lingua)
- non deve essere costituita esclusivamente da una successione di cifre
- deve contenere lettere maiuscole, minuscole, cifre, simboli e ogni altro carattere normalmente disponibile sulla tastiera
- non devono essere troppo difficili da ricordare
- non vanno scritte su foglietti o altri supporti
- vanno cambiate spesso (almeno ogni tre mesi)
- si devono utilizzare password diverse per sistemi diversi
- non utilizzare a rotazione un ristretto numero di password.
Tutto qui. Non è semplicissimo ma neanche impossibile. A voi ora il divertimento di trovare password difficili!!
Articoli Correlati
Privacy: nuova proroga per il provvedimento relativo agli amministratori di sistema
Direttamente dal sito del Garante, ulteriore proroga al 15 di dicembre 2009.
Amministratori di sistema
Il Garante per la protezione dei dati personali ha integrato e parzialmente modificato il provvedimento relativo agli “amministratori di sistema”, recependo alcune indicazioni pervenute, anche da associazioni di categoria, nel corso della consultazione pubblica conclusasi il 31 maggio. Con le nuove disposizioni il Garante intende facilitare il corretto adempimento alle prescrizioni impartite, mantenendo comunque elevato il livello di protezione dei dati personali e le garanzie per i cittadini.
L’Autorità, in particolare, ha consentito che gli adempimenti connessi all’individuazione degli amministratori di sistema e alla tenuta dei relativi elenchi possano essere effettuati, oltre che dai titolari, anche dai responsabili del trattamento. Ciò allo scopo di rendere tali obblighi più agevoli per quelle realtà aziendali nelle quali determinati servizi informatici vengano svolti da società esterne.
Di conseguenza – limitatamente alle misure tecniche e organizzative necessarie per quanto richiesto – il termine per l’adozione delle prescrizioni è stato prorogato al 15 dicembre prossimo.
Roma, 26 giugno 2009