Risk Management: ridurre la INSICUREZZA mediante la integrazione dei dati di monitoring

1GSE Convegno 21 maggio 2004 RISK MANAGEMENT: ridurre la INSICUREZZA mediante la integrazione dei dati di monitoring

IL RISCHIO ACCETTATO

Results Superior by Software Architecture

Risk Management: Risk Management: ridurre la INSICUREZZA ridurre la INSICUREZZA

mediante la integrazione dei mediante la integrazione dei dati di monitoringdati di monitoring

Silvio Castorina

ET Enterprise Technologies




Grazieper la Vostra attenzione alle esperienze di ET-1Audit.

Sono amministratore delegato di ET Enterprise Technologies e mi occupo di "Sviluppo Strategie" e "Obiettivi Marketing".

Subito dopo parlerà il Dr Mario Sestito, che in Iccrea Banca si occupadi sicurezza logica ed è responsabile della continuità operativa.

Non credo nel concetto di sicurezza, credo invece in quello di insicurezza. Mi pare una differenza sostanziale. In concreto

sarebbe vano rincorrere una sicurezza che (se mai esistita nella IT) non potrà esserci restituita interamente. Tentiamo invece di

allontanare il più possibile da noi quella insicurezza che è, davvero, scientificamente osservabile e – per fortuna – anche

efficacemente contrastabile.

"Quand'ero vecchio", da tecnico IT, sono stato ben pagatoda grandissimi Centri per aumentare la disponibilità dei sistemi e

quindi, inevitabilmente, anche aumentarne l’insicurezza. (Disponibilità in senso classico e architetturale).

E' il famoso "Terzo Principio Termodinamico", antico ma in perfetta armonia con l’odierna fisica quantistica. Le due grandezze sono

condannate a variare con il medesimo segno algebrico, di tal ché:

Disponibilità xInsicurezza > 0

(Però il Monitoring può, lui solo, sfuggire a questo terribile vincolo).

Questo intervento è principalmente dedicato al tema"Accrescere il monitoring di base degli accessi".




The Power to MonitorThe Power to Enforce

ET-1AuditBy ET Enterprise Technologies

Il prodotto ET-1Audit realizzato per i mainframes

z/OS e z/Linux e per i sistemi

aperti consente una visione

unica della sicurezza di architetture così disomogenee ...

... e consente anche di controllare quel che altrimenti non si controllerebbe.




L’architettura di ET-1Audit

consente che i vari “motori” siano personalizzati

con la complessità esattamente necessaria.

Perciò una volta tanto è ragionevole

prima installare, poi sperimentare

ed infine pianificare.

Per i primi tempi la Direzione Commerciale

vi rinvierà con un sorriso alla Direzione

Tecnologica.

The ET-1Audit Plug-and-Plan Program

ET-1AuditBy ET Enterprise Technologies




Mentono entrambi sull’età.

Con queste bugie non solo si forniscono

nuove occasioni di

incomprensione coniugale, ma

siccome il prezzo di listino

di ET-1Audit non è alla

portata di tutte le famiglie, di fatto

si stimola la criminalità economica

Attenzione alle pubblicità ingannevoli!

ET-1Audit: ET-1Audit: il primo prodotto per il primo prodotto per

ringiovanire ringiovanire disponibile su piattaforma disponibile su piattaforma

z/OS ...z/OS ...




The Security Software KnightsThe Security Software Knights(tra poche slides ...)

Anche la domenica, sugli argini del Po, tutte le strutture ETvigilano sulla correttezza dei bonifici in partenza dalle banche che hanno installato ET-1Audit




ET Enterprise Technologies ET Enterprise Technologies

Ideazione, disegno, realizzazione, distribuzione e supporto di prodotti software

Verifica della affidabilità: sicurezza, funzionalità e prestazioni

Integrazione di: sistemi, sicurezza e monitoring

Auditing, formazione e consulenza

Realizzazioni speciali




Consulenza: Disegno e Pianificazione

Implementazione

Integrazione

Assessment

Formazione

Third Party Software Sviluppo di Software:

ET-1Audit e sue eventuali estensioni ad hoc

Strumenti per l’integrazione

Nuovi annunci imminenti

ET Enterprise TechnologiesET Enterprise Technologies Security Security

SolutionsSolutionsMainframe, Sistemi Dipartimentali, Rete, Applicazioni




Case Study Case Study Obiettivo n° 1Obiettivo n° 1

Integrazione dei dati di monitoring e realizzazione di un filtraggio intelligente

Sull’argomento non occorrerebbe spendere alcuna parola.

Tutti sanno che, in assenza di un prodotto quale ET-1Audit, occorrerebbe tener dietro a decine di reports, assolutamente disomogenei e incorrelati, con la chimera di avere

informazioni affidabili su quello che è avvenuto (chissà quanto tempo fa!)

ET-1Audit fornisce un Audit Data Model unificato, regole enterprise-wide, un repository su DB2 in formato documentato, API per qualsiasi necessità ...

La prossima slide mostra un report HTML che integra dati z/OS, Linux e MS/Windows. Il Webserver è del sistema z/OS di ET Enterprise Technologies. La struttura

dell'integrazione è quella in corso di personalizzazione in collaborazione con una primaria holding bancaria, che ha installato ET-1Audit su uno dei suoi sistemi.




Case Study Case Study Obiettivo n° 2Obiettivo n° 2

Implementazione di un super-monitoring sugli accessi ad un determinato database fondato sul cambiamento di

valore di alcuni campi

Indipendentemente dall’Access Control e dell’eventuale sicurezza applicativa generare automaticamente alerts e/o azioni bloccanti (in base a regole aziendali personalizzabili e dinamiche) quando stanno per

essere completate transazioni da ritenersi abnormi in funzione di determinati parametri.

Ad esempio un assegno di 300 € che dà origine ad un bonifico su estero di 30 mln di €.

E’ la storia raccontata nelle slides sui Security Software Knights (il tecnico ed il saggio)

Come chiedere ad ET-1Audit un simile monitoring? Con una regola come questa:

SELECT

(DB(DB2PROD*(BONIFIC*))

ACCESS(UPDATE)

ENVIRONMENT(ALL)

ACTION(REDALARM,COLLECT)

WHEN(AS AFTERIMAGE(TAB1,INOLTRO)>1000000)

)




The Security Software KnightsThe Security Software Knightsovvero: come impedire che il primo assegno si trasformi nel secondo (tra poche slides)

Cassa di Sovvenzione e Risparmio dei Consulenti Informatici di Via Lorenzo Valla

300 € Trecento

Mammoth Islands Imperial Bank

30.000.000 € Thirty Million




This was the night landscape This was the night landscape before ET-1Audit ...before ET-1Audit ...




ET-1Audit Global ViewET-1Audit Global View




C’era una volta un CTO preoccupato per la C’era una volta un CTO preoccupato per la sicurezza ...sicurezza ...

Cosa c’è oltre l’immaginabile?

Nessuno può immaginarlo.

La sicurezza IT è un costo o un beneficio?

Dipende.Se fossi ottimista direi

entrambi.

La sicurezza IT è parte dell’architettura o è un

add-on?

Può esistere da qualche parte una sicurezza informatica piena?

Sì! Dove i sistemi sono tutti

guasti contemporaneamente.

Mi fa piacere sapere di non essere il solo.

Dipende.Se fossi ottimista direi

entrambi.




Come fai a sapere che la sicurezza totale non

esiste?

Perchè tutti i sistemi devono rispondere ad esigenze di affidabilità, disponibilità e

efficienza ... Affidabilità ed efficienza si basano sulla sicurezza, ma la disponibilità è

esattamente all’opposto.

La fatica di SisifoLa fatica di Sisifo

Più sicurezza garantiamo, più rendiamo difficile

aumentare la disponibilità.Così lavoreremo sempre per una sicurezza che

non raggiungeremo mai?

Beh, mentre tu lavori per

aumentare la sicurezza del sistema, qualcun altro lavora

per aumentarne la disponibilità.

Mi fa piacere sapere di non essere il solo.




Dove hai imparato tutto questo?

Una volta avevo come amico un CTO, che poi

è diventato saggio come me...

I quattro elementiI quattro elementi Tutto è impermanente.Ma i quattro elementi

della IT Security, a parte l’organizzazione e le

procedure, non cambieranno MAI ....

1. Una solida architettura di sistema

2. Un Access Control accurato

3. Un’efficiente sicurezza applicativa

4. Un monitoring intelligente

Ci si potrebbe chiedere: a che pro il monitoring se

esiste già il controllo accessi?

Perchè è il controllo dei controlli...

E può essere veramente completo senza ostacolare la disponibilità dei sistemi.

Il controllo dei controlli...

Mi fa piacere sapere di non essere il solo a

desiderarlo.




Adesso ti racconto una storia ...

E’ vero che l’MVS ha una architettura solida?

E’ vero. Non puoi violare l’integrità a meno che tu non possa modificare

una libreria autorizzata.

Vero, vero, vero, falsoVero, vero, vero, falso

E’ vero che l’MVS permette un controllo

accessi accurato?

E’ vero. Esistono prodotti con cui

proteggere anche le risorse virtuali. E’ un po’ impegnativo ma

funziona.

E’ vero. Chi sviluppa può costruire i propri livelli di

sicurezza che poi dovrebbero essere

integrati con il controllo accessi di sistema.

E’ molto impegnativo ma funziona.

Falso! Sicuramente l’MVS è connesso ad ambienti non sicuri:

perciò alcuni attacchi potrebbero non essere identificati. Solo un

monitoring intelligente può farlo!

Non ci posso credere!

Allora è vero che il monitoring intelligente può identificare

errori di definizione, non certo attacchi veri e propri, che

sono comunque impossibili...

E’ vero che l’MVS consente una sicurezza

a livello applicativo efficiente?




... di un 54enne e della sua amica di 27 anni. Lei pretendeva che lui comprasse un attico a Portofino e altri beni di lusso.

Servivano 30 mln di €. Perciò ha attaccato l’MVS della banca.

Un job SMP da 30 mln di €Un job SMP da 30 mln di €Che storia?

Non è stato necessario.Ha fatto in modo che l’MVS program loader alterasse in

memoria il programma caricato.

Per fare ciò ha applicato una sua USERMOD al sistema.

Come ha fatto ad attaccare il nucleo

MVS? Era un sistemista?

In realtà è stato il sistemista della

banca ad eseguire il suo job.

E come ha fatto a trasferire all’estero i 30

mln di €?Li ha trasferiti dal suo conto.

Non li aveva...ma 2 settimane prima aveva

modificato il programma applicativo.

Solo per il suo c/c l’importo della transazione sarebbe

stato moltiplicato per 100.000 dopo aver

controllato il residuo.

Ha dovuto modificare le librerie dei programmi

applicativi?




Virus messaggero d’amoreVirus messaggero d’amore

Non ci posso credere! Il sistemista era un

complice?

Affatto! Il job è stato sottomesso da un virus che aveva infettato il pc del sistemista. Ci sono voluti 20’ per

scegliere su internet il virus, e 2 ore di attesa che il sistemista navigasse su

internet.

Beh, i 30 mln di € finirono presto, ma lei

guadagna benino insegnando sicurezza

informatica.

Le donne vogliono sempre appartamenti

troppo belli. Mi consola non sentirmi il solo...

Come può una banca proteggere meglio l’MVS?

A proposito... l’uomo e la ragazza vissero felici e

contenti?

Con il monitoring intelligente e con prodotti capaci di

generare alert in real-time ogni volta che vengono eseguite

transazioni “abnormi”, anche se regolarmente

autorizzate.




Perchè sostieni che è indispensabile un monitoring

intelligente? Capisco che l’access control non basta, ma perchè non parli dell’

application security?

Primo perchè non ha senso che un programma controlli da se stesso la propria integrità in memoria.

Secondo perchè il monitoring intelligente deve essere guidato da regole aziendali e non da logiche

applicative disperse e facilmente aggirabili.

Niente telecamere?Niente telecamere?

Terzo perchè in qualunque area e materia i risultati

dei controlli vanno sempre osservati e misurati.

Ma può aiutare anche chi compra bond destinati a perdere

ogni valore?

So che esistono prodotti di monitoring per i sistemi aperti,

che cercano soprattutto di capire cosa avviene in rete. Sarà stato inventato qualche tool potente specialmente per

il mainframe MVS ?

Perchè no?Se fosse stato installato in tutti i

centri che hanno ospitato transazioni “abnormi” ...

Sissignore!




Sono d’accordo con te. Mi fa piacere sapere di non essere il solo a

pensarlo.

Risk Management: ridurre la INSICUREZZA mediante la integrazione dei dati di monitoring

Documents

Transcript of Risk Management: ridurre la INSICUREZZA mediante la integrazione dei dati di monitoring