La paura di subire un attacco informatico cresce costantemente; ovunque si guardi: dati rubati, minacce nascoste e attacchi terrificanti tengono i responsabili della sicurezza svegli di notte.

E la preoccupazione aumenterà ancora se, come dichiara Gartner, la spesa in soluzioni e servizi globali di sicurezza delle informazioni aumenterà del 7% quest’anno, raggiungendo 86,4 miliardi di dollari, per poi passare a 93 miliardi di dollari nel 2018.

Possiamo già dire che il 2017 è stato uno degli anni più impegnativi per la cybersecurity e che molte organizzazioni non dispongono ancora dei mezzi appropriati per “esorcizzare i demoni dell’IT”. Non è però il caso di nascondersi sotto la coperta ormai corta della vecchia sicurezza tradizionale, ma bisogna vincere la paura e guardare alla sicurezza da una nuova prospettiva, che significhi anche opportunità di business.

• Le nubi tossiche

Il cloud, quando non viene gestito in modo corretto, può rivelarsi un movimento di forme disordinate.

Oggi non esiste più la certezza nel definire il perimetro della rete e i dati più importanti sono nelle applicazioni, accessibili e vulnerabili.

Una strategia di architettura cloud efficace aumenta l’agilità aziendale e fornisce la flessibilità necessaria a scalare sulla base delle migrazioni di hardware, software e requisiti on-demand. Tutto questo comporta una forte intelligence sul traffico di rete attraverso soluzioni come i Web Application Firewall (WAF) con ampie funzionalità.

Il rischio deve essere mitigato tramite un controllo degli accessi dinamico, centralizzato e adattivo e una cloud-federation per tutte le applicazioni, dovunque esse risiedano. Le policy di sicurezza devono, quindi, seguire le applicazioni per rendere sicura l’autenticazione dell’utente e proteggere da attività fraudolente, indipendentemente dal luogo o dal dispositivo. Le soluzioni DDoS di prossima generazione dovranno essere in grado di proteggere dalle minacce peggiori e dagli attacchi mirati. L’approccio giusto è quindi una soluzione multi-cloud completa che guidi l’innovazione e aggiunga valore per il cliente.

• La tempesta del GDPR

Il regolamento generale sulla protezione dei dati (GDPR) è già un incubo ed è iniziato il conto alla rovescia verso il 25 maggio 2018, data nella quale tutte le organizzazioni che svolgono attività commerciali nello spazio economico europeo o che desiderano comunque avviare attività con clienti dell’UE dovranno essere conformi alla normativa, che prevede, tra l’altro, la notifica entro 72 ore alle autorità preposte di ogni eventuale violazione dei dati e delle sue possibili ripercussioni su dipendenti o clienti.

Tale notifica dovrà includere la descrizione della natura della violazione, il numero di set di dati compromessi, le informazioni di contatto del responsabile e tutte le misure messe in atto per migliorare la situazione. Le multe in caso di non adempimento potranno arrivare al 4% dei ricavi globali dell’azienda o 20 milioni di euro.

Il punto per le aziende è entrare nell’ottica di una strategia preparatoria basata sul rischio, che comprenda l’implementazione di procedure e controlli sicuri per proteggere le informazioni sensibili. Dovranno seriamente mettersi al timone, perché le tempeste nel mondo della security sono una costante, ma se domate in modo corretto, permettono alle organizzazioni di raggiungere nuovi mercati con la consapevolezza di essere conformi e dimostrare di disporre dei necessari controlli di sicurezza per salvaguardare i dati sensibili.

• I mostri sotto il letto che ci attaccano di notte

Nell’ultimo rapporto Threat Intelligence Report, gli F5 Labs hanno indicato l’Europa come punto di riferimento nevralgico per potenziali thingbot, reti costituite esclusivamente da dispositivi IoT trasformati rapidamente in armi cyber a disposizione dei malintenzionati.

Secondo gli F5 Labs, globalmente, dal primo gennaio al 30 giugno, abbiamo assistito a 30,6 milioni di attacchi IoT che hanno sfruttato device che utilizzano Telnet, un protocollo di rete che fornisce un’interfaccia command line per comunicare con un dispositivo. Tutto questo significa un aumento del 280% rispetto al periodo precedente di riferimento (dal primo luglio al 31 dicembre 2016).

Mirai e Persirai sono oggi le thingbot più diaboliche. Mirai è diventato famoso per aver preso il controllo di migliaia di dispositivi IoT (soprattutto CCTV, router e DVR) nel settembre 2016. Persirai è un adattamento di Mirai, che condivide il codice e i command and control (C&C) per colpire oltre 1000 modelli diversi di telecamere IP. Secondo il Threat Intelligence Report 600.000 host sono stati infettati a partire dal 30 giugno 2017. Sebbene indubbiamente diffusi, questi attacchi a oggi non hanno preso un andamento esponenziale, indicando che nuove minacce sconosciute sono in arrivo.

Le thingbot continueranno a rappresentare un grande rischio fino a quando i produttori IoT saranno costretti a garantire la sicurezza dei propri dispositivi e richiamare i prodotti, sotto la pressione crescente dei consumatori che semplicemente si rifiuteranno di acquistare dispositivi vulnerabili. Nel frattempo, le organizzazioni dovranno proteggersi con una strategia e una soluzione DDoS che garantisca la ridondanza dei servizi critici e implementare soluzioni di sicurezza che proteggano le applicazioni, oltre a educare i dipendenti sui principali rischi, come quelli legati al furto e sfruttamento delle credenziali.

• Un grido nel buio: dove sono andati tutti?

La carenza di esperti capaci di gestire adeguatamente lo scenario delle minacce e i suoi mostri automatici è veramente preoccupante.

Cisco stima che nel mondo vi siano un milione di posti di lavoro vacanti in materia di cybersecurity e il deficit crescerà ancora. Il report F5 State of Application Delivery (SoAD) ha recentemente segnalato come il 34% dei clienti intervistati consideri il “gap di competenza” una sfida significativa per la sicurezza.

Solo una strategia cloud integrata, quindi, potrà sfruttare il talento esistente e allineare le funzioni chiave dei vari dipartimenti, come i team DevOps e NetOps in modo da dare priorità alle cose corrette all’interno dell’IT. Le sfide anche da questo punto di vista sono ancora molte, F5 ha scoperto che la mancanza di comunicazione tra DevOps e NetOps porta ancora a utilizzare soluzioni cloud con le conseguenti complicazioni date dall’utilizzo di più soluzioni e più provider cloud in contemporanea, complicando ulteriormente il processo di consegna, implementazione, automatizzazione e scalabilità delle applicazioni che supportano la digital transformation e la sicurezza.

La scarsità di competenze nella cybersecurity richiede un’attenzione forte e una solida combinazione di investimenti, risorse aziendali, impegno nel cambiamento culturale per mettere in atto le misure necessarie.

Quindi, sia che si stia lottando contro le bot o si cerchi di non cadere negli scherzetti della sicurezza, assicuratevi di non avere in atto pratiche di sicurezza dei dati carenti, per poter dormire sonni tranquilli, lasciando gli incubi del cyber-Halloween fuori dalla porta.

L'articolo Puoi urlare quanto vuoi ma nello spazio cyber nessuno ti sentirà proviene da Data Manager Online.

Non c’è dubbio, la crittografia è un’arma efficace contro la criminalità informatica. Garantire il flusso dei dati rilevanti tra le applicazioni è essenziale per la salvaguardia dell’identità e per supportare la comunicazione tra un browser web e un server mantenendola privata. Le previsioni stimano una crescita significativa per il traffico criptato SSL/TLS, che nei prossimi anni arriverà a rappresentare il 70 per cento di tutto il traffico Internet. Tuttavia, i progressi tecnologici avvengono anche sul fronte del cybercrime e dell’evoluzione delle tecniche per bypassare i meccanismi di protezione più utilizzati.

Oggi la crittografia può celare la corruzione del codice. Il volume crescente del traffico crittografato, infatti, mette a dura prova le reti aziendali, perché la maggior parte delle infrastrutture di sicurezza di cui sono dotate è stata progettata in una fase in cui il traffico criptato era significativamente inferiore; nel 2015 ammontava infatti al 29% del traffico complessivo.

Molte soluzioni, quindi, falliscono rapidamente quando si cerca di configurarle per ispezionare la quantità di traffico crittografato di oggi. I criminali informatici ne sono a conoscenza e sanno anche che le soluzioni di sicurezza tradizionali sono vulnerabili a causa del crescente volume della larghezza di banda acquisita e dei servizi basati sul cloud, che consentono loro di infiltrarsi furtivamente nelle reti insieme al traffico criptato senza essere scoperti.

Per questo motivo, i dipartimenti di sicurezza ogni giorno affrontano attacchi sempre più numerosi che mirano a impadronirsi dei certificati digitali e delle chiavi crittografiche per acquisire i dati di maggiore valore, sia aziendali che dei clienti.

Il nemico invisibile

Le aziende che non adottano strumenti di sicurezza avanzati per ispezionare il traffico SSL/TLS sono esposte agli attacchi a causa della mancanza di visibilità sul malware e sul controllo del traffico.

Utilizzando la crittografia SSL o TLS, gli hacker esperti possono cifrare le comunicazioni di comando e controllo e utilizzare codici maligni per eludere i sistemi di prevenzione delle intrusioni (IPS) e quelli di ispezione anti-malware.

A quel punto, il nemico invisibile può devastare i sistemi di rete, danneggiare le prestazioni e sabotare i servizi. Gli hacker utilizzano tecniche che installano web shell sui server che utilizzano la crittografia SSL/TLS, il che si traduce in richieste in entrata o uscita da backdoor che vengono crittografate con la chiave privata e legittimamente installate del server stesso. Le architetture di rete che non sono state configurate per consentire l’ispezione del traffico SSL/TLS sono vulnerabili e spesso gli attacchi passano inosservati.

A volte le soluzioni di sicurezza che controllano il traffico di rete sono in grado di decifrare il traffico criptato, ma le aziende scelgono di non abilitare questa funzionalità a partire dal pregiudizio che possano ostacolare le prestazioni operative. L’ispezione del traffico SSL/TLS viene quindi abilitata in meno della metà delle appliance di sicurezza di rete, il che rende le soluzioni cieche rispetto ai malware che transitano nei sistemi sotto forma di traffico crittografato.

I criminali informatici sfruttano questa pratica per rubare dati preziosi; utilizzando il traffico criptato per mascherare le loro attività, sfruttano i malware in modo da identificare ed estrarre le credenziali più redditizie e spesso, indisturbati, compiono varie ricognizioni all’interno dei sistemi aziendali in lunghi periodi di tempo. Purtroppo, l’adozione di Office 365 ha portato ad un crescente utilizzo di questa tecnica, dato che molte organizzazioni non si sono preparate rispetto all’aumento dei requisiti di larghezza di banda e all’ulteriore traffico crittografato SSL/TLS associato al servizio.

Maggiore visibilità

IDC ritiene che la spesa per le appliance di decryption standalone, gli application delivery controller e le altre soluzioni per decifrare e ispezionare il traffico di rete vedrà una crescita rapida nei prossimi cinque anni. Il segmento di mercato è destinato a crescere a doppia cifra raggiungendo un valore circa di circa 800 milioni di dollari entro il 2020.

Il primo passaggio per ottenere maggiore visibilità è implementare una soluzione in grado di scalare. Una volta che l’azienda è in grado di stimare quale sia la sua visibilità sul traffico di rete e l’impegno verso la decriptazione SSL/TLS, dovrebbe prendere in considerazione l’adozione di prodotti standalone SSL/TLS di protezione delle applicazioni, sandbox per l’analisi dei file, sensori di rete e soluzioni per la sicurezza degli endpoint moderne in modo da identificare gli attacchi mirati. Grazie ad analisi complete, sarà possibile sconfiggere i vettori di attacco che si nascondono all’interno del traffico SSL/TLS.

La soluzione BIG-IP di F5 ne è un esempio perché consente di decifrare, ispezionare e criptare nuovamente tutto il traffico SSL/TLS da e verso qualsiasi data center e cloud. F5 SSL/TLS Orchestrator fornisce la decifratura ad alte prestazioni e la crittografia SSL/TLS del traffico in uscita consentendo, tramite l’ispezione del traffico, di rivelare e bloccare le minacce nascoste. Il dispositivo supporta anche la gestione basata su policy e l’indirizzamento del flusso del traffico verso soluzioni di sicurezza di terze parti in modo che le organizzazioni possano applicare l’intelligenza basata sul contesto alla gestione dei flussi di traffico criptato.

Strappare la maschera ai criminali informatici

Sia che si tratti di voler svelare in rete le debolezze di un’azienda sia di motivazioni politiche, il mondo del cybercrime continuerà a mettere a dura prova le aziende e il malware sarà sempre più complesso e criptato. Le aziende saranno in grado di rispondere a queste minacce e proteggere gli interessi dei loro clienti solo adottando una strategia attenta nella gestione del cloud e nella comprensione dei pericoli del traffico crittografato. Le soluzioni di sicurezza di nuova generazione e un’architettura cloud intelligentemente progettata le aiuteranno a salvaguardare il proprio business.

In quest’ottica, una strategia specifica per SSL/TLS mitiga il rischio di violazioni dannose e una visibilità maggiore delle vulnerabilità aiuta a valutare in modo intelligente le minacce e proteggere l’ambiente fisico e virtuale. È tempo di strappare la maschera ai criminali informatici e abilitare le applicazioni perché possano essere più veloci, più intelligenti e, in ultima analisi, più sicure.

L'articolo Crittografia: alleato prezioso o maschera di un nemico invisibile? proviene da Data Manager Online.

La tecnologia è sempre in evoluzione, o almeno così pare se consideriamo le tante tendenze, gli  approcci e le architetture che affiorano continuamente. Uno dei  più recenti trend è l’architettura “serverless” al centro delle discussioni almeno per chi si trova sommerso dal mondo dei DevOps.
Chi ha a che fare più spesso con le infrastrutture e l’architettura di rete non è ancora stato raggiunto dal dibattito su questa nuova architettura, ma è solo questione di tempo perché si tratta di  una logica progressiva che si evolve da una visione monolitica verso i micro-servizi e poi verso le architetture serverless. Si tratta, in sostanza, di un’ulteriore suddivisione delle applicazioni aziendali in base al servizio e, quindi, alla funzione.

Queste funzioni sono essenzialmente “event-driven” e dalla grana fine, cioè ognuna si focalizza su uno scopo ancora più ristretto in termini di logica dell’applicazione rispetto al micro-servizio.

Se il micro-servizio può contenere al suo interno tutta la logica applicativa necessaria per implementare un “servizio profilato”, un’architettura serverless scompone il tutto ulteriormente fino alle singole funzioni. Una per il login, una per il logout, una per modificare la password, una per reimpostarla. In pratica, è come costruire un piccolo servizio, specifico per ogni azione che è possibile compiere rispetto all’app.
Il motivo per cui si chiama “serverless” è perché fondamentalmente si tratta di una forma altamente evoluta di PaaS (Platform as a service). Dal punto di vista del PaaS tutto questo è positivo, dato che, come mercato, non era mai riuscito ad avere il successo che si sperava. Si trattava di un concetto che era rimasto  in sospeso, con i sui fan che lo esaltavano anche se rimaneva ignorato dalla maggior parte del pubblico, con tassi di crescita molto lontani da quelli più emozionanti del cloud privato o pubblico, e certamente dal SaaS.
In un’architettura serverless, il provider del cloud è responsabile di tutto a parte il codice che è necessario per compiere le azioni, quando ad esempio un utente preme un pulsante o una checkbox o clicca su un collegamento. Questo è il senso dell’”event-driven”: quando un utente preme il tasto avvia una funzione nel cloud. Questa funzione è generalmente una parte di una API più ampia che viene gestita da un altro servizio nel cloud.

L’aspetto importante è che le persone che scrivono la funzione non effettuano il provisioning, configurano o avviano una macchina virtuale o un container. Non si preoccupano dei dettagli operativi come la scalabilità. Semplicemente scrivono il codice e, cliccando un pulsante, ottengono la funzionalità istantanea.
Questo è il cloud portato al suo sviluppo estremo, con sviluppatori di stack che ora sono responsabili di restringere tutto verso un singolo strato, il livello dell’applicazione. Non conta altro, ogni ulteriore dettaglio operativo è fornito dalla piattaforma sottostante. Siamo giunti così al “NoOps”, per lo meno dal punto di vista dello sviluppatore.

Esistono i server e i servizi, le infrastrutture e la rete sotto la piattaforma che fornisce queste capacità magiche, ma non si tratta di qualcosa di cui lo sviluppatore deve preoccuparsi. Questi aspetti restano però importanti per i professionisti delle operazioni di rete e dell’infrastruttura. Per questo motivo è improbabile che le aziende scelgano a breve di abbracciare questa filosofia.
Si tratterebbe di un’impresa che richiede un ambiente di cloud computing completamente operativo che comprenda non soltanto le capacità di provisioning dei container e delle macchine virtuale ma anche l’”auto” scalabilità automatica. Cioè, in altre parole, una scalabilità automatica senza parametri o input da parte degli sviluppatori. Non si tratta del self-service, ma dell’auto-service; non della sola scalabilità, ma dell’auto-provisioning e così via anche per il monitoraggio e il reporting, e per qualsiasi aspetto che riguardi l’operatività di oggi.

Il percorso è iniziato; oggi sul mercato vediamo affermarsi sempre più ambienti cloud provider ben consolidati che possiedono l’infrastruttura sottostante, l’automazione, e l’orchestrazione necessarie per sostenere un modello operativo hands-off così esteso.
La maggior parte delle attenzioni è rivolta a capire come interpretare il “serverless” e lavorare con esso concretamente a partire da ciò che è disponibile nel cloud: Amazon Lambda, Google Cloud Functions, Microsoft Azure Functions, e IBM OpenWhisk. Non esistono, però, ancora offerte in grado di supportare implementazioni on-premise come Serverless and Iron.io.
Per il momento il “serverless” rappresenta solo il motore per l’avvio di una nuova architettura, ma ritengo probabile che avrà un impatto sulle organizzazioni interessante a breve termine (nei prossimi 12 a 15 mesi), certo è importante fin da ora capire di cosa stiamo parlando è agire in modo proattivo prima che l’on-premise subisca un nuovo arresto.

L'articolo Tenetevi forte, l’era “serverless” è arrivata! proviene da Data Manager Online.

Chiunque conosca la logica sa che esiste un’ampia gamma di fallacie, errori logici nascosti nel ragionamento o nell’argomentazione che alla fine portano a conclusioni non valide. La maggior parte delle persone ha probabilmente familiarità con l’argumentum ad hominem, una strategia con la quale ci si allontana dall’argomento della polemica contestando direttamente l’avversario.

Allo stesso modo, nei paesi di cultura anglosassone si parla della red herring (“aringa rossa”), che viene utilizzata nel tentativo intenzionale di confondere o distrarre l’interlocutore cambiando deliberatamente il soggetto per evitare di discutere del tutto la premessa originale, per esempio rispondere alla dichiarazione “Non è morale mentire” con “Che cosa significa morale?”

Un altro errore abbastanza comune, ma per qualche ragione raramente sottolineato, è quello del falso dilemma, in cui si assume che ci siano solo due opzioni disponibili.
L’esempio più comune è “O sei con noi, o sei contro di noi” oppure, citando Matrix, “Pillola azzurra, fine della storia. Pillola rossa, resti nel paese delle meraviglie e vedrai quant’è profonda la tana del bianconiglio”. In realtà ci sono almeno altre due scelte: si può non prendere nessuna pillola o prenderle entrambe!

Lo stesso vale per l’IT e per la scelta tra hardware e software, che in realtà non è mai unica perché si può scegliere entrambi. E questo è esattamente ciò che la maggior parte dei professionisti IT ha fatto: adottare un mix di hardware e software. Si tratta di una decisione obbligatoria in parte dovuta alla continua biforcazione della rete così come alla biforcazione del data center, con alcune applicazioni che risiedono nel cloud in cui il software è un must e altre nel data center, dove sono disponibili hardware e software.

Nei fatti, la preferenza verso hardware o software è influenzata dal ruolo che un professionista IT riveste rispetto al data center. Lo abbiamo scoperto nel nostro report State of Application Delivery che ha rivelato come chi preferisce l’hardware è, in genere, una persona che dichiara di rivestire un ruolo nelle aree dedicate alla “rete” e alla “sicurezza”, in cui la scalabilità, la velocità e la sicurezza dei dati, delle applicazioni e persino dei sistemi stessi sono fondamentali per il successo del business ogni singolo momento.

Si scopre così che l’hardware, in alcuni casi, è effettivamente migliore dei suoi omologhi software. Così avviene per la sicurezza seguita dalle prestazioni e dalla scalabilità, perché l’hardware di solito è progettato specificamente per un determinato scopo. Ad esempio, le architetture switch (che sono molto diverse dalle architetture di computing a scopo generale) sono progettate per una velocità e scalabilità elevate. Ecco perché uno switch di classe enterprise e service-provider può elaborare 100 Gbps di traffico e il mio computer portatile non può.

L’hardware non fornisce solo risorse di calcolo, di storage e di rete. Certo, questo è un aspetto importante perché le risorse che servono a distribuire le applicazioni non appaiono magicamente nel data center ma, in qualche modo, provengono proprio dall’hardware. A volte si tratta anche di come l’hardware interagisce o gestisce tali risorse. Nella rete, un hardware appositamente costruito non è solo prezioso, ma indispensabile per garantire la velocità, la scalabilità e la sicurezza dei dati che stanno transitando. Senza di esso, si deve intraprendere un percorso tortuoso per raggiungere gli stessi risultati utilizzando mezzi architetturali. Scalare il software con il software non è una cosa impossibile; si fa tutti i giorni, ma il risultato è un ambiente meno stabile con molti più punti di possibile rottura.

Ora, forse pensate che mi sia lanciato in una campagna pro-hardware, ma attenti a non cadere nell’errore: la risposta al falso dilemma in questo caso non è “entrambi” perché esistono buone ragioni per preferire il software all’hardware, in particolare se guardiamo ai bisogni e alle esigenze delle applicazioni e alle metodologie emergenti improntate all’agilità e alla velocità, come i micro-servizi e i DevOps.

Se poi ci riferiamo al cloud, ovviamente, non bisogna nemmeno scegliere, il software è una scelta obbligata. Anche questo è apparso evidente nella nostra ricerca, in cui gli intervistati che hanno dichiarato di avere a che fare con le app, l’infrastruttura o il cloud/ DevOps hanno mostrato in modo significativo di preferire il software all’hardware. Questo perché il software è considerato più appropriato nel loro campo, focalizzato su applicazioni e servizi applicativi che devono essere agili, facili da distribuire e rispondere rapidamente ai cambiamenti nell’ambiente.

Indipendentemente dal ruolo, abbiamo però scoperto che la vera preferenza va al modello ibrido che comprende sia hardware che software. Il motivo è che c’è del valore sia nell’hardware sia nel software e si tratta veramente di capire che cosa si vuole raggiungere e dove realizzarlo.

Quindi non lasciate che qualcuno vi metta al bivio del falso dilemma “software o hardware”. Entrambi sono appropriati e ognuno presenta vantaggi e svantaggi a seconda dell’ambiente, dell’applicazione e dello scopo specifico per cui state cercando una soluzione. Come nel caso del cloud, non siamo davanti a un aut-aut ma a nuove opportunità da sfruttare nel modo corretto.

L'articolo Il falso dilemma dell’hardware contro il software proviene da Data Manager Online.

Qualcuno potrebbe obbiettare che il motivo è evidente: la rete aziendale si basa in buona parte sull’hardware e questo semplicemente non possiede la flessibilità e l’agilità necessarie per adattarsi all’ambiente moderno e agile che si sta affermando oggi nel mondo dev e ops.

Non è del tutto vero. Non si tratta tanto di hardware o software, perché in realtà l’hardware è comunque qualcosa che bisogna possedere indipendentemente da quello che si fa (risorse come RAM, calcolo e accesso alla rete non si materializzano dal nulla!). A mio avviso si tratta piuttosto di una questione di cultura operativa e di aspetti che si applicano a ciascuna delle due tipologie di rete e che spostano da una parte o dall’altra della bilancia il peso dei servizi.

Quello che sta realmente accadendo è che le applicazioni sono diventate il centro di gravità e attirano verso di sé tutti i servizi ad esse assimilabili (application-affine). Questi servizi – come il bilanciamento del carico, il caching, l’accelerazione e la sicurezza delle web app – sono tutti fondamentali per l’applicazione specifica. Non possono essere standardizzati ma, al contrario, sono incentrati sull’app e le loro policy hanno lo scopo di fornire, proteggere e ottimizzare proprio quella singola applicazione particolare.

Se pensiamo a un firewall di rete o IPS/IDS, l’operatività non è poi così specifica a livello applicativo. Le web app sono eseguite sulla porta 80, in modo da potersi aprire e ottenere l’accesso attraverso il firewall, utilizzano lo stesso protocollo (HTTP) e sono eseguite sulla stessa porta.
Se invece ci soffermiamo su come impostare una policy di sicurezza che determini quale tipologia di dati (stringa, numero intero, alfanumerico?) o quantità di dati (15 caratteri, 12 o 100?) possa essere associata a un singolo campo di inserimento (come il nome utente, la mail o altro) associato, a sua volta, a un unico URI (/login.x), scopriremo che questa specifica a livello applicativo è piuttosto complicata.

Perché l’affinità è importante

Mediamente le aziende gestiscono circa 508 applicazioni. Secondo una ricerca F5 il 31% delle organizzazioni ne possiede in realtà 500 o più. Questa è la base di partenza, perché molte aziende hanno in programma di accrescere in modo consistente il numero delle app. A esse si aggiungono le organizzazioni che stanno adottando un’architettura con micro servizi e che, anche se non stanno necessariamente cambiando il numero delle applicazioni, vedranno crescere il numero dei “sistemi” di cui avranno bisogno per i servizi “application-affine” di cui abbiamo parlato prima.

Immaginate un’organizzazione che punta a raddoppiare il numero delle applicazioni che gestisce, passando in breve tempo, ad esempio, da 500 a 1.000 applicazioni. Questa organizzazione dovrà gestire il provisioning, configurare e gestire ogni singola policy di queste app. Ipotizzando che ogni applicazione abbia bisogno di solo due policy, una per la scalabilità e una per la sicurezza, sarà semplice raggiungere in un attimo  2.000 policy da gestire.

Ecco il cuore del problema: non è l’hardware nella rete aziendale che non è in grado di gestire il tutto. Lo può fare perché è stato costruito proprio a questo scopo e le sue capacità vanno ben oltre il server generico. Il problema sono i processi e le risorse necessarie. Non si tratta solo del numero di dispositivi ma delle policy uniche (application-affine) che devono essere distribuite. E, anche qui, la difficoltà cresce perché non ci riferiamo solo al deployment ma anche all’aggiornamento.

I criteri delle policy “application-affine” sono configurati appositamente per una singola applicazione, perciò quando un’applicazione viene aggiornata o è necessaria una correzione, vi è una probabilità maggiore che le policy di servizio applicativo associate debbano anch’esse essere aggiornate. Oggi le organizzazioni vogliono effettuare deployment più frequenti e il rischio è che la rete aziendale venga presto completamente sopraffatta!

Dall’altra parte della bilancia, nel network delle app, gli sviluppatori e i responsabili delle operation sono sempre più agguerriti nella delivery e deployment delle applicazioni.

Sono pronti a utilizzare le loro nuove competenze nel campo dell’automazione e dell’orchestrazione per accelerare questo processo. Ed è proprio quello che sta accadendo oggi: gli sviluppatori, sempre più spesso, si assumono la responsabilità dei servizi “application-affine” e della loro integrazione nel deployment di architetture e processi. Grazie all’aumento della consapevolezza rispetto ai DevOps e agli stimoli che vengono dal mercato del SDN, i servizi di rete sono per lo più abilitati con le API e con modelli che si adattano come un guanto alla mano degli operatori che utilizzano un approccio “infrastructure as code ” per la gestione e la distribuzione dell’infrastruttura necessaria a supportare le applicazioni.

Questo è il motivo per cui il centro di gravità dell’IT aziendale è l’applicazione e sempre più “servizi applicativi” spostano l’ago della bilancia verso il network delle applicazioni .
Si tratta, in conclusione, di una strategia di scala, di business e operativa. È un modo per far fronte alla rapida crescita del portfolio applicativo, senza dover mettere in gioco un organico maggiore a livello di rete o applicazione e per consentire all’IT di fornire al mercato le applicazioni più velocemente, con maggiore frequenza, senza dover gestire un numero di policy due o tre volte superiore rispetto a oggi.

L'articolo Le applicazioni, centro di gravità dell’IT aziendale, spostano l’equilibrio della rete proviene da Data Manager Online.

C’è una domanda nascosta che tutti si fanno, ma nessuno fino a oggi ha avuto il coraggio di rivolgere apertamente. Si tratta di un aspetto che può sembrare banale, quel qualcosa di cui non si parla mai, forse per non sembrare “retrogradi”. In realtà il motivo è che molti non sanno la risposta, o almeno non amano parlare di questo tema.

Prendete le giuste precauzioni quando utilizzate il cloud? Ovvero, proteggete le applicazioni nel cloud dalle minacce e dagli attacchi? Non intendo in termini di gestione delle identità e degli accessi, di sicurezza del network o di crittografia, ma degli aspetti legati alla sicurezza delle applicazioni nel cloud nella sua interezza.

È sorprendente come oggi nella vastità di Internet siano disponibili moltissimi documenti, ricerche, suggerimenti e discussioni generali sulla “sicurezza nel cloud” ma pochissimi di essi menzionino le parole “sicurezza delle app”. Posso trovare sondaggi e statistiche sull’utilizzo della crittografia, su chi dovrebbe (e non lo fa) proteggere i dati nel cloud, e chi utilizza quale tipo di soluzione di gestione delle identità e degli accessi per controllare l’accesso alle app ovunque e in qualsiasi momento. Ma sul tema della sicurezza delle applicazioni? Non si trova nulla!

Il che è davvero inquietante dato che le applicazioni web sono, ad esempio, la seconda causa principale di incidenti di sicurezza per le aziende che offrono servizi finanziari, secondo l’ultimo Data Breach Investigation Report (DBI) di Verizon. È altrettanto sorprendente, analizzando le prime 25 tipologie di violazioni di questo secolo, scoprire che quasi metà di esse (44%) sono state eseguite attraverso un’applicazione web. Tutto questo è decisamente sconfortante perché sembra che ci sia una correlazione tra una minore attenzione alla sicurezza e la migrazione delle applicazioni nel cloud.

La realtà è che la crittografia non è la panacea. E non lo è nemmeno la sicurezza del network o l’identity and access management! Si tratta di approcci tutti validi ma che, individualmente, sono solo parte di un sistema di protezione molto più grande. Uno schema di protezione che dovrebbe – ma spesso non lo fa – includere nel proprio mix la protezione delle applicazioni.

La sicurezza di rete non riuscirà a fermare un attacco HTTP DDoS. La gestione delle identità e degli accessi non riuscirà a fare nulla contro lo sfruttamento di vulnerabilità della piattaforma web, come nel caso di Heartbleed o Apache Killer. La crittografia non potrà fermare un SQLI, cripterà semplicemente il codice maligno ivi nascosto rispetto alla miriade di servizi in rete progettati per scovarlo.

L’applicazione è, per sua stessa natura, una risorsa rivolta al pubblico. La esponiamo esternamente e stiamo ad aspettare, intanto incoraggiamo, invogliamo, e a volte preghiamo che i consumatori inizino a interagire con essa utilizzandola, installandola e visitandola spesso.

Viviamo nel mondo delle applicazioni, significa che le applicazioni sono fondamentali per ogni aspetto del business, sia quando è rivolto direttamente ai consumatori, sia nel caso di sistemi per i dipendenti o di esecuzione interna. Oggi affidiamo alle applicazioni quasi tutte le nostre attività, ma quando si tratta di sicurezza sembra che non ce ne ricordiamo.

È davvero giunta l’ora di iniziare a prestare maggiore attenzione alla sicurezza delle applicazioni e non solo alla sicurezza dei dati, delle reti o alla crittografia. Certo, i dati rappresentano l’aspetto più vulnerabile quando vengono processati dall’applicazione ed è evidente che – a quel punto – sono completamente sotto il controllo dell’applicazione. L’applicazione può visualizzarli, modificarli, e consegnarli a chiunque (e in prospettiva ci riferiamo a qualsiasi oggetto, dando così il via all’aumento di bot, spider e malware).

La conclusione è che dobbiamo prestare più attenzione alla protezione delle applicazioni contro gli exploit e gli attacchi. Dalla piattaforma (il server web o app) ai protocolli (TCP e HTTP) fino al codice vero e proprio. Abbiamo bisogno di analizzare in profondità il sistema per proteggerlo dalla miriade di metodi utilizzati dai cyber-criminali per sfruttare l’intero stack applicativo.

Secondo F-Secure Labs, gli attacchi alle applicazioni web sono raddoppiati in quanto a frequenza, da meno del 20% nel 2012 al 40% nel 2013; Neustar ha scoperto che nel 2014 il 55% degli obiettivi che hanno subito un attacco DDoS ha sperimentato uno smokescreening (un attacco DDoS volumetrico come copertura strategica e preventiva per attacchi reali a livello applicativo), dove quasi il 50% di target colpiti aveva installato il malware / virus e nel 26% dei casi l’attacco ha comportato la perdita di dati dei clienti.

L'articolo Sicurezza delle app: un elefante nella stanza del cloud proviene da Data Manager Online.

È difficile – come del resto sottolinea anche Giancarlo Vercellino, Research & Consulting Manager di IDC Italia nell’intervento che apre la giornata IDC Security dedicata quest’anno alla sicurezza informatica predittiva – tratteggiare un’immagine precisa di un tema diventato oggi talmente complesso. «Ogni giorno arrivano notizie di nuove minacce e nuovi attacchi – ha ricordato Vercellino – in occasioni come queste le nostre slide diventano obsolete». Gli ambienti tecnologici tendono a diventare sempre più sofisticati, si moltiplicano linguaggi, sistemi operativi e i marchi dell’Information technology, ha aggiunto Vercellino «a causa della virtualizzazione, penetrano sempre più profondamente negli strati profondi degli stack hardware». Oltre a questo, aumentano e si diversificano gli interessi in gioco, perché sempre più spesso sul terreno di battaglia non scendono soltanto gli hacker e le aziende, ma gli attivisti politici, i gruppi sociali, le stesse autorità governative e militari.

Videointervista ad Alberto Meneghini, Security Leader, IBM Italia

Videointervista ad Alberto Meneghini, IBM Italia
Click To Tweet

Imparare dal passato

Una cosa è certa, afferma l’esperto IDC: la sicurezza informatica non è più un fattore marginale, una misura che le aziende devono prendere solo per salvaguardare la propria reputazione. «Oggi la fiducia nei confronti delle tecnologie e dei dati è fondamentale per la sostenibilità dell’economia, precisa Vercellino sottolineando come secondo le valutazioni della società di analisi di mercato, circa il 10% degli attacchi informatici in Italia può essere considerata una Apt, una minaccia “persistente e avanzata”. «In casi del genere, i costi legati alle operazioni di ripristino dei dati e delle funzionalità può essere compreso tra i 50 mila e il mezzo milione di dollari».

Malgrado la grande diffusione del tema sicurezza sui media specializzati e generalisti, ha poi detto Vercellino, il grado di consapevolezza del mondo imprenditoriale e della pubblica amministrazione non sembra raggiungere il livello di massa critica necessario. La sicurezza informatica, insomma, continua a essere presa un po’ sottogamba. L’atteggiamento predominante, indica una slide di Vercellino, è vagamente negazionista: in genere, i responsabili delle aziende e delle loro infrastrutture tecnologiche sono convinti di aver messo in atto tutte le possibili contromisure. «Non è così – avverte in conclusione Vercellino – lo scenario attuale richiede un tipo di sicurezza molto più pervasiva e iterativa, capace cioè di imparare dal passato». Ci vuole più attenzione alla salvaguardia del cloud, leggi ancora più severe contro il cybercrimine e attenzione all’importanza delle strategie di protezione olistiche, che non siano semplicemente basate su prodotti tecnologici ma consentano di coprire gli aspetti dell’ingegneria sociale e del comportamento dei singoli utenti, alla costante ricerca del giusto equilibrio tra tempi di risposta e budget di sicurezza, che non può essere infinito.

Videointervista a Paolo Arcagni, system engineer manager di F5 Italia e Malta e Roberto Banfi, senior consultant & security technical leader di Sinergy

Videointervista a Paolo Arcagni, F5 Italia e Malta, e a Roberto Banfi, Sinergy
Click To Tweet

Violazioni invisibili

Un testimonial d’eccezione per questa giornata viene dal mondo della sicurezza di nuova generazione. Dopo Vercellino, all’evento IDC interviene infatti Mike Loginov, Chief Information Security Officer e Cyber Stratigist Office di Ascot Barclay Cyber Security, un gruppo di consulenti d’alto livello che affianca grandi aziende, istituzioni civili e militari nel progettare “operation center” di sicurezza e fornire servizi di analisi, consulenza e formazione. «L’anno di svolta è stato il 2014 – ha detto Loginov – che ha visto una esplosione del numero di attacchi mirati al furto di identità, quasi duemila anagrafiche perse ogni minuto. Solo i primi mesi del 2015 hanno visto un centinaio di banche di 30 nazioni subire un attacco, ma a fronte di questa emergenza, i “buoni” sprecano un sacco di tempo a prendere i cattivi». Le cose sono leggermente migliorate nell’ultimo anno, ma le statistiche dicono che le aziende impiegano in media più di 200 giorni per accorgersi che le loro informazioni sono state compromesse – ha concluso Loginov sottolineando l’importanza di una sicurezza costruita su un approccio integrato e analitico, capace di mettere a buon frutto gli strumenti di Big Data per correlare le tracce disseminate da strategie d’attacco troppo sofisticate per essere sventate con semplici barriere perimetrali.

Videointervista a Emiliano Massa, Director of Regional sales, Websense Italy & Iberia

Videointervista a Emiliano Massa, Websense
Click To Tweet

Approccio integrato

Emiliano Massa di Websense e Stefano Volpi, Area Sales Manager della nuova organizzazione commerciale che Cisco ha dedicato alle soluzioni di sicurezza, sono stati chiamati a presentare il punto di vista dei fornitori di soluzioni di cybersecurity. Il responsabile commerciale regionale di Websense è entrato nel dettaglio di queste strategie d’attacco illustrando le sette mosse che gli hacker percorrono per individuare, all’interno delle organizzazioni, i soggetti potenzialmente più vulnerabili, attirandoli con contenuti che permettono di stabilire una connessione di rete diretta con i sistemi-bersaglio. «I malintenzionati usano l’ingegneria sociale ma il mercato nero pullula di attrezzi tecnologici. Ogni dollaro investito in questi strumenti può generare 750 dollari di utile – dichiara Massa». Cifre che autorizzano esperti come Volpi, di Cisco, a calcolare per l’industria del cybercrimine, un valore complessivo che si attesta tra i 450 e i mille miliardi di dollari. Volpi, parlando delle acquisizioni che in questi ultimi anni hanno permesso a Cisco di mettere a punto un modello di sicurezza completamente integrato, ha sottolineato l’importanza di seguire un approccio centrato sullo studio delle minacce e dei comportamenti, piuttosto che sull’adozione di contromisure troppo puntuali. «La sicurezza perimetrale è importante, ma occorrono visione di insieme e capacità di analisi, anche retrospettiva».

Videointervista a Stefano Volpi, Area Sales Manager, Global security Sales Organization (GSSO), Cisco Italia

Videointervista a Stefano Volpi, Cisco
Click To Tweet

Durante l’evento milanese, IDC e Clusit, l’associazione italiana per la sicurezza informatica, hanno annunciato una collaborazione strategica tesa alla realizzazione di studi nel mercato della sicurezza delle informazioni. Le due organizzazioni, convinte che una vera strategia di sicureza debba coinvolgere, nelle aziende, anche i livelli esecutivi pià elevati, da quest’anno metteranno a fattor comune le proprie risorse e competenze, anche per arricchire il valore delle rispettive iniziative nazionali.

L'articolo IDC Security 2015: la sicurezza sposa i Big Data proviene da Data Manager Online.