Nasce www.icasi.org
E' notizia fresca (di giovedì scorso) la costituzione di ICASI,
Industry Consortium for Advancement of Security on the Internet. [
link]
ICASI intends to be a trusted forum for addressing international, multi-product security challenges. This trusted forum extends the ability of information technology vendors to proactively address complex security issues and better protect enterprises, governments, and citizens, and the critical IT infrastructures that support them. ICASI shares the results of its work with the IT industry through papers and other media.
La cosa non può che farmi piacere. Sono un sostenitore del fatto che la sicurezza più efficace sia fatta di tecnologie, procedure e persone, e che la protezione offerta sia tanto più efficace quanto più queste tre entità si parlano fra di loro. Quindi tecnologie che collaborano, procedure che influenzano le tecnologie e viceversa, e sopratutto persone. Persone che interagiscono con le tecnologie e sottostanno alle policy di utilizzo, conoscendo i problemi.
La notizia della nascita di ICASI mi fa piacere perche vede seduti allo stesso tavolo diversi fornitori (Cisco per prima, con IBM, Intel, Juniper e Microsoft), tutti di rilievo e capaci di offrire tecnologie e servizi molto significativi. Se ci si parla, le cose non possono che migliorare, in uno scenario dove gli attacchi informatici sono sempre più pericolosi.
Gli obiettivi:
- Sicurezza per gli utilizzatori – Grazie ad ICASI e alla collaborazione, i vendor saranno più efficaci nell'identificare e combattere minacce che a volte sono al di fuori dell'ambito di un singolo vendor; quindi riducendo l'impatto di eventuali problemi di sicurezza.
- Flessibilità ed efficacia – ICASI ha come obiettivo quello di migliorare l'efficienza ed efficacia nella risoluzioni di minacce informatiche multivendor.
- Collaborazione - Si viene a creare un ambiente dove possono rapidamente essere scambiate le informazioni necessarie a risolvere rapidamente problemi di sicurezza cross-vendor. Informazioni che - caso per caso - potranno essere condivise.
- Innovazione e leadership – ICASI comprende aziende ognuna leader nel proprio settore e nel mondo e sfrutta l'esperienza di ognuna per innovare le modalità di risposta ai problemi di sicurezza, e l'efficacia quindi per gli utilizzatori di queste informazioni.
Etichette: cisco
Videosorveglianza
Mi occupo anche di Sicurezza Fisica e Videosorveglianza, anche se ne ho scritto poco sul blog, almeno per ora.
Ecco un esempio di posizionamento poco efficace di una telecamera:
Sempre grazie a
Davide.
Schermi per la privacy.
Per i paranoici del "quello mi sta guardando lo schermo" come me, ecco un'idea. Magari aspettiamo metá ottobre, peró.
Credits: questa l'ho vista sul
Blog di Davide (accessibile solo se sei un collega o sei riuscito ad entrare nella intranet cisco).
Che caldo.
Questa settimana sono stato latitante, complice il caldo, ma sopratutto tantissime cose da fare, fra cui:
una partecipazione ad una tavola rotonda sulla evoluzione della sicurezza nella pubblica amministrazione, dove ho preso diversi spunti e contatti interessanti.
due seminari " datacenter...Sicuro?" dove io ed altri colleghi abbiamo sviscerato quelli che sono gli scenari, architetture e tecnologie per un datacenter sicuro. anche qui, ho fatto quattro chiacchiere con un sacco di gente, e mi porto a casa degli spunti interessanti.
come sempre non smetto di prendere nota di cose interessanti per il blog, ed adesso ne pubblico alcune
Sei un professionista di sicurezza se...
InfoWorld: Are you a computer security professional ?Ehm,
si, lo
sono. Ho
il cellulare con la password,
il mio firewall
blocca molte applicazioni genuine, non mi
allontano dal PC
se non
l'ho bloccato,
correggo i
libri di sicurezza, mi
preoccupo delle vulnerabilitá del mio GPS, non
installo nulla di nuovissimo, ho
il privacy screen
che quello accanto non
vede il mio schermo,
preferisco usare la
mia chiavetta USB.
Sicurezza Fisica e Logica
Un esempio di convergenza fra sicurezza logica e
fisica:
WashingtonPost : Cyber Incident Blamed for Nuclear Power Plant ShutdownA nuclear power plant in Georgia was recently forced into an emergency
shutdown for 48 hours after a software update was installed on a single computer.
Una
centrale nucleare in Georgia é
stata forzatamente chiusa per 48ore
dopo che un update software é
stato installato su un singolo PC.
L'esempio che generalmente faccio io é
che se mi
fragano il portafogli sfilandomelo dalla tasca o
le credenziali del conto in
banca via
phishing,
poco cambia.
Questo della centrale nucleare é
un'altro bell'esempio.
VoIP e Steganografia
Cornell University: Steganography of VoIP StreamsIn this paper we are presenting available covert channels in VoIP streams that may be utilized for hidden communication for IP telephony service.
VoIP e Steganografia, ovvero una panoramica dei
covert channel degli stream voce.
Etichette: voip
E' Martedí..
In realtá é Mercoledí. Ad ogni modo puntualmente stamattina il mio fido Windows (XP,SP3) si aggiorna relativamente a
questo bollettino Microsoft. E come sempre il
Cisco Security Center ci suggerisce cosa puo fare la rete per permetterci di provare le patch con tranquillitá prima di implementarle. Ecco l'
IntelliShield Event Response a questo bollettino.
PS: Non ci posso credere...
Feliciano aveva
preannunciato la cosa gia la settimana scorsa eppure sto segnalando io il controbollettino cisco prima della sua analisi che aspetto con ansia. Mi sa che la ISSA European Conference oggi gli ha fatto perdere minuti prezioni ! ;-)
Etichette: cisco
ISSA Security Conference, oggi.
Ho avuto il piacere di introdurre i relatori alla ISSA Security Conference oggi. Ho ascoltato interventi di altissimo livello. Senz'altro Howard Schmidt e' stato illuminante nel suo inquadramento dello stato della sicurezza. "Non bastano le tecnologie" é un concetto che mi trova assolutamente d'accordo. Inquientante l'esempio del pacemaker IP che potrebbe essere "sistemato" con un'email o simile. Interessante pensare che gia oggi un telefono puo fungere da carta d'imbarco per salire in un aereo "if it gets hacked, THAT'S a problem". Insomma, le tecnologie si mescolano e si fondono e la sicurezza é l'unica cosa che permette di poterle usare tranquillamente.
Purtroppo degli altri interventi non sono riuscito a prendere qualche appunto, ero troppo occupato a far rispettare i tempi! Bravi tutti e complimenti a Elio Molteni che ha tirato anche quest'anno le fila dell'organizzazione. Voto insufficiente ad infosecurity come supporto organizzativo. Sono piu i casini che riescono a fare che altro.
Ipse Dixit: i profitti dello Spam
"Our research has revealed a smoking gun that shows that Storm and other botnet spam generates commissionable orders, which are then fulfilled by the supply chains, generating revenue in excess of (US)$150 million per year."
(Patrick Peterson, Ironport)
"La
nostra ricerca ha
rivelato come Storm ed
altre botnet che producono spam
generano ordini, che sono poi
soddisfatti,
generando profitti superiori ai 150
milioni di dollari per
anno."
Il report
completo si trova qui:
http://www.ironport.com/malwaretrends/
Metro Olografix Camp 2008
Ricevo e riporto:
In molti ci speravano, in pochi ci credevano, le voci erano discordanti, gli animi accesi, ma alla fine ci siamo riusciti! Dopo quattro anni dalla celebrazione dei 10 anni di vita di Metro Olografix, a grande richiesta, un nuovo camp estivo ci permetterà di passare assieme alcuni caldi giorni d'agosto, tra una rustella ed un bicchier di vino, tra una nuotata ed un talk, nella ridente Pescara.
Ardetec li cannilicchie!
Dal 21 al 24 Agosto 2008, presso il Parco "ex Caserma Di Cocco" si svolgerà la seconda edizione del Metro Olografix Camp, un hacker camp in stile nord-europeo, ad accesso libero e gratuito, con lo scopo di stare assieme e divertirci condividendo informazioni e sapere.
Sarà come quattro anni fà un'occasione per incontrare vecchi e nuovi amici, tutti coloro che hanno popolato l'underground telematico da quel famoso 1994 ad oggi, che sono pronti a viverlo nel prossimi anni, assieme a chi si sta affacciando ora su una realtà telematica sempre piu' preoccupante per via delle implicazioni tecnologiche e legali.
Per questo ti aspettiamo a Pescara, tu, la tua tenda, il tuo computer: per smanettare, sperimentare, giocare, chiacchierare, fare qualsiasi cosa ci permetta di tornare a casa pensando "anche questa volta, ne valeva davvero la pena!"
Scrivici entro il 1 Agosto 2008, proponici la tua area tematica, la tua iniziativa, il tuo talk. Saremo felici di aiutarti a fare qualcosa per la manifestazione, ma soprattutto per le persone che passeranno con noi speriamo quattro indimenticabili giorni della loro vita.
Vi aspettiamo numerosi qui a Pescara, con tanta voglia di condividere esperienze e conoscenze nel puro spirito dell'etica hacker.
Information wants to be free!
Per informazioni: http://camp.olografix.org/
Invio proposte: moca-cfp@olografix.org
Mailing list per i partecipanti: camp-user@olografix.org
Chi mi spiega cosa vuol dire "Ardetec li cannilicchie!" ?
Etichette: eventi
Social Networking e Gruppi d'interesse
Ho passato un po’ di tempo durante il fine settimana a giocare con i siti di Social Networking. In particolare LinkedIn e Facebook, il primo più professionale, il secondo più come passatempo.
Sul primo ho creato un gruppo con l'ambizioso obiettivo di creare una comunità italiana dei Certificati CISSP. Se sei certificato CISSP, ti potrà interessare iscriverti al gruppo CISSP Italia,
ecco il link.
Per chi ha semplicemente la passione per la sicurezza, o bazzica l’ambiente ed è iscritto a Facebook, ho fatto il
gruppo Sicurezza Informatica, con iscrizione libera. Magari per metterci le foto di eventi, pizzate, fiere, convegni, eccetera...
Commenti, proposte? Vi aspetto!
Apple Security Configuration Guides
Non sono un "
applista". Conosco
Windows a sufficienza, lo uso in modo particolare e lo stimo; fa tutto quello che voglio nel modo che voglio. In
più non ho voglia di
imparare un sistema operativo nuovo che non ho mai usato. Mi segnalano (segnalazione affidabile)
queste Security Configuration Guides per
Mac OS X. Forse a qualche
applista potranno essere d'aiuto.
Sicurezza Gestita
SearchSecurity: Managed security services to climb as IT costs risein 10 years, the market for outsourced security services will jump significantly. By 2018, 70% of all messaging security products will be offered as a service, and 65% of secure Web gateways and 85% of security intelligence products will be services (John Pescatore, Gartner Group)
Non é
che prendo per
oro colato tutto ció che dice Gartner, ma
su questo sono d'accordo. Mi
legge qualcuno di quelli che c'erano alla tavola rotonda a
cui ho partecipato ieri a
Ferrara, dove
ho detto che (
come Cisco)
vorrei piú partners
nello spazio della sicurezza gestita ?
Aspetto candidature (non solo per l'invito fatto, ma anche
perche vedo sempre piu segnali che é
una buona direzione nella quale andare)...
Etichette: cisco
Citazioni (futuribili)
"Internet sará sempre piu ed in maniera sempre piu sofisticata per interagire fra persone. Ad oggi c'é che la Voce over IP, e la VideoConferenza (anche questa over IP). Qualcuno inizia ad usare anche la Telepresenza, che presto diventerá Olopresenza."
L'ho detto
io a Pisa (slide #12) l'anno scorso al convegno
Net and Systems Security, a
Novembre. Appena finito di dirlo ricordo un bel brusio alzarsi dalla platea ed io per una frazione di secondo ho pensato "e...se non ci ho preso?".
Oggi ho visto questo video:
Ed ho tirato un sospiro di sollievo (perche ci ho preso) !
Perche punto accacappa ?
NetworkWorld: McAfee names '.hk' world's most dangerous domainJust over 19 percent of ".hk" contain malware, viruses, have a high rate of spam or feature aggressive pop-up ads, McAfee said, as determined by a survey of 74 top-level domains using its SiteAdvisor software. Over 11 percent of ".cn" sites for China were similarly found to be dangerous. Comparatively, only 0.05 percent ".fi" sites were found to be hazardous.
Secondo
McAfee, poco
più del 19% dei domini
.hk contengono
malware, virus, mandano
spam o hanno
popup eccessivamente aggressivi.
Più dell'11 percento dei domini
.cn secondo lo stesso studio sono risultati essere circa altrettanto pericolosi. Per intendersi solo lo
0.05% dei domini
.fi sono stati riscontrati pericolosi.
Tempo fa ho chiesto ad
Alessio: "
Perché mayhem punto accacappa ?
perché accacappa ?"
"Mi piace
perché suona come
HacKer!", mi ha detto.
Eeeeh...
Smartphone: peggio dei Laptop
Secondo lo studio citato in quest’articolo, gli smartphone sono ben più a rischio dei PC portatili:
NetworkWorld // Smartphones 'bigger security risk' than laptops
Numeri: 94% degli intervistati (senior IT staff, 300 intervistati) ha paura dei rischi di sicurezza degli smartphone, mentre circa l'88% si preoccupa in genere dei dispositivi mobili (laptop, mi sembra di capire).
Il problema principale é che più della metà degli intervistati non si preoccupa di mettere una password di utilizzo al dispositivo, e che nove su dieci danno accesso alle risorse aziendali senza "extra security", anche in caso di dispositivi di proprietà degli utenti.
Credant, usato e mal tollerato fra i miei colleghi - io stesso ho scelto un Nokia proprio per l'assenza del software credant a vantaggio del lock di sistema, oltre ad altri fattori - , sostiene che gli smartphone sono "facili da rubare" (come dare torto ?) e quindi buon punto di entrata alle reti aziendali.
E se un telefono é punto di accesso alla rete aziendale, benvenuti nell'era del perimetro scomparso.
Avevo considerato il problema degli smartphone già l'anno scorso (link, pagina 12) sostenendo che i dispositivi portatili avrebbero cambiato forma e sostanza e che il rischio grosso a mio avviso é che si continua a considerarli dei "non PC". Per inciso, in azienda da me i telefoni più normali che danno sono degli smartphone con su Symbian Terza Generazione.
ISSA European Security Conference
As many of you know, I am one of
AIPSI, the
Italian ISSA Chapter founders and i'm glad to announce, this year again we decided to host the ISSA European Security Conference in Rome! There will be top level representatives from the industry and associations, as well as vendors and technology users. I'm also glad
Howard Schmidt accepted to open the event with a keynote. Don't miss the opportunity if you want to spend some time in Rome. Registration's free and we still have seats available. I'll be the morning chairman introducing the speakers, and I’ll be glad to meet many of you.
Link: [Agenda] [Registration], June 11th in RomeCome molti sanno, sono uno dei soci fondatori di
AIPSI, il
Capitolo Italiano di ISSA, non posso che essere lieto di annunciare che anche per quest'anno abbiamo deciso di tenere, in concomitanza con Infosecurity Roma la annuale ISSA European Conference. Avremo speaker di livello altissimo come sempre, provenienti dal mondo istituzionale, vendor ed utilizzatori di tecnologia.Anche quest'anno sono felice che la
Howard Schmidt abbia accettato di aprire la manifestazione con una Keynote. Come di consueto sarò il chairman della mattinata e presenterò i vari relatori, ovviamente mi fará molto piacere conoscere molti di voi come succede sempre in queste situazioni!
Link: [Agenda] [Registrazione], 11 Giugno a Roma
Etichette: aipsi
