Sicurezza, ICT e altro

Così Schneier chiama la sicurezza pensata per contrastare singole minacce, perdendo il quadro generale e quindi le innumerevoli alre vie attraverso le quali può essere praticato un attacco. Spesso la scelta di contrastare quelle minacce deriva dal fatto che un certo tipo di attacco è stato appena praticato, e ci si basa quindi su una reazione “emotiva” più che su una vera valutazione del rischio. Nei casi peggiori, Schneier usa il termine “Movie-plot security”. In questo articolo del NYT si dice che si pensa di “aumentare i controlli sul Polonio 210” e sulla possibilità che terroristi lo utilizzino per “bombe sporche”. Mi chiedo perché questo rischio debba essere aumentato in seguito all’uso che ne è stato fatto recentemente, certo non da terroristi (non nel senso tradizionale del termine, comunque). Scommetto che Schneier ci farà un articolo sopra 😉

Tornando a cose che interessano di più la sicurezza ICT, le più recenti best practices sulla business continuity mettono in guarda da questo tipo di approccio, chiamato “Scenario planning”: non bisogna focalizzarsi sulle singole minacce, ma sul problema generale dell’indisponibilità delle risorse, in funzione della loro criticità. Focalizzarsi su “cosa fare in caso di incendio”, “cosa fare in caso di alluvione”, ecc. porta a soluzioni parziali e che non risolvono il problema generale, costringendo in caso di nuove minacce a nuove soluzioni, sempre più difficili da coordinare con quelle precedenti. Naturalmente questo non vuole dire che non ci si deve preoccupare della riduzione del rischio o del danno da incendio, ma questa non è un’attività di pertinenza della business continuity, che si occupa invece della gestione delle conseguenze del danno.

Sia chiaro che i due contesti (terroristi che usano bombe sporche vs. business continuity) sono due problemi diversi, perché nel primo è certamente più importante la prevenzione. Ma focalizzarsi sul prevenire il singolo scenario vuole comunque solo dire che la minaccia passerà ad un altro non gestito, perché gli scenari possibili sono più di quelli gestibili singolarmente.

Sarà una mia impressione, ma ultimamente mi sembra di vedere sempre più avvisi di vulnerabilità in prodotti di sicurezza. Un paio qui e qui. Ci si può chiedere: ma se anche i prodotti di sicurezza non funzionano, come proteggo i miei sistemi? La soluzione corretta è naturalmente: ridondanza e difesa in profondità. Dato che non si deve partire dall’ipotesi che un prodotto di sicurezza sia infallibile, è necessario avere più meccanismi, in un’architettura e configurazione che faccia sì che se uno fallisce, ce ne sia comunque un’altro funzionante a proteggere o a contenere eventuali attacchi. Nel caso di un pc di casa ad esempio, configurare il personal firewall (al momento sui sistemi Windows di casa uso Comodo), avere un antivirus aggiornato (ad esempio Avira Antivir) e un prodotto anti-walware come SpyBot Search & Destroy (tutti questi sono prodotti gratuiti per uso domestico), unito all’aggiornamento del sistema ed al fatto di utilizzare un utente non amministratore per le normali attività, costituisce un esempio di ridondanza e difesa in profondità.

Supponiamo ad esempio che qualcuno ci mandi un messaggio di posta con un attachment Word che sfrutti una vulnerabilità attualmente non patchata. La nostra prima linea di difesa (non avere vulnerabilità note) cede, e non ci possiamo fare niente, dato che non dipende da noi. Non si tratta di un virus, o magari si tratta di un virus nuovo e il nostro antivirus ancora non lo riconosce, e quindi cede anche la seconda linea (l’antivirus). Il malware riesce quindi ad essere eseguito, ma trova altri due ostacoli: l’utente non ha i diritti per fare modifiche eccessive al sistema, ed eventuali tentativi di modificare i registry vengono intercettate dal Teatimer di Spybot. Il malware quindi riesce ad andare in esecuzione, ma i danni che può fare vengono limitati (contenimento). In particolare, non riuscirà ad andare in esecuzione al prossimo riavvio del sistema. Anche i suoi tentativi di accedere a Internet trovano un ulteriore ostacolo, il personal firewall, che ci avvisa che uno strano processo, mai visto prima, vuole accedere alla rete. Se l’utente non autorizza l’accesso, anche su questo fronte i danni vengono contenuti: magari viene limitata la propagazione del virus, con un ulteriore vantaggio complessivo. Ridondanza e difesa in profondità: forse non risolve, ma aiuta 😉