Newsgroup: it.comp.sicurezza.varie
Titolo: Interconnessioni ed interdipendenze (Era: Windows ed i Bancomat)

Ispirato dal thread "Windows ed i Bancomat" parliamo di un approccio 
olistico alla sicurezza.
Il problema, IMNSHO (In my not so humble opinion...), č che le reti 
informatiche di oggi (o le reti in generale) sono sempre meno il risultato 
di un progetto sistematico e sempre di piů il risultato di uno sviluppo che 
č vicino a quello "organico" e che raggiunge prima o poi un  equilibrio 
purtroppo instabile.
Raramente i miei clienti a cui vado ad eseguire una Analisi di Rischio 
sanno dirmi come sono fatte le loro reti, quali siano le interconnessioni e 
le interdipendenze (logiche e fisiche) delle loro reti sia all'interno che 
all'esterno dell'organizzazione. Lo schema di rete me lo devo scoprire da 
solo e analizzare le interdipendenze č una scommessa al lotto.
Risultato: per quanto ci sforziamo, nelle nostre analisi corriamo sempre il 
rischio di ignorare il famoso albero in Svizzera che ci spegne le luci a 
Palermo... un qualcosa di apparentemente scollerato che succede a migliaia 
di miglia (fisiche o logiche) puň ripercuotersi sull'azienda e nella 
maggior parte dei casi lo sapremo solo dopo :-( E' sempre piů difficile 
valutare dove arriveranno le onde del sasso in uno stagno apparentemente 
privo di alcuna importanza strategica...
E' anche la vostra esperienza, o sono io pessimista (o troppo pignolo)?
--
Alex

 E' anche la vostra esperienza, o sono io pessimista (o troppo pignolo)?
Di recente mi ero proposto di censire le extranet della bottega dove lavoro:
L'immane senso di impotenza che mi ha colto subito dopo, potrà essere lenito
solo dal fatto di aver potuto prendere ferie per tutti i ponti di Natale e
Capodanno, fino all'Epifania compresa. :-)
saluti pessimisti

 purtroppo instabile.
proprio ieri:
"abbiamo una lan cosi' e cosa' con un bridge qui, uno la e quell'altro che
manda sulla rete centrale ad alta velocita' e poi abbiamo quel cavetto utp
che collega direttamente allo switch nell'altro dipartimento cosi' quando
si pianta qualcosa possiamo uscire lo stesso"
-- 
per leggere e postare su free.it.*:
http://infofreeit.altervista.org/polacco.zip

 pignolo)?
La realtà è che sei un ottimista. :-/
Se per quello "sviluppo organico" intendi "come un cancro in
metastasi", ci sei più vicino ;-).
Bye, G.

 purtroppo instabile.
La maggior parte delle reti di piccole-medie aziende nasce da un singolo
pc a cui ne viene attaccato un altro, a cui ne viene attaccato un altro,
a cui ne vengono attaccati un paio, a cui se ne attaccano altri cinque o
sei, di cui poi se ne elimina un paio in mezzo, se ne spostano quattro e
se ne rimettono uno o due dove prima non c'era niente.
Non ho ancora visto un'analisi di rete che al momento della conclusione,
abbia i componenti messi nello stesso modo in cui erano al suo inizio.
-- 
Bye by V.
Se si sa si fa, se non si sa si prova, se non c'č s'inventa

 
Perchè ho visto cose che voi umani non potete neanche immaginare.... :-) 
:-) :-)
--
Alex

 
Verissimo, infatti non so di analisi di rete (non è la mia specialità) ma 
nel caso di Analisi di Rischio di solito non si fa riferimento ad uno 
specifico schema di rete (che cambia in continuità) ma ad un modello più 
generalizzato. 
Fino a che il modello è rispettato, l'Analisi di Rischio è corretta. Ed 
appunto il problema è che spesso non esiste un "modello", ma una crescita 
"organica" (o come è stato giustamente fatto notare una crescita da 
"metastasi"...)
--
Alex

 Perchè ho visto cose che voi umani non potete neanche immaginare.... :-) 
E chi ti dice che noi siamo umani? :-)
-- 
Bye by V.
Se si sa si fa, se non si sa si prova, se non c'è s'inventa

 "metastasi"...)
Un altro problema è che in nessuna azienda (per nessuna intendo una
percentuale ridicola di chi lo fa) la rete viene "progettata", e di
solito si chiama il solito installatore che piazza, a seconda delle
esigenze del momento, un pezzo qui e un pezzo là, finché non capita
che l'azienda decide di cambiare installatore (più spesso di quanto
si immagini) e quello successivo a sua volta tolga o metta qualcosa
di suo, e nei vari passaggi nessuno si sogna neppure di redigere un
rapporto o di "disegnare" una piantina, perchè si tratta pur sempre
di un costo che l'azienda non preventiva e l'installatore non vuole
a sua volta avere come onere su di sè senza corrispettivo.
Nel frattempo il personale interno all'azenda cambia, e non c'è più
nessuno che abbia la più pallida idea, di come sia nata e cresciuta
quella rete.
Questo a livello hardware, figuriamoci al livello sistema operativo
o software, dove regna il marasma più completo tra licenze e abusi,
tra gente che installa la sua roba sulle macchine aziendali e altra
che la copia da un pc all'altro... con amministratori inesistenti o
presenti solo "sulla carta"...
-- 
Bye by V.
Se si sa si fa, se non si sa si prova, se non c'è s'inventa

 
Si, diciamo la stessa cosa. Con la differenza, almeno da me percepita, che 
tu pensi che sia giusto così (o che se non è giusto che non ci sia 
soluzione). 
Torniamo al problema originario dei Bancomat. Risparmiare 1 Euro oggi fa 
più figo alla carriera dei manager che non andare dal loro Grande Capo a 
dire che "per evitare (forse) un problema domani, spendiamo (sicuramente) 
due Euro in più oggi." Di questi tempi, andare a battere cassa fa male alla 
carriera!
Mi chiedo, però, quanto i Grandi Capi siano consapevoli di vivere ogni 
giorno sul filo del rasoio. Fino a quando la fortuna sarà dalla loro parte? 
Io credo che ci sia il modo di ottenere l'attenzione (ed i soldi) dei 
Grandi Capi per la sicurezza, ma bisogna parlare il loro linguaggio non il 
nostro!
--
Alex

 
Qualche dubbio comincia a sorgermi.... :-)
--
Alex

 presenti solo "sulla carta"...
Avrei voluto quotare integralmente :-)
Replico giusto per dire che (forse :-) ) contribuiremo ad alzare quella
"percentuale ridicola": abbiamo già intrapreso la "bonifica" della
situazione attuale, abbiamo completato il rilevamento della rete attuale
preciso fino all'accoppiata cavo-presa di rete a livello HW, e stiamo
procedendo a verificare le coppie IP-MAC. In più, a breve traslocheremo
la ditta, e approfitteremo per rifare completamente la rete (a 100 MB)
e le installazioni di buona parte, e un censimento completo, del SW.
Nel frattempo abbiamo fato anche una bonifica a livello di licenze :-)
Diciamo la verità: è stato un bagno di sangue, ma ce la stiamo facendo.
E, la cosa più bella, senza uscire dal budget, il che fa felici quelli
del piano di sopra :-)
Bye, G.

 E chi ti dice che noi siamo umani? :-)
Dove sono le unità carbonio in questione??
-- 
Signature automatica inserita a mano.
Unv nccran qrpbqvsvpngb yn zvn svezn.
In God we trust, all others we monitor 
(National Security Agency)

 E' anche la vostra esperienza, o sono io pessimista (o troppo pignolo)?
Nono, direi che piu' o meno e' stato cosi' anche per me. :-/
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 224WU/1.01yrs now on Athlon 2.2+ :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 del piano di sopra :-)
Potreste anche pubblicarne il resoconto passo passo come progetto pilota.
Possibile che non ci sia qualche vuoto di pagina da riempire con qualcosa
che non sia pubblicità?


 nostro!
Il rischio fa parte del gioco di cui sopra.
-- 
Bye by V.
http://www.virusbusters.cjb.net

 qualcosa che non sia pubblicità?
Abbiamo pubblicità che avanza :-))
Bye, G.

 Numera Stampanti e simili
[....]
MAAAAXXXX!!!
Questo va nei tutorial delle hfaq!
-- 
Bye by V.

 
Ahhhh beccato! :-) E' proprio questo un caso tipico di azienda che alla 
fine sa che cosa ha, forse ha qualche mezza idea del motivo per il quale lo 
ha, ma non governa la sua infrastruttura. 
Ci sono processi correttamente gestiti di Project Management? Di Change 
Management? Di Security Management? I "processi" (non la infrastruttura che 
li rende possibili) sono noti nella loro interconnessioni ed 
interdipendenze? 
Per fare un esempio: se perdo o mi si incasina il database ordini (o il 
relativo server) mi è abbastanza chiaro che forse non riesco ad evadere gli 
ordini, è un po' meno apparente che probabilmente non riesco a fare buste 
paga corrette al personale commerciale (che ha un variabile legato agli 
ordini), se poi chi mi fa le buste paga è un outsourcer (come capita) sono 
certo che la mancanza di un "pezzo" di input non mi ferma tutto l'output e 
quindi anche le buste paga di tutti (anche non commerciali)?
E' ancor meno apparente che potrei avere ripercussioni all'ufficio acquisti 
(che deve comprare le materie), ci devo pensare su un bel po' prima di 
farmi venire il dubbio che forse anche la Produzione mi si incasina (-a- 
non sa cosa produrre -b- anche se lo sa non riceve le materie prime). A 
questo punto l'Ufficio Pianificazione salta e l'albero svizzero spegne 
le luci a Palermo....
La sicurezza informatica NON è un fatto informatico, ma da Direzione 
Generale o Amm.re Delegato. Non tirerete mai fuori un soldo da questi 
signori finchè gli andate a spiegare che volete mettere in sicurezza un 
server o una rete, che giustamente a loro non può fregare di meno. Ma 
provate a dirgli che volete mettere in sicurezza un processo critico di 
business che serve altri processi critici di business (che poi per fare 
questo vi serva ANCHE mettere in sicurezza il server o la rete sono 
fattacci di noi/voi/loro tecnicacci).
--
Alex

 la rete sono fattacci di noi/voi/loro tecnicacci).
Guarda, ti sembrerŕ strano, ma quello č stato il meno. Considera
che questa [hint: traceroute :-)] č un'azienda fondamentalmente di
servizi, anche se non sembra, e che la produzione č solo l'ultimo
passo, e forse il minore. Qui, senza la rete, per esempio, non
funziona piů niente, da molti anni ormai č tutto computerizzato.
Se non avessero capito da soli il problema, d'altra parte, sarebbe
bastato fornire pochi, piccoli, ma inequivocabili segnali, e.... ;-).
In piů, fortunatamente, a livello dirigenziale c'č gente che č passata
prima dal settore tecnico. :-))))))))
Bye, G.

 
Si avendo capito da dove mi parli mi è chiaro che siete un caso 
particolare, ma comunque fortunato (anche i "servizi" sono un fatto di 
produzione--si trasformano info o bit invece di atomi, ma i fondamentali 
sono quelli).
La mia era naturalmente una pensata generalizzata, non per questo penso che 
TUTTI siano nella stessa situazione.
--
Alex

 (ed il tuo router ed il mio sono a pochissimi hop di distanza. ;))
Che poi se vuoi essere ancora piů preciso puoi provare
con il mio vecchio IP storico, con cui ho postato per anni:
194.185.107.146 (se non se lo sono ancora ripreso).
Aspč, no, se lo sono ripreso :-(. OK, allora avevo fatto outing qui:
http://www.google.com/groups?selm=ack4bl%245sfm%241%40stargate1.inet.it
Bye, G.

 penso che TUTTI siano nella stessa situazione.
Sě, l'avevo capito e sono d'accordo. Mi ero solo scordato di specificarlo :-).
Bye, G.