Newsgroup: it.comp.sicurezza.varie
Titolo: Accesso ai sistemi informativi aziendali

Immaginate di lavorare per una grande azienda, con sedi in tutto il mondo, e di dover abilitare l'accesso al sistema informativo di una marea di consulenti, che le varie ditte fornitrici (parliamo sempre di IT) vi propongono. 
 
Cioe': le varie ditte vincono delle gare di appalto (sempre in ambito IT), per svolgere le loro attivita'  hanno necessita' che molti nuovi utenti (loro dipendenti o collaboratori), delle piu' diverse nazionalita', vengano abilitati al sistema informativo aziendale.
 
Ora il problema e': come faccio a sapere se tutti i nuovi consulenti che ci vengono proposti sono onesti? Per quanto ci si affidi a documenti di identita' eccetera, alla fine ci dobbiamo fidare di quanto ci dichiarano, non si sfugge a questa logica.
 
La mia domanda e': sapete se esista un servizio (una ditta, una societa', nazionale o meno) che sia in grado di garantire "l'onesta' " degli aspiranti collaboratori?
 
Googlando, ad esempio, ho visto che esiste il database dell'interpol, magari potrebbe essere un'idea. Qui in Italia esiste il CRIF, che garantisce la "solvibilita'" degli individui (solo di nazionalita' italiana, se non sbaglio), magari e' un indicatore che potremmo usare. Oppure rivolgersi a Linkedin?
 
Le vostre idee? Grazie in anticipo

 quanto ci dichiarano, non si sfugge a questa logica.
 
Posso farti una controdomanda?
[Se non altro perché non ho una risposta diretta :-)]
 
Come mai la responsabilità della scelta dei collaboratori è un
tuo problema e non della multinazionale che sceglie i fornitori
o dei fornitori stessi?
 
BTW, nel mio caso stiamo mettendo su una gestione centralizzata
per gli accessi di questo tipo, con un server personale di ISL
Online per una sede locale (c'è stato anche un interessamento
della gestione centrale per un'adozione più ampia), ma comunque
la scelta del personale per cui abilitare l'accesso non è - e
non deve essere - nostra.
 
Bye, G.

 non deve essere - nostra. 
 
Si si, giusto. Pero'...
 
Per quanto ne so, il tutto si regge in piedi su formalismi che non so nemmeno che validita' reale abbiano.
Per pura ipotesi (ripeto: e' una ipotesi), mi immagino sta roba nelle mani di un CTU (il Consulente Tecnico d'Ufficio nominato dal giudice), che cerca di dipanare questa matassa, dato che l'azienda, sempre per ipotesi, ha fatto una denuncia nei confronti della ditta X che ha sotto contratto un consulente che, pare, ha commesso un illecito (ad esempio ha diffuso un ransomware). Ammettiamo che un colpo di fortuna ci abbia consentito di isolare questa utenza, dalla quale e' partita l'infezione (e questa sia senza possibilita' di dubbio volontaria... e anche qui dimostrarlo non lo vedo proprio banale). Benissimo. L'utente si chiama Pinco Pallino. Nome falsissimo, ma nessuno lo poteva sapere, anche perche' nessuno ha mai visto i suoi documenti. Forse la ditta X? Forse, ma anche no. Questo contractor potrebbe lavorare ad un subappalto... e chi lo sa, sono tanti i casi.
 
Sto CTU, dopo aversi letto contratti, legislazioni locali eccetera se ne esce con un "ma chi ha fatto ste cavolo di abilitazioni? Chiedere i documenti di identita' pareva brutto?". Pareva brutto si', io mica li vedo i documenti degli indiani... (per dire, ma potrebbero essere di qualsiasi altra nazionalita').
Ma non so nemmeno che documenti abbiano (ad esempio, caso reale, ho chiesto l'UID, che ho imparato esistere da wikipedia, ma mi hanno detto che non posso darmelo per problemi *anche* di privacy...). Quindi mi fido e basta. Per adesso.

 Le vostre idee? Grazie in anticipo
 
Magari ho tratto una conclusione errata io, ma: il tuo intervento mi fa 
pensare ad un "liberi tutti". Cioè alla indiscriminata ammissione 
all'interno dei sistemi, senza nessun filtro, di tutti.
Di solito si fa un'analisi delle necessità e poi si ammette alla parte di 
archivi strettamente rilevanti alla funzione che ognuno deve svolgere.
 
Insomma: entrare, si, ma non ovunque e con diritti di elevato livello. 
Altrimenti, altro che regione Lazio...
 
 
 
-- 
Ciao! Stefano

 
Link esteso:
https://www.laleggepertutti.it/339785_il-datore-di-lavoro-puo-indagare-sulla-vita-privata-di-un-dipendente
 
 
Link corto:
https://tinyurl.com/d7p89zvt
 
 
Se poi la cosa è mooooolto critica, fai il vago ed assumi un 
investigatore privato e gli dici il livello di approfondimento desiderato.
Ovvio che non puoi farlo per tutti.
 
M.

 chi fisicamente assegna le abilitazioni? Un po' lo temo.
 
Ok, sin qui hai esposto i tuoi dubbi e perplessità, relativamente al
punto in discussione, però resta in sospeso la risposta alla domanda
che ti ha posto "il Papero", e sinceramente, sarei interessato anche io
a capire per quale motivo sia tu il soggetto che si dovrebbe far carico
di questo problema, specie perchè la cosa coinvolge tutta una serie di
campi diversi e che non si limitano alla "semplice" progettazione del
sistema di accesso, ma che coinvolgono anche aspetti di ordine legale
 
 


Domanda piu' che corretta. Naturalmente non e' una questione che devo risolvere io. Non sono un responsabile, un "capo" per dirla terra terra. Non ho poteri sull'organizzazione.
 
Pero' ci sono due aspetti. L'aspetto che mi riguarda direttamente (ossia: cosa potrebbe accadermi se lo scenario immaginato si avverasse?), e l'aspetto di persona competente.
 
Come persona competente, posso esprimere dubbi (già fatto, e mi hanno dato ragione, quindi e' un problema reale, senza pero' proporre soluzioni o scenari diversi ne' a breve ne' a lungo termine) ma anche proporre suggerimenti. Non per ricavarne personalmente qualcosa, non ci sono le condizioni, ma perche' capisco che questo problema costituisca un elemento debole della nostra organizzazione. Abbiamo delle vulnerabilita' (aggiungo che in meno di un anno moltissime sono state corrette, la struttura degli accessi e' stata stravolta, riprogettata, ed e' stato fatto molto altro, segno che il management ha ritenuto necessario intervenire, quindi e' sensibile a questi aspetti). Si possono correggere? Non lo so, provo a fare ipotesi e ad immaginare soluzioni. Col vostro fondamentale aiuto, se vi va.


Grazie mille!

 
Non e' neanche questione di diritti di alto livello, perche' uno bravo (magari con un team dietro) io penso che riesca a fare piu' danni di quanto m'immagini. Quindi bisogna prevenire. I responsabili delle varie applicazioni, delle varie filiere, fanno sicuramente la loro parte. Io devo pensare a fare la mia.

 nemmeno che validita' reale abbiano.
 
ce l'hanno, ce l'hanno. 
in primo luogo nel caso che hai ipotizzato di un ransomware proveniente 
da un esterno la prima cosa che la tua azienda farebbe è rivalersi 
sull'esterno. che senso avrebbe aver subito un danno da un terzo e 
cercare di dare le colpe internamente? è il fornitore, a cui sicuramente 
avranno richiesto una polizza assicurativa adeguata (tutti adesso la 
richiedono), a cacarsi in mano. mi preoccupo *molto* di più ad essere 
dall'altra parte della barricata piuttosto che la tua, voi avreste nel 
caso ben altri cazzi da smazzare tipo il piano di disaster recovery che 
sicuramente farà acqua :-)

 dichiarano, non si sfugge a questa logica.
 
l'azienda si tutela nei confronti dei fornitori, richiedendo adeguate 
garanzie di solvibilità e stipulando accordi di accountability. nella 
maggioranza dei casi non si tratta di "filtrare" per criteri di presunta 
onestà ma di garantirsi adeguata rivalsa per la parte civile (e quando 
dico adeguata intendo proprio adeguata, capisciammè). solo in alcuni casi 
specifici e motivati possono richiedere, ad esempio, il casellario 
giudiziale e/o i carichi pendenti. 
 
detto questo: quando arrivano a chi gestisce materialmente gli account 
questi aspetti sono già stati affrontati, non sono di competenza loro.

 vi propongono.
 
Ed ecco che hai già la tua risposta.
 
**Perché** la ditta fornitrice ti propone il consulente X?
 
Perché la ditta appaltante ha detto: "Ci serve una figura fatta così", no?
 
E nel "fatta così" è implicito essere persona de rispetto.
 
Te la giro in un altro modo: tu sei il tizio che deve abilitare la porta X
sullo switch per una stampante.
 
Non compete a te stabilire se la stampante è a norma o se è elettricamente
sicura, né tantomeno se il profilo colore è adeguato o la carta è FSC.
 
Tutti questi problemi che pure ci sono, vanno affrontati e risolti a tutto
un altro livello. Tu, al massimo, puoi suggerire che vadano affrontati. Ma
quando arriva a te, sei legittimato a supporre che i controlli siano stati
fatti ad esito positivo; io mica vado a caratterizzare una stampante prima
di collegarla! Do per scontato che il fornitore non sia un assassino. Poi,
se quella esplode, ho tutti i titoli del mondo per rivalermi e nessuno mai
si sognerà di dirmi "Ma tu dovevi accertarti...", perché io *NON* dovevo.
 
Per esempio puoi richiedere di essere tempestivamente avvisato di revoche,
aggiornamenti o modifiche di credenziali, o di interruzioni di rapporti di
consulenza (chiudi con la ditta Z --> saltano tutti i consulenti di Z).
 
Puoi predisporre alcuni controlli automatici, informandone il management -
così come saresti avvisato se improvvisamente il MAC della stampante fosse
sostituito dal MAC di un portatile mai visto né conosciuto.
 
Ma tutto il resto non è il tuo "bailiwick".
 
Leonardo
-- 
 
"You all presumably know why" :-) :-(


Hai ragione da vendere, per me. Ma i ransomware (e il caso regione Lazio) stanno cambiando i paradigmi.
Siamo tutti responsabili di quello che facciamo. Non siamo soggetti passivi, dobbiamo agire in coscienza e consapevolezza.
Voglio dire, l'aspetto legale se lo smazzeranno, dopo, i legali. Ma se ci ne accorgiamo di qualcosa di strano, per conto mio dovremmo agire, al meglio delle nostre capacità.
Sia che ci accorgiamo dell'imminenza di un attacco (per chi e' in grado di capirlo o sospettarlo), sia che si tratti di una falla nel sistema delle autorizzazioni, a qualsiasi livello essa sia.
E' anche vero che non siamo attrezzati, sia culturalmente che psicologicamente, a reagire a situazioni mai affrontate prima. 
Non so se qualcuno di voi ha fatto i corsi di primo soccorso, quelli obbligatori. Ti insegnano le manovre primarie, anche la respirazione bocca bocca (una volta la insegnavano, oggi l'accennano e basta). Ma se non te la senti di intervenire, chiama il 118 e stop, che comunque e' gia' qualcosa.
Secondo me qualcuno si dovrebbe prendere la briga di insegnarci a reagire a potenziali situazioni di emergenza nella sicurezza informatica, in senso ampio (ti dirò che in azienda qualcosa hanno fatto, ora che ci penso, una specie di mailbox, imho e' un po' pochino).

 pochino).
 
Il discorso è diverso, è necessario dotarsi di strumenti atti a
rilevare le anomalie e segnalarle a chi è preposto a tale compito in
modo da permettergli di prendere decisioni appropriate e tempestive, ad
esempio potreste installare degli strumenti IDS/IPS che permettano un
monitoraggio costante della rete e dei sistemi che compongono la
stessa, tali strumenti avvertiranno di anomalie e potranno, se
desiderato, anche essere configurati per avviare delle azioni di
"remediation" in automatico
 
Giusto per fare un esempio
 
https://cybersecurity.att.com/products/ossim
 
 
ma ovviamente di prodotti di questo genere ce ne sono diversi, la
scelta tra uno o l'altro (o anche più di uno) dipende dalle specifiche
esigenze
 
 
 
 
 
 

 psicologicamente, a reagire a situazioni mai affrontate prima.
 
e questo è un problema. vuol dire che non c'è un piano di reazione ad un 
attacco informatico, o se c'è è rimasto in un cassetto senza condividerlo 
con gli interessati. che è come se non ci fosse.
 

 con gli interessati. che è come se non ci fosse.
 
Eh si, sono assolutamente d'accordo.

 nel nulla e chiedo il riscatto.
 
Se hai una architettura dotata, tra l'altro di sistemi IDS/IPS e di
filtraggio del traffico, mi sembra strano che un dipendente possa tirar
su volutamente un ransomware senza che i sistemi di monitoraggio se ne
accorgano, certo, tutto è possibile, ma la cosa sarebbe difficile
 
Ovvio, sempre SE i sistemi di monitoraggio/prevenzione sono messi in
piedi e gestiti correttamente
 


Molto interessante. Non sapevo, anzi non so proprio niente di questi sistemi di monitoraggio, sono rimasto indietro.
Magari li abbiamo gia'. Spero.
Grazie mille

 gia'. Spero. Grazie mille
 
Dai un'occhiata qui per qualche informazione di massima
 
https://en.wikipedia.org/wiki/Intrusion_detection_system
 
 
 
 
 

sia che si tratti di una falla nel sistema delle autorizzazioni, a qualsiasi livello essa sia.
 
Ah, un suggerimento, una nota, quella puoi mandarla sempre.


 devo pensare a fare la mia.
 
Mi sembra un approccio sbagliato. Occorre certamente difendersi, ma parte 
di questa difesa è anche una gestione dei rischi, delle procedure di 
salvataggi di riserva, di disaster recovery, ecc.
Bilanciando opportunamente gli investimenti fra le varie voci.
E' come se tu, a casa tua, installassi un firewall da 50.000 euro. Certo, 
sei protetto (forse...), ma: ha senso, economicamente?
 
 
 
-- 
Ciao! Stefano

 riscatto.
 
suggestivo ma improbabile. uno dei motivi del "successo" di questi 
attacchi è proprio che si servono di utenti ignari: in primis perché sono 
già "trusted" senza tutta quella trama da film di spionaggio, e poi 
perché quando cerchi di risalire all'autore arrivi fino lì e finisci in 
un cul de sac. 
se vogliamo la realtà ha una trama molto meno intricata di quella che 
ipotizzi. ricorda il rasoio di occam.

 finisci in un cul de sac. 
 
Si e no, vedi, supponi di avere un sistema tipo (giusto come esempio)
"AlienVault" in opera, a quel punto, l'utente ignaro riceve (in qualche
modo, ed anche qui ci sarebbe da ragionare) il ransomware e lo esegue
ed a quel punto il sistema di monitoraggio rileva il traffico generato
dal ransomware verso il suo "C&C" lo identifica come pericoloso ed
oltre ad inviare un alert a chi gestisce la rete, isola il computer
dell'utente ignaro dalla rete stessa
 
 


no ma io non parlavo tanto del successo dal punto di vista tecnico, 
parlavo più dal punto di vista organizzativo/malavitoso. cioè il fatto 
che l'attacco parta da un pc ignaro fa sì che non riuscirai mai a 
risalire all'autore vero e proprio, quello che poi chiederà il riscatto. 
come invece ipotizzava l'op utilizzando un "complice", per quanto possa 
essere sofisticato il piano si tratta sempre di un individuo che lascia 
tracce.
 
su quello che dici sono d'accordissimo, i sistemi di intrusion detection 
rilevano attività anomale in rete a prescindere dalla provenienza. 

 Ah, un suggerimento, una nota, quella puoi mandarla sempre.
 
Si infatti, e' quello che ho fatto. Volevo spingermi oltre, nelle proposte, solo che prima che mi scambino per matto volevo capire da voi lo status del pensiero dominante.

 
 
Assolutamente d'accordo. Ma aggiungerei "cosa sei disposto a perdere?" Che tipo di danno, quanto grande, sei disposto ad acccettare?

Capisci che a sto punto una questione te la poni: ma a chi sto dando le chiavi di casa?
 
Certo, ma non è un problema risolvibile dalla tua posizione.
L'unica cosa che puoi fare è dare meno chiavi possibile.
 
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 Che tipo di danno, quanto grande, sei disposto ad acccettare?
 
Il punto è proprio quello. Spendere 50.000 euro per difendere da 
intrusioni... diciamo il caso peggiore, un c/c bancario che torna intorno 
a zero ad ogni fine mese? Ma mi possono pure dare fuoco al pc, da remoto, 
ma col cavolo che installo un qualsiasi "coso" che mi costa 50.000 euro!
 
 
 
-- 
Ciao! Stefano

 
 
Se internamente non ci sono le competenze per delimitare chi fa cosa e 
tracciare il tutto prima ci si rivolge a società serie che fanno 
sicurezza (in Italia ce ne sono poche!) e poi viene il resto!
 
Saluti.
^Bart

 esigenze
 
Anche questo 
https://www.crowdstrike.com/
 funziona bene! :)
 
^Bart
 

 Ciao! Stefano
 
Grazie e ciao!

 ^Bart

Il Wed, 17 Nov 2021 00:27:58 -0800, Tom ha scritto:
 
"Hacking etico". Cioè?
 
 
-- 
Ciao! Stefano

> "Hacking etico". Cioè?
 
Conosco la locuzione a proposito di crackare programmi con
l'idea che chi li usa non ci faccia soldi. Inutile dire
quanto sia pretestuosa la cosa ma così ho letto e così
riporto. Suppongo che in un contesto come quello del NG
sia qualcosa di diverso, quindi mi accodo alla curiosità.
 


Cracking etico: trombare la moglie del proprio miglior amico per 
dimostrargli che è una "poco di buono".
 
Michele

 dimostrargli che è una "poco di buono".
 
questo è fucking etico.
 


Infatti voleva essere una similitudine.
L'importante è essere etici!
 
Michele
 

 
 
https://www.google.com/search?q=hacking+etico&oq=hacking+etico
 

 temo. 
 
Per prima cosa assicurati di non apporre firme su nessun documento che
dichiari qualsiasi tipo di idoneità ad accedere al sistema informativo.
Sembra strano e anacronistico, ma anche nel 2021 una firma su un documento
cartaceo fa ancora una certa differenza.
 
Per il resto se il tuo compito è solo quello di creare e fornire
credenziali di accesso, io richiederei che venga preventivamente prodotta
una richiesta firmata (vedi sopra) che contenga i nomi dei nominativi da
abilitare. Questo vale sia se la lista dei nominativi ti viene fornita
internamente, sia se ti interfacci tu direttamente con il fornitore
esterno. Anzi, nel secondo caso è ancora più facile, perché basta dirgli
che questa è la policy aziendale e si deve fare così.
 
Se la richiesta firmata non è ottenibile, al limite potresti mandare una
e-mail a tutti gli opportuni responsabili dove riporti i nomi dei
nominativi per i quali hai creato l'account "come richiesto da XXX",
precisando magari che non puoi fare nessuna valutazione sull'idoneità di
tali soggetti. Però qui iniziamo a entrare in una modalità
passivo-aggressiva e dipende da quali relazioni hai con i suddetti
responsabili.
 
-- 
Fletto i muscoli e sono nel vuoto.


Crackare programmi fa ridere comunque si' dai, puo' essere.
Non "craccano" programmi, in genere (pero' effettivamente non so, magari lo fanno anche). Mi pare che il loro obbiettivo (però dichiarato prima in una riunione, anche se certo non sapevi quando sarebbe accaduto) fosse quello di entrare nei sistemi. Fatto questo compilavano ovviamente una relazione. Se tu eri il responsabile di quel sistema/applicazione, non ci facevi na gran figura. Poi bisogna vedere, insomma. Ogni caso fa storia a se' (i sistemi sono tanti, le esigenze diverse, per cui non e' possibile generalizzare). L'intento non e' ovviamente punitivo nel confronto dei singoli, quanto piuttosto capire punti deboli, sicurezza ecc.


Esatto, e' proprio cosi'. E' un continuo chiedere conferme e autorizzazioni. Pero' sai, qualcosa scappa sempre. Il sistema e' complesso, le autorizzazioni spesso sono "incrociate", spero di rendere l'idea. Cmq c'e' un grosso miglioramento, stanno investendo un po' su tutto l'aspetto sicurezza.
 
Vabe', ho approfittato anche troppo della vostra pazienza.
Grazie veramente a tutti. Ciao e buon lavoro!

 responsabili.
 
Email tipo:
Buonasera, come da accordi, ho provveduto ad abilitare XXX al sistema 
YYY con i privilegi WWW.
Le abilitazioni saranno attive entro 24-48 ore dalla presente.
Ci è gradita l'occasione per porgere tanti, ma tanti cari saluti.
.
.
.
.
Se tacciono hai il "sielnzio assenso".
Se ti rispondono che non li devi abilitare hai tempo per bloccare tutto.
Se si incazzano che ci vuole troppo tempo gli rispondi che provvederai 
di persona a sollecitare l'abilitazione.
 
E cicciarcù.
 
M.


Tu ne hai scritto in un contesto preciso. Al di là del fatto che viene 
considerato poco educato postare link a ricerche su internet, temo che il 
link non risolva la mia domanda.
Avevo già più di un dubbio sul tuo effettivo scopo con questa domanda. 
Questa è una conferma, in senso negativo. Farewell.
 
 
-- 
Ciao! Stefano


Capisco, mi spiace ma non saprei come giustificarmi.
Grazie mille per i tuoi interventi, molto interessanti.