SARA Assicurazioni Proposta di VA

Esigenze e requisiti  Esigenze:  Affrontare la sicurezza in maniera più organica e pianificata  Definire e seguire un Security Plan  Ottenere un sistema scritto di procedure di sicurezza  Obiettivo:  Studio della sicurezza  Analisi delle procedure di sicurezza esistenti  Individuazione di un piano strategico  Effetti correlati:  Focalizzazione sugli aspetti di sicurezza effettivamente essenziali  Evidenza al management delle reali necessità di sicurezza

Proposta  Proposta: VA tecnico-procedurale  Obiettivi:  Analizzare lo stato attuale  Evidenziare carenze e punti di debolezza  Stilare una scala di priorità  Metodologia:  Step 1: analisi dell’esistente  Step 2: assessment tecnico  Step 3: taratura e contestualizzazione  Step 4: Strategie –Piano di fixing –Piano di sicurezza –Piano delle procedure –Piano di analisi approfondita Fase 1 Fase 2 (non obbligatoria)

Ambiente di riferimento

Le attività previste  Vulnerability Assessment atto a identificare tutte le attività, lecite o illecite, permesse alle varie tipologie di utenti  Vulnerability Assessment atto a identificare tutte le vulnerabilità presenti a livello di:  reti e sistemi (esterni ed interni rispetto alla Server Farm)  applicazioni (esterne ed interne rispetto alla Server Farm)  Analisi dei sistemi di sicurezza attualmente in funzione  Revisione di tutte le procedure di sicurezza attualmente in essere

La metodologia Documentazione

Assessment di rete  Analisi della topologia e dell’architettura di rete  Identificazione delle vulnerabilità di reti e sistemi  Test di penetrazione  Primo stadio –FOOTPRINTING –SCANNING  Secondo Stadio –ENUMERATION –GAINING ACCESS –ESCALATION PRIVILEGES –CONSOLIDAMENTO e BACKDOORS

Assessment applicativo  Analisi dell’architettura applicativa  Test di penetrazione in base alle tecnologie di attacco esistenti  Cross-site scripting  Parameter tampering  Hidden field manipulation  SQL injection  Backdoors e opzioni di debug  Stealth commanding  Forceful browsing  Buffer overflow  Cookie poisoning  Configurazioni errate  Vulnerabilità note  Attacchi http

Analisi procedure di sicurezza  Identificazione delle vulnerabilità legate agli aspetti organizzativi/procedurali in merito alle procedure di sicurezza attualmente in essere  Backup/restore e disaster recovery  Hardening dei sistemi e patching  Password management  Authentication, authorization, accounting (AAA)  Controllo del traffico e del contenuto  Monitoring e Auditing  Gestione della posta elettronica  Testing

Tempistiche