1 luglio Application Security Database Protection

1 luglio 2016 © 2003 Hacking Team All Rights Reserved 2 Top Ten Database Security Threats 1. Excessive Privilege Abuse 2. Legitimate Privilege Abuse 3. Privilege Elevation 4. Database Platform Vulnerabilities 5. SQL Injection 6. Weak Audit Trail 7. Denial of Service 8. Database Communication Protocol Vulnerabilities 9. Weak Authentication 10. Backup Data Exposure

Weak Audit Trail Rischi Regulatory Risk Deterrence Detection and Recovery Carenze di piattaforma: Lack of User Accountability Performance Degradation Separation of Duties Limited Granularity Proprietary (per le organizzazioni multi-database-platform) User activities Tracing (performed through an application server) 1 luglio 2016 © 2003 Hacking Team All Rights Reserved 3

Appliance approach 1 luglio 2016 © 2003 Hacking Team All Rights Reserved 4

Computer Crime Trend Fonte: Computer Security Institute – Security Survey 2007 Perdite medie riportate rispetto al 2006: +108% Il 18% del totale è dovuto a malware Le frodi finanziarie sorpassano gli attacchi virus in termini di perdite finanziarie. Se si unisse in una sola categoria tutte le perdite di dati (customer e proprietary), quest’ultima sarebbe al secondo posto. Le azioni di penetration da outsiders sono al quarto posto. L’abuso interno della rete e della posta ha superato la problematica dei virus in termini di “types of attacks or misuse” La percentuale delle organizzazioni che hanno denunciato intrusioni agli enti preposti è passata dal 25% al 29% Budget IT speso per Awareness Training: <1% per il 48% delle organizzazioni Tecniche utilizzate per valutare l’efficacia delle tecnologie di sicurezza implementate: 63% mediante security audits compiute da staff interno 1 luglio

Casi recentissimi Hongkong & Shanghai Banking Corporation (HSBC), la più grande banca inglese Perso hard disk da un corriere: informazioni personali e relativi alla polizza vita di 370,000 persone Governo UK Perso 2 CD contenenti dettagli di 25m di records relativi a sgravi fiscali Royal Bank of Scotland Venduto PC usato su e-Bay contenente 1m di clienti (dati personali e di carte di credito) Best Western (Agosto 2008) Falla o trojan sul PC delle prenotazioni in reception ha permesso ad un hacker indiano di rubare i dati di 8m di clienti (dati personali e di carte di credito) 1 luglio

Tipologie di utenti e comportamenti (fonte Forrester) Utente “zero-knowledge” Peccano di ingenuità Non conoscono le policy e le normative Utente “gadget-maniac” Utilizzatore della tecnologia e dei supporti esterni Tester di software e soluzioni Chat, blog, p2p, voip Utente “giocherellone” Non utilizza gli strumenti aziendali come dovrebbe Scarica musica, film e giochi Utente “spia-calimero” Fuga di notizie fraudolenta Accesso fisico-logico ad aree a lui non consentite L’ 80-90% della perdita di informazioni è accidentale e non Intenzionale (Gartner) 1 luglio

Target: i dati aches.htm#CP 1 luglio 2016 © 2003 Hacking Team All Rights Reserved 8

Sintesi e statistiche (1) 1 luglio

Sintesi e statistiche (2) 1 luglio