Tecnologie di Sicurezza in Internet APPLICAZIONI AA Ingegneria Informatica e dell’Automazione programma

Tecnologie di Sicurezza in Internet: applicazioni – AA – 000/2 Premessa Obiettivi del corso Requisiti Introduzione Il programma Esercitazioni Esami

Tecnologie di Sicurezza in Internet: applicazioni – AA – 000/3 Introduzione Una possibile definizione Definiamo la sicurezza dell’informazione tramite alcuni aspetti fondamentali dei sistemi usati per gestirla. Confidenzialità garanzia che il sistema fornisca l’informazione solamente a chi è autorizzato a ottenerla Integrità garanzia che l’informazione sia mantenuta e trasmessa in forma inalterata Disponibilità garanzia che l’informazione risulti accessibile quando previsto a chi può e deve fruirne

Tecnologie di Sicurezza in Internet: applicazioni – AA – 000/4 Introduzione Le dimensioni della sicurezza Occorre infine considerare, nell’analisi della sicurezza dell’informazione, che esiste l’opportunità e la necessità di muoversi lungo tre direzioni ortogonali Discipline policy, regolamenti, normative e aspetti legali, organizzazione, responsabilità, rapporto con gli utenti Tecnologie standard, protocolli, implementazioni, prodotti e architetture software e hardware Ambiente topologie di connessione, geografia dei siti, tipologie di business, budget e altre contingenze economiche, politiche e sociali

Tecnologie di Sicurezza in Internet: applicazioni – AA – 000/5 Introduzione L’altra dimensione… Costi Nella definizione di un budget si esercita il tentativo di conciliare elementi contrastanti: il costo di un prodotto vs il ritorno previsto sull’investimento. Nel caso di investimenti in sicurezza, come tutte le misure preventive, è spesso difficile quantificare il ritorno previsto; invece è evidente a tutti come quantificare i costi. Si può comunque ipotizzare un costo di ciò che potrebbe avvenire se non si adottano misure adeguate. CrCrCsCs Disegnando qualitativamente le curve dei costi legati al rischio (Cr) e di quelli legati agli investimenti per la sicurezza (Cs), risulta evidente che il miglior compromesso è quello nell’intorno del minimo dei costi totali.

Tecnologie di Sicurezza in Internet: applicazioni – AA – 000/6 Introduzione Strutturazione degli argomenti Sicurezza dei siti A Sicurezza delle reti B Sicurezza dei servizi C Sicurezza dei sistemi D Sicurezza delle applicazioni E

Tecnologie di Sicurezza in Internet: applicazioni – AA – 000/7 Sicurezza dei siti Da dove partire? The Site Security Handbook Security policies Normative a tutela dei dati personali* Directories Identity Management PKIs Physical security: biometrics, access control Data security: redundancies, backups, disaster recovery Content security: antivirus, antispam, filtering AAAA: authentication, authorization, accounting, auditing

Tecnologie di Sicurezza in Internet: applicazioni – AA – 000/8 Sicurezza delle reti Architetture di firewall Packet filters Stateful packet filters Application level gateways VPNs Network devices, wired & wireless Intrusion Detection Next Generation Firewalls Network redundancies

Tecnologie di Sicurezza in Internet: applicazioni – AA – 000/9 Sicurezza dei servizi DNS Web FTP SSH TCP/UDP and application proxies Delegate, Stunnel, ecc. Reverse proxies Redundancy Balancing High availability

Tecnologie di Sicurezza in Internet: applicazioni – AA – 000/10 Sicurezza dei sistemi OSes: Windows, Unixes Mainframes and legacy systems Logging Monitoring Patch management Redundancy Autonomic-ity Storage Clustering Virtualization

Tecnologie di Sicurezza in Internet: applicazioni – AA – 000/11 Sicurezza delle applicazioni Platforms: J2EE &.NET Tiering Web applications Sessions Distribution Security Transactions Development models Service Oriented Architectures Clouds Monitoring Writing secure applications*

Tecnologie di Sicurezza in Internet: applicazioni – AA – 000/12 Argomenti per tesine Web server ad alta affidabilità Web proxy ad alta affidabilità Web proxy con AA a directory Web app con AA applicativa (Servlet filter o HttpHandler) Reverse proxy con supporto SSL SSL-izer proxy Setup di Certification Authority Setup di una Directory LDAP Implementazione di VPN Security Enhanced Linux Integrazione Unix-Microsoft con Samba+Winbind Setup di un sistema di versioning dei sorgenti Monitoring applicativo con Hyperic HQ Web SSO con Shibboleth Cluster simulation con failover manuale Varie ed eventuali