wargames

Lavorare nel settore “sicurezza informatica”

Da quando ho finito l’università e mi sono laureato ho iniziato seriamente ad interessarmi al settore della sicurezza in rete, o più in generale della sicurezza informatica. Non che prima non mi interessasse questo ambito, anzi, mi attirava molto il mondo un po’ underground degli hacker, degli worm e dei cavalli di troia, quello visto nei film in cui il ragazzino adolescente riesce in pochi attimi ad entrare in qualche mega computer della CIA. Il problema è che non avevo mai avuto veramente il tempo ma anche la voglia durante tutto il periodo universitario di interessarmi a questo mondo, dato che il carico di studio era davvero moooooooolto elevato! Solo con la tesi finale sono riuscito a scegliere un argomento che mi interessasse davvero (strumenti per l’anonimato in Rete), e da lì ho capito quale sarebbe stato il mio futuro :-D… Finita l’università ho deciso poi di cercare un master/corso che avesse come argomento principale proprio la sicurezza, ma data l’impossibilità di frequentare un master a Roma o Milano (quota dai 6000/7000 euro in su più i soldi necessari per vitto e alloggio!) ho optato per un corso disponibile a Firenze: il Cisco CCNA Security. […]

Pericolo hacker: è davvero così?

Alcuni giorni fa è stato trasmesso da Le Iene un video in cui veniva intervistato un giovane hacker, anzi nemmeno tanto giovane ;-). Anche se vi siete persi la puntata non preoccupatevi, su youtube si trova sempre tutto, eccolo. Nell’intervista l’hacker dice, e poi dimostra, quanto sia facile entrare nel pc di una qualunque persona, e dunque quanto sia facile poter rubare dati sensibili o altro ad ignari utenti. Il tipo afferma che non ha mai usato le password e i dati che ha recuperato per nessun motivo, ma sarà davvero così? Personalmente non gli credo, perché dice anche che impiega giorni se non mesi per pianificare un attacco! Quindi trascorre dei mesi a pensare ad un possibile attacco solo per puro divertimento?? Mah! Comunque, tornando allo scopo dell’articolo, il pericolo di essere attaccati è davvero così elevato come vogliono farci credere nel video? Nella realtà non è proprio così…
Per quanto riguarda i cracker, ossia gli hacker “cattivi” (che attaccano i pc e i sistemi non per divertimento o passione ma solo per scopo di lucro o peggio), si possono categorizzare in due tipologie:

* quelli che non vogliono attaccare una persona in particolare, e l’obiettivo è semplicemente attaccare qualcuno, come nel caso dei virus/worm/trojan trasmessi ad utenti sconosciuti tramite i software p2p
* quelli che invece prendono di mira una persona specifica (o un’azienda ad esempio), che conoscono, o comunque possono essere a conoscenza che questa persona ha dei dati che a loro potrebbe interessare. […]

IDS, rilevamento ed analisi degli attacchi

Ho avuto il permesso di rendere pubblica la tesi di Alberto Fontanella, in cui viene configurato un sistema IDS (Intrusion Detection System), nello specifico SNORT, per rilevare gli attacchi portati contro di esso. In breve un sistema IDS, meglio noto come sensore, è un dispositivo software/hardware che ha come scopo quello di rilevare potenziali minacce provenienti dalla rete esterna, come attacchi automatici (virus/worm/cavalli di troia, che dal computer della vittima attaccano un altro sistema bersaglio in modo automatico) o attacchi da parte di cracker che vogliono penetrare all’interno del sistema protetto dal sensore IDS. Sotto è possibile vedere il posizionamento di un sensore all’interno di una rete, ed in grado di osservare tutto il traffico che dall’esterno (WWW), e passando attraverso il firewall, è diretto alla rete interna.
Esiste anche una variante di questi sensori, che sono quelli definiti IPS (Intrusion Prevention System). Per approfondimenti cercate sul web dove potete trovare decine e decine di siti e spiegazioni. Molte volte mi è capitato di sentire dibattiti sull’utilità/inutilità di sensori IDS/IPS, e ogni volta non ci sono mai vincitori: chi afferma che questi sensori sono veramente utili e in grado di proteggere in modo efficace una rete interna, e chi invece che sono totalmente inutili perché richiedono troppo tento per essere configurati al meglio e non portano grandi benefici. Con questa tesi viene dimostrato come un sensore adeguatamente configurato possa rilevare e dunque proteggere fortemente una rete. […]

E’ utile avere una certificazione?

Da quando ho finito l’università, lo scorso aprile, mi sono messo alla ricerca per mesi di un corso/master sulla sicurezza che mi permettesse di mettere le basi per poter poi lavorare in questo settore. Mi sono informato presso amici e conoscenti, ho girato sul web ore ore e ore, e le opzioni che mi si sono presentate sono state queste:

* master organizzati dalle grandi università, come a Milano e Roma, della durata di un anno e in grado di fornire ottime conoscenze di base, ma dal costo non irrisorio (dai 5000 euro in su, anche fino a 10000). E’ da considerare anche il fatto che avrei dovuto studiare fuori sede, e dunque avrei dovuto sommare il costo di vitto e alloggio. Risultato: opzione scartata subito.
* stage, in modo da entrare velocemente nel mondo del lavoro e provare “con mano” cosa significa lavorare nella sicurezza. Il problema di questa opzione era che mi mancavano le basi per poterlo fare! Anche se è proprio lo scopo di uno stage quello di formare un giovane, però sono necessarie delle conoscenze di base, che la mia laurea purtroppo non mi ha fornito :-(. Se ad esempio si vuole diventare programmatori, e si pensa di fare uno stage in azienda come programmatore Java, saranno necessarie almeno alcune conoscenze sull’informatica e sulla programmazione in generale. Non si può guidare senza aver fatto alcune lezioni di guida…
* la terza opzione era quella di seguire un corso dalla cifra modica, e organizzato da quante scuola/università nella mia regione (la Toscana), per evitare i costi dovuti a vitto e alloggio. I corsi (in genere della durata di qualche mese, 3-6) che avevo trovato erano tutti di poche ore, coprivano aspetti generali sulla sicurezza (che si possono apprendere anche con un po’ di studio da autodidatta e con un po’ di buona volontà) e non rilasciavano alcun titolo. Quindi ho ripiegato su un corso che mi permettesse alla fine di ottenere una certificazione!
[…]