64% of education IT workers say ransomware impacts education quality

A survey from Action1 reveals the impacts cyberattacks can have on education. 250 education institution IT workers were surveyed across the United States and the United Kingdom, highlighting key concerns and assessments about school cybersecurity. With 64% expressing concerns that ransomware threats may impact the quality of education, it is evident that cyber threats influence more than just a school’s cybersecurity posture. 

IT leaders in education report a lack of support from school boards, with 20% saying current levels of support are insufficient. Furthermore, 78% of schools did not have a cybersecurity specialist, and 44% of schools devoted less than 10% of IT budgets to cybersecurity efforts. 71% of IT workers report their school’s cybersecurity preparedness as moderate or slight, and 27% of schools did not conduct regular vulnerability assessments. 

https://www.securitymagazine.com/articles/101038-64-of-education-it-workers-say-ransomware-impacts-education-quality




Un malware Linux colpisce Weblogic Server per eseguire un cryptominer


I ricercatori di Aqua Nautilus hanno individuato un nuovo malware Linux che prende di mira Weblogic Server di Oracle per eseguire un cryptominer.

Gli attaccanti dietro il malware sfruttano alcune vulnerabilità di Weblogic, come errori di deserializzazione e controlli di accesso inadeguati, per distribuire Hadooken, il payload principale che a sua volta esegue il malware Tsunami e un cryptominer.

Al momento non è chiaro per cosa venga usato il malware Tsunami: durante gli attacchi osservati, questo veniva semplicemente installato sul dispositivo compromesso ma non era parte attiva dell’operazione; è probabile quindi che venga usato per altri scopi successivi all’attacco, per esempio per la raccolta di informazioni.

malware Linux

Pixabay

Dopo aver ottenuto l’accesso al dispositivo con Weblogic Server, gli attaccanti eseguono contemporaneamente uno script Python e uno script shell che si occupano entrambi di scaricare il malware Hadooken. Lo script shell si occupa anche di iterare su diverse directory contenenti dati SSH, come credenziali utente, informazioni sull’host e secret, e sfruttare queste informazioni per attaccare server noti; in seguito, cerca di spostarsi su altri dispositivi dell’organizzazione per diffondere Hadooken.

I ricercatori hanno individuato due indirizzi IP dai quali viene scaricato il malware, uno registrato in Germania e l’altro in Russia. Il primo è ancora attivo ed è stato usato in passato da TeamTNT e Gang 8220, ma ciò non basta per attribuire con certezza questi nuovi attacchi a uno dei gruppi; il secondo risulta invece inattivo.

Nel server relativo al primo indirizzo IP il team ha individuato uno script usato per distribuire il ransomware Mallox, anche se questa operazione non è legata al malware Linux.

Secondo quanto riportato dai ricercatori, ci sono più di 230.000 istanze Weblogic Server connesse a Internet, la maggior parte delle quali è protetta; ci sono comunque delle console di admin esposte a internet che sono vulnerabili a questi attacchi e che andrebbero protette il prima possibile.

Il team di Aqua Nautilus ricorda di controllare periodicamente le configurazioni degli ambienti e risolvere tutte le configurazioni errate per proteggersi da attacchi di questo tipo. È importante inoltre affidarsi a soluzioni di sicurezza robuste per monitorare le attività negli ambienti e individuare le vulnerabilità da sistemare.

Condividi l’articolo



Articoli correlati

Altro in questa categoria


https://www.securityinfo.it/2024/09/13/un-malware-linux-colpisce-weblogic-server-per-eseguire-un-cryptominer/?utm_source=rss&utm_medium=rss&utm_campaign=un-malware-linux-colpisce-weblogic-server-per-eseguire-un-cryptominer




How to ensure security without compromising privacy

Most organizations collect and store a significant amount of sensitive information as part of their security operations. This includes personally identifiable information gathered through video surveillance, license plate readers, access control systems, and more. The data collected by these systems can help quickly resolve security concerns and reveal important operational insights.

Yet, privacy concerns regarding personal data are becoming more prominent. In Cisco’s 2022 Consumer Privacy Survey, three-quarters of respondents said they wouldn’t buy from a company they don’t trust with their data. Over 80% said they believe how an organization treats personal data indicates how the organization views and respects its customers. 

More governments around the world are also enacting new privacy laws that hold organizations accountable for how they collect, store, and access personal information. To date, 71% of countries have implemented legislation to restrict the collection, processing, and access to personal data. 

The good news is, security leaders don’t have to choose between protecting privacy and maintaining security. They can find the proper balance between securing an organization and protecting individual privacy. 

Privacy, by design

The gold standard for ensuring privacy is a framework developed by the former Privacy and Information Commissioner for Ontario, Dr. Ann Cavoukian. It’s called Privacy by Design and is the basis for the General Data Protection Regulation (GDPR) and other privacy laws. 

The Privacy by Design framework defaults to the highest levels of privacy protection. Security leaders can collect and store only the information needed and limit access to sensitive data. Security leaders can also fine-tune who can access sensitive data, define how long this data is held, and under what circumstances it’s deleted. 

For example, modern ALPR systems typically store only the ‘read value’ of a license plate. They don’t store the image of the plate itself and may offer the option to store information only if a plate matches with a hotlist. 

Having encryption built in is also an example of privacy by design. Captured data is automatically encrypted. Only operators with the correct credentials can view it. Some companies have a “four eyes” principle, requiring two people to provide credentials to access the information. 

Embracing Privacy by Design in  business is a win-win scenario. Security leaders ensure the highest levels of data protection for their organization, and their customers or visitors gain more control over their personal information. 

What about privacy masking?

For privacy related to video surveillance applications specifically, consider privacy masking. A privacy mask hides or anonymizes a part of the video. This is done to protect the privacy of individuals or sensitive information within a monitored space. 

By applying privacy masks, specific zones or objects can be intentionally obscured in the video feed, ensuring they’re not visible or recorded. This feature is important in environments where there are legal or ethical considerations regarding privacy, such as public spaces or even correctional facilities.

Let’s dive into the different types of privacy masking – static and dynamic.

Traditional privacy masking is static. The mask blocks defined areas in an image or live video feed. Typically, this is done directly on the camera and can be used, for example, to hide the keypad of a credit card terminal in a top-down view at a cash register.

Dynamic masking blurs or anonymizes all relevant objects or people in motion. Everything else in the video frame or image can be seen and monitored as usual. This ensures identities are protected while still allowing operators to see what’s happening in the video footage. A dynamic video anonymization solution is a more effective masking method for privacy protection. It completely removes individuals’ identities from masked video streams. 

Implementing privacy masking at your facilities is a good first step to proactively address concerns about video surveillance footage. But what happens when someone needs to share video with an external stakeholder? 

Redaction is a post-processing technique that is applied after the video has been recorded. It involves removing or blurring specific sections of the video during the review or export process. Redaction is often used when there’s a need to share video footage for evidence or public disclosure while safeguarding sensitive details.

Building trust and transparency

Security leaders want their customers to trust that their data is being handled properly. Three simple ways you can improve your privacy posture are: 

  • Make sure the only people who have access to sensitive data are those who really need it. 
  • Be selective about the data to collect, only collect and store the information that’s necessary. 
  • Develop an internal privacy policy that describes what data is collected, how it’s stored (and for how long), who can access this data, and under what circumstances.

Investing in physical security technology that is designed from the ground up with privacy in mind makes it easy to stay compliant with privacy best practices. These solutions give security leaders complete control over their data so that they can adjust protection methods and processes to meet evolving regulations. Security leaders can configure the system to define who has access to sensitive data and footage without slowing down response times or investigations. When these measures are in place, it’s a team effort to ensure security with strong privacy protection.

https://www.securitymagazine.com/articles/101040-how-to-ensure-security-without-compromising-privacy




Cyberattack compromises and shuts down Highline Public Schools

On Monday, September 9, 2024, Highline Public Schools in the state of Washington was shut down due to a cyberattack. The school distinct announced that it discovered unauthorized activity on its systems and took action to isolate the compromised systems. Currently, this investigation is ongoing.

Security leaders weigh in 

Brian Higgins, Security Specialist at Comparitech:

“Schools and colleges are a favorite target for cyber criminals because of the wide variety of data they maintain on their networks. Individual, personal information on staff, students, governors/school board members and even suppliers can all be very useful as sell-on criminal assets. Add in grades, government data, safeguarding records and emergency contact details and you have a higher than usual variety of leverage vectors for ransomware attacks too.

“It’s obviously incredibly worrying for all concerned but the most vital thing to do at this point is keep your nerve and monitor official updates for mitigation and protection instructions. Don’t be tempted to engage with any unsolicited contact from any quarter, telephone, email, social media or even visitors to your home. The moment a breach is made public criminals will employ all of these methods and more to further exploit the victims and their user networks.

“Get screenshots or other records if it’s safe to do so and report everything you can but don’t share any passwords, login credentials or other information because despite what they promise things will only get worse if you do.”

Chris Hauk, Consumer Privacy Champion at Pixel Privacy:

“Even though we don’t know exactly what information has been exposed in this breach, parents should assume it has and prepare for the worst. If a bad actor gains access to a minor’s personal information, they can use it to fraudulently create credit accounts in the child’s name, meaning the accounts and their unpaid amounts may not be discovered until several years down the line, causing problems for the child later in life. Parents should monitor their child’s credit reports and associated records to ensure that bad actors are not laying the groundwork for future havoc in their offspring’s life.”

Anthony Cusimano, Technical Director at Object First:

“With the rise in cyberattacks targeting educational institutions, schools must redefine how they protect their data and most valuable digital assets. Recovery from backups is always the last line of defense in any organization, and attackers know this, often targeting backup data first when launching an attack. To avoid disrupting the learning environment — as we saw with the recent attack against Highline Public Schools — districts must incorporate zero trust data resilience principles to both the backup software and backup storage to segment their environment, create resilience zones, ensure immutability, and minimize the attack surface to keep backups secure so recovery is always guaranteed.”

Akhil Mittal, Senior Manager of Cybersecurity Strategy and Solutions at Synopsys Software Integrity Group: 

“The cyber attack on Highline Public Schools shows how vulnerable our schools have become to cyber threats. Education institutions are attractive targets, not only because they hold sensitive data, but because their defenses are often weaker than large organizations. Attacks like this, timed to disrupt the start of the school year, apply immense pressure that attackers exploit. This incident presents an opportunity for schools to reassess their cybersecurity strategies. By incorporating programs like the NICE K12 Cybersecurity Education framework, we can teach digital safety early on, embedding cybersecurity awareness within the education system itself. Schools can serve as both defenders (against cyber threats) and educators (for the next generation).

“In the short term, staying alert to phishing attempts and securing personal devices are practical steps staff and students can take. Schools should also invest in strong backup and disaster recovery plans to get back on track quickly to minimize the impact of future attacks.” 

https://www.securitymagazine.com/articles/101037-cyberattack-compromises-and-shuts-down-highline-public-schools




CSQA: Certificazioni e Formazione per la Sicurezza e la Resilienza Aziendale

Qualità, sicurezza e resilienza dei processi aziendali, clienti più soddisfatti e garanzia di conformità. È la capacità di sostenere questi obiettivi a qualificare CSQA come player di riferimento nel mercato italiano ed internazionale delle certificazioni e della formazione in ambito Cybersecurity, Information Security and IT Services Management, Trust Services, Business Continuity, Privacy.

CSQA certifica, sotto accreditamento internazionale, i sistemi di gestione riferiti ai principali standard ISO, i servizi qualificati sulla base del Regolamento eIDAS 910/2014, electronic IDentification Authentication and Signature e SPID.

Grazie alla certificazione i clienti possono qualificare i propri servizi dando garanzia alle loro parti interessate, interne ed esterne.

Tutti i servizi offerti sono supportati da una attività di tutoraggio puntuale per garantirne l’efficienza.

SERVIZI OFFERTI

Certificazione

Svolgiamo attività di audit di terza parte a fronte dei principali Standard Internazionali di Sistema (ISO 27001, ISO 22301, ISO 20000, ISO 27701, ISO 270XX,) e di Prodotto (Certificazione eIDAS, SPID). Operiamo con profonda competenza e con l’esperienza di auditor altamente qualificati.

Audit sui fornitori e assessment specifici

Forniamo servizi di audit di seconda parte, ispezioni e verifiche per assicurare ai nostri clienti la conformità dei loro fornitori rispetto agli standard aziendali ed internazionali, a garanzia di una gestione consapevole e sostenibile della supply chain. Sviluppiamo progetti di assessment continuativi.

Formazione

Formiamo ogni anno centinaia di professionisti e figure aziendale, per aumentare la loro consapevolezza e competitività in un mercato in continua evoluzione. I nostri corsi di formazione possono essere erogati in presenza fisica, da remoto e attraverso modalità

e-learning, in funzione delle esigenze del cliente. Tra le modalità di erogazione, la formula in-house – presso strutture del cliente – è particolarmente interessante poiché consente di concordare il momento migliore in cui svolgere l’attività formativa, assicurando inoltre una efficace economicità.

Proponiamo

Un catalogo costantemente aggiornato di corsi di qualifica, riconosciuti a livello internazionale, che comprende:

  • Corsi di introduzione ai Sistemi di Gestione
  • Corsi di qualifica Lead Auditor sui diversi
  • Sistemi di Gestione
  • Corsi di qualifica in ambito GDPR
  • Corsi di qualifica sui principali Framework IT

Percorsi formativi ad hoc, che vengono progettati in stretta collaborazione con il cliente, personalizzando i contenuti in funzione delle esigenze specifiche. I nostri corsi di formazione possono essere finanziati attraverso i Fondi Interprofessionali.

CERTIFICAZIONE E FORMAZIONE

  • Cybersecurity (Sicurezza della Informazioni):
  • ISO/IEC 27001 e Linee guida ISO/IEC 270xx (es. ISO/IEC 27017 Cloud Security, ISO/IEC 27018 Cloud Privacy, ISO/IEC 27032 – Cybersecurity …)
  • Privacy e Data Protection: GDPR, Linee Guida ISO/IEC 27701
  • Servizi Fiduciari: eIDAS, SPID
  • Risk management e Business Continuity: ISO 31000, ISO 22301
  • IT Service Management: ISO 20000-1, ITIL®V4 Foundation

Contatti e informazioni:

CSQA – Headquarters

Via S. Gaetano, 7436016, Thiene (VI)
T: +39 0445 313011
E. csqa@csqa.it

Divisione Servizi Digitali

E. ictsales@csqa.it

ROMA

Via XX Settembre, 98/G00187, Roma (RM)
T: +39 0692 918874
E: roma@csqa.it

Condividi sui Social Network:

https://www.ictsecuritymagazine.com/notizie/csqa-certificazioni-e-formazione-per-la-sicurezza-e-la-resilienza-aziendale/




Come funziona l’exploit di Windows Installer che permette di ottenere i privilegi di admin


Nel suo ultimo Patch Tuesday Microsoft aveva segnalato la presenza della CVE-2024-38014, una vulnerabilità di elevation of privilege presente nella funzionalità Windows Installer che consente a un attaccante di ottenere i privilegi SYSTEM e prendere il controllo del dispositivo.

Windows Installer

Pixabay

Come si legge sul blog di SEC Consult, la firma di sicurezza che per prima ha individuato il bug, il problema risiede nella shell command che si apre per un istante durante l’esecuzione dell’MSI installer di Windows, più precisamente quando si utilizza la funzionalità repair per un programma già installato.

“Mentre l’installazione e la rimozione del software richiedono solitamente autorizzazioni elevate, la funzione di repair del software già installato può essere eseguita da un utente con privilegi bassi” spiega Micheal Baer, ricercatore di SEC Consult Vulnerability Lab. “Le funzioni di repair possono tuttavia essere eseguite nel contesto di NT AUTHORITY\SYSTEM, privilegi di accesso molto elevati in Windows. Se un utente è in grado di interferire con queste funzioni, può eseguire un attacco di privilege escalation“.

L’exploit di Windows Installer

Baer spiega che per sfruttare la vulnerabilità è necessario avere accesso alla GUI e a un browser come Firefox o Chrome; l’exploit non funziona con le versioni più recenti di Edge o Internet Explorer.

Dopo aver invocato il repair di un’applicazione già installata, il Windows Installer viene eseguito con privilegi SYSTEM ed esso aprirà una console con privilegi elevati; a questo punto è possibile navigare la GUI della console per aprire un’altra shell command interattiva con privilegi elevati.

Nel dettaglio, quando la console viene aperta occorre cliccare col tasto destro sulla barra della finestra prima che si chiuda, selezionare l’opzione “Proprietà” e poi cliccare su “legacy console mode”. Questa opzione aprirà una finestra di dialogo in cui l’utente dovrà selezionare il browser con cui aprire la nuova console, preferibilmente Firefox; dopo averlo selezionato, occorre cliccare Ctrl+O sul browser per aprire una finestra di dialogo per l’apertura di un file. Qui l’attaccante deve digitare cmd.exe nella barra in alto e cliccare su INVIO per aprire una nuova shell command, questa volta con privilegi SYSTEM.

Nel caso in cui la prima console si chiuda troppo in fretta, è possibile usare SetOpLock.exe, un tool che blocca l’applicazione in fase di repair e quindi il processo sottostante, lasciando aperta la shell command.

Nonostante ci siano alcune condizioni da rispettare per eseguire l’exploit e non tutti gli installer siano vulnerabili all’attacco, la vulnerabilità è considerata ad alto impatto in quanto non richiede l’interazione utente per essere sfruttata, né privilegi elevati. Per verificare se l’installer è vulnerabile, i ricercatori di SEC Consult hanno sviluppato e rilasciato uno script Python per analizzare i file .MSI e individuare quelli vulnerabili.

SEC Consult aveva individuato la vulnerabilità a gennaio di quest’anno e l’aveva subito segnalata a Microsoft. La compagnia aveva programmato il rilascio della patch per maggio, ma a causa di alcune regressioni nel fix è stata costretta a far slittare il rilascio a pochi giorni fa.

Microsoft invita i suoi utenti ad aggiornare il prima possibile i dispositivi vulnerabili installando l’ultima patch di sicurezza.

Condividi l’articolo



Articoli correlati

Altro in questa categoria


https://www.securityinfo.it/2024/09/13/come-funziona-lexploit-di-windows-installer-che-permette-di-ottenere-i-privilegi-di-admin/?utm_source=rss&utm_medium=rss&utm_campaign=come-funziona-lexploit-di-windows-installer-che-permette-di-ottenere-i-privilegi-di-admin




Cloud computing forensics: peculiarità e indicazioni metodologiche

Il Cloud computing è il principale modello di deployment dei servizi online, applicazioni, risorse e dati; è adottato da tutte le organizzazioni, indipendentemente dal settore, dalle dimensioni o dalle esigenze di calcolo e/o di storage. Di conseguenza, è cresciuto il contezioso avente ad oggetto il cloud, ovvero i servizi e i dati in cloud. La specificità, la complessità e l’eterogeneità dell’ambiente cloud, rispetto agli ambiti on-premise, richiedono un approccio e un metodo di conduzione delle indagini digitali ad hoc. In questo articolo provo a evidenziare le peculiarità tecniche e descrivere una metodologia conforme agli standard di settore e agli obiettivi prescritti dalle norme.

Introduzione

Il Cloud computing è il principale modello di deployment dei servizi online, applicazioni, risorse e dati; è adottato da tutte le organizzazioni, indipendentemente dal settore, dalle dimensioni o dalle esigenze di calcolo e/o di storage. Di conseguenza, è cresciuto il contezioso avente ad oggetto il cloud, ovvero i servizi e i dati in cloud. Le principali controversie, fin qui registrate, hanno riguardato:

  • i termini e/o le condizioni di servizio. Spesso i contratti di fornitura dei servizi in cloud sono generici e lacunosi, in particolar modo nella definizione dei service-level agreement (SLA), oppure non sono conformi alle normative e regolamenti vigenti, per esempio in tema di cybersecurity, continuità operativa e privacy, e ciò genera il contenzioso in fase di esecuzione del contratto;
  • la violazione alla sicurezza e/o alla privacy dei dati o dei servizi. Il cloud computing è indubbiamente più esposto a questa tipologia di minacce, per cui è necessario conoscere le tecniche di indagine specifiche per le violazioni che hanno compromesso la confidenzialità, l’integrità e la disponibilità dei dati o dei servizi in cloud;
  • lo sfruttamento della capacità di calcolo e/o memorizzazione. La disponibilità elevata di risorse offerte dal cloud computing è divenuto un obiettivo dei criminali informatici per perpetrare attività illecite o sfruttare la capacità di calcolo a carico di altri.

La specificità, la complessità e l’eterogeneità dell’ambiente cloud, rispetto agli ambiti on-premise, richiedono un approccio e un metodo di conduzione delle indagini digitali ad hoc. In questo articolo provo a evidenziare le peculiarità tecniche e descrivere una metodologia conforme agli standard di settore e agli obiettivi prescritti dalle norme vigenti.

Cloud computing

Definizione e proprietà funzionali

Il termine cloud computing indica una modalità di erogazione di servizi ICT offerti da alcuni operatori (provider) a una moltitudine di utenti (user) in modalità on demand e pay-per-use. Questi servizi sono erogati mediante infrastrutture hardware e software di proprietà dei provider o della stessa organizzazione senza una gestione attiva diretta da parte dell’utente; questi ultimi accedono attraverso le tecnologie e i protocolli di rete. Tipicamente un sistema cloud si compone di uno o più data center organizzati secondo un’architettura distribuita. Il principio cardine del cloud computing è la virtualizzazione: tutte le risorse di elaborazione, memorizzazione e trasmissione sono virtuali, ovvero ottenute sfruttando tecniche di emulazione implementate su risorse fisiche. Un tipico sistema cloud utilizza i gestori delle risorse (Hypervisor per la distribuzione di macchine virtuali, Container Engine per la distribuzione dei servizi o microservizi), che hanno il compito di amministrare le risorse fisiche dell’infrastruttura, allocandole dinamicamente alle diverse risorse virtualizzate (macchine virtuali o container) che condividono tale infrastruttura.

I principali vantaggi del cloud computing non si limitano solo alla riduzione dei tempi e dei costi, ma anche all’agilità e alla scalabilità. In particolare, i sistemi cloud sono caratterizzati da proprietà funzionali con un impatto significativo sulle investigazioni digitali:

  • Distribuzione geografica delle risorse: i data center che ospitano l’hardware di un sistema cloud sono organizzati secondo un’architettura distribuita, ovvero sono partizionate su un set di siti indipendenti, ubicati a distanza tra di loro. Di conseguenza, le risorse e i dati relativi ad uno specifico utente possono essere ubicati su una pluralità di dispositivi diversi, per cui può risultare complesso individuare l’ubicazione di tutti i dati riconducibili a tale utente, oltre a rappresentare un grosso problema in termini di giurisdizione territoriale.
  • Elasticità, scalabilità e flessibilità: l’utente di un servizio cloud può variare dinamicamente la quantità e la tipologia di risorse allocate. Pertanto, le risorse utilizzate da un utente in uno specifico arco temporale possono non essere più nella disponibilità di tale utente in un momento successivo e rischia di creare false istanze.
  • Gestione dinamica delle risorse: i sistemi cloud impiegano politiche di gestione delle risorse in cui quelle virtualizzate possono essere fatte migrare tra le varie risorse fisiche. Per cui può divenire ancora più complesso individuare tutti i dati e le risorse riconducibili ad un determinato utente, nonché ricostruire la sequenza di risorse fisiche su cui sono stati allocati.
  • Multi-tenancy: in un sistema cloud coesistono servizi riconducibili a soggetti diversi (tenant) che condividono le stesse risorse fisiche. La multi-tenancy produce due effetti: consente di ottenere adeguati livelli di privatezza dei dati grazie all’adozione di meccanismi crittografici; rende difficile risalire alla paternità degli artefatti presenti su una determinata risorsa fisica.
  • Trasferimento della responsabilità: gli utenti di un sistema cloud non hanno la possibilità di esercitare un livello di controllo completo sulle proprie risorse virtualizzate e hanno difficoltà a comprendere come vengono gestiti i propri dati. Il livello di controllo dipende dalla modalità di erogazione del servizio. Più la risorsa virtuale è profonda, più l’utente disporrà di controlli sulle risorse e viceversa.

La natura distribuita dei sistemi cloud, la condivisione tra utenti diversi, l’uso di tecnologie di virtualizzazione, l’adozione di meccanismi di replicazione e migrazione di risorse e dati, una stratificazione di responsabilità dovuta alla presenza di componenti forniti da soggetti diversi, pongono svariate criticità che il forenser deve essere in grado di comprendere e, opportunamente, acquisire e gestire, al fine di preservare le proprietà di genuinità, immodificabilità e verificabilità della potenziale evidenza.

Tipologia di fruizione dei servizi

Tipicamente i servizi in cloud sono erogati in una delle modalità di seguito indicate, talvolta combinate tra loro, ovvero:

  • On-premise: è il modello in cui l’hardware, le applicazioni, la connettività e tutti gli altri strumenti necessari, per esempio per la sicurezza o la scalabilità, sono di proprietà; pertanto, la gestione e la responsabilità ricade sulla stessa organizzazione;
  • Infrastructure-as-a-Service (IaaS): è il modello in cui il provider offre l’accesso on-demand a server fisici e virtuali, storage e reti in hosting sul cloud, l’infrastruttura IT di back-end per eseguire le applicazioni e i carichi di lavoro sul cloud, denominato Hypervisor. Esempi di servizi erogati in IaaS: Amazon Web Services (AWS), Google Cloud Platform (GCP);
  • Container as a Service (CaaS): è un modello in cui il provider consente l’accesso on-demand ad ambienti in cui sono offerti i servizi di base, denominati Container Engine, per eseguire le applicazioni (Container). Esempi di servizi erogati in CaaS: Docker e Google Kubernetes Engine (GKE);
  • Platform-as-a-Service (PaaS): è un modello in cui il provider consente l’accesso on-demand a una piattaforma di hosting su cloud, pronta all’uso e completa, per lo sviluppo, l’esecuzione, la manutenzione e la gestione di applicazioni, denominati Servless runtime. Esempi di servizi erogati in PaaS: Heroku, Google App Engine, Microsoft Azure App Service;
  • Function as a Service (FaaS): è un modello in cui il provider consente l’accesso on-demand per creare ed eseguire il deployment di una piccola porzione di codice o di una funzione che esegue un’attività specifica (per esempio un Microservizio). Quando viene eseguita una funzione, il cloud provider aggiunge scalabilità secondo necessità. Esempi di servizi erogati in FaaS: AWS Lambda, Azure Functions, Google Cloud Functions;
  • Software-as-a-Service (SaaS): è un servizio che consente l’accesso on-demand a software applicativo in hosting sul cloud e pronto all’uso. Esempi di servizi erogati in SaaS: Salesforce, Google Workspace, Microsoft 365 e SAP Business ByDesign.

Nell’ambito delle investigazioni digitali, la comprensione della tipologia di erogazione di servizio cloud riveste un ruolo fondamentale perché aiuta a comprendere l’oggetto dell’indagine, il tipo di evidenze da acquisire, gli strumenti e la metodologia da utilizzare; inoltre, consente di tracciare il confine tra le informazioni utente e quelle del provider, individuare le responsabilità in termini contrattuali e, in caso di incidente, la corretta attribuzione dell’eventuale condotta colposa e/o dolosa. L’immagine sottostante raffigura sinteticamente l’ambito di controllo e la responsabilità nelle diverse configurazioni di cloud.

Modelli di deployment – Livelli di Responsabilità (Fonte: Google cloud)
Modelli di deployment – Livelli di Responsabilità (Fonte: Google cloud)

In informatica forense è fondamentale comprendere il concetto ‘As a service’. Esso si riferisce al modo in cui gli asset IT vengono utilizzati e alla differenza sostanziale tra cloud computing e IT tradizionale. Nell’IT tradizionale, un’organizzazione usa gli asset IT, hardware, software di sistema, strumenti di sviluppo, tools per la sicurezza, applicazioni, che acquista, installa, gestisce e di cui effettua la manutenzione nel proprio data center on-premise. Nel cloud computing, il provider di servizi cloud è il proprietario e il responsabile della gestione e della manutenzione degli asset; il cliente utilizza tali asset tramite una connessione Internet e paga in base a un abbonamento o con la modalità PAYG (pay-as-you-go – pagamento a consumo). Inoltre, nella pratica, i servizi di cui fruisce un utente del cloud sono forniti da diverse entità; pertanto, è fondamentale mappare i vari strati e le responsabilità al fine di identificare le evidenze e attribuire la corretta paternità.

Modelli di deployment dei sistemi

Un modello di deployment specifica come è realmente implementata un’architettura software su un’infrastruttura fisica, per esempio tramite l’allocazione di più istanze software su diverse componenti dell’infrastruttura fisica; pertanto, è fondamentale comprenderla prima di avviare un’indagine digitale. In un determinato sistema possono coesistere diversi modelli di deployment, che si possono differenziare tra loro per l’obiettivo che cercano di perseguire: prestazione del sistema, disponibilità dei servizi erogati, sicurezza e/o privatezza dei dati, costo. Molti obiettivi sono divergenti, per cui non è possibile che siano tutti massimizzati.

In ambito cloud sono stati sviluppati diversi modelli di deployment, ognuno progettato per massimizzare determinato obiettivi, tra cui:

  • cloud pubblico: i provider offrono le risorse ad una pluralità di utenti, nessuno dei quali ha l’accesso esclusivo alle risorse. Il cloud pubblico consente all’utente di ottenere un vantaggio economico, per quanto riguarda i costi di avvio e di gestione, e di sgravarsi dalla responsabilità del rischio operativo inerente all’infrastruttura IT. Tuttavia, non consente agli utenti di esercitare un controllo completo sulle risorse utilizzate e, pertanto, risulta poco adatto agli scenari business-oriented, in cui il controllo è essenziale;
  • cloud privato: è concepito per l’utilizzo esclusivo da parte di un solo soggetto utente. Di conseguenza, offre il miglior grado di controllo su prestazioni, affidabilità e sicurezza, a discapito dei costi operativi;
  • cloud ibrido: è una combinazione tra cloud privato e pubblico e cerca di coniugare i vantaggi di entrambe, evitando al contempo gli svantaggi. In un cloud ibrido parte dell’infrastruttura è utilizzata esclusivamente da un unico soggetto, mentre la parte restante è messa a disposizione di altri. L’unica criticità di questa soluzione consiste nel prevedere dei meccanismi e delle politiche in grado di mantenere separate la partizione pubblica da quella privata;
  • multi-cloud: è una combinazione di servizi cloud di due o più fornitori compatibili con specifici requisiti e con il carico di lavoro richiesto. In altri termini, il multi-cloud è una tecnologia cloud ibrida agile e flessibile che utilizza molti servizi di infrastruttura cloud pubblica per ottimizzare le performance, i costi di gestione e la continuità operativa.
Modelli di deployment – Tradizionale, pubblico, privato, ibrido, multi cloud
Modelli di deployment – Tradizionale, pubblico, privato, ibrido, multi cloud

Questo articolo è stato estratto dal white paper “Cloud Computing Forensics: Peculiarità e Indicazioni Metodologiche” disponibile in maniera libera e gratuita al seguente link: https://www.ictsecuritymagazine.com/pubblicazioni/cloud-computing-forensics-peculiarita-e-indicazioni-metodologiche/

Articolo a cura di Vincenzo Calabrò

Profilo Autore

Referente Informatico e Funzionario alla Sicurezza CIS (Ministero dell’Interno).
È laureato in Ingegneria Informatica ed in Sicurezza Informatica presso le Università di Roma La Sapienza e di Milano. Ha, altresì, indirizzato la sua formazione nei settori della Cyber Security e Digital Forensics conseguendo i Masters in Data Protection e Data Governance, IT Risk Management e Sicurezza Informatica ed Investigazioni Digitali, oltre al CERT Certification in Digital Forensics rilasciato da Carnegie Mellon University, all’European Certificate on Cybercrime and E-Evidence (ECCE) rilasciato dall’European Commission’s Directorate General Justice, Freedom and Security.

Condividi sui Social Network:

https://www.ictsecuritymagazine.com/articoli/cloud-computing-forensics-peculiarita-e-indicazioni-metodologiche/




Lessons learned from Trump assassination attempt

@import url(‘https://fonts.googleapis.com/css2?family=Nunito+Sans:ital,opsz,wght@0,6..12,400;0,6..12,500;0,6..12,600;0,6..12,700;1,6..12,400;1,6..12,500;1,6..12,600;1,6..12,700&family=Nunito:ital,wght@0,400;0,500;0,600;0,700;1,400;1,500;1,600;1,700&display=swap’); h3 { font-weight: bold; font-size: 18px; color: #C72026; } figure { padding: 4px; margin: auto; } figcaption { background-color: #f8f8f8; color: #404144; Nunito Sans’, Arial, sans-serif; font-size: 16px; padding: 2px; text-align: center; }

I, like many other Americans, on Saturday, July 13 watched in shock as the news unfolded of the assassination attempt of Former President Donald Trump. Just about every news station and website showed on repeat the unbelievable video of President Trump being pulled off of the stage by Secret Service agents with blood trailing down his face before being escorted away from the scene.

As the story continued to develop, I reached out to some former Secret Service agents for their perspective on the incident. Here Fred Burton, a former police officer, Secret Service Special Agent and New York Times best-selling author, and Travis Forrester, Director of Security and Emergency Management at Greenville County School District and former law enforcement and Secret Service Special Agent, share some of their initial thoughts after the news broke.

What are some key lessons security leaders can learn from the Secret Service’s response to the assassination attempt?

Burton: Like the assassination of John F. Kennedy in Dallas and Reverend Martin Luther King Jr. in Memphis, the attempt to kill President Donald J. Trump in Butler, Pennsylvania, will be studied by protectors for the next 50-years. The sniper attack showed how lone threat actors can exploit gaps in protection plans and operations, using “old school” tactics (like taking the high ground) that have been highly successful in the past. As the dust settles, it will be interesting to learn if the shooter had studied the past attacks on JFK or MLK. After a lifetime of protection, and countless investigations of attacks on VIPs, I would not be surprised in the least to learn that he had researched both. On a practical level, few, if any, corporate CEOs would face the same kind of sniper threat, but the attack is a vivid reminder of the importance of executive protection and special event advance work combined with emergency reaction plans, to include having secure routes of escape, holding rooms (safe havens) and medical resources on standby in the event of an emergency.

Forrester: Security leaders can draw several key lessons from the Secret Service’s response to the assassination attempt. They can evaluate their approach and try to incorporate the following:

  • Comprehensive Risk Assessment: Conduct thorough and continuous risk assessments to identify potential vulnerabilities and threats from all angles, including surrounding buildings and structures.
  • Interagency Collaboration: Enhance coordination and communication with local law enforcement, intelligence agencies, and private security entities to ensure a cohesive and comprehensive security approach.
  • Rapid Response Protocols: Develop and practice rapid response protocols to quickly assess and respond to threats. This includes having predefined evacuation routes and secure locations for protected individuals.
  • Training and Drills: Regularly conduct realistic training exercises and simulations to prepare security personnel for various scenarios. This should include both routine and extraordinary threat situations.
  • Utilizing Technology: Leverage advanced technology for surveillance, threat detection and communication. Integrating real-time data and analytics can enhance situational awareness and response capabilities.
  • Flexibility and Adaptability: Ensure that security plans are flexible and adaptable to changing circumstances. Personnel should be trained to make quick decisions and adapt to unexpected developments.
  • Behavioral Analysis: Implement behavioral analysis techniques to identify potential threats based on patterns of behavior. This can help in preemptively identifying individuals who may pose a risk.
  • Public Awareness and Engagement: Engage with the public and relevant stakeholders to promote awareness and vigilance. Encourage reporting of suspicious activities and ensure that there are clear channels for communication.
  • Debriefing and Learning: Conduct detailed after-action reviews following any incident to identify what worked, what didn’t and why. Use these insights to update protocols and training programs.
  • Resource Allocation: Ensure that resources are allocated effectively to cover all potential threat vectors. This includes investing in both human and technological resources to strengthen overall security measures.
  • Visibility and Deterrence: Maintain a visible security presence to deter potential attackers. Visible measures can include both uniformed personnel and conspicuous surveillance systems.
  • Psychological Preparedness: Prepare security personnel to handle high-stress situations through mental health support and resilience training. The ability to remain calm and focused under pressure is crucial.

What intelligence or indicators might lead to an elevated threat level for a former president?

Burton: History has shown that lone threat actors are the greatest threats to a President of the United States (POTUS). Continuously monitoring known threat actors is key in assessing an elevated threat to a former POTUS. In my experience with the U.S. Secret Service and State Department, protection assets and resources are threat driven, predicated upon protective intelligence threat assessments. Collecting and assessing adverse intelligence signals are key in understanding an elevated threat to a former POTUS. The tremendous benefit that the U.S. Secret Service has in this arena are the exceptional collection capabilities of our national security intelligence community (IC), combined with our intelligence liaison partners. In essence, the IC is always scanning the globe, proactively threat hunting. Threats are rapidly — in real-time — disseminated to the Secret Service. The system works well and is always on. But, terror threats aren’t usually the problem with the “formers”. In all probability, the IC will ferret that out; as evidenced by the recently disclosed alleged Iranian threat directed towards President Trump. It’s the lone threat actor with a rifle or handgun that seems to glide or hide under the radar. The unknowns are the ones that can haunt you and keeping track of the knowns is truly a full-time job, which is why the U.S. Secret Service has a dedicated unit to do so, known as the Protective Intelligence Division.

Forrester: An intelligence indicator is a piece of information or a sign that suggests a potential threat, risk, or significant event that requires attention. These indicators are often used in security and intelligence analysis to assess and anticipate threats, allowing for proactive measures to be taken. Intelligence indicators can be derived from various sources and can take many forms. Here are some examples:

  • Specific Threats: Direct threats made against the former president through various channels, including social media, letters, emails, or phone calls.
  • Credible Intelligence: Information from intelligence agencies indicating a credible plot or threat against the former president, such as plans uncovered during surveillance or interrogation of suspects.
  • Behavioral Indicators: Reports of individuals exhibiting concerning behaviors, such as surveillance of the former president’s residence or frequenting locations the former president is known to visit.
  • Terrorist Activities: Increased activities or communications among terrorist groups that mention the former president or indicate an interest in targeting them.
  • Political or Social Unrest: Heightened political or social tensions, particularly those involving groups or movements opposed to the former president’s policies or actions while in office.
  • International Developments: Changes in the international landscape, such as deteriorating relations with certain countries or emerging global conflicts that could increase the risk to a former president.
  • Cyber Threats: Cyber intelligence indicating attempts to hack into the former president’s communications, personal data, or networks they are associated with.
  • Public Events: The former president’s planned attendance at public events, especially those with large crowds or controversial topics, which might attract potential attackers.
  • Associations with Controversial Figures: Engagements or associations with controversial figures or groups that might provoke adversaries to act against the former president.
  • Changes in Routine: Sudden or significant changes in the former president’s routine or travel plans could make them more vulnerable to threats.
  • Reports from Informants: Tips or reports from informants or confidential sources indicating a potential threat or suspicious activity.
  • Incidents Involving Other High-Profile Individuals or Former/Current Presidents/Dignitaries: Attacks or plots against other high-profile individuals suggest a broader threat landscape.
  • By monitoring and analyzing these and other indicators, the Secret Service and other protective agencies can assess the threat level and adjust security measures accordingly.

https://www.securitymagazine.com/articles/101036-lessons-learned-from-trump-assassination-attempt




Leadership lessons at the movies

@import url(‘https://fonts.googleapis.com/css2?family=Nunito+Sans:ital,opsz,wght@0,6..12,400;0,6..12,500;0,6..12,600;0,6..12,700;1,6..12,400;1,6..12,500;1,6..12,600;1,6..12,700&family=Nunito:ital,wght@0,400;0,500;0,600;0,700;1,400;1,500;1,600;1,700&display=swap’); h3 {font-weight: bold;font-size: 18px;color: #C72026;}
figure {padding: 4px;margin: auto;}
figcaption {background-color: #f8f8f8;color: #404144;Nunito Sans’, Arial, sans-serif;font-size: 16px;padding: 2px;text-align: center;}

In 2011, Dave Logan, John King and Halee Fischer-Wright introduced “tribal leadership,” in which members of an organization cluster together based on shared beliefs and outlooks. So while the security, marketing and operations departments may have their unique cultures, employees will naturally gravitate toward like-minded people beyond their division.

Each tribe — which may contain 20 to 150 people — occupies a specific stage, according to this theory.

Stage 1 tribes believe “Life sucks, and so does this organization.” These members represent the most toxic people in the workforce, as well as society.

In Stage 2, the tribe evolves slightly. Life doesn’t suck, per se, just their life. Members are typically jaded, bitter, disengaged and unaccountable.

Stage 3 members believe that they are great but most of the rest of the organization is worthless. This is the “I’m Great (and You’re Not) phase, characterized by goal-driven, ambitious people who are only out for themselves. While they may achieve excellent personal results, they often undermine corporate culture.

At Stage 4 — “We’re Great” — the tribe approaches self-actualization. They produce excellent results working as a team, eschewing office politics and self-aggrandizement. This often is the highest sustainable level of tribal evolution.

In Stage 5, “Life Is Great.” The tribe works seamlessly and altruistically to produce benefits or innovations that better the world. Reaching this sublime level is rare and transitory.

I recently took an online Risk 2 Solution course taught by Dr. Paul Johnston, an Australia-based behavioral scientist. He led the class through an excellent assessment of Tribal Leadership — during which time I learned that he is a film buff.

On that note, I have selected movies that closely align with the five stages of Tribal Leadership, along with suggestions on how the protagonist(s) can advance to a higher stage. 

Stage 1: “Life sucks”

Fight Club: The unnamed narrator’s job is to perform cost-benefit analyses to determine whether his company should do a recall of products. Interestingly, he works for compliance, but tries to undermine the organization as a toxic example of ultra-consumerism by placing profit over life. His “we suck” attitude pertains not only to the office, but to corporate America and consumerism in general.

Getting to Stage 2: Considering he just blew up half the city, the outlook isn’t good. 

Stage 2: “My life sucks”

American Beauty: Protagonist Lester Burnham feels enslaved to his job as an advertising executive. In fact, clever cinematography provides imagery such as Lester’s reflection in a computer monitor with streams of data, making him look like he’s behind bars. In the director’s commentary track on DVD, Sam Mendes talks about intentionally creating shots at the office that suggest jail cells. It fits with the movie’s overall theme of imprisonment and escape. The “My life sucks” attitude goes way beyond the office — it permeates his entire life.

Getting to Stage 3: If we could rewrite the ending, Lester would reassess his life, including finding a job that gives him purpose. 

Stage 3: “I’m great (and you’re not)”

The Social Network: Jesse Eisenberg portrays Mark Zuckerberg as the ultimate arrogant executive, who takes sole credit for creating Facebook and demeaning the efforts of his various colleagues, including the Winklevoss twins and Eduardo Saverin. He is supremely selfish and shows contempt for anyone who questions his greatness, as in the scene when he rails against a lawyer in a deposition:

I think if your clients want to sit on my shoulders and call themselves tall, they have the right to give it a try — but there’s no requirement that I enjoy sitting here listening to people lie. You have part of my attention — you have the minimum amount. The rest of my attention is back at the offices of Facebook, where my colleagues and I are doing things that no one in this room, including and especially your clients, are intellectually or creatively capable of doing.

Getting to Stage 4: The real Zuckerberg may have gotten to Stage 4 by working with a team to build much of the social media landscape, while amassing many enemies along the way. 

Stage 4: “We’re great”

Moneyball: Though it takes a while, Brad Pitt’s Billy Beane eventually rallies management around his sabermetric method of rebuilding the Oakland A’s baseball team. They battle the baseball orthodoxy that relies on assessing players using subjective factors, such as drive, intelligence, and hustle. It’s the A’s against the baseball world!

Getting to Stage 5: With everyone buying in, they win the World Series.

Stage 5: “Life is great”

Apollo 13: Astronauts who have experienced a catastrophic oxygen tank explosion race against time to work with staff at mission control to return to Earth safely. The NASA flight director inspires his team — calling them a great collection of minds — to work together, creatively, to jury-rig a workable way home for the astronauts. He appeals to their extraordinary abilities in his appeal to collaborate quickly and effectively. They achieve the virtually impossible. Quintessential “Everything is great.”

Remaining at Stage 5: The NASA team could have stayed at the level for a while based on the herculean effort, wondrous results, and the public adulation. But the event that created this cohort was probably a one-time situation for most of the participants.

When I asked Johnston his opinion on my film characterizations, he one-upped me with a character who he says occupied all five stages among several movies: Anakin Skywalker. He was a child slave with little hope (Stages 1 and 2), a cocky young man itching to become a Jedi Knight (Stage 3), and a young Jedi Knight in training eager to join fellow guardians of peace and justice (Stage 4). And Stage 5? Johnston contends it’s when Anakin is lured to the Dark Side by where he can “realize limitless potential, bounded only by imagination and commitment.”

Johnston takes the Star Wars metaphor further: “Understanding the complexities of cultural dynamics within a team or organization is key, as this is the “force” that can be either be used to create a strong, positive culture or can lead to the dark side of an ego-driven environment.”

May the workforce be with you!

https://www.securitymagazine.com/articles/101035-leadership-lessons-at-the-movies




Finto password manager usato per distribuire malware tra gli sviluppatori


I ricercatori di ReversingLabs hanno identificato alcune attività malevole che sfruttavano un finto password manager per distribuire malware tra gli sviluppatori. Secondo il team della compagnia, gli attacchi sarebbero legati a VMConnect, una campagna attiva da oltre un anno legata al gruppo hacker nord coreano Lazarus Group.

A partire da agosto 2023, il gruppo ha caricato numerosi pacchetti malevoli sul repository PyPI; i pacchetti contenevano un malware che, una volta eseguito e installato sul dispositivo della vittima, comunicava col serve degli attaccanti per scaricare altri payload malevoli.

malware sviluppatori

Pixabay

Il codice del malware diretto agli sviluppatori era contenuto nei moduli pyperclip e pyrebase del progetto, precisamente nei file _init_.py e rispettivi compilati, come stringa codificata in Base64 che nasconde il downloader. Il codice malevolo effettuava una richiesta HTTP al server controllato dagli attaccanti ed esegue i comandi Python che riceveva in risposta.

Le ultime attività identificate sfruttavano questo stesso meccanismo per distribuire malware, anche se in questo caso il payload iniziale veniva distribuito tramite un progetto Python camuffato da test da superare durante un colloquio di lavoro. I pacchetti malevoli venivano caricati su Github e condivisi con gli sviluppatori candidati da hacker di Lazarus Group che si fingevano recruiter.

Il malware diretto agli sviluppatori

Nelle attività analizzate dai ricercatori, il gruppo proponeva agli sviluppatori un archivio chiamato “Python_Skill_Test” in cui c’era un password manager da eseguire e analizzare (contenente il malware) e un README con le istruzioni da seguire per superare il test. Ai candidati veniva chiesto di individuare i bug presenti nel progetto e sistemarli in 15 minuti, per poi effettuare nuovamente la build del software e sottoporre la soluzione entro 10 minuti.

Gli attaccanti giocavano sul senso di urgenza per spingere gli sviluppatori a eseguire il malware contenuto nell’archivio senza lasciargli il tempo di insospettirsi.

Anche se questi attacchi risalgono a oltre sei mesi fa, la campagna è ancora attiva: lo scorso 31 luglio i ricercatori di ReversingLabs hanno individuato alcune attività su uno degli account GitHub usati per distribuire il pacchetto malevolo. Il repository creato a fine luglio è stato notificato come sospetto ed è stato rimosso da GitHub, ma il team di ReversingLabs sta tuttora osservando la nascita di nuovi progetti legati alla campagna.

Pixabay

La battaglia contro VMConnect non sarebbe ancora finita, quindi; per di più, si tratta di un trend che probabilmente continuerà a crescere. “Campagne come questa che sfruttano pacchetti e piattaforme open source per colpire gli sviluppatori, sono una tendenza in crescita tra i gruppi di criminali informatici e hacker supportati dai governi. Il Lazarus Group della Corea del Nord, che si ritiene sia dietro questa campagna, è un buon indicatore di come queste minacce si stiano sviluppando” hanno spiegato i ricercatori.

Per proteggersi da questi attacchi è essenziale ricordarsi di non scaricare file né eseguire codice proveniente da fonti non legittime e utilizzare soluzioni di sicurezza che aiutino a individuare i download sospetti.

Condividi l’articolo



Articoli correlati

Altro in questa categoria


https://www.securityinfo.it/2024/09/12/finto-password-manager-usato-per-distribuire-malware-tra-gli-sviluppatori/?utm_source=rss&utm_medium=rss&utm_campaign=finto-password-manager-usato-per-distribuire-malware-tra-gli-sviluppatori