Giu 25, 2024 Marina Londei Approfondimenti, News, RSS, Tecnologia, Tecnologia 0

---

Google ha annunciato Project Naptime, un framework che punta a migliorare la ricerca delle vulnerabilità nei software abilitata dall’intelligenza artificiale.

“Con il miglioramento della capacità di comprensione del codice e di ragionamento generale dei Large Language Models (LLM), abbiamo esplorato il modo in cui questi modelli possono riprodurre l’approccio sistematico di un ricercatore di sicurezza umano nell’identificare e dimostrare le vulnerabilità della sicurezza” spiegano Sergei Glazunov e Mark Brand, ricercatori di Project Zero, team di ricercatori di sicurezza di Google che si dedica allo studio di vulnerabilità zero-day e a rendere più difficile lo sfruttamento di questi bug.

L’obiettivo è superare i limiti degli attuali approcci per l’individuazione automatica delle vulnerabilità e sviluppare dei tool in grado di identificare anche i bug zero-day più complessi e difficili da riprodurre.

Project Naptime utilizza un’architettura specializzata per migliorare la capacità degli LLM di cercare le vulnerabilità. “Questo progetto è stato chiamato “Naptime” perché ha il potenziale di farci fare dei sonnellini regolari mentre ci aiuta con il nostro lavoro” affermano Glazunov e Brand.

Come funziona Project Naptime

L’architettura proposta si basa sull’interazione tra un agente IA e del codice sorgente da analizzare e sfrutta una serie di tool specializzati pensati per simulare il flusso di lavoro di un ricercatore di sicurezza.

Project Naptime è composto da quattro componenti principali:

• il Code Browser, il tool che permette all’agente di analizzare la codebase accedendo a funzioni e variabili e identificando tutti i punti in cui una funzione o un’altra entità viene referenziata. La feature è pensata per gestire codebase estese e facilitare l’esplorazione di segmenti di codice semanticamente significativi, in modo simile al processo di analisi umano;
• un tool basato su Python che permette di eseguire script Python in una sandbox per i calcoli intermedi e generare input precisi e complessi da dare in pasto al codice;
• il debugger, un tool che consente all’agente di IA di interagire col codice e osservare il comportamento a seconda di diversi input. Il debugger supporta l’inserimento di breakpoint per l’analisi dinamica del flusso del codice;
• infine, il reporter, un meccanismo per permettere all’agente di comunicare il proprio progresso. Dopo il completamento di un task. l’agente invia una richiesta al Controller principale del framework per verificare se si verifica la condizione prevista (per esempio il crash del programma) e di conseguenza confermare la presenza di una o più vulnerabilità.

Poiché il sistema è agnostico rispetto al modello e al backend, lo si può utilizzare come un ambiente indipendente e autonomo per la ricerca delle vulnerabilità.

“Naptime consente a un LLM di eseguire ricerche sulle vulnerabilità che imitano l’approccio iterativo e basato su ipotesi degli esperti di sicurezza umani. Questa architettura non solo migliora la capacità dell’agente di identificare e analizzare le vulnerabilità, ma garantisce anche che i risultati siano accurati e riproducibili” spiegano Glazunov e Brand.

I risultati dei test

I ricercatori hanno misurato le performance di Project Naptime utilizzando CyberSecEval 2, una suite di benchmark realizzata da Meta per misurare le capacità di sicurezza degli LLM. La suite mette a disposizione dei setting realistici per la valutazione di task end-to-end, dalla scoperta dei bug alla riproduzione dell’exploit, e misura il successo delle operazioni.

Per ogni “sfida” del benchmark, l’LLM può ottenere un punteggio che va da 0 a 1, con 1 che indica il successo totale; qualsiasi risultato inferiore a 1 indica che il modello è riuscito solo parzialmente a superare la sfida.

Project Naptime ha ottenuto 1 nei test di Buffer Overflow superando il punteggio massimo registrato finora di 0.05, e 0.76 nei test di Advanced Memory Corruption (precedentemente era 0.24).

“Riteniamo che nei compiti in cui un esperto umano si affida a più fasi iterative di ragionamento, formazione di ipotesi e convalida, dobbiamo fornire la stessa flessibilità ai modelli; altrimenti, i risultati non possono riflettere il vero livello di capacità dei modelli” affermano i ricercatori.

Glazunov e Brand sottolineano comunque che Naptime necessita di essere perfezionato affinché abbia un impatto significativo sulle attività dei ricercatori. In ogni caso, il framework dimostrato risultati eccellenti che rappresentano un passo importante per il progresso di questi strumenti e di conseguenza per il miglioramento delle capacità di analisi delle vulnerabilità.

---

---

---

https://www.securityinfo.it/2024/06/25/google-presenta-project-naptime-per-la-ricerca-delle-vulnerabilita-tramite-ia/?utm_source=rss&utm_medium=rss&utm_campaign=google-presenta-project-naptime-per-la-ricerca-delle-vulnerabilita-tramite-ia

Nella Tavola Rotonda “International cooperation on cybercrime and electronic evidence: tools and good practices”, che ha aperto i lavori nella seconda giornata della Cyber Crime Conference 2024, è stato esposto l’attuale quadro in tema di cooperazione internazionale per il contrasto ai reati informatici.

RELATORI:

• H.E. Claudio Peguero Castillo, Cyber Ambassador of the Dominican Republic and Vice Chair of the UN Ad-Hoc Committee on Cybercrime
• Claudia Pina, European Judicial Cybercrime Network Support Team Coordinator, EuroJust
• Vincent Danjean, Head of the Cyberspace and New Technologies Laboratory – INTERPOL Innovation Centre
• Matteo Lucchetti, Direttore di Cyber 4.0 – National Cyber Security Competence Center, in veste di moderatore del panel

Guarda la registrazione video del panel:

Verso la Convenzione ONU sul cybercrime

Il dibattito è partito dagli sforzi delle Nazioni Unite per stabilire un Trattato globale sulla criminalità informatica, contestualizzando la nuova normativa nel quadro già vigente a livello europeo e mondiale, la cui fonte principale è oggi la Convenzione di Budapest.

Come ricordato dall’Ambasciatore Peguero Castillo – che ne è Vice Presidente – i lavori del Comitato ad hoc, istituito già nel 2019 ma poi rallentato dalla pandemia, sono iniziati nel 2021 con l’obiettivo di redigere una convenzione internazionale completa sul contrasto all’uso delle tecnologie ICT a fini criminali.

Allo stato attuale dei negoziati è stato raggiunto un pieno accordo rispetto a 19 articoli su 67 (e un accordo virtuale su altri 30), mentre 18 articoli rimangono “irrisolti”.

Circa le principali divergenze tra gli Stati membri l’Ambasciatore ha citato il raggio applicativo della normativa (ovvero se concentrarsi solo sui reati informatici in senso stretto o adottare un approccio più ampio), la portata della condivisione transfrontaliera di prove elettroniche in ambito investigativo e giudiziario (quindi se consentirla solo per i reati oggetto della Convenzione o per ogni tipo d’indagine) nonché l’inclusione di forme di tutela dei diritti umani, così da prevenire l’uso improprio della Convenzione a fini di persecuzione politica.

Gli attuali sforzi negoziali mirano a individuare soluzioni condivise al fine di raggiungere il consenso maggioritario in seno all’Assemblea e garantire un’accettazione delle nuove regole quanto più vasta possibile.

Rispetto infine alle tempistiche previste per la finalizzazione del Trattato, una bozza unitaria dovrebbe essere pronta entro la fine del 2024.

Meccanismi di cooperazione dell’Unione europea e dell’Interpol

La Tavola Rotonda ha riguardato anche i meccanismi di cooperazione attualmente vigenti in seno all’Unione Europea.

Claudia Pina – coordinatrice del Cybercrime Network Support Team presso EuroJust – ha illustrato le iniziative dell’organismo e della Rete giudiziaria per la criminalità informatica (DGCN), nata per facilitare sia i procedimenti relativi allo scambio di prove tra le autorità giudiziarie dei singoli Stati sia il coordinamento delle indagini transfrontaliere.

Ha poi parlato di assistenza alle vittime, sottolineando l’importanza di meccanismi di alert per avvisare aziende o singoli colpiti da attacchi informatici e supportarli nella fase di remediation.

A seguire, l’intervento di Vincent Danjean – a capo della divisione Cyberspace dell’INTERPOL Innovation Centre – ha messo in luce il ruolo cruciale dell’Interpol nel campo delle indagini sulla criminalità informatica, portando ad esempio il progetto “Gateway” per coordinare le attività di threat analysis sui dati ricevuti dal settore privato.

Il relatore ha menzionato anche il nuovo Centro specializzato sulle attività di contrasto al financial crime e alla corruzione, che intende potenziare il raggio delle azioni al cybercrime di tipo finanziario, oggi particolarmente attivo in ambito di cryptocurrencies.

Prospettive e sfide future

In conclusione del panel, guardando al prossimo futuro, sono state illustrate le continue sfide da affrontare per tenere il passo con l’evoluzione tecnologica e garantire un’efficace cooperazione internazionale a livello investigativo e giudiziario.

I relatori si sono trovati concordi in merito alle aree che richiederanno una sempre più stretta collaborazione: come la problematica della data retention, la gestione del potenziale uso improprio degli strumenti, l’adattamento ai nuovi sviluppi delle tecnologie e l’importanza di mantenere la fiducia tra tutte le parti interessate.

Il programma completo della Cyber Crime Conference 2024 è disponibile al seguente link: https://www.ictsecuritymagazine.com/eventi/cybercrimeconference2024#programma

Iscriviti alla nostra newsletter per rimanere aggiornate sulle nostre iniziative: https://www.ictsecuritymagazine.com/newsletter/

https://www.ictsecuritymagazine.com/cybersecurity-video/international-cooperation-on-cybercrime-and-electronic-evidence-tools-and-good-practices-tavola-rotonda/

Healthcare organizations are increasingly adopting remote work as a permanent strategy. In this new era, robust cybersecurity is critical. This article delves into strategies healthcare organizations can implement to empower their remote workforce and protect sensitive patient and corporate data.

Understanding shared security responsibility

With remote employees now relying on IT resources beyond the control of healthcare organizations, the concept of shared security responsibility becomes paramount. It’s not just about organizations securing as much of the remote work environment as possible; it’s about employees understanding their crucial role in this process. This mutual understanding is the foundation of a secure remote work environment.

For example, organizations often provide remote workers with laptops and tablets. This strategy allows the organization to take primary responsibility for device security. Employees, in turn, must follow organizational policies and guidelines regarding device usage and security.

In contrast, employees who use personal devices often take on significant responsibilities for configuring their devices, applying security updates and monitoring for malware. Organizations are responsible for ensuring these Bring Your Device (BYOD) arrangements comply with security policies.

Recognizing and understanding the shared responsibilities is the first step towards a secure remote work environment. Organizations and employees can better navigate the necessary security practices with this foundation.

Protecting endpoints

Endpoints represent potential vulnerabilities in remote work environments. The following actions should be taken to reduce the cyber risk associated with the use of these devices:

• Activate encryption on all sensitive files and devices to ensure that data remains secure even if intercepted or the device is lost or stolen.
• Regularly update antivirus software and scan devices to protect against malware and viruses.
• Apply security updates and patches promptly to all operating systems and applications, keeping security features current.
• Enable firewalls on all devices to monitor and control the data that travels to and from the device, preventing unauthorized access.
• Secure mobile devices by installing trusted security applications, regularly updating them and using security features like remote wipes in case of loss or theft.
• Use strong, unique passwords for endpoints.

Organizations implementing a BYOD strategy may consider mandating the installation of mobile device management (MDM) and data loss prevention (DLP) tools on personal devices. These tools offer tracking, data wiping capabilities, policy enforcement, encryption and monitoring, allowing the organization to take on more security responsibilities. Although beneficial, MDM and DLP tools can raise privacy concerns due to their access to personal data. Organizations must implement clear privacy policies to address these concerns and enable employees to manage their privacy settings effectively.

Securing home networks

Home networks serve as the gateway to remote work for most healthcare professionals, making their security a top priority. Organizations should encourage and assist employees to:

• Securely configure routers, change default passwords and use strong, complex passwords.
• Set up a dedicated network for work-related activities to segregate personal and professional data.
• Implement robust Wi-Fi security protocols like Wi-Fi Protected Access 3 (WPA3) to enhance protection against unauthorized access.
• Use network firewalls to monitor and control incoming and outgoing traffic, securing home networks from potential intrusions.

Using public networks

Organizations must recognize that remote employees may access resources from networks other than their home network. When accessing organizational resources from public networks, remote healthcare workers must exercise caution to protect sensitive data from interception by malicious actors. Employees should:

• Connect only to secure Wi-Fi networks for work-related tasks and avoid using public Wi-Fi without VPN protection.
• Disable auto-connect features on all devices to prevent them from automatically connecting to potentially unsafe networks.
• Be cautious of network spoofing; verify network authenticity before connecting to prevent data theft.

Securing access to corporate resources

In remote work, implementing effective authentication and access controls is critical for maintaining the security of healthcare data. Adequate security measures include:

• Implementing robust authentication protocols, including multi-factor authentication (MFA). Requiring a combination of passwords, biometric verification, and security tokens enhances security defenses against unauthorized access.
• Following secure connection practices; requiring virtual private networks (VPNs) to create a safe and encrypted channel for accessing corporate resources.
• Deploying conditional access systems that assess the risk profile of a login attempt based on factors like location, device compliance, and user behavior before granting access.
• Conducting regular audits and access reviews to ensure appropriateness and adjust controls as necessary. This helps prevent the accumulation of unnecessary access rights that could increase security risks.

Advanced security measures

Organizations may elect to introduce advanced measures to enhance remote work security further:

• Behavioral analytics tools can help detect unusual activities that might indicate a security breach.
• Zero-trust policies, requiring verification from everyone attempting to access network resources, can effectively minimize potential insider threats.

Navigating shared vigilance

Maintaining a culture of shared vigilance between organizations and employees is vital for effective cybersecurity in remote healthcare work environments. Organizations should:

• Provide ongoing cybersecurity training that includes simulations of phishing and other common attacks to help employees recognize and respond to threats.
• Establish clear protocols for reporting security incidents, making it easy and mandatory for employees to report suspicious activities quickly.
• Foster open communication between remote workers and IT teams to discuss and address security concerns promptly.

Understanding and embracing shared security responsibilities is essential for mitigating risks in healthcare’s remote work environment. By following tailored guidance for securing networks and endpoints, healthcare organizations can ensure the safety of patient data. 

https://www.securitymagazine.com/articles/100683-empowering-remote-healthcare-workers-a-collaborative-approach

WordPress plugins running on as many as 36,000 websites have been backdoored in a supply-chain attack with unknown origins, security researchers said on Monday.

So far, five plugins are known to be affected in the campaign, which was active as recently as Monday morning, researchers from security firm Wordfence reported. Over the past week, unknown threat actors have added malicious functions to updates available for the plugins on WordPress.org, the official site for the open source WordPress CMS software. When installed, the updates automatically create an attacker-controlled administrative account that provides full control over the compromised site. The updates also add content designed to goose search results.

Poisoning the well

“The injected malicious code is not very sophisticated or heavily obfuscated and contains comments throughout making it easy to follow,” the researchers wrote. “The earliest injection appears to date back to June 21st, 2024, and the threat actor was still actively making updates to plugins as recently as 5 hours ago.”

The five plugins are:

Over the past decade, supply chain attacks have evolved into one of the most effective vectors for installing malware. By poisoning software at the very source, threat actors can infect large numbers of devices when users do nothing more than run a trusted update or installation file. Earlier this year, disaster was narrowly averted after a backdoor planted in the widely used open source XZ Utils code library used by was discovered, largely by luck, a week or two before it was scheduled for general release. Examples of other recent supply-chain attacks abound.

The researchers are in the process of further investigating the malware and how it became available for download in the WordPress plugin channel. Representatives of WordPress, BLAZE, and Social Warfare didn’t respond to emailed questions. Representatives for developers of the remaining three plugins couldn’t be reached because they provided no contact information on their sites.

The Wordfence researchers said the first indication they found of the attack was on Saturday from this post by a member of the WordPress plugins review team. The researchers analyzed the malicious file and identified four other plugins that were infected with similar code. The researchers wrote further:

At this stage, we know that the injected malware attempts to create a new administrative user account and then sends those details back to the attacker-controlled server. In addition, it appears the threat actor also injected malicious JavaScript into the footer of websites that appears to add SEO spam throughout the website. The injected malicious code is not very sophisticated or heavily obfuscated and contains comments throughout making it easy to follow. The earliest injection appears to date back to June 21st, 2024, and the threat actor was still actively making updates to plugins as recently as 5 hours ago. At this point we do not know exactly how the threat actor was able to infect these plugins.

Anyone who has installed one of these plugins should uninstall it immediately and carefully inspect their site for recently created admin accounts and malicious or unauthorized content. Sites that use the Wordfence Vulnerability Scanner will receive a warning if they’re running one of the plugins.

The Wordfence post also recommended people check their sites for connections from the IP address 94.156.79.8 and admin accounts with the usernames Options or PluginAuth.

https://arstechnica.com/?p=2033226

Giu 24, 2024 Marina Londei Approfondimenti, Attacchi, News, RSS, Tecnologia 0

---

Le industrie regolamentate, cioè appartenenti a settori quali il sanitario, l’assicurativo-finanziario e quello delle telecomunicazioni, sono uno degli obiettivi più interessanti per i cyberattaccanti: queste organizzazioni hanno un’elevata quantità di dati sensibili che sono di grande valore per chi vuole ottenere un vantaggio finanziario o strategico.

Per proteggersi dalle nuove minacce, queste realtà si stanno affidando a soluzioni di sicurezza robuste e di alto livello con l’obiettivo di salvaguardare i propri dati e l’operatività.

Un attento report di The Hacker News sottolinea che queste industrie devono rispettare delle regolamentazioni molto severe in termini di privacy, sicurezza e compliance dei dati; se questi standard non vengono soddisfatti ci sono delle conseguenze legali e sanzioni non indifferenti, oltre a importanti danni alla reputazione.

Negli ultimi cinque anni gli attacchi contro le industrie regolamentate sono cresciuti a dismisura e queste realtà si trovano a dover fronteggiare minacce ogni giorno. In tal senso, le difese di livello militare offrono il livello di protezione adeguato: sfruttando funzionalità di threat intelligence, l’analisi dei dati in tempo reale e algoritmi di machine learning, queste soluzioni non si limitano solo a individuare eventuali anomalie, ma prevengono breach e attacchi prima che avvengano.

Le strategie di difesa di livello militare si basano su approcci zero-trust per garantire che la rete aziendale sia protetta non solo da attacchi esterni, ma anche da minacce interne, sempre più frequenti.

Le industrie regolamentate investono su nuove tecnologie e strategie

Le strategie di cybersecurity usate dalle organizzazioni militare sono da sempre le più avanzate: i meccanismi di difesa di queste organizzazioni sono pensati per proteggere obiettivi altamente sensibili, strettamente legati agli interessi nazionali.

Visto l’aumento in numero e complessità degli attacchi, le realtà di altri settori hanno riconosciuto l’importanza di adottare queste tecnologie per proteggersi. Le soluzioni che offrono un elevato livello di protezione si basano sulla prevenzione proattiva delle minacce, una componente essenziale per confrontarsi col moderno panorama del cybercrimine.

La protezione di livello militare non si basa solo su strategie e tecnologie avanzate, ma anche su collaborazioni intra- e inter- settoriali che consentono di migliorare la postura di sicurezza di tutti gli attori coinvolti. Le industrie del settore regolamentato stanno stringendo partnership con agenzie governative, enti di difesa ed esperti di cybersecurity per accedere alle tecnologie di ultima generazione e alle best-practice di settore, fondamentali per rimanere al passo delle nuove minacce.

Scegliere soluzioni robuste e all’avanguardia è fondamentale per proteggere gli asset più preziosi delle imprese e non farsi trovare impreparati di fronte ai nuovi cyberattacchi.

---

---

---

https://www.securityinfo.it/2024/06/24/industrie-regolamentate-scelgono-difese-livello-militare/?utm_source=rss&utm_medium=rss&utm_campaign=industrie-regolamentate-scelgono-difese-livello-militare

Organizations may overlook implementing a proper data protection strategy program because there is a misconception that SaaS providers can recover data when a problem occurs; however, organizations are responsible for backing up and restoring their own data.

Because data resiliency and security remain real and present concerns for all companies leveraging cloud services, proactive cyber risk management strategies that use backup analytics to maintain business continuity are crucial.

The need for timely recovery

Organizations need to understand that having a backup does not equate to being resilient against data loss or corruption. The ability to restore data rapidly back into good condition is harder than many organizations realize. Data shows that 36% of company backups are incomplete, and 50% of restores fail. 

A key to timely recovery is being able to restore precisely what was damaged rather than having to restore everything in its entirety unnecessarily, which wastes valuable time and resources. Performing routine analytics on backups and periodic tests of recovery capabilities can ensure timely recovery, preventing weeks of downtime and six to seven-figure business interruption. Regulations also require organizations to test their backup and recovery readiness at least annually to ensure that their personnel, processes and platform can meet the Recovery Time Objective (RTO), limiting disruption and cost to a tolerable level for the business.

Organizations can optimize their data resiliency strategies by periodically practicing data recovery from backups to ensure they are able to restore business operations quickly and reliably.

Hidden SaaS dependencies

Organizations often overlook a critical hidden dependency for handling IT issues, which is their ticketing and workflow system to support IT troubleshooting. When a service disruption occurs, resolving the problem may take longer if IT support staff cannot access their ticket tracking and troubleshooting workflows, many of which are SaaS solutions. An effective approach to uncovering such hidden dependencies is to run a tabletop exercise that simulates the response to an incident that simultaneously disrupts a critical service and damages workflows and supporting data used for IT troubleshooting.

Another often overlooked dependency is the links between items stored in databases and SaaS applications, creating a parent-child hierarchy that can be multiple levels deep. Depending on the depth of impact a data loss has on this hierarchy, it can be difficult to restore the original parent-child relationships in the data. True data resiliency requires fit-for-purpose technical solutions that can completely reconstruct both the data and parent-child relationships from backups. Discrepancies between the identifiers used to link between SaaS data elements also add complexity. This can confuse automated solutions that do not notice the same information already exists and restore the duplicate data from the backup, resulting in added work to clean up the duplicates. 

By recognizing hidden risks to data resiliency, organizations can be poised for better recovery when an IT disruption or data loss happens. 

Proactive detection strategies

Business disruption increases proportionally to the time it takes to detect and recover from the problem. For that reason, organizations must shift their focus from a reactive approach to a proactive strategy. This includes problem detection by performing automated analytics and anomaly alerting on backups.

Having proactive preservation strategies in place that can perform analyses on a separate secure platform eliminates the risks of touching live systems and impacting business operations. This approach follows forensic best practices of performing analysis on a working copy of data rather than the original. Proactively preserving all the available contents and context of a SaaS database enables forensic data recovery. Preserving data that can be easily accessible after a ransom attack or when a SaaS provider system is inaccessible supports business continuity.

Data loss and corruption incidents are not always obvious and can cause problems down the road if they are not detected and repaired promptly. Examples of data modifications between backups include content additions, deletions and alterations. Metadata modifications between backups include schema and permission additions, removals and changes. The most effective way to detect data loss and corruption is to perform a comparative analysis between backups over time, looking for anomalous modifications.

By utilizing the historical data available in backups, deviations from past normal patterns of use can be detected. Automatically generating alerts, when deviations occur, enables proactive detection and reduces the risk of such problems going unnoticed for prolonged periods.

Mitigating data disruption 

Implementing approaches that enable organizations to test and understand the effectiveness of plans and processes increases their ability to bounce back quickly from a major data loss/corruption, which helps reduce the chances of issues further escalating. For example, a Recovery Point Objective (RPO) limits how much an organization can afford to lose in a data loss or corruption. This means that they need to consider adopting technologies like continuous backup to help reduce RPO to zero.

Data resiliency and timely recovery are about more than having the necessary people, processes, and platforms in place. 

In today’s landscape, organizations must ensure they are prepared, have the practices in place, and are supported by experienced experts to mitigate issues. The emphasis on preparation, practice and support truly enables organizations to handle any data loss or corruption issue promptly and effectively.

https://www.securitymagazine.com/articles/100668-optimizing-data-resiliency-strategies-to-improve-business-continuity

Zed Attack Proxy (zaproxy.org) ) è uno strumento OWASP di sicurezza informatica open source progettato per sviluppatori e esperti di sicurezza informatica, finalizzato a identificare e correggere le vulnerabilità nelle applicazioni web.

Questo strumento appartiene al Project OWASP (Open Web Application Security Project), un’organizzazione che si impegna a migliorare la sicurezza delle applicazioni web attraverso la condivisione di conoscenze e risorse. Effettuare test regolari e approfonditi per le web app è fondamentale per garantire la qualità e la sicurezza dell’applicazione e per offrire agli utenti un’esperienza ottimale.

ZAP offre diverse funzionalità per testare e analizzare la sicurezza delle applicazioni web, tra cui SQL-injection, Remote file inclusion, cross-site scripting (XSS), clickjacking, vulnerabilità di sicurezza SSL/TLS e tecniche di fuzzing. Questo tipo di test consente di verificare che le applicazioni siano reattive, intuitive per l’utente e prive di errori o vulnerabilità. Tra i test di funzionalità c’è la verifica che tutte le funzionalità dell’applicazione siano implementate correttamente e rispondano alle aspettative dell’utente, altri test sono le operazione di pentest, ovvero test di sicurezza che individuano eventuali vulnerabilità e rischi per la sicurezza dell’applicazione. Una delle funzioni più interessanti è quella dei break-points, funzione che permette di intercettare una richiesta dal browser e cambiarla prima che raggiunga la Web app, così da poter cambiare o disabilitare campi nascosti, modificare i dati e bypassare la “client-side validation”. I break-points possono essere impostati o con il pulsante dedicato nella toolbar, oppure su singoli elementi tramite menu con click sulla voce HTTP break point.

Il fuzzing è una tecnica di testing automatizzata che consiste nel generare input casuali o semi-casuali per un programma informatico allo scopo di individuare vulnerabilità o bug. Questo metodo è particolarmente utile nel contesto della sicurezza informatica, in quanto consente di identificare potenziali falle nel software che potrebbero essere sfruttate da attaccanti.

Il fuzzing può essere eseguito in diverse modalità, come ad esempio il fuzzing basato su mutazione, in cui vengono modificati in modo casuale i dati di input, o il fuzzing basato su generazione di input, in cui vengono creati input validi ma inaspettati.

Questa tecnica è ampiamente utilizzata dagli esperti di sicurezza informatica per testare la robustezza dei software e per individuare vulnerabilità che potrebbero essere sfruttate da malintenzionati. Grazie al fuzzing, è possibile aumentare la sicurezza dei sistemi informatici e proteggere i dati sensibili dagli attacchi informatici. ZAP viene usato per trovare problematiche di security misconfiguration, vulnerable/outdated components e insecure design.

Grazie alla sua interfaccia utente intuitiva e alla sua flessibilità, ZAP è diventato uno strumento popolare tra gli sviluppatori e gli esperti di sicurezza. È in grado di supportare sia test automatizzati che manuali, consentendo agli utenti di scoprire e correggere le vulnerabilità in modo rapido ed efficiente grazie anche alla filosofia open source che sta dietro a questo progetto. Qualsiasi software open source ha il vantaggio di essere gratuito, quindi nessuna licenza che obblighi a pagare la licenza riducendo il costo dell’attrezzatura per il testing. Un altro vantaggio è la possibilità di personalizzare e quindi migliorare il software data la disponibilità del codice sorgente. Il mese scorso è uscita la release 2.15.0 con una costanza di due rilasci all’anno, non scontato per un progetto open source senza una ditta dietro che stipendia gli sviluppatori. La comunità è molto attiva anche se il progetto è no-profit e aiutato da una società ZAProxy Ltd senza scopo di lucro che si occupa di raccogliere fondi per il progetto. Per le ditte che necessitano di assistenza personalizzata c’è la possibilità di acquistare dei giorni consulenza. Il canale youtube di ZAP è pieno di video che mostrano le novità e come settare le varie funzionalità per le scansioni che terminano con dei risultati esportabili in diversi formati.

L’obbiettivo del progetto è il compito di vulnerability assessment, pratica che comprende sia l’identificazione delle vulnerabilità attraverso l’analisi dei sistemi che delle reti, cosi da individuare le possibili vulnerabilità se presenti, consentendo agli addetti IT di prendere misure per prevenire e mitigare i rischi. Stabilito una priorità delle minacce partendo dalle minacce più rilevanti si organizza poi il lavoro successivo, cosi da limitare possibili attacchi informatici. Il progetto permette l’ampliamento delle sue funzionalità tramite plug-in gratuiti presenti nel marketplace. ZAP Marketplace contiene i componenti aggiuntivi di ZAP scritti dal team di ZAP e dalla comunità. I componenti aggiuntivi aiutano a estendere le funzionalità di ZAP. L’icona per la lista degli add-ons si trova nella barra degli strumenti della GUI. Tra i plug-in in versione alpha, beta e release più rilevanti c’è “FuzzDB Offensive”, ”OAST Support”, “Spider”, ”Ajax Spider”, “Technology Detection”, “Passive scanner rules” e “Python Scripting”. Le diverse modalità di scansione come standard, attack, protetta e sicura permettono approcci sia aggressivi che lievi agli obbiettivi.

La possibilità di estrapolare i report generati, con formati quali XML e HTML dal menù Report, permettono di personalizzare le informazioni filtrando per allarmi high, medium, low e false positive. Una funzione utile è la possibilità di confrontare gli esiti di due sessioni diverse, magari per verificare quali bug di un sito sono stati effettivamente risolti e quali hanno bisogno di ulteriore lavoro.

Zap permette quindi avere due strumenti in uno. Sia scanner di vulnerabilità automatizzato e ampliato con i plug-in sia di operare come proxy per ispezionare il traffico e tutta la comunicazione HTTP in modo da analizzare i loro trigger. ZAP è utilizzabile anche tramite script da CLI in modo da automatizzare procedure di pentesting. ZAP è un prodotto OWASP acronimo di Open Web Application Security Project, ovvero progetto della comunità online, ormai un punto di riferimento, specializzata in temi di sicurezza applicazione Web.

La comunità ZAP si mette a disposizione per ogni problema nel gruppo ZAP user group (groups.google.com/g/zaproxy-users) o presso il canale IRC (https://web.libera.chat/#zaproxy).

ZAP è uno strumento essenziale per il tecnico cyber security analyst IT che sia coinvolto nella gestione di applicazioni web, quindi orientato a personale preparato e con le giuste competenze per valutare i risultati e le modalità di attacco. Grazie alla sua potente suite di strumenti e alla sua facilità d’uso, ZAP aiuta gli utenti a mantenere le loro applicazioni web sicure e protette da minacce esterne con uno strumento gratuito. Inoltre il progetto ZAP con la filosofia free e open source supporta molti standard aperti e protocolli noti, rendendo più semplice l’integrazione con sistemi operativi e plug-in personalizzabili. Filosofia che permette di sviluppare questo tipo di progetti aperti alla comunità in cui appassionati e professionisti possono contribuire al progetto e al suo miglioramento.

Articolo a cura di Fabio Carletti

https://www.ictsecuritymagazine.com/articoli/zap-attack-web-app-open-source-scanner/

La digitalizzazione dei servizi bancari: sfide di sicurezza

La digitalizzazione dei servizi bancari e finanziari pone importanti sfide sul fronte della sicurezza: non a caso il tema è stato centrale nei lavori del Gruppo Cyber del G7, riunitosi in Italia lo scorso maggio proprio per individuare soluzioni condivise al rischio cyber che interessa le infrastrutture critiche nazionali e internazionali.

Numeri e tipologie delle minacce mirate al comparto finanziario

Il mondo Finance, già da diversi anni, si pone stabilmente al vertice delle classifiche relative ai settori più colpiti da attacchi informatici.

In base ai dati CLUSIT, “nel 2023 il settore Financial/Insurance ha registrato il maggiore incremento di incidenti gravi nel nostro Paese, con il 9% di attacchi (era il 3,7% nel 2022)”.

Le principali tipologie di minacce informatiche rilevate si confermano Ransomware, DDoS, Phishing e Business Email Compromise (BEC), veicolati da tecniche di social engineering rese sempre più sofisticate dall’Intelligenza Artificiale, insieme ad attacchi finalizzati alla sottrazione o al riciclaggio di criptovalute.

Secondo l’ultimo Global Crime Report dell’Interpol, una minaccia da non sottovalutare è poi rappresentata dalla diffusione del “Financial Crime-as-a-service” (FCaaS). Questa nuova forma di criminalità informatica offre servizi di attacco a pagamento, rendendo più facile per i cyber criminali organizzare attacchi complessi senza dover possedere competenze tecniche avanzate. Le organizzazioni criminali sviluppano e forniscono tecnologie e know-how per attività come il riciclaggio di denaro, le frodi e altre transazioni illegali. Con l’accelerazione digitale durante la pandemia, questo modello è diventato più sofisticato, consentendo ai cyber criminali di operare con maggiore efficienza e su scala globale.

Il panorama difensivo: un quadro preoccupante

Sul fronte della difesa, il panorama è allarmante. Un’indagine dell’International Monetary Fund rivela che oltre la metà delle Banche Centrali esaminate nel 2023 non ha ancora implementato una strategia nazionale per la sicurezza informatica del comparto finanziario. Questo lascia molte istituzioni vulnerabili agli attacchi, aumentando il rischio di interruzioni dei servizi e di perdite finanziarie significative.

LDM: La soluzione di Auriga per la sicurezza bancaria

In tale scenario, Auriga offre una vasta gamma di soluzioni a tutela delle infrastrutture e della continuità operativa aziendale: tra queste Lookwise Device Manager (LDM), piattaforma centralizzata per la protezione dei dispositivi ATM e ASST.

Consapevoli che gli sportelli bancari self-service sono bersagli appetibili per i criminali, LDM integra attività di monitoraggio e rilevamento tempestivo di eventuali incidenti. Inoltre concentrando le operazioni di sicurezza su un’unica piattaforma, questa soluzione garantisce un impatto minimo sulle prestazioni dei dispositivi.

Basata sulla tecnologia brevettata Lookwise TECH e specificamente pensata per ambienti distribuiti, la piattaforma garantisce la massima modularità, scalabilità e flessibilità per adattarsi alle specifiche esigenze di ogni istituto, consentendo di sviluppare strategie di resilienza informatica solide e durature.

Il “caso 5B”: una conferma della validità del modello LDM per il mondo Finance

Un esempio concreto dell’efficacia di LDM è rappresentato dalla società 5B, un importante player sudamericano che gestisce oltre 2.600 sportelli automatici in Guatemala, di cui il 25% appartenente a filiali bancarie.

Recentemente, 5B ha condotto un’analisi approfondita per definire una strategia di cybersecurity per garantire la sicurezza e la stabilità della rete ATM, dispositivi critici attivi 24 ore su 24 per 365 giorni all’anno.

Durante l’indagine, sono state identificate le seguenti esigenze prioritarie:

1. controllare tutte le operazioni ATM, inclusi i processi di manutenzione eseguiti da personale tecnico, spesso di terze parti;
2. minimizzare la potenziale superficie di attacco;
3. massimizzare il tempo di attività e disponibilità (up-time) degli sportelli automatici;
4. prevenire e monitorare eventuali minacce o attività impreviste in loco.

In particolare, i primi due punti presuppongono politiche di sicurezza in base alle quali tutte le modifiche agli ATM (sia software sia hardware) devono essere autorizzate e monitorate. Questo per evitare configurazioni errate che potrebbero compromettere la qualità e la disponibilità del servizio, oltre a permettere di controllare e mitigare tempestivamente azioni illecite o dannose, come tentativi di eseguire software non autorizzato o di connettere dispositivi hardware non autorizzati.

I benefici di Lookwise Device Manager

Lookwise Device Manager garantisce il raggiungimento di questi obiettivi tramite:

• whitelist di software e hardware autorizzati, per evitare manipolazioni di file critici e impedire connessioni non autorizzate;
• crittografia del 100% dei dischi rigidi, mantenendo l’integrità di software e hardware;
• monitoraggio costante e rilevamento automatizzato di attività sospette;
• piani di risposta agli eventi imprevisti, inclusi controlli fisici e remoti.

Grazie a queste caratteristiche, LDM ha permesso a 5B di ottimizzare il tempo di attività dell’intera rete ATM, raggiungendo un’up-time del 98.4%.

La sicurezza come priorità nella digitalizzazione bancaria

La digitalizzazione dei servizi bancari e finanziari è inevitabile, ma comporta rischi significativi che devono essere gestiti con attenzione. Le soluzioni come Lookwise Device Manager di Auriga offrono una protezione robusta e flessibile, essenziale per affrontare le sfide di sicurezza attuali e future. Il caso di successo di 5B dimostra come un approccio proattivo alla cybersecurity possa garantire non solo la protezione delle infrastrutture bancarie, ma anche la continuità del servizio.

Per saperne di più scarica il case study: Casi Studio e Storie di Successo dei Clienti – Auriga (aurigaspa.com)

https://www.ictsecuritymagazine.com/notizie/sicurezza-nella-digitalizzazione-dei-servizi-bancari-sfide-e-soluzioni/

In the modern discussion on workplace security, the focus often centers around preventing active shootings and violence stemming from terminated or disgruntled employees. The article “Publicly Humiliating Events: A Precursor to Workplace Violence” by Karie Gibson, Lauren Brubaker and Andre Simons rightly highlights the crucial role that public humiliation plays in triggering such violent acts. However, beyond the immediate threat of homicide, there exists a broader spectrum of potential risks posed by former employees, including acts of sabotage, espionage, vandalism and cyberattacks, all of which demand attention and proactive measures from security professionals.

The prevalence of non-violent acts perpetrated by former employees is often underreported and underestimated, yet their impact can be just as devastating, if not more so, both financially and in terms of public safety. For example, consider the case of a terminated telecommunications employee who sabotaged a fiber trunk line, resulting in a catastrophic communications outage that not only incurred millions of dollars in damages and fines but tragically led to the loss of a life due to the inability to reach emergency services. Similarly, deliberate tampering with natural gas distribution lines by a former employee of a gas company led to unsafe conditions and significant financial losses.

While preventing workplace homicides remains paramount, it is imperative to adopt a holistic approach that encompasses all potential threats posed by terminated employees. While fostering a supportive workplace culture and providing training on respectful behavior are crucial steps in mitigating the risk of violence, additional measures are necessary to address the broader spectrum of potential threats.

Drawing from experience in critical infrastructure security, two key components emerge as essential supplements to traditional risk mitigation strategies: post-termination monitoring and the implementation of comprehensive “softeners” for separated employees.

Post-termination monitoring involves staying vigilant and maintaining contact with former employees, particularly those who exhibit red flag behaviors or indicators of potential risk. This monitoring should be conducted discreetly, utilizing covert methods such as social media surveillance to gather intelligence and detect any signs of retaliatory actions. In one notable instance, a former employee’s ex-girlfriend reported plans of sabotage, providing critical intelligence that enabled law enforcement to intervene and prevent a potentially catastrophic event. This underscores the importance of proactive monitoring and the value of leveraging external sources for threat detection.

Additionally, the implementation of robust softeners, including generous severance packages, counseling services and continuation of benefits, can help mitigate feelings of humiliation and resentment among separated employees. While these measures may entail significant costs, they pale in comparison to the potential repercussions of unchecked retaliation or violence.

By adopting a proactive and comprehensive approach to addressing workplace violence, organizations can better safeguard their employees, assets and reputation. Collaboration between security, human resources and leadership is essential in identifying, assessing and mitigating potential threats at every stage of the employment lifecycle. From pre-termination assessments to post-termination monitoring, it’s imperative to remain vigilant and responsive to evolving risks.

While the prevention of workplace homicides remains a critical priority, it’s essential to broaden our perspective and recognize the many forms of threats posed by former employees. By implementing proactive measures such as post-termination monitoring and comprehensive softeners, organizations can mitigate the risk of violence and create a safer, more secure work environment for all. By addressing the root causes of workplace violence, including feelings of humiliation and resentment, businesses can foster a culture of respect, empathy and accountability, ultimately reducing the likelihood of violent incidents and preserving the well-being of employees and the integrity of the organization.

Expanding on the concept of post-termination monitoring, it’s essential to consider the long-term implications and potential for escalation of risks. Former employees may harbor grievances or feelings of resentment that can fester over time, leading to retaliatory actions months or even years after their departure. As such, ongoing surveillance and intelligence gathering are crucial components of a comprehensive security strategy. By staying informed and proactive, organizations can detect and mitigate potential threats before they escalate into serious incidents.

Furthermore, the implementation of robust softeners should be tailored to individual circumstances and risk profiles. While generous severance packages and counseling services can help ease the transition for separated employees, additional measures such as job search assistance and continued access to company resources may also be warranted. By providing comprehensive support, organizations can demonstrate empathy and mitigate the risk of retaliation or malicious intent.

Moreover, proactive engagement with law enforcement and relevant regulatory agencies can enhance threat detection and response capabilities. By sharing intelligence and collaborating on risk assessments, organizations can leverage external expertise and resources to strengthen their security posture. Additionally, participation in industry-specific forums and information-sharing initiatives can provide valuable insights into emerging threats and best practices for prevention and mitigation.

Finally, ongoing training and education are essential components of a proactive security strategy. By raising awareness and empowering employees to recognize and report potential threats, organizations can create a culture of vigilance and accountability. Regular drills and simulations can help reinforce security protocols and ensure readiness in the event of an emergency all as part of a Business Continuity Plan (BCP) and Exercise program.

Addressing workplace violence requires a multifaceted approach that extends beyond traditional risk mitigation strategies. By adopting a holistic framework that encompasses proactive monitoring, comprehensive softeners, collaboration with external stakeholders and ongoing training and education, organizations can mitigate the risk of violence and create a safer, more secure work environment for all stakeholders. By investing in prevention and preparedness, businesses can safeguard their employees, assets and reputation, ultimately preserving their long-term viability and success.

https://www.securitymagazine.com/articles/100674-a-workplace-security-framework-mitigating-employee-related-threats

Global spending on public clouds has increased by 20.4% in the last year alone. Despite this rapid adoption rate and spike in spending, one out of every four IT and security specialists have struggled to keep up with the expertise and training required to adequately implement cloud security. As cloud use continues to grow, training and scaling teams to protect a modern cloud environment will pay off exponentially in the form of better data security and a reduced risk of technical debt. 

With the average cost of a data breach hovering at $4.35M, equipping security professionals with the tools and skills needed to combat cloud-based threats is essential to keep information secure and stay out of the headlines for a data breach. Some of the most common cloud security threats include unmanaged attack surfaces, misconfiguration or identity-related data breaches — all of which can be mitigated through proper and proactive personnel training and awareness programs. While security used to only be a concern for the IT department, with 31% of global enterprise cloud leaders ranking cybersecurity as a top investment priority for their organization, it’s now critical. Everyone, regardless of their level, is responsible for identifying and managing novel threats. Here are three tips for any organization working toward closing its cybersecurity skills gap and completing a successful cloud migration.

Assess the current landscape before diving in

At the beginning of a cloud transition, teams should first take a pragmatic approach to their current security designs to assess flaws. Having well-trained teams who can properly assess potential vulnerabilities is key to the migration’s success and to properly ease security pressures around this transition. 

Once current security concerns are identified and addressed, security and IT teams should work in tandem with the cloud deployment process to help keep everyone agile. These proactive security steps, sometimes aided by automation, remain a critical component in mitigating upfront risks in the migration process. For teams that can perform these proactive tasks effectively, the shift to the cloud becomes more focused on subsequently protecting data and ensuring compliance than worrying about security breaches or duplicated data.

Equip teams with the skills necessary to succeed

To avoid common pitfalls of security skills gaps, a best practice for organizations is to implement training programs for current employees that provide the skills necessary to secure cloud workloads. Studies show that over 80% of all company data breaches are caused by people — meaning skills gaps lead to security gaps, and subsequently, breaches. To avert this issue, leaders can engage their employees in upskilling programs offered by the cloud platform vendors that the organization works with. By earning these upskilling certifications, teams are better equipped to handle new and complex threats and support fellow team members in the event of a breach.

Without this, teams put organizations at risk for an increased rate of cyberattacks as they struggle to keep up with evolving security concerns and regulatory requirements. Alternatively, teams with larger budgets can invest in hiring new talent to oversee the cloud migration. Either way, in the hustle of rapid cloud migration, training should be a primary focus for organizations to ensure their team is equipped with the skills needed to successfully shift their workloads to the cloud.

Stay vigilant even after the migration is complete

After migrating workloads to the cloud, security teams must learn to manage an entirely new swatch of vulnerabilities. One critical way to assess and remediate these vulnerabilities is to implement a cloud penetration testing program, which helps internal teams protect their organizations by consistently identifying and mitigating security risks. A well-versed security team, combined with robust pen testing and configuration reviews, allows teams to test security misconfigurations and identify factors like inadvertent public access or excessive identity and access management (IAM) permissions. By implementing a holistic testing program combining human and technology-aided support, teams can work to arm themselves against preventable data breaches with proper cloud security. Without it, teams are left vulnerable to potential gaps in their security designs, lending themselves to insecure data and increased potential for data breaches.

At the end of the day, teams who rush into rapid cloud migrations can unknowingly set themselves up for failure down the line. Technology alone isn’t effective in catching and remedying all security issues. It’s up to leaders to deploy highly skilled and supported cloud security experts to guide organizations through the cloud migration process. Without focusing efforts on upskilling or scaling support, organizations risk the security of their data in poorly managed cloud environments.

https://www.securitymagazine.com/articles/100665-closing-the-cloud-skills-gap-as-adoption-grows