UNIVERSITA’ DEGLI STUDI DI CATANIA

Facoltà di Scienze Matematiche, Fisiche e Naturali

Corso di Laurea in Informatica, primo livello

Realizzato da: Giuseppina MaccarroneRealizzato da: Giuseppina MaccarroneRelatore: Ch.mo Prof. Giampaolo BellaRelatore: Ch.mo Prof. Giampaolo Bella

Analisi dei rischi di sicurezzacon “fattore di collusione”

Negli ultimi decenni si è assistito ad un rapido progresso tecnologico, da cui emerge che le informazioni rivestono un ruolo cruciale per il successo dell'impresa, e di conseguenza bisogna porre la tutela della sicurezza del sistema informativo tra le priorità aziendali.

Lo scopo di questa tesi è di studiare le varie tecniche di analisi dei rischi, in particolare esaminare il processo di Information Security Risk Information Security Risk ManagementManagement, analizzando le varie metodologie esistenti ed introducendo dei nuovi indicatori per arricchire l’analisi.

Introduzione

Information Security Risk Management

Risk Assessment

Risk Mitigation

Evaluationand Assessment

Risk Assessment:Risk Assessment: identificazione di risorse, minacce, vulnerabilità e controlli;

Risk Mitigation:Risk Mitigation: valutazione ed implementazione controlli;

Evaluation and assessmentEvaluation and assessment: : verifiche periodiche di valutazione e gestione dei rischi.

Approcci per il processo di valutazione dei rischi

QUALITATIVO

IBRIDO

QUANTITATIVO

Qualitativo:Qualitativo: valutazioni soggettive tra il team tramite questionari, interviste, sondaggi; è di semplice utilizzo ma non fornisce risultati attendibili;

Quantitativo: Quantitativo: misura delle grandezze necessarie per la valutazione dei rischi attraverso l’uso di indici; più complicato del primo ma più preciso;

Ibrido:Ibrido: combinazione degli approcci precedenti.

Indicatori utilizzati nell’approccio quantitativo per l’analisi dei rischi

Fattore di collusione (FC): Fattore di collusione (FC): quantità di complici necessari per portare a termine con maggior probabilità di successo un attacco.

FC incrementa il rischio d’esposizione ad una particolare minaccia (dal punto di vista dell’impresa);

FC diminuisce la difficoltà dell’attacco e ne aumenta la fattibilità (dal punto di vista dell’attaccante).

Fattore d’esposizione in funzione della collusione (EFFattore d’esposizione in funzione della collusione (EFFCFC): ): impatto di un evento dannoso su una certa risorsa: EFFC = EF + FC – (EF * FC); EF: livello d’esposizione al rischio, senza considerare la collusione.

Single Loss Exposure (SLESingle Loss Exposure (SLEFCFC):): perdita associata al successo dell’evento dannoso.

Indicatori utilizzati nell’approccio quantitativo per l’analisi dei rischi

Annualized Rate of OccurrenceAnnualized Rate of Occurrence (ARO): (ARO): frequenza, ovvero numero di volte che un particolare evento dannoso si verifica nell’arco di un anno.

Annualized Loss Expectancy (ALE): Annualized Loss Expectancy (ALE): perdita annua attesa associata ad una specifica minaccia.

Percentuale di Successo della Contromisura (%SC): Percentuale di Successo della Contromisura (%SC): successo di una contromisura nello scoraggiare un malintenzionato dal portare a termine l’attacco.

Percentuale di Successo dell’Attaccante (%SA):Percentuale di Successo dell’Attaccante (%SA): successo o efficacia dell’attaccante nel violare la misura di sicurezza.

Indicatori utilizzati nell’approccio quantitativo per l’analisi dei rischi

Return On A Security Investment (ROSI):Return On A Security Investment (ROSI): percentuale di guadagno risultante da un investimento in sicurezza, tenendo conto del successo della contromisura, del suo costo e della perdita annua causata dall’attacco.

Percentuale di Rischio per l’Attaccante come conseguenza Percentuale di Rischio per l’Attaccante come conseguenza dell’attacco (%RA):dell’attacco (%RA): percentuale di rischio per l’attaccante o gli attaccanti di essere scoperti e puniti in seguito all’attacco.

Return On Attack (ROA):Return On Attack (ROA): guadagno percentuale atteso dall’attaccante, tenendo conto della sua efficacia nel violare la misura di sicurezza e dei costi dell’attacco.

Obiettivo

Modalità 1 Modalità 2

Passo 1 Passo 2

Attack TreesAttack Trees

Nodi OR

Nodi AND

• Strumento qualitativo utilizzato per l’individuazione degli scenari d’attacco;

• Rappresentano: - i vari modi attraverso i quali un sistema può essere colpito (OR); - l’insieme di passi da seguire (AND);

• Mettono in evidenza le vulnerabilità del sistema in modo da poter individuare le contromisure necessarie.

Utilizzo degli indici quantitativi sugli attack trees

E’ possibile utilizzare gli attack trees come strumento quantitativo grazie all’aggiunta degli indici prima discussi. In tal modo è possibile valutare la visione da due punti di vista: quello del difensoredifensore, ovvero l’azienda e quello dell’attaccanteattaccante.

VS

Visione del difensore

• Determinare i diversi scenari d’attacco a cui è soggetto il sistema IT;

• Stabilire le contromisure più efficaci per fronteggiarli.

Visione dell’attaccante

• Stabilire quale attacco è più vantaggioso in termini di guadagno (e più probabilmente messo in atto), tenendo conto:

dell’efficacia dell’aggressore; dei costi sostenuti per portare a termine l’attacco; della collusione.

Applicazione dell’analisi dei rischi al caso di studio “Phishing a danni di una società bancaria”

Def. Phishing: ottenere l'accesso ad informazioni personali e riservate mediante l'utilizzo di messaggi di posta elettronica fasulli.

- Stima del fattore di collusione: FC= 55%;

- Fattore d’esposizione: EFFC= EF + FC – (EF * FC)= 0,65 + 0,55 – (0,65 * 0,55)= 84% assumendo che EF sia pari a 65% in assenza di collusione;

- ARO= 3 (l’azienda ha subito 3 attacchi di phishing nel 2005);

- Capitale sociale della banca: AV= 202.292.987 €;

- SLE= 202.292.987 * 0.84 = 169.926.109 €, ridimensioniamo la perdita supponendo che circa 1/10 dei clienti hanno ricevuto le email e hanno “abboccato” : SLE/10= 16.992.610 € ;

- ALE= SLE * ARO = 16.992.610 * 3= 50.977.833 € ;

- Guadagno per l’attaccante: circa 16.000.000 €, Costo medio attacco: 5.000 €

- Costi postAttacco: 80.000 €, percentuale di rischio per gli attaccanti: 25%.

Possibili contromisure per fronteggiare il rischio di phishing:

1. Effettuare dei controlli approfonditi sui redirect dei siti web;2. Avvisare tempestivamente tutti i clienti di diffidare di qualunque email chieda

di inserire codici segreti o informazioni personali e diffondere una cultura di internet;

3. Aggiungere un ulteriore livello di autenticazione (con password differenziata) per l’esecuzione di operazioni dispositive tramite il servizio di home banking;

4. Inserire dei codici di validazione sulla banda magnetica delle carte per autorizzare le transazioni di denaro;

Contromisura ROSI ROA

1 23% 77%

2 30% 70%

3 41% 59%

4 44% 54%

Conclusioni

Grazie a questa analisi dei rischi, è possibile dedurre:• quali attacchi saranno più probabilmente portati a termine (quelli con il ROA più elevato);• quali contromisure riescono meglio a mitigare i rischi e l’impatto degli attacchi stessi (quelle con il ROSI più alto).

Grazie all’aggiunta dell’originale “fattore di collusionefattore di collusione” è stato possibile effettuare un’analisi dei rischi più precisa e il più vicino possibile alla realtà.

Fine

Ringraziamenti:

• Prof. Giampaolo Bella

• La mia famiglia

• Tutti i miei cari presenti