Cyber security: cos'è un SOC?

Il mondo della cyber security è ogni giorno più complesso e per riuscire a gestire i numerosi incidenti informatici sempre più organizzazioni iniziano a considerare l'ipotesi di far ricorso ai servizi di un Security Operation Center (SOC) o a realizzarne uno all'interno della propria organizzazione.

Ma cos'è un Security Operation Center?

Per fare un po di chiarezza utilizzo un documento che mi è sembrato molto chiaro e che invito a leggere: "Classification of Security Operation Centers", pubblicato nel 2013. Gli autori (Pierre Jacobs, Alapan Arnab, Barry Irwin) lavorano per il Department of Computer Science della Rhodes University a Grahamstown, in Sud Africa.

Ciò che ora ci interessa è mettere in evidenza il concetto di SOC per cui riporto il primo paragrafo del citato documento:

"A Security Operations Centre (SOC) can be defined as a centralized security organization that assists companies with identifying, managing and remediating distributed security attacks [1]. Depending on the capabilities required from a SOC by the en&terprise or client, a SOC can also be responsible for the management of technical controls. The end-goal of a SOC is to improve the security posture of an organization by detecting and responding to threats and attacks before they have an impact on the business."

Da quanto detto si capisce immediatamente che il SOC è una struttura organizzativa centralizzata che si occupa di assistere le società nella identificazione, gestione e nel porre rimedio ad attacchi di sicurezza distribuiti. Un SOC può anche essere chiamato a gestire tutti i controlli tecnici di una società che si avvale dei suoi servigi.

Il SOC può essere interno alla società e lavorare solo a supporto della stessa, o offrire servizi anche ad altre società. In ogni caso lo scopo finale di un SOC è quello di migliorare la "postura di sicurezza" di una organizzazione attraverso l'individuazione e la risposta ai rischi e agli attacchi prima che questi possano impattare sul core business dell'organizzazione.

Sarebbe meglio dire che il SOC "tende ad evitare l'impatto di attacchi informatici sul business dell'organizzazione o comunque a limitarne i danni", in quanto affermazione più realistica.

Nel documento è possibile trovare un'analisi approfondita delle funzioni e dei componenti di un SOC, ma al momento ci interessa solo il concetto suesposto.

Diciamo subito che il SOC non è una invenzione dei nostri giorni e non deriva neanche dal mondo ICT. Se ne parla da tanto negli ambienti che gestiscono la sicurezza fisica ed il mondo ICT non ha fatto altro che adottarlo.

Attualmente si parla di SOC di quinta generazione, riferendosi a strutture dotate di capacità di analisi predittive oltre che di monitoraggio e risposta.

E' opportuno mettere subito in evidenza l'aspetto, a mio parere, più importante: un Security Operation Center è una unità organizzativa complessa, generalmente centralizzata, che si occupa di identificare, gestire e porre rimedio ai problemi di sicurezza informatica ed è costituito da processi, strumenti e persone.

Mentre processi e strumenti sono tutto sommato facili da trovare e sostituire all'occorrenza, la stessa cosa non vale per le persone che devono essere preparate adeguatamente e conoscere a fondo l'organizzazione per cui lavorano.

Generalmente un SOC utilizza uno o più strumenti informatici di tipo SIEM, ovvero Security Information and Event Management, per l'aggregazione e correlazione dei dati e informazioni provenienti da differenti sistemi.

E fino ad ora abbiamo parlato di teoria...

In Italia vi sono diversi SOC gestiti da alcune delle più grandi società del mondo ICT, tra questi vi è quello della Società Engineering, quello della Italtel e quello della Leonardo.

Per capire meglio l'utilità dei SOC nella società moderna mi sono rivolto all'Ingegner Pesaresi della Engineering, ad un team Italtel e ad un team Leonardo ponendo loro alcune domande.

Ingegner Pesaresi buon giorno e innanzitutto un grazie per la disponibilità. Il cyber space è entrato prepotentemente nelle nostre vite attraverso le notizie ormai quotidiane, immagino che qualcosa di simile stia accadendo nelle organizzazioni. Quanto è importante il settore Cyber per Engineering? Per quale motivo la vostra società ha sentito la necessità di creare un SOC?

Engineering: Buon giorno, io sono il responsabile commerciale della BU Difesa e Spazio in Engineering. Nella visione Engineering la problematica della sicurezza informatica, o cybersecurity, deve essere affrontata attraverso un approccio multidisciplinare, basato sull'unificazione e integrazione di competenze di tipo legale, economico, e tecnologico, poiché è divenuto oggi evidente che l’individuazione di soluzioni efficaci e di risposte alle sfide poste in essere richiedono, oltre alle ovvie competenze in ambito ICT, anche la profonda comprensione di aspetti normativi, di dominio e la valutazione di impatti socio-economici.

In questi ambiti Engineering pone la massima attenzione alla CyberSecurity, in quanto ritenuta di primaria importanza per la protezione delle informazioni memorizzate e trattate con sistemi informatici e trasmesse attraverso le reti, con lo scopo di assicurare riservatezza, integrità e disponibilità delle informazioni.

L’offerta del Gruppo nell’ambito della Cyber Security è specializzata nella sicurezza delle applicazioni, la sicurezza perimetrale di infrastrutture informatiche, la sicurezza nello scambio di informazioni tra reti a diverso livello di classificazione e la sicurezza di infrastrutture critiche.

Il gruppo Engineering opera attraverso un network integrato di 4 Data Center dislocati a Pont-Saint-Martin, Torino, Milano e Vicenza, con un sistema di servizi e un’infrastruttura che garantiscono i migliori standard tecnologici, qualitativi e di sicurezza agli oltre 330 clienti sia in ambito nazionale che internazionale. In tale contesto, allo scopo di assicurare la necessaria cornice di sicurezza informatica ai dati ed ai sistemi dei nostri clienti, il Data Center principale di Pont Saint Martin è dotato di un Security Operation Center all'avanguardia.

Anche in Italtel potete contare su un SOC nazionale. Ciò fa pensare che il settore cyber sia molto importante, è così?

Italtel: La trasformazione digitale aumenta la superficie di esposizione agli attacchi informatici che sono sempre più evoluti. E’ quindi importante fornire soluzioni e servizi di qualità per garantire la protezione dei dati, la resilienza delle infrastrutture critiche e contrastare le minacce avanzate. La Cyber Security è pilastro fondamentale della nostra offerta rivolta alla Pubblica Amministrazione, alle aziende ed ai Service Providers, nostra storica area di forza. Nata come azienda di telecomunicazioni, Italtel da diversi anni ha diversificato la propria offerta e oggi è una multinazionale italiana nel settore dell’Information & Communication Technology e indirizza con le sue soluzioni diversi settori verticali quali: Pubblica Amministrazione, Sanità, Difesa, Finance, Energy, Industry 4.0, Smart Cities, senza tralasciare le Telecomunicazioni. I servizi di SOC di Italtel nascono già nel 2001 con l’acquisizione di SecurMatics, sviluppando l’esigenza di garantire una gestione efficace e continuativa dei livelli di sicurezza dei clienti in affiancamento ai servizi professionali di rete ed alla gestione delle infrastrutture mediante i nostri Network Operation Center (NOC) e Technical Assistance Center (TAC). Oggi il panorama delle minacce è in continua mutazione ed è quindi importante potenziare le soluzioni ed i servizi, inclusi quelli managed, in un una linea di offerta univoca rivolta alle pubbliche amministrazioni, alle aziende e ai service provider.

Ho visitato, tempo addietro, il SOC della Leonardo e ne sono rimasto colpito…

Leonardo: Leonardo garantisce le prestazioni, la continuità, l’information superiority dei sistemi dei propri clienti, oltre a proteggerne le infrastrutture e le applicazioni mediante interventi mirati. Sviluppa inoltre soluzioni digitali sicure, identificando, riducendo e gestendo le minacce, le vulnerabilità e i rischi. In questo ambito Leonardo è in grado di fornire soluzioni innovative per contrastare le minacce cyber, sempre più pervasive e strutturate, che rendono la protezione del patrimonio tecnologico, informativo e intellettuale di ogni organizzazione, civile o militare, una necessità improrogabile. Tra le realizzazioni più significative nel settore della cyber security Leonardo ha fornito un sistema “chiavi in mano” alla NATO per lo sviluppo, la realizzazione e il supporto della NATO Computer Incident Response Capability (NCIRC), che eroga servizi a oltre 70.000 utenti in 29 Paesi. La capacità di offrire protezione è accresciuta anche dalle soluzioni sofisticate di intelligence, applicabili sia a dati open source sia a fonti eterogenee, a supporto delle esigenze delle forze di polizia e agenzie investigative.

Il vostro SOC è ad uso interno o ad uso esterno? Quali sono i servizi che il vostro SOC rende? Quali sono i servizi più richiesti?

Italtel: Il nostro SOC è principalmente rivolto al mercato con servizi customizzati a seconda della tipologia dei clienti. Fondamentalmente esistono due macro gruppi di clienti tipo. Aziende di grandi dimensioni, che si sono date una adeguata security governance, hanno già internalizzato i team operativi ma richiedono all’esterno servizi o competenze specifiche che non riescono ad indirizzare, come ad esempio i servizi di Threat Intelligence o di Incident Response (IR). Aziende di medie dimensioni che ci chiedono oltre ai servizi SOC in full-outsourcing anche di avere un ruolo di partner/consulente in grado di effettuare assessments e gap-analisys continuative per aumentare il livello di protezione. Tra l’altro, mantenere un SOC operativo chiede investimenti continui sulla formazione e sulle tecnologie a supporto dell’operazione.

Qual’è invece la situazione per la Engineering? Quali sono i servizi più richiesti?

Engineering: Il nostro SOC fornisce servizi sia ad uso interno, ma soprattutto in favore dei nostri clienti, che sono distribuiti in tutte le aree di mercato e cioè Finanza, Telecomunicazioni, Utilities, Industria e servizi ed anche la Pubblica Amministrazione ai quali eroghiamo servizi a vari livelli, dalla consulenza di alto livello orientati alla definizione della governance, ai servizi di assessment, quali pentration test, vulnerabilty assesment ed ethical hacking, fino a scendere ai servizi di un SOC quali ad esempio Security Response Team, Gestione dell'infrastruttura di sicurezza e soluzioni di DDoS. Inoltre, realizziamo anche progetti specifici per i nostri clienti per implementare soluzioni di sicurezza come ad esempio Identity Access management, Strong Authentication, Mobile Device Security. Infine, ci stiamo realizzando alcuni progetti pilota di soluzione di Cyber Threat intelligence, finalizzati a prevedere in anticipo potenziali attacchi informatici.

Leonardo: Leonardo ha realizzato due SOC, uno in Italia e l’altro in UK. Il principale è quello di Chieti, un centro di eccellenza in ambito Cyber Security e Threat Intelligence, ovvero dedicato alla protezione dalle minacce cibernetiche nei principali settori di riferimento (i.e. Infrastrutture Critiche, Grandi Aziende, Pubbliche Amministrazioni, Difesa, Agenzie di Intelligence, Istituzioni nazionali ed internazionali). Presso il sito di Chieti sono allocati i principali asset di riferimento:

- SOC Business (Security Operation Center), attraverso cui viene garantita la capacità di detection e monitoraggio 24x7 per tutti i client nazionali ed internazionali di Leonardo;

- CSIRT (Computer Security Incident Response Team), attraverso cui viene assicurata la risposta tempestiva ad un attacco informatico;

- Cyber Threat Intelligence (ovvero servizi di Open Source Intelligence basati su un middleware proprietario implementato su una piattaforma di supercalcolo ad alta efficienza energetica – High Performance Computer).

Il centro operativo di sicurezza di Chieti rappresenta oggi uno dei più importanti Managed Service Security Provider (MSSP) a livello europeo, in termini di completezza del portafoglio dei servizi erogati e in relazione al numero di clienti e piattaforme monitorate. Alcuni numeri più significativi: oltre 50,000 log ricevuti, aggregati e collezionati ogni secondo; più di 30,000 eventi di sicurezza collezionati e correlati al secondo. Il SOC gestisce una media di 50 incidenti di sicurezza al giorno, applicando le principali best practice internazionali di riferimento (ad es. NIST-800-xx, ENISA) al fine di contenere gli incidenti e rispondere tempestivamente alle odierne minacce di sicurezza cibernetica. A Chieti lavorano oltre 100 esperti di sicurezza, di cui Certified Ethical Hacker specializzati in attività di Vulnerability Assessment e Penetration Test. Ogni anno sono analizzati e inviati ai Clienti oltre 500 annunci di early warning. Il sito inoltre possiede diverse certificazioni dei Servizi di Sicurezza Gestita.

Per mantenere un SOC operativo, immagino, dobbiate investire in ricerca e sviluppo. E' cosi? Quanto investite in percentuale e in quali settori del cyberspace?

Engineering: Engineering crede nella ricerca e nella necessità di trasformare il potenziale delle tecnologie informatiche in opportunità di crescita per i propri clienti attraverso l'innovazione, in un allineamento continuo con l’evoluzione di tecnologie, processi e modelli di business.

Engineering ha aperto il primo laboratorio di ricerca nel 1987 e oggi, in collaborazione con aziende, università e centri di ricerca a livello nazionale e internazionale, conta su:

• 250 ricercatori

• 70 progetti di ricerca in corso

• 6 laboratori di sviluppo

• circa 30 milioni di euro di investimenti annui in Ricerca e Innovazione.

La Cybersecurity è uno dei temi sui quali si sta investendo di più in termini di ricerca in particolare in ambito europeo, dove Engineering è presente con un laboratorio denominato IS3Lab (Intelligence Systems and Social Software) che partecipando con un ruolo di leadership ai principali progetti di ricerca finanziati in ambito Horizon2020.

Avete collaborazioni con organizzazioni di sicurezza? Che tipo di rapporti esistono tra il vostro SOC e i CERT nazionali?

Engineering: Engineering è anche uno dei soci fondatori di ECSO (European CyberSecurity Organization) che raggruppa le principali aziende europee che si occupano di sicurezza informatica, e che sta collaborando con le istituzioni europee per la definizione di una strategia comune in ambito Cybersecurity.

Leonardo: In questo settore la collaborazione è un fattore critico di successo. Collaboriamo con numerose imprese e technology provider internazionali con cui scambiamo informazioni sulle nuove minacce e vulnerabilità. Grazie alle capacità riconosciute dal mercato, siamo il partner strategico di molte tra le più importanti organizzazioni pubbliche e private in Europa e non solo. Questo ci consente di supportare tali organizzazioni nel design e nella implementazione dei loro sistemi di sicurezza informatica. Con esse possiamo scambiare informazioni come previsto dalle relazioni contrattuali. Infine, partecipiamo a gruppi di lavoro e tavoli di confronto istituzionali in Europa (ad esempio ECSO) così come in Italia e nel Regno Unito.

Un progetto di partnership importante, inoltre, è sviluppato insieme alla NATO.

Leonardo e l’Agenzia per le comunicazioni e le informazioni dell’Alleanza Atlantica (NCI - Communications and Information Agency) hanno siglato un accordo di collaborazione sulla sicurezza informatica allo scopo di condividere informazioni confidenziali per migliorare la conoscenza del contesto di riferimento e aumentare la protezione delle rispettive reti e sistemi.

Questa iniziativa di collaborazione mira alla condivisione delle informazioni sulle minacce informatiche e sulle pratiche di sicurezza da adottare e riconosce l’importanza di lavorare con partner industriali affidabili affinché l’Alleanza possa raggiungere pienamente i propri obiettivi in materia di protezione dalla cyber criminalità. Leonardo coopererà con l’agenzia NCI per comprendere meglio i modelli di minaccia e le tendenze di attacco più recenti. Ciò renderà più efficace l’applicazione di misure preventive e migliorerà le capacità dell’azienda nella salvaguardia delle informazioni, riducendo così la portata di eventuali tentativi futuri di intrusione.

In Italia qual'è il mercato dei servizi di sicurezza informatica? Visto l'aumentato interesse verso la cybersecurity, è aumentato il mercato nell'ultimo periodo?

Engineering: In Italia il mercato dei servizi della sicurezza informatica ha stentato a decollare in quanto i nostri clienti erano poco sensibili a questa tipologia di minaccia. Forse un ruolo importante lo ha giocato il gap tecnologico del nostro paese, che risulta uno dei meno connessi e quindi, intrinsecamente meno esposto a rischi informatici. Tuttavia, negli ultimi mesi, forse a causa dei recenti episodi di attacchi informatici che hanno compromesso anche la reputazione di molte aziende, la questione, che prima era vista come un problema tecnico gestito dai CIO/CSO, è salita all'attenzione dei vertici che hanno incominciato a prendere coscienza delle conseguenze in termini reputazionali che può subire un'azienda vittima di attacchi informatici. Di conseguenza il mercato italiano sembra volgere uno sguardo più attento alla questione della protezione dei dati e dei sistemi aziendali e sempre più clienti incominciano ad affrontare il problema, chiedendoci, in prima battuta attività di analisi del rischio e, successivamente, richiedendoci attività di messa in sicurezza delle loro infrastrutture ICT.

Leonardo: Nel periodo 2013 – 2018 il mercato mondiale della cyber security cresce con un tasso annuo di crescita composto (CAGR) del 10,4% fino ad un valore atteso di 80B€ nel 2018; il mercato italiano cresce con un CAGR del 8,6% per un valore pari a ca. 2B€ nel 2018. Il rapporto Assinform 2017 indica per lo scorso anno una crescita del mercato della sicurezza informatica di oltre 11%.

Nel contesto italiano, il settore Government / Defense rappresenta il 20% del mercato, mentre il cluster Business circa l’80% (di cui il settore CNI – Critical National Infrascructure – impatta per oltre la metà).

Che tipo di personale può trovare impiego in un SOC? Che tipo di studi e che specializzazioni occorrono?

Engineering: Nel nostro SOC trovano impiego ingegneri informatici specializzati in sicurezza delle reti e del software. Purtroppo queste professionalità sono difficile da trovare sul mercato perchè esistono in Italia pochi programmi di studio finalizzati a preparare ingegneri esperti in sicurezza informatica. Per far fronte a questo gap, abbiamo avviato presso la nostra Scuola ICT "Enrico Della Valle" una serie di corsi di specializzazione in cybersecurity rivolti principalmente a formare personale interno, ma aperti anche all'esterno a quelle organizzazioni che intendessero specializzare propri dipendenti.

Leonardo: Noi impieghiamo esperti di sicurezza informatica e giovani tecnici e ingegneri con conoscenza teorica degli standard e dei protocolli di sicurezza informatica, delle maggiori problematiche di sicurezza. Prediligiamo personale con elevata propensione alla risoluzione di problematiche inerenti network e security, conoscenza degli standard e delle best practice di riferimento per il governo della Sicurezza ICT, la prevenzione e la gestione degli incidenti di sicurezza informatica e conoscenza delle tematiche di sicurezza finalizzate alla protezione di reti e sistemi di controllo e automazione.

Per quale motivo i vostri clienti si sono rivolti a voi? A seguito di incidenti cyber o per prevenire problemi?

Italtel: Italtel ha tradizionalmente operato nella progettazione e realizzazione di infrastrutture di rete per service provider globali e nella nostra esperienza l’elemento della sicurezza è da sempre un fattore chiave sotto molteplici aspetti. In virtù di questa expertise molti clienti si sono rivolti a noi sulla Cyber Security perchè hanno già avuto modo di saggiare la nostra qualità del servizio nella gestione di reti complesse.

Engineering: Come si accennava sopra, la nostra azienda eroga da decenni servizi ICT tramite i propri Data Centre a clienti pubblici e privati ed in tale contesto per noi è sempre stato un "must" assicurare i massimi livelli di sicurezza logica e fisica. Molti di questi clienti gestiscono loro infrastrutture per le quali hanno sentito la necessità di migliorare i propri livelli di sicurezza. E' stato quindi quasi naturale che i nostri clienti, alla luce delle nostre riconosciute capacità, ci chiedessero consulenza in ambito cybersecurity. Tuttavia, recentemente, la nostra azienda ha avviato un'attività di promozione delle proprie competenze nel settore cybersecurity anche nei confronti di tutto il mercato.

Secondo voi qual'è la figura più importante, se esiste, all'interno di un SOC?

Se doveste rivolgervi ai giovani, invitandoli a studiare una o più materie, cosa potreste suggerirgli?

Engineering: Direi che non esiste una figura più importante delle altre. La cybersecurity è una materia multidisciplinare che richiede competenze variegate, che vanno dalla governance, alle questioni più prettamente tecniche e che coinvolgono tutta l'infrastruttura ICT, dai livelli più bassi della rete a quelli più elevati delle applicazioni.

Quindi, l'unico suggerimento che mi sentirei di dare ad un giovane ingegnere informatico è di specializzarsi in qualunque materia inerente la cybersecurity perchè sicuramente troverà un'azienda disponibile ad assumerlo.

Italtel: Se proprio dovessimo individuare una figura di rilievo, allora direi che il SOC MANAGER è il ruolo fondamentale per l’erogazione del servizio, in grado sia di governare e stimolare i security analyst nelle fasi più delicate della gestione di un incidente informatico sia nel gestire adeguatamente le comunicazioni con l’esterno.

Quali strumenti utilizzate nel vostro SOC? Quale SIEM utilizzate?

Engineering: Il nostro SOC utilizza prodotti cosiddetti "branded". Tuttavia, c'è sempre maggiore attenzione verso l'open source non solo per questioni economiche, ma anche per esigenze di "sicurezza nazionale". Infatti, la tendenza è di cercare di avere il controllo del codice sorgente anche per questa tipologia di prodotti.

Dal punto di vista normativo, la nuova norma "Direttiva recante indirizzi per la protezione cibernetica e la sicurezza informatica nazionali", DPCM emanato il 17 febbraio 2017 e pubblicato in Gazzetta Ufficiale, serie generale n. 87 del 13 aprile 2017, sembra promettere grossi cambiamenti, cosa ne pensate?

Italtel: Il DPCM Gentiloni migliora ed ottimizza la catena decisionale nazionale nell’affrontare il domino Cyber, terreno principale dei conflitti futuri. Inoltre il modello cooperativo e collaborativo tra le istituzioni e le infrastrutture critiche ritengo sia fondamentale per affrontare le minacce che ci attendono.

Leonardo: Con il DPCM 17/2/2017 e il successivo Piano Nazionale, il Dipartimento Informazioni per la Sicurezza (DIS) acquisisce il ruolo di guida delle attività di cyber security a livello nazionale.

Il ruolo sarà esercitato mediante due strutture dedicate rispettivamente la prima alle attività “operative” e la seconda a quelle di natura strategica ed evolutiva. In ambito operativo, viene a costituirsi un servizio di Intelligence e Sicurezza Cibernetica (NSC) con l’obiettivo di gestire h24 l’unità per l’allertamento e la risposta a situazioni di crisi cibernetica, acquisendo le comunicazioni su violazioni o tentativi di violazione dagli organismi di informazione per la sicurezza, dalle Forze di Polizia, dalle strutture del Ministero della Difesa (che permangono separate) e dai CERT (Computer Emergency Response /Readiness Team).

E’ inoltre prevista la realizzazione di laboratori per la valutazione e certificazione nazionale per componentistica ICT di mercato destinata a infrastrutture critiche e strategiche, sviluppo di crittografia nazionale, Ricerca e Sviluppo su tecnologie sovrane.

Leonardo è in grado di mettere a disposizione competenze e servizi a supporto dell’operatività del DIS. In particolare, ciò riguarda gli ambiti di Threat Intelligence e Open Source Intelligence, modelli, soluzioni e capacità a supporto dei CERT, sistemi e servizi per l’addestramento (Cyber range / Cyber Academy), competenze di consolidamento infrastrutturale ed applicativo, competenze di “hardening” di sistemi.

Un elemento interessante è, inoltre, il centro di Ricerca e Sviluppo in tecnologie sovrane di cyber security, che sarà verosimilmente costituito nell’ottica di una collaborazione tra settore pubblico e privato, creando un ecosistema che veda la collaborazione di istituzioni, industria ed accademia.

Engineering: Senza dubbio si sentiva l'esigenza di dare una "governance" al modo della cybersecurity in ambito nazionale e la Direttiva va sicuramente in questo senso affidando al DIS un ruolo centrale di guida. Tuttavia, bisognerà fare ogni sforzo affinchè l'approccio non sia quello di trattare la materia come una questione "riservata" a pochi addetti ai lavori, ma di affrontare la questione con la massima apertura mentale possibile, coinvolgendo tutte parti in gioco sia pubbliche, ma soprattutto private.

Penso che la panoramica fatta con l'aiuto di Italtel, Engineering e Leonardo sia sufficiente a illustrare lìimportanza dei SOC e dei servizi di cybersecurity erogati per cui non resta che ringraziare tutti per la disponibilità e mi auguro che possano servire a fare un po di chiarezza nel mondo Cyber sul concetto di SOC.

I SOC, sia chiaro, sono solo un aspetto della cyber security. Network Operation Center (NOC) e Infrastructure Operation Center (IOC) con le loro varianti completano le strutture impiegate nella gestione del cyberspace e spero di poter avere l'occasione di parlarne prossimamente.

Alessandro Rugolo & Ciro Metaggiata.

Per approfondire:

- http://ieeexplore.ieee.org/document/6641054/

- http://icsa.cs.up.ac.za/issa/2013/Proceedings/Full/58/58_Paper.pdf;

-http://academic.research.microsoft.com/Publication/12790770/security-operation-center-concepts-&-implementation;

- https://www.slideshare.net/ahmadhagh/an-introduction-to-soc-security-operation-center

- http://www.eng.it/

- http://www.leonardocompany.com/

- http://www.italtel.com/it/

Immagini fornite dalla Leonardo.

Cybertech Europe: una occasione per l’Italia

Vulnerabilità del Network, Cybercrime, Cybersecurity, questi sono solo alcuni dei temi che sempre più spesso sentiamo nominare dai telegiornali, news online e altre piattaforme per l’informazione, e ciò non accade senza motivo. La società moderna in cui viviamo, che possiamo ricondurre ad una realtà fisica ha posto le proprie basi su una dimensione che non possiamo vedere ne rendere pienamente sicura, quella digitale.

 

Cybertech Europe 2017 svoltosi a Roma il 26 e 27 Settembre ha avuto come scopo proprio quello di rendere più visibile e sicura una realtà, come quella digitale, che sta assumendo inesorabilmente una grande importanza nel mondo dei servizi e delle imprese, creando un punto di incontro tra aziende e manager sia del settore pubblico che privato, agevolando lo scambio di idee e soluzioni per fronteggiare le sfide che ci pone l’avanzare della tecnologia.

Il Cybertech Europe, organizzato in collaborazione con Leonardo, è stato inaugurato dal discorso di apertura del Ministro della Difesa Roberta Pinotti e da una introduzione del CEO di Leonardo Alessandro Profumo.

La sicurezza informatica è un fattore che viene considerato molto seriamente dalle aziende, secondo alcune stime il costo del cyber crime a danno delle aziende è aumentato del 47% negli ultimi 5 anni e il numero di attacchi informatici ad esse indirizzati ha subito un aumento del 91%.

Il primo passo per difendersi da questi rischi è la formazione del personale. Il fattore umano, come ci viene detto da Benjamin Desjardin di RSA, è chiave nella vicenda e anche solo il rispetto delle più basilari norme di sicurezza sarebbe un passo avanti importante infatti tra aziende pubbliche e private vi è ancora oggi poca informazione e percezione del rischio da parte del personale.

Siamo entrati da poco in un era in cui l’internet non è popolato solo da utenti che “navigano” nella rete in maniera autonoma, ma anche da “entità” digitali come elettrodomestici, telecamere, sensori e apparecchi medici, i quali condividono una grande quantità di dati e che sono intrinsecamente poco sicuri o difficilmente difendibili da eventuali attacchi informatici, questo nuovo internet viene definito internet of things (IoT) proprio poiché popolato non solo da persone ma anche da cose; vi sono varie stime del numero di entità digitali, alcune parlano di 20 miliardi di dispositivi connessi alla rete.

Nel corso della conferenza Gian Paolo Meneghini, rappresentante italiano al Parlamento Europeo, ci dice che la Cybersecurity è un argomento di principale interesse per l’Unione Europea, insieme ai temi della trasformazione digitale delle imprese, dell’IoT e del 3D printing. La creazione di un fronte comune tra stati ed associazioni, insieme al riconoscimento dei crimini informatici e la possibilità di portare avanti indagini informatiche nell’Unione senza avere le barriere dei confini territoriali potrebbe fungere da deterrente per molti crimini.

Queste sono solo alcune delle prime misure di sicurezza Europee, ma in Italia cosa accade?

Elio Catania di Confindustria Digitale ci dice che l’Italia non ha investito nel digitale e la crescita in questo settore è sostanzialmente più bassa che negli altri paesi.

Tra gli speaker il Commissario di Ostia, Prefetto Domenico Vulpiani, ex capo della DIGOS di Roma ed ex direttore del Servizio di Polizia Postale italiano, ha espresso le sue idee e preoccupazioni sulla disinformazione e sul disinteresse inerenti ai temi della sicurezza informatica in numerosi ambienti dell’amministrazione pubblica italiana, dove la sicurezza delle informazioni e dei dati personali dovrebbe essere massima. Solo nell’ultimo anno i leader italiani hanno cominciato a rivolgere la loro attenzione a questi temi.

In Italia il lavora da fare è ancora tanto ma il nostro paese può prendere ad esempio il lavoro che viene già compiuto da altri stati, europei e non.

Come già detto la società del prossimo futuro sarà dominata negli aspetti della mobilità, energia, salute e produzione da una forte componente digitale e smart che porterà grandi vantaggi sotto il profilo della produttività e del profitto, ma presenta delle grandi incognite sotto il profilo della sicurezza.

Per combattere l’aggravarsi di questi scenari Israele, una delle nazioni più avanzate al mondo sotto il profilo della sicurezza informatica, sta formando i giovani sin dalla scuola elementare, con lo scopo di avere, in un prossimo futuro, un numero maggiore di informatici pronti a combattere le minacce cyber. Purtroppo non possiamo certo dire di avere una situazione simile in Italia, dove la materia dell’informatica viene appena trattata durante gli anni scolastici.

Israele potrebbe sicuramente fornirci un buon esempio da seguire sotto l’aspetto dell’educazione in relazione ai rischi correlati ad una tecnologia che sta cambiando la nostra società ad una velocità che, fino a pochi anni fa, non ci saremmo mai aspettati.

Un’altra nazione all’avanguardia in questo settore da prendere come modello di comportamento è l’Estonia e tra gli ospiti Marina Kaljurand, ex ministro degli esteri ed ambasciatrice estone negli USA, ci dice che pur essendo l’Estonia un piccolo stato che conta circa un milione e mezzo di abitanti, da anni si è distinta per i suoi primati nel mondo digitale, essendo ad esempio la prima nazione al mondo ad aver riconosciuto l’accesso ad internet come diritto ai propri cittadini o per essere fondatrice della e-Residency. In questo ultimo anno una task force guidata dal ministero delle comunicazioni estone si è messa all’opera per definire e regolamentare l’intelligenza artificiale sotto il profilo giuridico, specialmente sulle responsabilità legate ad algoritmi di deep-learning, che non sono difficilmente definibili sotto un profilo tecnico, quanto piuttosto etico.

La prospettiva di nuovi investimenti da parte dell’Unione e la creazione di un fronte Europeo per combattere le minacce cyber è quella che fa ben sperare in un futuro più sicuro per aziende, servizi e cittadini in cui l’Internet of Things può essere monitorato creando nuove piattaforme di sviluppo, progettate per essere sicure “by design” e regolate da norme internazionali.

Suggestivo scorcio della Nuvola

Questi appena citati sono solo alcuni dei numerosi argomenti trattati durante il Cybertech Europe 2017, che nel corso dei due giorni di conferenza ha registrato più di 13.000 partecipanti con oltre 200 start-up e compagnie che hanno presentato i loro prodotti all’esibizione.

Cybertech rinnova l’invito agli interessati per la sua prossima edizione a Tel-Aviv in Israele che si svolgerà tra il 29 e il 31 Gennaio 2018.

Francesco Rugolo

eLearnig? Moodle è lo standard de facto delle Università, ed è un software Open Source!

Roma, presso la sede della Sapienza, ha ospitato l'evento "MoodleMoot Italia 2017!, un incontro tra gli utilizzatori della piattaforma di eLearning Open Source più conosciuta al mondo.

Gavin Henrick -

L'evento, organizzato in collaborazione tra La Sapienza, l'Associazione Italiana Utenti Moodle e il Consortium GARR, si è sviluppato su tre giorni (28-29-30 settembre) con un intenso programma che ha visto moltissimi speakers alternarsi sul podio. Chairman di tutto riguardo: Giuseppe Fiorentino (AIUM), Rino Ragno (La Sapienza) e Gabriella Paolini (GARR), hanno guidato i lavori della seconda giornata.

Ospite internazionale Gavin Henrick che ha illustrato il futuro di Moodle.

Da evidenziare il recente investimento milionario di un investitore europeo che crede nel progetto Moodle.

Tra gli espositori interessante presentazione di Media Touch, società che si occupa di sviluppo di laboratori scientifici virtuali, utilizzati nelle Università per aiutare gli studenti nell'approccio sperimentale, aiutando la familiarizzazione con gli strumenti scientifici e consentendo inoltre di effettuare esperimenti potenzialmente pericolosi senza alcun rischio.

Interessante anche l'excursus storico su Moodle presentato da Andrea Bicciolo (Media Touch).

Antonio Giovanni Schiavone (AGID) ha presentato uno studio sulla accessibilità di Moodle, utilizzando come strumenti di validazione MAUVE e Total Validator. Dallo studio emerge una buona accessibilità generale anche se passi avanti possono essere compiuti.
Dal Trinity College invece la Professoressa Elisabeth Lawson ha parlato di "Innovative approaches in teacher training and continuous professional development".

Questi sono solo parte degli interventi che meriterebbero ognuno un proprio spazio.

Aula Magna piena e grande interesse da parte di tutti per uno strumento che sempre più entra a far parte della vita quotidiana di milioni di utenti in tutto il mondo.

Alessandro Rugolo

Per approfondire: https://moodle.org/?lang=it

2^ edizione romana per il Cybertech Europe: il 26 e 27 settembre alla Nuvola

Roma 26/27 Settembre,

alla "Nuvola", il centro convegni inaugurato circa un anno fa a Roma zona Eur, si terrà il Cybertech Europe 2017, il più grande evento Europeo legato ai temi della cyber security e dell’intelligence.

L’evento, realizzato in collaborazione con Leonardo, alla sua seconda edizione romana dopo il successo del Cybertech 2016, si prepara a dare spazio a convegni, esposizioni e scambi di idee da parte di esperti del settore informatico.

Tra gli speaker vi saranno il Ministro della Difesa Roberta Pinotti, Alessandro Profumo (AD di Leonardo) e Andrea Biraghi sempre di Leonardo e Eugene Kaspersky, fondatore dell’omonima società.

Gli invitati speciali a partecipare all’evento saranno molti altri e potete trovare la lista completa sul sito del Cybertech http://italy.cybertechconference.com/it/speakers .

L’evento sarà diviso in due giornate, il 26 Settembre saranno trattati temi legati a Fintech e alla cyber security a livello nazionale ed europeo , mentre durante la seconda giornata si parlerà di digital transformation e cyber awareness ed investimenti legati alla sicurezza.

Le conferenze e gli incontri con ospiti d’onore saranno solo una parte dell’evento, l’esposizione ricopre infatti una grande importanza al Cybertech, centinaia di Start-up e aziende all’avanguardia avranno il loro spazio per presentare prodotti e soluzioni innovative.

Per il programma completo: http://italy.cybertechconference.com/it/program .

Francesco Rugolo 

Foto tratte dal sito di Leonardo

Oracle Chatbot: presentata in diretta mondiale la nuova tecnologia basata su Artificial Intelligence

Mercoledì 20 settembre Oracle ha presentato, nella sua sede recentemente inaugurata a Roma, la nuova tecnologia Oracle Chatbot.

L’evento è stato presentato da Alessandro Beligi, Italy Sales Director Digital Engagement e Luca Postacchini, Business Development Mobile Strategy Manager,  in contemporanea con le altre sedi Oracle a Madrid, Londra, Chicago e San Francisco.

Cominciamo definendo un chat bot: Un chat bot è un programma che si basa sull’uso della Intelligenza Artificiale con il quale è possibile simulare una conversazione tra un essere umano ed un robot, questi vengono già ampiamente usati da numerose società a fini di marketing o per accompagnare alcuni servizi online (ad esempio l’online banking) o dai social network.

Nel lontano 2006 in America un chatbot sul sito goarmy.com , il cosiddetto SGT.STAR aiutava gli aspiranti militari rispondendo a semplici domande sull’arruolamento. Utilizzava una tecnologia simile sviluppata dalla CIA ed FBI.

Dal 2006 ad oggi i passi in avanti sono stati molti, il nuovo Oracle Chatbot è in grado di memorizzare le informazione che gli vengono date durante la conversazione ed elaborarle, svolgendo difatti il suo compito in maniera rapida ed efficiente.

Chatbot unisce in una sola interfaccia utente numerosi canali di servizio, avendo infatti l’integrazione per Facebook , Google Home, ecc.

Ma come si svolge una conversazione con un chatbot?

Alla base del funzionamento del bot vi è il NLP (Natural Language Processing) ed algoritmi di Machine Learning che permettono al programma di imparare pur senza essere programmato esplicitamente.

Un bot per funzionare correttamente deve:

-      conoscere l’Intent, ossia l’intenzione dell’utente, le sue esigenze più frequenti; nel caso del banking bot potrebbe essere la richiesta del saldo o di un trasferimento di denaro nel conto

-     avere un buon numero di Utterances, ossia frasi inerenti all’Intent che vengono date come esempio al bot, così che possa comprendere la domanda dell’utente in qualunque modo essa venga posta

-       riconoscere le Entities, ossia variabili che gli vengono date all’interno di un discorso come ad esempio le caratteristiche del prodotto di cui si sta parlando, come quantità, colore,taglia ecc.. nel caso di un bot che aiuta nello shopping.

Tutte queste caratteristiche permettono al bot di stabilire il modo migliore per aiutare l’utente.

La tecnologia del chatbot e più il generale l’Intelligenza Artificiale, come nell’esempio del SGT. STAR, possono aiutare il mondo della Difesa in vari modi. Un risponditore automatico intelligente potrebbe, probabilmente, prendere il posto di un centralinista.

Più in generale, in un momento storico come quello attuale, in cui la riduzione del personale militare è all’ordine del giorno, forse uno strumento simile potrebbe essere di ausilio nello svolgere compiti di routine di tipo informativo, consentendo un più oculato impiego del personale militare. La tecnologia del chatbot potrebbe divenire complementare all’uomo che potrebbe così dedicarsi a compiti in cui è richiesta la presenza umana.

Naturalmente ogni nuova tecnologia informatica ha sempre i suoi aspetti di rischio e in questo caso se ne dovrà tenere conto con particolare attenzione visto che si tratta di qualcosa di totalmente nuovo.

Francesco RUGOLO

Per approfondire:

https://www.fishbowlsolutions.com/2017/05/sneak-peek-oracles-chatbot-cloud-service-5-key-factors-necessary-bot-roi/

https://medium.com/@brijrajsingh/chat-bots-designing-intents-and-entities-for-your-nlp-models-35c385b7730d

https://www.goarmy.com/

https://io9.gizmodo.com/the-u-s-army-is-using-a-chatbot-to-recruit-new-soldier-1564813737

Un attacco Cyber alla base della collisione della Destroyer USS John S. McCain?

E' apparsa su vari giornali, fin dai primi giorni dopo l'incidente, la notizia delle indagini in corso sulla collisione avvenuta il 21 agosto nelle acque del Pacifico, ad est dello stretto di Malacca, tra la USS John S. McCain (classe DDG-56) ed una nave cisterna civile battente bandiera liberiana. Indagini particolari condotte dal "Navy cyber team", inviato per la prima volta sul campo per esplorare se in questa collisione, la quarta che coinvolge navi militari nell'anno, vi siano evidenze di un attacco cyber.

Il compito assegnato al Navy cyber team, oltre alla raccolta di dati e alle analisi di eventuali evidenze di attacco cyber, comprende quello ben più importante di capire come rendere di prassi l'analisi cyber in caso di incidenti di una certa rilevanza.

Le indagini sono state probabilmente sollecitate dalla notizia di un inspiegabile malfunzionamento del timone della nave militare.

Il Vice Adm. Jan Tighe (Deputy chief of naval operations for Information Warfare and the 66th director of Naval Intelligence) ha affermato che: “We will look for a couple of things. One, try to confirm cyber did not have anything to do with the collision and then how do we move forward in making sure these are a normal part of these investigations [..] It is something that we think about a lot and we have to have both the authorities and the human capital ready to respond.”

L'operazione, la prima della sua specie, è stata chiamata "Operation Orion Hammer".

Fino ad ora, nonostante la notizia delle indagini su un possibile attacco cyber, sembra non vi siano evidenze di alcun genere che portino a confermare i sospetti.

Una cosa è certa, a causa dell'incidente, il quarto nella zona, il Vice Adm. Joseph P. Aucoin, capo della Settima Flotta, a fine agosto è stato rimosso dall'incarico! 

Per approfondire:

- https://www.defensetech.org/2017/09/14/mccain-collision-investigation-test-case-navy-cyber-experts/
- http://freebeacon.com/national-security/navy-deploys-cyber-security-team-investigate-uss-john-mccain-collision/
- https://news.usni.org/2017/09/14/cyber-probes-part-future-navy-mishap-investigations-uss-john-s-mccain-collision
- http://breakingdefense.com/2017/09/mccain-collision-is-dry-run-for-navy-cyber-investigators/
- https://thenextweb.com/insider/2017/08/22/the-us-navy-is-investigating-possibility-of-cyber-attack-in-latest-collision/#.tnw_htv1eSgi
- https://news.usni.org/2017/08/25/navy-orion-hammer-investigation-uss-john-mccain-collision-turned-no-evidence-cyber-attack
- https://www.realcleardefense.com/2017/08/27/navy_039orion_hammer039_investigation_into_uss_john_mccain_296235.html
http://www.occhidellaguerra.it/gli-hacker-dietro-gli-incidenti-alla-flotta-usa-nel-pacifico/
- https://www.nytimes.com/2017/08/22/world/asia/us-navy-ship-collision-uss-mccain-search-sailors.html
- https://www.wsj.com/articles/u-s-navy-to-relieve-admiral-of-command-after-collisions-1503448987
- https://www.nbcnews.com/news/world/7th-fleet-commander-be-relieved-after-deadly-ship-collisions-n795091
Alessandro RUGOLO

L’impatto cyber sul mondo si misura ormai in miliardi di dollari.

Qualche mese fa, qualcuno potrebbe aver fatto caso alla notizia riguardante una delle più grandi società al mondo nel campo del trasporto containers, della logistica e dell'energia, la danese A.P. Møller - Mærsk A/S.

La notizia, riportata dalle principali testate giornalistiche ha fatto il giro del mondo; non è da tutti infatti dichiarare apertamente perdite per 300 milioni di dollari, causate dalle conseguenze di un attacco informatico avvenuto il 27 giugno scorso e che ha messo in ginocchio il sistema logistico integrato che consente di gestire le operazioni logistiche del colosso.

L'attacco hacker, condotto attraverso l'uso di un ransomware (un software malevolo che cifra i dati e chiede un riscatto per decifrarli) probabilmente non era diretto contro la società danese, sembra infatti che abbia colpito inizialmente il tessuto economico finanziario dell'Ucraina (ma anche i sistemi di monitoraggio della centrale nucleare di Cernobyl) e solo in un secondo tempo abbia colpito la A.P. Møller - Mærsk A/S.

Secondo alcuni analisti di sicurezza il software utilizzato sarebbe EternalBlue, uno dei software prodotto dalla NSA ma l'attacco, secondo fonti governative ucraine, sarebbe stato condotto dalla Russia contro l'Ucraina (dichiarazioni poi in parte ridimensionate).

Risultato?

Per la A.P. Møller - Mærsk A/S un mese di stop quasi completo delle attività logistiche condotte presso diversi porti nel mondo ed un conto da pagare piuttosto salato: circa 300 milioni di euro!

Ma lasciamo da parte la danese A.P. Møller - Mærsk A/S per parlare di un altro articolo, più generale, pubblicato il 18 luglio scorso sul sito blomberg,com. Chi scrive è Oliver Suess e l'articolo ha un titolo fin troppo esplicito: Global Cyber Attack Could Cost $121.4 Billion, Lloyd's Estimates.

Naturalmente è solo una stima (che proviene da un report della Lloyd), però 121 miliardi di dollari sono una bella cifra per un evento cyber, seppur di livello mondiale.

Ora, se le cifre fornite dalla società danese sono realistiche, probabilmente l'impatto globale dell'evento cyber ha raggiunto la cifra di diversi miliardi di dollari (decine?).

Ora, a mio parere, è arrivato il momento di una seria riflessione sul problema cyber, riflessione che noi di Difesaonline cerchiamo di portare avanti.

Probabilmente ricorderete l'articolo Novità sul fronte Cyber: pubblicato il DPCM 17 febbraio 2017, in cui concludevo con la mia perplessità sul fatto che si parlasse, come spesso accade in Italia, di importanti cambiamenti da effettuarsi però senza nuovi oneri a carico del bilancio dello Stato!

BEne, alla mia perplessità di allora aggiungo qualche ulteriore considerazione.

La mia domanda è la seguente: se per disgrazia dovessimo subire un attacco dell'importanza e delle dimensioni di quelli che si stanno verificando in tutto il mondo, non spenderemo (molto) di più del “costo zero” di cui si parla nel DPCM per ripristinare sistemi e servizi e per il fermo dei sistemi che ne deriverebbe?

E questi costi, o come mancati introiti in tasse o come spese vive da sostenere, non andrebbero a gravare in ogni caso sulle casse dello Stato (oltre che sui privati)?

Ritengo che nessuna persona dotata di raziocinio possa metterlo in dubbio!

Ma allora, per una volta, perché non prendere il toro per le corna e finanziare una linea d'azione che miri alla messa in sicurezza dell'Italia dai rischi cyber, in maniera coordinata e scientifica e non, come al solito, lasciando agli uomini di buona volontà e alla loro libera iniziativa la responsabilità di una lotta impari?

Sono in tanti, Università, industrie e privati, che per proprio conto si stanno muovendo per fare ciò che è in loro potere,perchè non cercare di organizzare gli sforzi?

Per approfondire:

- https://www.maersk.com/

- https://www.reuters.com/article/us-cyber-attack-maersk/global-shipping-feels-fallout-from-maersk-cyber-attack-idUSKBN19K2LE

- https://www.reuters.com/finance/stocks/overview/MAERSKb.CO

- https://www.cnbc.com/2017/08/16/maersk-says-notpetya-cyberattack-could-cost-300-million.html

- http://www.ilsole24ore.com/art/mondo/2017-06-27/attacco-hacker-colpisce-l-ucraina-coinvolta-anche-chernobyl-161552.shtml?uuid=AEapb3mB&refresh_ce=1

- https://www.bloomberg.com/news/articles/2017-07-18/global-cyber-attack-could-cost-121-4-billion-lloyd-s-estimates

- https://www.lloyds.com/news-and-insight/press-centre/press-releases/2017/07/cyber-attack-report

Alessandro RUGOLO