SQL Injection: la vulnerabilità più diffusa negli ultimi 10 anni

Posted by on Oct 29, 2013

10 anni fa è stata pubblicata la prima ricerca sulle SQL Injection. Un decennio dopo questa vulnerabilità è ancora una delle più diffuse: un pericolo per le aziende ed i network. Che cos’è una SQL Injection? SQL Injection è la vulnerabilità più sfruttata nelle applicazioni web che utilizzano database relazionali. Un hacker può inviare al database comandi SQL arbitrari che verranno eseguiti dal server, esponendolo i dati a rischi che possiamo ben immaginare (accesso non autorizzato, la perdita di tutti i dati, etc). Un attacco SQL Injection può verificarsi quando un’applicazione web utilizza i dati forniti dall’utente senza un’adeguata convalida o codifica. Gli aggressori forniscono dati di input appositi per ingannare l’interprete SQL ed eseguire comandi non presenti nel codice originale dell’applicazione. L’interprete non sarà in grado di distinguere il codice malevolo dal codice buono, e li eseguirà senza problemi. Se l’attacco va a buon fine, il malintenzionato potrà creare, leggere, aggiornare o modificare i dati memorizzati nel database. La SQL Injection permetterebbe di accedere ad informazioni sensibili come password, numeri di previdenza sociale, anagrafiche dei clienti e dati di produzione, carte di credito o altri dati finanziari. Quando nasce la SQL Injection? L’inventore delle SQL Injection è probabilmente Rain Forest Puppy, un esperto di sicurezza informatica che per primo descrisse la tecnica di attacco...

Learn More

Succederà ad altri, non alla mia azienda!

Posted by on Oct 21, 2013

In che modo le scelte che compiamo possono influenzare la nostra vita? Dipende. Esistono scelte giuste e scelte sbagliate. A volte, inoltre, queste scelte si incontrano con quelle di altri, portando così ai più svariati risultati. Qualsiasi sia il punto di arrivo, esso non è casuale, perché influenzato dal modo in cui abbiamo deciso di operare. Così un’azienda può scegliere di proteggere i propri dati sensibili… o no. Affrontare il problema della sicurezza informatica affermando “Succederà ad altri, non alla mia azienda!”, conduce sulla strada di un imminente disastro. Se un hacker decidesse di attaccare proprio l’organizzazione non protetta, i danni finanziari e alla reputazione sarebbero inevitabili. Se la scelta di non proteggere il proprio sistema, incontra la scelta di un hacker malintenzionato a manometterlo. Il risultato è facilmente immaginabile. Gli attaccanti d’altronde preferiscono obiettivi poco protetti e che espongono vulnerabilità facilmente identificabili e sfruttabili. Questo è stato l’argomento principale del Black Hat USA 2013, la più grande e famosa conferenza sulla sicurezza informatica tenuta a Las Vegas, Nevada. Tripwire ha realizzato un sondaggio su un campione di partecipanti, scoprendo che metà di loro si aspetta che nei prossimi sei mesi la propria attività venga attaccata. Secondo il 2013 Verizon Data Breach Investigation Report, gli attacchi che sfruttano vulnerabilità...

Learn More

Investire nella sicurezza informatica: le false credenze delle aziende

Posted by on Oct 8, 2013

Studi, sondaggi e statistiche confermano come il problema della sicurezza informatica sia sottovalutato dalle aziende, nonostante l’argomento sia da tempo sdoganato. Dati allarmanti pervengono dal sondaggio realizzato da Kapersky Lab: ne risulta che la maggior parte delle aziende è inconsapevole dei reali rischi di una mancata protezione dei propri sistemi, e tende a non investire nella sicurezza informatica. I risultati del sondaggio parlano chiaro: il 60% delle aziende intervistate non ha tempo e denaro da investire nello sviluppo di politiche e misure per la sicurezza informatica. Il dato che lascia maggiormente perplessi, è che solo il 34% dei governi e delle organizzazioni mondiali per la difesa presenta degli adeguati sistemi di protezione. Proprio dove investire nella sicurezza informatica dovrebbe essere la priorità assoluta, per proteggere una grande mole di dati confidenziali. Chi invece ha deciso di realizzare politiche di protezione, non ha a disposizione risorse adeguate, e per circa la metà degli intervistati il budget è insufficiente. C’è anche chi non ha fondi extra da investire nella sicurezza informatica, e si tratta del 16%. L’inconsapevolezza dei reali rischi dovuti ad una mancata protezione potrebbe avere importanti conseguenze dal punto di vista finanziario e della reputazione. Il 91% delle organizzazioni ha ricevuto almeno un attacco informatico dall’esterno, mentre l’85% ha...

Learn More

La protezione dei dati sensibili sottovalutata dalle aziende

Posted by on Oct 7, 2013

Shred-it, una compagnia per la distruzione di documenti confidenziali, ha condotto uno studio che svelerebbe come le piccole aziende americane affrontano il problema della protezione dei dati sensibili. I risultati sono allarmanti: circa il 69% dei proprietari non crede, o non è consapevole, che sia possibile perdere dati o addirittura esserne derubati. Questo atteggiamento passivo rende le aziende vulnerabili e soggette a potenziali danni economici e di conseguenza, alla credibilità del brand. Questo falso senso di sicurezza è confermato dai dati statistici pervenuti dagli studi Shred-it: Il 40% delle aziende non ha protocolli che regolino la protezione dei dati sensibili. Più di 1/3 delle aziende non addestra lo staff sulle procedure per la sicurezza informatica. Il 48% delle aziende non possiede un management della sicurezza dei dati. Solo il 18% vorrebbe che vengano varate nuove leggi a garanzia della privacy dei dati, infliggendo pesanti sanzioni a chi minaccia la sicurezza di un’azienda, così da scoraggiare i malintenzionati. Mike Skidmore, funzionario per la Privacy e Sicurezza di Shred-it ha dichiarato: “Abbiamo visto un consistente aumento di piccole aziende sprovviste di protocolli per la protezione dei dati sensibili. Un primo step sarà quello di consapevolizzare sulle politiche e procedure per la stessa. Le organizzazioni affrontano tanti rischi, ma salvaguardare i dati...

Learn More

OWASP Top 10 2013: Le maggiori minacce per i sistemi informatici!

Posted by on Sep 30, 2013

OWASP è l’ente mondiale che produce risorse, articoli e materiali per il miglioramento della sicurezza dei software web e quest’anno ha stilato una nuova Top 10 delle principali minacce alla sicurezza dei sistemi informatici. Negli ultimi dieci anni i problemi di sicurezza si sono complicati ed è diventato sempre più difficile rendere le applicazioni sicure da parte delle organizzazioni. Così OWASP cerca di diffondere la consapevolezza delle minacce informatiche e favorirne una buona gestione. Vediamo in breve quali sono le voci di questa classificazione: Injection – Meglio conosciuta come SQL Injection, si verifica quando un hacker riesce ad inviare una query arbitraria al database. Riguarda principalmente database di tipo DBMS utilizzati per memorizzare e gestire i dati di un’applicazione web. Se le query non sono oppurtunamente filtrate, l’hacker potrà ottenere e modificare le informazioni salvate o aggiungerne di nuove. Conseguenze: accesso a dati sensibili e password, pagine web dinamiche che genereranno codice malevolo per attaccare gli utenti, furto di carte di credito, accesso non autorizzato ad aree amministrative. Broken Authentication and Session Management – Viene a verificarsi quando non c’è una corretta gestione delle sessioni, come la la mancata protezione delle credenziali e dei token o cookie di sessione. Cross Site Scripting (XSS) – Se i dati in input...

Learn More

Hacker White Hat VS Black Hat VS Grey Hat

Posted by on Sep 24, 2013

Gli hacker sono ormai figure mitologiche della nostra epoca. Li abbiamo visti smanettare davanti ad un PC nei film di spionaggio, intenti a rubare informazioni segrete e dati sensibili. Ne sentiamo parlare ai telegiornali, basti ricordare i casi Wikileaks e Anonymous. Nella maggior parte dei casi vengono presentati come fuori legge. Ma sappiamo davvero chi sono e cosa fanno gli hacker? Esistono principalmente tre figure di hacker, che chiamate nel gergo dell’Information Security sono rispettivamente: White Hat (cappelli bianchi), Black Hat (cappelli neri) e Grey Hat (cappelli grigi). Insomma, i buoni, i cattivi e la via di mezzo tra i precedenti. Oggi si parla anche di hacker etico: un professionista nella penetrazione dei sistemi informatici che utilizza gli stessi strumenti e tecniche degli hacker “cattivi”, ma in modo controllato ed all’interno di un insieme di servizi professionali ben codificati (ci sono quasi quindici anni di letteratura sull’argomento, per quanto ci sia sempre qualcuno che si improvvisa esperto). Gli hacker non sono tutti uguali: White Hat – Sono gli hacker che vengono ingaggiati dalle aziende ed utilizzati sulle stesse, così da scoprire vulnerabilità che vengono comunicate al fine di implementare i controlli adeguati; Black Hat – Sono i cattivi della situazione, coloro che attaccano i sistemi informatici con l’intento di rubare informazioni,...

Learn More