Sicurezza del software completo

Sicurezza del software

Indice

• Lezioni .......................................................................................................................... p. 2
• Lezione 002 ............................................................................................................................. p. 4
• Lezione 003 ............................................................................................................................. p. 5
• Lezione 004 ............................................................................................................................. p. 6
• Lezione 005 ............................................................................................................................. p. 7
• Lezione 006 ............................................................................................................................. p. 8
• Lezione 007 ............................................................................................................................. p. 9
• Lezione 008 ............................................................................................................................. p. 10
• Lezione 009 ............................................................................................................................. p. 11
• Lezione 010 ............................................................................................................................. p. 12
• Lezione 011 ............................................................................................................................. p. 13
• Lezione 012 ............................................................................................................................. p. 14
• Lezione 013 ............................................................................................................................. p. 15
• Lezione 014 ............................................................................................................................. p. 16
• Lezione 015 ............................................................................................................................. p. 17
• Lezione 016 ............................................................................................................................. p. 18
• Lezione 017 ............................................................................................................................. p. 19
• Lezione 018 ............................................................................................................................. p. 20
• Lezione 019 ............................................................................................................................. p. 21
• Lezione 020 ............................................................................................................................. p. 22
• Lezione 021 ............................................................................................................................. p. 23
• Lezione 022 ............................................................................................................................. p. 24
• Lezione 023 ............................................................................................................................. p. 25
• Lezione 024 ............................................................................................................................. p. 26
• Lezione 025 ............................................................................................................................. p. 27
• Lezione 026 ............................................................................................................................. p. 28
• Lezione 027 ............................................................................................................................. p. 29
• Lezione 028 ............................................................................................................................. p. 30
• Lezione 029 ............................................................................................................................. p. 31
• Lezione 030 ............................................................................................................................. p. 32
• Lezione 031 ............................................................................................................................. p. 33
• Lezione 032 ............................................................................................................................. p. 34
• Lezione 033 ............................................................................................................................. p. 35
• Lezione 034 ............................................................................................................................. p. 36
• Lezione 035 ............................................................................................................................. p. 37
• Lezione 036 ............................................................................................................................. p. 38
• Lezione 037 ............................................................................................................................. p. 39

Lezione 002

1. La sicurezza del software deve essere considerata

   • Solo nelle fasi successive dello sviluppo del software
   • Durante la fase di test del software
   • Dopo la fase di test del software
   • Dall'inizio del ciclo di vita dello sviluppo del software

2. Qualsiasi programma, per quanto innocuo possa sembrare, può ospitare falle nella sicurezza è un'affermazione di:

   • Dan Geer
   • Gary McGraw
   • Cheswick e Bellovin
   • Bruce Schneier

3. La sicurezza del software e la sicurezza delle applicazioni

   • Coincidono
   • Sono diverse, in quanto solo la sicurezza delle applicazioni riguarda la protezione dopo lo sviluppo e la distribuzione
   • Riguardano la protezione dopo lo sviluppo e la distribuzione
   • Sono diverse, in quanto solo la sicurezza del software riguarda la protezione dopo lo sviluppo e la distribuzione

4. Dare una definizione di sicurezza del software.

   La sicurezza del software è la capacità del software di resistere, tollerare e riprendersi da eventi che intenzionalmente minacciano la sua affidabilità. La sicurezza del software riguarda, infatti, la creazione di un software sicuro che va dalla progettazione, al controllo durante le fasi di sviluppo, all’educazione di sviluppatori, architetti e utenti su come costruire cose sicure.

Lezione 003

1. L'acronimo SOA significa:

   • Security Optimized Architectural
   • Security Oriented Architecture
   • Service Oriented Architecture
   • Service Optimized Architecture

2. Quali sono le tre tendenze che hanno una grande influenza sulla crescita e sull'evoluzione del problema della sicurezza del software?

   • Complessità, accuratezza e connettività
   • Connettività, accuratezza, standardizzazione
   • Estensibilità, Standardizzazione e complessità
   • Connettività, estensibilità e complessità

3. La tendenza della complessità può essere misurata in:

   • Quantità di RAM
   • Numero di processori
   • Righe di codice
   • Operazioni al secondo

4. La crescente connettività dei computer attraverso Internet

   • Migliora il problema della sicurezza del software
   • Ha ridotto il numero di attacchi informatici
   • Non influenza il problema della sicurezza del software
   • Peggiora il problema della sicurezza del software

5. Quali sono le tre tendenze che hanno una grande influenza sulla crescita e sull'evoluzione del problema della sicurezza del software?

   Le tre tendenze sono: connettività, estensibilità e complessità. La crescente connettività dei computer ha aumentato sia il numero di vettori di attacco sia la facilità con cui effettuare un attacco. L'estensibilità è supportata attraverso script, controlli e altre componenti. Tutte queste aumentano il rischio di vulnerabilità e attacchi dall'esterno. L'ultima tendenza è la complessità. Quando i sistemi diventano più complessi, è difficile evitare bug.

Lezione 004

1. Descrivere i tre approcci principali utilizzati per affrontare la sicurezza nel software

   I tre approcci utilizzati sono: penetra ed applica una patch, ambiente operativo sicuro, ingegneria del software sicuro. Il primo approccio prevede l’analisi di vulnerabilità e la risoluzione delle stesse tramite l’applicazione di patch. Il costo di questa soluzione può essere molto elevato. Il secondo approccio utilizza dispositivi esterni al sistema che garantiscono un alto livello di protezione ma che comunque aiutano poco contro gli attacchi che derivano da errori di progettazione o di implementazione. Il terzo approccio mira ad implementare processi e meccanismi ben strutturati con la sicurezza come elemento principale. Ogni fase del ciclo di vita del software è accompagnata da controlli di sicurezza.

Lezione 005

1. Un individuo che accede ad un sistema informatico per migliorare la sicurezza evidenziandone i punti deboli è:

   • un hacker
   • un hacktivist
   • un noob
   • un cracker

2. Chi viola asset per fini maliziosi o per tornaconto personale è:

   • un gray hat
   • un blue hat
   • un black hat
   • un white hat

3. Un qualunque oggetto che ha valore potenziale o reale per un'organizzazione è la definizione di:

   • Sistema
   • Asset
   • Contromisura
   • Rischio

4. L'insieme delle operazioni che l'asset è chiamato a svolgere rappresenta l'ambito:

   • della sicurezza
   • della funzionalità
   • delle prestazioni
   • dell'autenticità

5. Che differenza c’è tra minaccia e vulnerabilità?

   Una minaccia è una qualunque potenziale causa di incidente che può provocare danni all’asset. Una vulnerabilità è una tipologia di debolezza che un attaccante può utilizzare per tramutare minacce in realtà oppure è una parte di codice che consente ad eventuali minacce di intaccare il sistema su cui viene eseguito.

6. Descrivere la classificazione delle minacce in ambito informatico STRIDE.

   Una classificazione delle minacce è quella introdotta da Microsoft STRIDE: Spoofing (spacciarsi per qualche altra entità), Tampering (modifica informazioni), Repudiation (impossibilità di attribuire azioni), Information Disclosure (divulgare informazioni), Denial Of Service (negare un servizio), Elevation of Privilege (elevare i privilegi).

Lezione 006

1. L'impatto è:

   • il livello di sicurezza di un asset
   • la conseguenza dell'attuazione di una minaccia
   • procedura che sfrutta una vulnerabilità
   • la possibilità che si verifichi un evento dannoso

2. La possibilità che si verifichi un evento dannoso è la definizione di:

   • impatto
   • rischio
   • bug
   • flaw

3. Quale delle seguenti è sbagliata:

   • Rischio = f (Danno, Probabilità)
   • Rischio = f (Impatto, Probabilità)
   • Rischio = f (Minaccia, Difetto)
   • Rischio = f (Impatto, Minaccia, Vulnerabilità)

4. Un errore di implementazione dell'asset a livello di codice sorgente è la definizione di:

   • script
   • danno
   • bug
   • flaw

5. Che differenza c'è tra flaw e bug?

   Un bug è un errore di implementazione dell’asset (in caso di software a livello di codice sorgente). Il bug può essere individuato e risolto. Il flaw è un problema a livello più profondo, a livello di progettazione.

Lezione 007

1. La procedura che sfrutta una vulnerabilità per concretizzare una minaccia è:

   • Una minaccia
   • Una contromisura
   • Una debolezza
   • Un exploit

2. Il termine triade CIA si riferisce a:

   • Confidenzialità, Integrità, Autenticità
   • Confidenzialità, Interoperabilità, Accuratezza
   • Confidenzialità, Integrità, Accuratezza
   • Confidenzialità, Integrità, Disponibilità

3. Autenticità e non ripudio possono essere considerati un'estensione di:

   • Confidenzialità
   • Integrità
   • Accuratezza
   • Disponibilità

4. Una vulnerabilità che rende una macchina o i servizi da essa offerti non disponibili appartiene alla categoria:

   • Gain Information
   • Denial Of Service
   • Bypass Something
   • Directory Trasversal

5. Per poter utilizzare un Exploit è necessaria:

   • una debolezza
   • una contromisura
   • una vulnerabilità
   • una minaccia

6. Descrivere le tre proprietà note con il termine di triade CIA.

   Le tre proprietà sono: Confidenzialità, Integrità e Disponibilità. La confidenzialità limita l’accesso alle informazioni o risorse informatiche alle sole persone autorizzate e mira all’impedire l’interazione in lettura con un asset ad utenti non autorizzati. L’integrità mira ad impedire l’interazione in scrittura con un asset ad utenti non autorizzati. La disponibilità mira a rendere disponibili le funzioni dell’asset ad utenti autorizzati.

7. Che cosa sono gli exploit e come possono essere classificati.

   Gli exploit sono procedure che sfruttano una vulnerabilità per concretizzare una minaccia. Gli exploit possono essere remoti o locali. Gli exploit remoti vengono lanciati attraverso la rete e sfruttano vulnerabilità del sistema. Gli exploit locali richiedono un primo accesso al sistema con l’obiettivo di ottenere i privilegi più alti o di amministratore per portare a termine l’attacco.

Lezione 008

1. Un contromisura è efficace se:

   • la riduzione del rischio è nulla
   • la riduzione del rischio è superiore al costo della contromisura
   • la contromisura risulta più costosa rispetto ai benefici
   • il rischio residuo non è inferiore al rischio iniziale

2. Le azioni volte ad annullare o limitare le vulnerabilità sono definite:

   • Attacchi
   • Contromisure
   • Exploit
   • Rimedi

3. Una contromisura che regola il comportamento degli utenti per gli aspetti che riguardano la sicurezza delle informazioni è:

   • di tipo tecnico informatico
   • di carattere amministrativo
   • di tipo procedurale
   • di carattere fisico

4. Definire una contromisura.

   Le contromisure di sicurezza sono le realizzazioni e le azioni volte ad annullare o limitare le vulnerabilità e a contrastare le minacce.

Lezione 009

1. CVE sta per

   • Common vulnerabilities and Exploitations
   • Exploit
   • Entity
   • Exposures

2. Il sistema CVE identifica una vulnerabilità con un identificatore il cui formato è:

   • CVE-NUMERO-ANNO
   • ANNO-NUMERO-CVE
   • NUMERO-ANNO-CVE
   • CVE-ANNO-NUMERO

3. Un errore nel software che permette l'accesso a funzioni e informazioni rappresenta:

   • una vulnerabilità
   • un fallimento
   • una contromisura
   • un'esposizione

4. Descrivere il sistema CVE.

   CVE sta per Common Vulnerability Exposures e utilizza la notazione CVE-ANNO-NUMERO per identificare una vulnerabilità. Ad ogni CVE corrisponde una scheda che ne descrive le informazioni (Descrizione, Riferimenti, Data di inserimento). Ovviamente il sito che ospita queste informazioni è quello del mitre (cve.mitre.org) che ospita l'elenco completo.