Che cos'è la sicurezza informatica? Guida per principianti

La sicurezza informatica è il lavoro di proteggere computer, reti, software e i dati che contengono da accessi non autorizzati, danni e abusi, e di rimetterli in funzione quando qualcosa va storto. Il glossario del NIST la definisce come la prevenzione dei danni ai sistemi, la loro protezione e il loro ripristino, in modo che le informazioni restino disponibili, integre, autentiche, riservate e non ripudiabili.

La definizione è ampia di proposito. Comprende una policy sulle password, una regola del firewall, un backup, una code review e una telefonata per confermare una richiesta di pagamento.

#La triade CIA

Gran parte del lavoro di sicurezza si descrive con tre proprietà. Il glossario del NIST le definisce una per una.

• Riservatezza (confidentiality): solo persone e sistemi autorizzati possono leggere le informazioni. Un database di email di clienti rubato è una violazione della riservatezza.
• Integrità (integrity): le informazioni non sono state modificate o distrutte in modo improprio. Una fattura alterata o un download di software manomesso sono violazioni dell'integrità.
• Disponibilità (availability): gli utenti autorizzati possono raggiungere le informazioni e il servizio quando servono. Un ransomware che blocca tutti i file e un'ondata di traffico che manda offline un sito sono violazioni della disponibilità.

Gli incidenti reali colpiscono spesso più di una proprietà. Un ransomware che copia anche i tuoi dati viola insieme disponibilità e riservatezza. La triade è una checklist per chiedersi "cosa è andato storto, esattamente?", e funziona sia per chi attacca sia per chi difende. Un tester si chiede quale proprietà una debolezza gli permette di violare. Un difensore si chiede quale proprietà un controllo protegge.

#Di cosa si preoccupa chi lavora nella sicurezza

#Minacce, vulnerabilità e rischio

Una vulnerabilità è una debolezza, come un programma senza patch o una password riutilizzata. Una minaccia è qualcosa che può sfruttarla, come un gruppo criminale o un dipendente disattento. Il rischio è la probabilità che succeda, unita all'impatto. Raramente elimini un rischio; decidi quali ridurre, trasferire o accettare.

#Modi comuni in cui i sistemi cedono

• Phishing: messaggi che inducono una persona a cedere una password o a eseguire qualcosa. Le indicazioni della CISA su come riconoscere e segnalare il phishing sono una buona prima lettura.
• Password deboli o riutilizzate: quando da un sito trapela una password, gli attaccanti la provano su altri siti.
• Software senza patch: i difetti noti restano sfruttabili finché non viene installata la correzione.
• Configurazione errata: un bucket di storage lasciato pubblico, una password predefinita rimasta al suo posto, una porta di gestione aperta su internet.
• Difetti nelle applicazioni web: injection, controllo degli accessi difettoso e bug simili. La OWASP Top Ten elenca le categorie più comuni.

Nessuno di questi richiede competenze avanzate per fare danni, ed è per questo che le basi contano.

#Difesa in profondità

Nessun singolo controllo ferma tutto, quindi chi difende li sovrappone. Una password rubata non dovrebbe bastare per arrivare ai dati, e un portatile compromesso non dovrebbe bastare per arrivare a tutti i server.

• Prevenire: aggiornamenti software, autenticazione a più fattori, privilegio minimo, configurazione sicura.
• Rilevare: log che qualcuno legge davvero e alert sugli accessi insoliti.
• Rispondere e ripristinare: un backup testato, un piano scritto su chi fa cosa e un modo per ripristinare il servizio.

Il NIST Cybersecurity Framework organizza le stesse idee in funzioni: Govern, Identify, Protect, Detect, Respond e Recover. Leggi il framework direttamente sul sito del NIST invece di un suo riassunto.

#Attacco e difesa

La sicurezza informatica ha due lati che hanno bisogno l'uno dell'altro. Chi difende costruisce e monitora i sistemi. Chi lavora sul lato offensivo, come penetration tester e red team, attacca i sistemi per trovarne le debolezze prima dei criminali. Il lato offensivo è legittimo solo sui sistemi che puoi testare: le tue macchine, un laboratorio che hai costruito o un target il cui proprietario ti ha dato un permesso scritto e un perimetro definito. Poter raggiungere un sistema da internet non significa poterlo testare.

#Un primo esercizio sulla tua macchina

Puoi vedere la proprietà di integrità all'opera con una funzione di hash. Un hash crittografico come SHA-256 trasforma qualsiasi input in un'impronta di lunghezza fissa. Cambia un carattere dell'input e l'impronta cambia completamente. Così controlli che un file scaricato corrisponda a quello rilasciato da chi lo pubblica.

Questi comandi sono stati eseguiti in Git Bash su Windows 11. Funzionano anche in un terminale Linux o macOS che abbia sha256sum (su macOS, usa shasum -a 256). Toccano solo il testo che digiti, e nulla sulla rete.

printf 'notholy' | sha256sum | cut -d' ' -f1
printf 'notholy2' | sha256sum | cut -d' ' -f1

22d877c3c676415aa2de4720884d52a36b60beff37f0c5468dc45ac9366e3c22
500b373e094e8eaa968be463e24fb8c944bb04d325a1da543ad91972a0a700ae

I due input differiscono di un carattere, e i digest non hanno nulla di visibile in comune. Un hash è unidirezionale: non puoi risalire a notholy dal digest, puoi solo calcolare l'hash di un tentativo e confrontarlo. Un hash da solo non dimostra chi ha pubblicato un file, ma solo che il contenuto corrisponde a un valore ottenuto da una fonte affidabile.

Poi provalo su un file reale. Scarica un installer qualsiasi dal sito ufficiale di un produttore, trova il checksum che il produttore pubblica e confrontalo con l'output di sha256sum sulla tua copia. Se i due valori sono diversi, non eseguire il file.

#Convinzioni sbagliate comuni

• "Non ho nulla che valga la pena rubare." Gli attaccanti vogliono anche i tuoi account, la tua potenza di calcolo e il tuo accesso ad altre persone.
• "Ci pensa l'antivirus." È uno strato. Non risolve una password riutilizzata o un clic su un link di phishing.
• "La sicurezza è un prodotto da comprare." È una pratica continua fatta di configurazione, patch, monitoraggio e abitudini.
• "Basta una password complicata." Una password unica per ogni account, salvata in un password manager e affiancata dall'autenticazione a più fattori, serve molto di più. La guida della CISA sulle password forti spiega questo punto.

#Cosa imparare dopo

Comincia dalle piccole abitudini: aggiornamenti attivi, un password manager, autenticazione a più fattori sugli account importanti. Poi impara come funzionano le reti e il web, perché la maggior parte degli attacchi e delle difese si appoggia lì sopra. Il prossimo articolo tratta la crittografia, hashing compreso, più nel dettaglio. Quando vuoi fare pratica, esegui un'applicazione di addestramento volutamente vulnerabile come OWASP Juice Shop in un laboratorio tuo, oppure usa NotHoly per farti aiutare a pianificare e rivedere il lavoro nel tuo laboratorio. Tieni ogni test dentro sistemi che hai il permesso di toccare.