p@norama' sulle tecnologie innovative: la sicurezza applicativa

RELATORE:

DigitPA - “P@norama” sulle tecnologie innovative

17 gennaio 2011

Francesco GERBINO

La Sicurezza ApplicativaStato dell’arte ed iniziative in corso in SOGEI

2

Agenda

• Presentazione della Società

• La sicurezza applicativa

� stato dell’arte

� strategia di approccio

• Individuazione di una metodologia

• Definizione di un percorso formativo

• Individuazione ed acquisizione di strumenti tecnologici

• Definizione ed attuazione di processi aziendali

• Conclusioni

3

Presentazione della Società: Innovazione tecnologica dal 1976

Si avvia il processo di modernizzazione della Amministrazione Finanziaria

Nasce Sogei per progettare, realizzare e gestire una moderna e funzionale Anagrafe Tributaria

Il MEF acquista Sogei

Cambia il ruolo dell’azienda che diventa:

• parte integrante del “Sistema Fisco” con una nuova responsabilitàistituzionale

• unica proprietaria dell’infrastruttura IT

1976 1981 luglio 2002

Si implementa la tecnologia WEB al servizio della PA, del cittadino e delle imprese

1997

La proprietà di Sogei passa al Dip.Tesoro

luglio 2008

L’Atto di Indirizzo del Ministro dell’Economia e delle Finanze conferma il ruolo istituzionale di Sogei e le assegna nuovi compiti in ambito nazionale ed internazionale

settembre 2009

Sogei è un fattore di integrazione al servizio della società ita liana ed europea . Con le più innovative tecnologie IT permette una maggiore offerta di servizi integrati e l'interscambio di in formazioni , in un

quadro coordinato di "Data Governance”

La Sogei S.p.A. è dal 1976 una realtà imprenditoriale dedicata allo sviluppo delle soluzioni IT per il Sistema fiscale nazionale, realizzato e gestito al livello dei migliori standard europei in termini di tecnologia, capacitàdi servizio, efficienza operativa

4

Presentazione della Società: Il contesto operativo e i dati principali

SOGEISOGEI

MEFMEF

100% Azionista

DFDF

Agenzie Fiscali e Altri CentriAgenzie Fiscali e Altri Centri

Contratto di ServiziQuadro

Rapporti extra MEF

Contratti Esecutivi

Contratti operativi pluriennali contenenti i piani tecnici di automazione

VALORE DELLA PRODUZIONE: € 319 MIO

UTILE: € 39 MIO

VALORE DELLA PRODUZIONE: € 319 MIO

UTILE: € 39 MIO

DIPENDENTI: 1784DIPENDENTI: 1784

BILANCIO 2009

5

Presentazione della Società: Le strutture tecnologiche del SIF

• Ambiente Centrale : � 3 sistemi Mainframe / oltre 28.000 Mips � Oltre 2.500 sistemi server di cui oltre 1200 di tipo virtuale� Oltre 1 PB di memoria in infrastruttura SAN� Archivio di backup con oltre 3 PetaByte di dati� 2.000 uffici locali e altre pubbliche amministrazioni collegate

• Sistema periferico : � 2.700 sistemi server � 60.000 sistemi client� 2.000 reti locali

• Continuità operativa:� 1 sistema Mainframe / 900 MIPS� Archivio di 350 TB� Circa 100 sistemi server � 4 link da 1 GigaBit in alta affidabilità

6

Presentazione della Società: I volumi trattati nel SIF

�132mila apparecchi da intrattenimento senza vincita in denaro e 348mila apparecchi con vincita in denaro (newslot)

� 680 milioni di biglietti venduti per scommesse ippiche, sportive e non sportive

� 27 milioni di schedine Totocalcio

� 2,5 miliardi di biglietti per le Lotterie istantanee

� 341 milioni di “diritti di partecipazione” per i giochi di abilità a distanza

� 2,1 miliardi di schedine del lotto e 4,8 miliardi di colonne del superenalotto

� 8,6 milioni di partite di Bingo

� 34 milioni di dichiarazioni dei redditi, 3,7 milioni di comunicazioni dati IVA

� 7 milioni di atti del Registro

� 120 milioni di pagamenti telematici

� 63 milioni di unità immobiliari urbane, 82 milionidi particelle dei terreni

� 39 milioni di possessori di fabbricati, 26 milionidi possessori di terreni

� 85 milioni di note di cui 40 in formato digitale riferite al periodo preautomazione

� 340mila mappe in formato vettoriale

� 28mila beni demaniali

� 40 milioni di persone fisiche

� 1,9 milioni di società (di persone e di capitali)

� 5,5 milioni di contribuenti IVA

Contribuenti

Dichiarazioni e versamentiGiochi

Patrimonio immobiliare� 9 milioni di bollette (importazioni ed esportazioni)

� 2,7 milioni di dichiarazioni

� 60mila analisi di laboratorio

Dogane

7

La Sicurezza Applicativa: Stato dell’arte …

• La maggior parte dei servizi informativi è realizzato mediante tecnologie web:� per il cittadino (internet)

� per gli operatori della PA (intranet)

• Dematerializzazione, servizi telematici, e-government hanno portato alla realizzazione di servizi in cui sono scambiati e trattati dati personali, riservati, sensibili (giudiziari, sanitari, …)

• La sicurezza dei servizi web ha molti aspetti:� Sistemi di identificazione ed autenticazione forte

� Gestione delle identità

� Crittografia e firma digitale� Analisi dei dati di tracciamento ed individuazione di possibili frodi

� …

• La sicurezza dell’applicazione, intesa come possibile presenza di vulnerabilità nel codice, ha recentemente assunto una importanza particolare in ambito sicurezza IT

8

… La Sicurezza Applicativa: Stato dell’arte …

• Inizialmente i vettori di attacco più semplici da sfruttare per le applicazioni web erano le vulnerabilità o le errate configurazioni presenti a livello di rete e di sistemi di base, in quanto:� Sistemi operativi e protocolli di rete erano di conoscenza diffusa, ma non

espressamente progettati o configurati per sostenere attacchi informatici

� Una stessa vulnerabilità di un sistema operativo poteva essere presente su migliaia di sistemi informativi contemporaneamente

� Erano disponibili sistemi di scansione automatica per l’individuazione di tali vulnerabilità, utilizzati sia da esperti di sicurezza, sia da attaccanti

� Lo sfruttamento di tali vulnerabilità era relativamente semplice, anche grazie ai tool liberamente disponibili

RETE

SISTEMA

APPLICAZIONE

9


• La sicurezza delle applicazioni web pubblicate su Internet è stata quindi inizialmente basata su soluzioni infrastrutturali di sicurezza perimetrale, come:� Firewall

� Intrusion Prevention System (integrati successivamente)

• Tali soluzioni infrastrutturali consentivano infatti di proteggere efficacemente dai più comuni e diffusi vettori di attacco, costituiti dalle vulnerabilità presenti a livello infrastrutturale (rete e sistemi operativi)

RETE

SISTEMA

APPLICAZIONE

10


• Rilevanti investimenti da parte di produttori di sistemi operativi e di apparati di sicurezza perimetrale hanno contribuito ad un significativo innalzamento del livello di sicurezza dei prodotti:� Requisiti di sicurezza presenti by design nei sistemi di base

� Team R&D specializzati in sicurezza IT� Migliaia / milioni di utenti nel mondo che segnalano bug o possibili

vulnerabilità di prodotti

• Le vulnerabilità presenti a livello di rete e di software di base sono diventate quindi più rare e difficilmente sfruttabili: l’attenzione si èquindi spostata al livello dell’applicazione

RETE

SISTEMA

APPLICAZIONE

11

… La Sicurezza Applicativa: Stato dell’arte

• Le applicazioni sono realizzate spesso con l’obiettivo di ridurre i costi ed il time-to-market, migliorando usabilità ed accessibilità da parte degli utenti finali

• Per ogni singola applicazione web pubblicata non c’è lo stesso effort di studio, ricerca, analisi e test che produttori di apparati di sicurezza e di software di base hanno profuso nel corso di questi ultimi anni sui propri prodotti

• Le applicazioni rischiano quindi di diventare l’anello debole della catena…

RETE

SISTEMA

APPLICAZIONE

12

La Sicurezza Applicativa: Strategia di approccio

• Obiettivo� Aumentare il livello di sicurezza delle applicazioni web

• Criticità� Non esistono soluzioni semplici o tool automatici che offrano piene

garanzie di individuare e correggere tutte le vulnerabilità presenti in una applicazione

• Quindi come raggiungere l’obiettivo?� Individuazione di una metodologia

� Definizione di un percorso formativo per team di sviluppo e team di sicurezza

� Individuazione ed acquisizione di strumenti tecnologici � Definizione ed attuazione di processi standard aziendali inseriti nel ciclo

di sviluppo del software

13

Individuazione di una metodologia …

• Una vulnerabilità di una applicazione è da considerarsi come un bug funzionale � è necessaria una modifica del codice

• Le modifiche alle applicazioni, come noto, hanno un costo maggiore per i progetti, tanto più tardi ne è individuata la necessità nel corso del ciclo di vita del software

• La metodologia da adottare deve quindi supportare tutte le fasi del ciclo di vita del software, consentendo di poter intervenire fin dalle prime fasi

analisi sviluppo test collaudo

costochange

14

… Individuazione di una metodologia …

• A seguito dello studio di best practice e standard più diffusi abbiamo selezionato una metodologia open source:� OWASP (Open Web Application Security Project )

• Perché OWASP?� Specifica per applicazioni web

� Completa copertura del ciclo di sviluppo del sw:- Development Guide- Code Review Guide

- Testing Guide

- Software Assurance Maturity Model (SAMM)

� Ampiamente diffusa a livello nazionale e internazionale� Open Source

� Supportata dal mercato dei prodotti per assessment di applicazioni web

� Specifiche competenze presenti in Italia: il capitolo italiano dell’OWASP è autore della Testing Guide

15

… Individuazione di una metodologia

• La metodologia OWASP è applicata per tutto il ciclo di vita del sw• L’obiettivo di aumentare il livello di sicurezza delle applicazioni è

affrontato mediante tre tipi di interventi:� FORMAZIONE dei team di sviluppo (Development Guide): in particolare

si investe fin dalle prime fasi per portare la sicurezza by design nelle applicazioni

� ANALISI STATICA del codice (Code Review Guide): fin dalle prime fasi dello sviluppo sono rese disponibili agli sviluppatori linee guida, tool di supporto integrati nell’ambiente di sviluppo, assessment svolti da esperti di sicurezza

� ANALISI DINAMICA dell’applicazione (Testing Guide): fin dalle prime fasi di test sono resi disponibili linee guida, tool ed esperti di sicurezza per analizzare il livello di sicurezza del servizio nel suo complesso (applicazione ed infrastruttura)


FORMAZIONE

ANALISI STATICA

ANALISI DINAMICA

16

Definizione di un percorso formativo

• E’ stato definito un percorso formativo personalizzato e progressivo per:� Team di sviluppo , focalizzato sui principi di programmazione sicura,

dando priorità alle OWASP Top 10 Web Application Security Risks applicabili al contesto delle applicazioni SOGEI; a tal fine sono state redatte linee guida interne di programmazione, specifiche per gli ambienti applicativi adottati, derivate dalle guide OWASP

� Responsabili di progetto , finalizzato a sensibilizzazione e consapevolezza in ambito sicurezza applicativa allo scopo di fornire gli elementi per una corretta gestione del rischio, anche mediante la diffusione di un linguaggio ed una conoscenza di base comune, relativa ai principali tipi di vulnerabilità ed ai relativi rischi conseguenti (SQL injection, cross site scripting, …)

� Team di sicurezza , finalizzato a specializzare le competenze tecniche necessarie per condurre assessment sulle applicazioni, per analizzarne gli esiti e per valutare gli eventuali rischi derivanti dalle possibili vulnerabilità emerse

17

Individuazione ed acquisizione di strumenti tecnolo gici …

• Come anticipato, allo stato dell’arte dei prodotti e delle tecnologie disponibili, non è possibile automatizzare completamente il processo di analisi statica del codice e di analisi dinamica delle applicazioni, a meno di:� Individuare solo parzialmente le vulnerabilità presenti� Ottenere un significativo numero di falsi positivi

• L’esperienza del Team di Sicurezza è ancora un fattore essenziale per ottenere migliori risultati e quindi un miglior livello di sicurezza dell’applicazione

• Peraltro la complessità e la numerosità dei controlli necessari e la numerosità di applicazioni e di linee di codice da analizzare richiede il supporto di strumenti tecnologici che automatizzino alcune fasi dell’assessment condotto dal Team di sicurezza

18

… Individuazione ed acquisizione di strumenti tecnolo gici …

• Il mercato attualmente offre tool specifici distinti per:� Analisi statica del codice (code review, white box analysis, …)� Analisi dinamica delle applicazioni (WAPT, web application penetration

test, black box analysis)

• Tali strumenti svolgono analisi e controlli complementari, per cui integrando e correlando gli esiti delle analisi è possibile individuare un maggior numero di vulnerabilità ed escludere un maggior numero di falsi positivi

• I maggiori player del mercato IT hanno in corso acquisizioni ed integrazioni di tali soluzioni, al fine di ottenere migliori risultati per i loro prodotti di assessment

19


• I tool per Analisi statica del codice (code review, white box analysis):� possono essere configurati per supportare specifiche policy aziendali di sicurezza

� sono integrabili con l’ambiente di sviluppo e/o con l’ambiente di sw configuration management

• La migliore strategia d’uso di tali tool consiste nell’utilizzarli in entrambi i modi:� mediante plug-in disponibili per l’ambiente di sviluppo, per fornire al

programmatore già in fase di compilazione o di deploy dell’applicazione indicazioni su possibili vulnerabilità; in tale modalità è possibile anticipare i problemi più comuni, ma la capacità di analisi è limitata

� mediante analisi batch, in fase di build dell’applicazione completa, per fornire al Team di Sicurezza indicazioni su possibili vulnerabilità; in tale modalità la verifica e la risoluzione delle vulnerabilità riscontrate richiede una stretta integrazione fra Team di sicurezza e Team di sviluppo


FORMAZIONE

ANALISI STATICA

ANALISI DINAMICA

20


• I tool per Analisi dinamica delle applicazioni (WAPT, web application penetration test, black box analysis) :� emulano il comportamento di un attaccante sul servizio web in

esecuzione

� sono utilizzati dal Team di sicurezza

� possono quindi essere utilizzati solo in fase di test e collaudo� consentono di individuare caratteristiche di alcuni vettori di attacco

specifici e difficilmente individuabili mediante code review

� consentono l’associazione della vulnerabilità con la funzionalità web, ma non con la relativa porzione di codice

FORMAZIONE

ANALISI STATICA

ANALISI DINAMICA


21

… Individuazione ed acquisizione di strumenti tecnolo gici

• SOGEI si è quindi dotata di entrambe le tipologie di tool al fine di migliorare i risultati dell’analisi di sicurezza condotte

• I risultati ottenuti dai tool automatici sono validati ed integrati con gli esiti delle attività di assessment manuale condotte dal Team di Sicurezza

• L’adozione di tali tool e le attività del Team di Sicurezza sono definiti ed attuati nell’ambito di processi aziendali inseriti nel ciclo di sviluppo del software

FORMAZIONE

ANALISI STATICA

ANALISI DINAMICA


22

Definizione ed attuazione di processi aziendali …

• Il livello di sicurezza di una applicazione deve essere considerato come un aspetto della Qualità globale di una applicazione

• I controlli di sicurezza devono essere quindi integrati nel ciclo dei controlli previsti insieme a:� Test funzionali� Efficienza del codice

� Usabilità ed accessibilità

� Test di carico� …

23

… Definizione ed attuazione di processi aziendali …

• SOGEI ha sviluppato una propria metodologia di certificazione del software che integra tali controlli in tutto il ciclo di vita del software stesso:

� La Certificazione C3 (Control Creation Compliance)


24


• A inizio 2009 si sono avviati interventi per rivedere il completo governo del processo di realizzazione di servizi applicativi secondo un approccio “industriale”: � integrare controlli sistematici su qualità e sicurezza della produzione

software

� predisporre una pianificazione condivisa per la disponibilità delle infrastrutture

� strutturare il processo per la definizione delle priorità di intervento nella gestione dei servizi

25


• Principi della Certificazione C3 sviluppata da SOGEI:

� maggiore standardizzazione in termini di workflow organizzativo-tecnologico � definizione di uno schema di classificazione con identificazione di classi di

servizio e - per ciascuna classe - individuazione dei necessari controlli funzionali a garantire il rispetto dei livelli di qualità attesi per la classe

� attribuzione della classe di servizio alle applicazioni in esercizio

� introduzione di fasi di controllo (differenziati per classe di servizio) e verifica su software e infrastruttura per i diversi aspetti del processo produttivo (qualità, sicurezza, documentazione architetturale, piani di implementazione dell’infrastruttura, progettazione del monitoraggio …. )

� realizzazione di un workflow integrato per il controllo di tutte le fasi antecedenti la messa in esercizio (automatizzando ove possibile quelle di verifica)

26

… Definizione ed attuazione di processi aziendali

La Certificazione C 3 - Control Creation Compliance

Individuazione della Classe di servizioProgettazione dei controlli previsti per la classeEsecuzione dei controlliVerifica dei controlli effettuatiRilascio dell’applicazioneMonitoraggio in esercizioAnalisi dei dati

27

Conclusioni

• SOGEI ha avviato un importante percorso di evoluzione dei propriprocessi di governo e di produzione, con il duplice scopo di migliorare:

� Qualità

� Efficienza

• La sicurezza delle applicazioni è considerata un elemento fondante del processo di sviluppo, pienamente integrata in una visione diqualità globale

• Saranno ancora necessari investimenti soprattutto in processi e organizzazione

p@norama' sulle tecnologie innovative: la sicurezza applicativa

Education