Laureanda: Pamela PerettiRelatore: prof. Stefano BistarelliSecurity Risk AnalysisCorso di Laurea Specialistica in Economia InformaticaUniversit degli studi G.dAnnunzio

Information Security Risk ManagementConclusioniRisk ManagementMetodologie di Risk ManagementUso di indici quantitativi su attack trees

Risk management l'insieme di attivit coordinate per gestire un'organizzazione con riferimento ai rischi.Tipicamente include l'identificazione, la misurazione e la mitigazione delle varie esposizioni al rischio.Risk Management

Il rischio l'incertezza che eventi inaspettati possano manifestarsi producendo effetti negativi per l'organizzazione.Risk Management

Rischio di Information Technology: il pericolo di interruzione di servizio, diffusione di informazioni riservate o di perdita di dati rilevanti archiviati tramite mezzi computerizzati.Information Security Risk ManagementRisk Management

Risk Assessment >> Risk Mitigation >> MonitoringInformation SecurityRisk ManagementIl processo di risk assessment usato per determinare l'ampiezza delle potenziali minacce dei rischi associati ad un sistema IT ed identificare tutte le possibili contromisure per ridurre o eliminare tali voci di rischio.Vengono identificate: asset minacce vulnerabilit contromisure

Vengono determinati: impatto prodotto dalle minacce, fattibilit delle minacce, complessivo livello di rischio.

Risk Assessment >> Risk Mitigation >> MonitoringNel processo di risk mitigation vengono analizzati le contromisure raccomandati dal team di assessment, e vengono selezionati e implementate le contromisure che presentano il miglior rapporto costi/benefici.Information SecurityRisk Management

Risk Assessment >> Risk Mitigation >> MonitoringAll'interno di grandi imprese i sistemi IT subiscono frequenti modifiche dovuti ad aggiornamenti, cambiamento dei componenti, modifica dei software, cambio del personale, ecc.

Mutano le condizioni del sistema, modificando anche gli effetti delle contromisure adottate.Information SecurityRisk Management

Metodologie diRisk ManagementGli approcci di risk management possono essere classificati in:

approcci qualitativi, approcci quantitativi.

Gli approcci di risk management possono essere classificati in:

approcci qualitativi, approcci quantitativi.Vengono studiati i possibili scenari che possono interessare un sistema, dando una valutazione relativa dei rischi che possono colpirlo.Attack treesMetodologie diRisk Management

Gli approcci di risk management possono essere classificati in:

approcci qualitativi, approcci quantitativi.Esprimono, in termini assoluti tutte le grandezze riguardanti gli asset, la frequenza delle minacce, l'impatto, le perdite potenziali, l'efficacia delle contromisure, il costo delle contromisure e il livello di rischio presente nel sistema.IndiciMetodologie diRisk Management

Gli approcci di risk management possono essere classificati in:

approcci qualitativi, approcci quantitativi.Obiettivo: combinare i vantaggi dei due approcci e fornire una metodologia che utilizzi gli attack trees per lindividuazione degli scenari e gli indici per una loro valutazione.Metodologie diRisk Management

Radice: obiettivoNodo ANDNodo ORStrategie dattaccoApproccio qualitativoMetodologie diRisk Management

L'Exposure Factor (EF) misura il livello di danno, o l'impatto provocato da un evento dannoso su un singolo asset.

Il Single Loss Exposure (SLE) misura il costo associato ad una singola minaccia che agisce su un singolo asset. dato da:SLE = AV * EF

LAnnualized Rate of Occurrence (ARO) il numero di volte che una minaccia si verifica nellarco di un anno.

L Annualized Loss Expectancy (ALE) esprime la perdita attesa, su base annua, associata ad una specifica minaccia.ALE = SLE * AROApproccio quantitativoMetodologie diRisk Management

Return on Investment (ROI) un indicatore che viene utilizzato per valutare il rendimento di un investimento e confrontare tra loro diverse alternative discelta.Approccio quantitativoPer valutare un investimento in sicurezza dei sistemi IT il ROI pu essere calcolato come segue:Metodologie diRisk Management

Il Return on Attack (ROA), definito come il guadagno atteso dall'attaccante da un attacco portato a termine con successo, tenendo conto delle perdite subite a causa della presenza di una contromisura all'interno del sistema colpito.Approccio quantitativoLimpresa deve cercare di minimizzare tale indice al fine di disincentivare lattacco da parte di un malintenzionato.Metodologie diRisk Management

possibile effettuare delle valutazioni complesse sugli attack tree? possibile utilizzare questo strumento per la selezione dei contromisure necessarie per salvaguardare il sistema?Uso di indici quantitativisu attack trees AV, EF, SLE, ARO, ALE, ROI, ROA.ROI, ROAROI, ROA.

Creare un attack treeRadice: asset del sistema ITLe minacce e le vulnerabilitContromisureUso di indici quantitativisu attack trees

Etichettatura per il calcolo del ROISLEb ARObRM3 Cost3EFb ARObRM4 Cost4RM5 Cost5RM1 Cost1RM2 Cost2EFd AROdAVUso di indici quantitativisu attack treesEFe AROeSLEe ALEeSLEd ALEd

Etichettatura per il calcolo del ROISLEb ARObRM3 Cost3EFb ARObRM4 Cost4RM5 Cost5RM1 Cost1RM2 Cost2EFd AROdAVEFe AROeSLEe ALEeSLEd ALEdSLEc ALEcEFc AROcUso di indici quantitativisu attack trees

Etichettatura per il calcolo del ROAloss3costbloss4loss5loss1loss2costegainUso di indici quantitativisu attack treescostd

Etichettatura per il calcolo del ROAlossccostbloss1loss2costcgainUso di indici quantitativisu attack treesloss3loss4loss5costecostd

Creazione di uno scenarioUso di indici quantitativisu attack trees

Etichettatura dello scenario per il calcolo del ROIUso di indici quantitativisu attack trees

AV=100.000

EF=100%ARO=0,09SLE = AV * EFALE = SLE * AROEtichettatura dello scenario per il calcolo del ROIUso di indici quantitativisu attack trees

EF=85%ARO=0,68EF=100%ARO=0,09EF=100%ARO=0,40EF=90%ARO=0,08SLE=90.000ALE=7.200SLE=100.000ALE=40.000SLE=100.000ALE=9.000SLE=100.000ALE=9.000SLE=90.000ALE=7.200SLE = AV * EFALE = SLE * ARO

EF=100%ARO=0,09AV=100.000Etichettatura dello scenario per il calcolo del ROIUso di indici quantitativisu attack trees

Etichettatura dello scenario per il calcolo del ROIUso di indici quantitativisu attack trees

ALE=9.000RM=60%Cost=500RM=10%Cost=100RM=80%Cost=3.000RM=50%Cost=15.000Etichettatura delle contromisure per il calcolo del ROIUso di indici quantitativisu attack trees

ROI=22,10ROI=19,23ROI=9,80ROI=1,40ROI=-0,70ROI=2,60ROI=9,80ROI=8,00ROI=-1,40ROI=-0,70ROI=1,59ROI=2,87ROI=--0,06ROI=0,30ROI=15,00Calcolo del ROIUso di indici quantitativisu attack trees

ROI=22,10ROI=19,23ROI=9,80ROI=1,40ROI=-0,70ROI=2,60ROI=9,80ROI=8,00ROI=-1,40ROI=-0,70ROI=1,59ROI=2,87ROI=--0,06ROI=0,30ROI=15,00Calcolo del ROI12Uso di indici quantitativisu attack trees

Calcolo del ROAloss3costbloss4loss5loss1loss2costdgaincosteUso di indici quantitativisu attack trees

Calcolo del ROAUso di indici quantitativisu attack trees

Etichettatura dello scenario per il calcolo del ROAgain=30.000Cost=10.000Cost=0Cost=3.000Cost=2.000Cost=1.000Loss=1.500Loss=400Loss=1.000Loss=1.500Loss=700Loss=2.000Loss=1.000Loss=500Loss=1.500Loss=700Loss=2.500Loss=3.000Loss=1.000Loss=700Loss=2.000Uso di indici quantitativisu attack trees

Etichettatura dello scenario per il calcolo del ROIROA=12,00ROA=21,42ROA=2,72ROA=2,60ROA=2,80ROA=2,50ROA=7,50ROA=8,57ROA=6,67ROA=8,11ROA=6,67ROA=6,00ROA=10,00ROA=42,85ROA=15,00Uso di indici quantitativisu attack trees

Etichettatura dello scenario per il calcolo del ROIROA=12,00ROA=21,42ROA=2,72ROA=2,60ROA=2,80ROA=2,50ROA=7,50ROA=8,57ROA=6,67ROA=8,11ROA=6,67ROA=6,00ROA=10,00ROA=42,85ROA=15,0021Uso di indici quantitativisu attack trees

ROI=22,10ROI=9,80ROI=9,80ROI=2,87ROI=15,00Valutazione complessiva dello scenarioROA=12,00ROA=2,50ROA=6,67ROA=6,00ROA=15,00Uso di indici quantitativisu attack trees

Valutazione complessivaVisione dellimpresaVisione dellattaccanteUso di indici quantitativisu attack trees

ConclusioniRisk Analysis Risk Management Information Security Risk Management Metodologie di Risk Management Uso di indici quantitativi su attack trees

Sviluppi futuri Migliorare la valutazione di ROI e ROA nei nodi and partendo dalle valutazione dei figliSviluppare metodi generali (semiring) per valutazione rischi di attaccoStudiare come il ROA possa modificare la valutazione dellARO (e quindi il ROI)Usare intervalli invece di valori assoluti per le etichette dellalberoUso di probabilit e possibilitStudiare come risultati di teoria dei giochi possono applicarsi allalbero and-or

ADBCADBCADForma normale disgiuntiva

I rischi strategici sono legati a fattori esogeni all'organizzazione e dipendono, dal contesto politico, economico, socio-culturale, legale e regolamentare in cui l'azienda deve operare.

I rischi finanziari sono legati, in parte al contesto esterno in cui opera l'azienda e inerenti alle possibili perdite causate dalla volatilit dei mercati finanziari.

I rischi operativi sono legati ai processi di business e per questo dipendenti da fattori endogeni all'organizzazione.Asset qualsiasi risorsa, tangibile o intangibile, che possiede un valore per l'impresa e che per questo merita di essere protetta da eventuali rischi.

Si dice minaccia (threat) la potenzialit per una fonte di minaccia di sfruttare una specifica vulnerabilit accidentalmente innescata o intenzionalmente scoperta.

Si dice vulnerabilit un punto debole o un difetto nelle procedure di sicurezza, nella struttura, nell'implementazione o nei controlli interni di un sistema, che potrebbe essere sfruttata, accidentalmente o intenzionalmente, causando una compromissione del sistema o una violazione delle policy di sicurezza.

Contromisure (countermeasures): quelle misure di protezione e quei controlli che riducono il livello di vulnerabilit di una risorsa rispetto ad una minaccia.

Si dice impatto il livello di danno prodotto dalle minacce che sfruttano delle vulnerabilit.L'integrit assicura che le informazioni presenti in un sistema non siano alterabili da persone non autorizzate.La disponibilit assicura che un sistema sia operativo e funzionante in ogni momento.La confidenzialit assicura che le informazioni presenti in un sistema non siano accessibili ad utenti non autorizzati.

Il rischio funzione: della probabilit che una data fonte di minaccia utilizzi una potenziale vulnerabilit e dell'impatto risultante da essa per limpresa.

Documentazione finale- Scopo del processo,- modalit di svolgimento dellanalisi,- minacce e vulnerabilit individuate,- controlli raccomandati.

Parlare di quello che vogliamo fare noi e che rientra in questo processo.