Microsegmentazione, un approccio scalabile alla sicurezza basato su overlay network

Il crescente numero di attacchi condotti contro sistemi e servizi informatici richiede nuove strategie per la cybersicurezza. In questa tesi si prende in considerazione uno degli approcci più moderni per questa attività, basato su architetture Zero Trust, che deperimetrizzano i sistemi e mirano a verificare ogni tentativo di accesso alle risorse indipendentemente dalla provenienza locale o remota della richiesta. In tale ambito, la tesi propone una nuova forma di microsegmentazione agent-based basata su overlay network, con l'obiettivo di migliorare la scalabilità e la robustezza delle soluzioni esistenti, ad oggi messe in secondo piano in favore della facilità di configurazione. Una consistente serie di test dimostra che l'approccio descritto, attuabile in molteplici tipologie di sistemi cloud, è in grado di garantire, oltre alla sicurezza, scalabilità al crescere dei nodi partecipanti, robustezza evitando punti unici di fallimento e semplicità di configurazione.

Industrial Demilitarized Zone and Zero Trust cybersecurity models for Industrial Control Systems

Today more than ever, with the recent war in Ukraine and the increasing number of attacks that affect systems of nations and companies every day, the world realizes that cybersecurity can no longer be considered just as a “cost”. It must become a pillar for our infrastructures that involve the security of our nations and the safety of people. Critical infrastructure, like energy, financial services, and healthcare, have become targets of many cyberattacks from several criminal groups, with an increasing number of resources and competencies, putting at risk the security and safety of companies and entire nations. This thesis aims to investigate the state-of-the-art regarding the best practice for securing Industrial control systems. We study the differences between two security frameworks. The first is Industrial Demilitarized Zone (I-DMZ), a perimeter-based security solution. The second one is the Zero Trust Architecture (ZTA) which removes the concept of perimeter to offer an entirely new approach to cybersecurity based on the slogan ‘Never Trust, always verify’. Starting from this premise, the Zero Trust model embeds strict Authentication, Authorization, and monitoring controls for any access to any resource. We have defined two architectures according to the State-of-the-art and the cybersecurity experts’ guidelines to compare I-DMZ, and Zero Trust approaches to ICS security. The goal is to demonstrate how a Zero Trust approach dramatically reduces the possibility of an attacker penetrating the network or moving laterally to compromise the entire infrastructure. A third architecture has been defined based on Cloud and fog/edge computing technology. It shows how Cloud solutions can improve the security and reliability of infrastructure and production processes that can benefit from a range of new functionalities, that the Cloud could offer as-a-Service.We have implemented and tested our Zero Trust solution and its ability to block intrusion or attempted attacks.

Problematiche di trust e privacy negli ambienti di cloud computing

Questa tesi si prefigge l’obiettivo di analizzare alcuni aspetti critici della sicurezza in ambito cloud. In particolare, i problemi legati alla privacy, dai termini di utilizzo alla sicurezza dei dati personali più o meno sensibili. L’aumento esponenziale di dati memorizzati nei sistemi di cloud storage (es. Dropbox, Amazon S3) pone il problema della sensibilità dei dati su un piano tutt'altro che banale, dovuto anche a non ben chiare politiche di utilizzo dei dati, sia in termini di cessione degli stessi a società di terze parti, sia per quanto riguarda le responsabilità legali. Questa tesi cerca di approfondire ed esaminare le mancanze più preoccupanti degli stessi. Oltre ad analizzare le principali criticità e i punti deboli dei servizi cloud, l’obiettivo di questo lavoro sarà quello di fare chiarezza sui passi e le infrastrutture che alcune aziende (es. Amazon) hanno implementato per avvicinarsi all’idea di 'safeness' nel cloud. Infine, l’ultimo obiettivo posto sarà l’individuazione di criteri per la valutazione/misura del grado di fiducia che l’utente può porre in questo contesto, distinguendo diversi criteri per classi di utenti. La tesi è strutturata in 4 capitoli: nel primo sarà effettuata una tassonomia dei problemi presenti nei sistemi cloud. Verranno presentati anche alcuni avvenimenti della storia recente, in cui queste problematiche sono affiorate. Nel secondo capitolo saranno trattate le strategie di 'safeness' adottate da alcune aziende, in ambito cloud. Inoltre, saranno presentate alcune possibili soluzioni, dal punto di vista architetturale. Si vedrà come il ruolo dell'utente sarà di estrema importanza. Il terzo capitolo sarà incentrato sulla ricerca di strumenti e metodi di valutazione che un utente, o gruppo di utenti, può utilizzare nei confronti di questi sistemi. Infine, il quarto capitolo conterrà alcune considerazioni conlusive sul lavoro svolto e sui possibili sviluppi di questa tesi.

Opportunistic Contact Graph Routing

L'ambiente di questa tesi è quello del Delay and Disruption Tolerant Networks (DTN), un'architettura di rete di telecomunicazioni avente come obiettivo le comunicazioni tra nodi di reti dette “challenged”, le quali devono affrontare problemi come tempi di propagazione elevati, alto tasso di errore e periodi di perdita delle connessioni. Il Bunde layer, un nuovo livello inserito tra trasporto e applicazione nell’architettura ISO/OSI, ed il protocollo ad esso associato, il Bundle Protocol (BP), sono stati progettati per rendere possibili le comunicazioni in queste reti. A volte fra la ricezione e l’invio può trascorrere un lungo periodo di tempo, a causa della indisponibilità del collegamento successivo; in questo periodo il bundle resta memorizzato in un database locale. Esistono varie implementazioni dell'architettura DTN come DTN2, implementazione di riferimento, e ION (Interplanetary Overlay Network), sviluppata da NASA JPL, per utilizzo in applicazioni spaziali; in esse i contatti tra i nodi sono deterministici, a differenza delle reti terrestri nelle quali i contatti sono generalmente opportunistici (non noti a priori). Per questo motivo all’interno di ION è presente un algoritmo di routing, detto CGR (Contact Graph Routing), progettato per operare in ambienti con connettività deterministica. È in fase di ricerca un algoritmo che opera in ambienti non deterministici, OCGR (Opportunistic Contact Graph Routing), che estende CGR. L’obiettivo di questa tesi è quello di fornire una descrizione dettagliata del funzionamento di OCGR, partendo necessariamente da CGR sul quale è basato, eseguire dei test preliminari, richiesti da NASA JPL, ed analizzarne i risultati per verificare la possibilità di utilizzo e miglioramento dell’algoritmo. Sarà inoltre descritto l’ambiente DTN e i principali algoritmi di routing per ambienti opportunistici. Nella parte conclusiva sarà presentato il simulatore DTN “The ONE” e l’integrazione di CGR e OCGR al suo interno.

L'11 Settembre Telematico Rischi di Sicurezza causati dai Social Network

Lo scopo di questa tesi è quello di progettare e sviluppare un sistema informatico in grado di verificare la possibilità di bypassare le comuni misure di sicurezza al fine di indicare soluzioni e strategie difensive efficaci. Più in dettaglio ci occuperemo di simulare gli atteggiamenti di un hacker, alta- mente invasivi e pericolosi, atti a compromettere l’intero sistema telematico su scala mondiale. Studiando i social network e le informazioni personali, ci si è resi conto, infatti, di come sia facile ed altamente probabile causare gravi danni sia all’intera popolazione del web che all’integrità delle infrastrutture telematiche.

Formula Zero: Traduzione trilingue inglese-italiano-spagnolo di un policy statement sulla sicurezza stradale della Federazione Internazionale dell'Automobile (FIA)

The aim of this dissertation is to provide a trilingual translation from English into Italian and from Italian into Spanish of a policy statement from the Fédération Internationale de l’Automobile (FIA) regarding road safety. The document, named “Formula Zero: a strategy for reducing fatalities and injuries on track and road”, was published in June 2000 and involves an approach about road safety inspired by another approach introduced in Sweden called ‘Vision Zero’. This work consists of six sections. The first chapter introduces the main purposes and activities of the Federation, as well as the institutions related to it and Vision Zero. The second chapter presents the main lexical, morphosyntactic and stylistic features of the institutional texts and special languages. In particular, the text contains technical nomenclature of transports and elements of sport language, especially regarding motor sport and Formula One. In the third chapter, the methodology is explained, with all the resources used during the preliminary phase and the translation, including corpora, glossaries, expert consultancy and specialised sites. The fourth chapter focuses on the morphosyntactic and terminology features contained in the text, while the fifth chapter presents the source text and the target texts. The final chapter deals with all the translation strategies that are applied, alongside with all the challenging elements detected. Therefore, the dissertation concludes with some theoretical and practical considerations about the role of inverse translation and English as Lingua Franca (ELF), by comparing the text translated into Spanish to the original in English, using Italian as a lingua franca.

Large-scale Network Analysis on Distributed Architectures

Questa dissertazione esamina le sfide e i limiti che gli algoritmi di analisi di grafi incontrano in architetture distribuite costituite da personal computer. In particolare, analizza il comportamento dell'algoritmo del PageRank così come implementato in una popolare libreria C++ di analisi di grafi distribuiti, la Parallel Boost Graph Library (Parallel BGL). I risultati qui presentati mostrano che il modello di programmazione parallela Bulk Synchronous Parallel è inadatto all'implementazione efficiente del PageRank su cluster costituiti da personal computer. L'implementazione analizzata ha infatti evidenziato una scalabilità negativa, il tempo di esecuzione dell'algoritmo aumenta linearmente in funzione del numero di processori. Questi risultati sono stati ottenuti lanciando l'algoritmo del PageRank della Parallel BGL su un cluster di 43 PC dual-core con 2GB di RAM l'uno, usando diversi grafi scelti in modo da facilitare l'identificazione delle variabili che influenzano la scalabilità. Grafi rappresentanti modelli diversi hanno dato risultati differenti, mostrando che c'è una relazione tra il coefficiente di clustering e l'inclinazione della retta che rappresenta il tempo in funzione del numero di processori. Ad esempio, i grafi Erdős–Rényi, aventi un basso coefficiente di clustering, hanno rappresentato il caso peggiore nei test del PageRank, mentre i grafi Small-World, aventi un alto coefficiente di clustering, hanno rappresentato il caso migliore. Anche le dimensioni del grafo hanno mostrato un'influenza sul tempo di esecuzione particolarmente interessante. Infatti, si è mostrato che la relazione tra il numero di nodi e il numero di archi determina il tempo totale.

Sicurezza di rete, analisi del traffico e monitoraggio.

Il lavoro è stato suddiviso in tre macro-aree. Una prima riguardante un'analisi teorica di come funzionano le intrusioni, di quali software vengono utilizzati per compierle, e di come proteggersi (usando i dispositivi che in termine generico si possono riconoscere come i firewall). Una seconda macro-area che analizza un'intrusione avvenuta dall'esterno verso dei server sensibili di una rete LAN. Questa analisi viene condotta sui file catturati dalle due interfacce di rete configurate in modalità promiscua su una sonda presente nella LAN. Le interfacce sono due per potersi interfacciare a due segmenti di LAN aventi due maschere di sotto-rete differenti. L'attacco viene analizzato mediante vari software. Si può infatti definire una terza parte del lavoro, la parte dove vengono analizzati i file catturati dalle due interfacce con i software che prima si occupano di analizzare i dati di contenuto completo, come Wireshark, poi dei software che si occupano di analizzare i dati di sessione che sono stati trattati con Argus, e infine i dati di tipo statistico che sono stati trattati con Ntop. Il penultimo capitolo, quello prima delle conclusioni, invece tratta l'installazione di Nagios, e la sua configurazione per il monitoraggio attraverso plugin dello spazio di disco rimanente su una macchina agent remota, e sui servizi MySql e DNS. Ovviamente Nagios può essere configurato per monitorare ogni tipo di servizio offerto sulla rete.

Thinkmix: dall'idea alla progettazione dello story network

Thinkmix è un network con componenti social che permette agli utenti di creare storie collaborando. La tesi illustra tutti gli step che hanno portato alla realizzazione di questo network: l'idea, la progettazione, lo sviluppo e la pubblicazione. Ritengo si tratti di un progetto ben riuscito e completo che mi ha permesso di esprimere totalmente le capacità acquisite durante il corso nelle varie materie (e non unicamente nella materia di riferimento) e di avvicinarmi a tematiche esterne a una laurea triennale (sicurezza informatica, marketing, acquisto e gestione di server dedicati, burocrazia per la pubblicazione di applicazione iOS e sito web con dominio).

Problematiche di sicurezza nelle software defined networks

Questa tesi ha l’obiettivo di comprendere e valutare se l’approccio al paradigma SDN, che verrà spiegato nel capitolo 1, può essere utilizzato efficacemente per implementare dei sistemi atti alla protezione e alla sicurezza di una rete più o meno estesa. Oltre ad introdurre il paradigma SDN con i relativi componenti basilari, si introduce il protocollo fondamentale OpenFlow, per la gestione dei vari componenti. Per ottenere l’obiettivo prestabilito, si sono seguiti alcuni passaggi preliminari. Primo tra tutti si è studiato cos’è l’SDN. Esso introduce una potenziale innovazione nell’utilizzo della rete. La combinazione tra la visione globale di tutta la rete e la programmabilità di essa, rende la gestione del traffico di rete un processo abbastanza complicato in termini di livello applicativo, ma con un risultato alquanto performante in termini di flessibilità. Le alterazioni all’architettura di rete introdotte da SDN devono essere valutate per garantire che la sicurezza di rete sia mantenuta. Le Software Defined Network (come vedremo nei primi capitoli) sono in grado di interagire attraverso tutti i livelli del modello ISO/OSI e questa loro caratteristica può creare problemi. Nelle reti odierne, quando si agisce in un ambiente “confinato”, è facile sia prevedere cosa potrebbe accadere, che riuscire a tracciare gli eventi meno facilmente rilevabili. Invece, quando si gestiscono più livelli, la situazione diventa molto più complessa perché si hanno più fattori da gestire, la variabilità dei casi possibili aumenta fortemente e diventa più complicato anche distinguere i casi leciti da quelli illeciti. Sulla base di queste complicazioni, ci si è chiesto se SDN abbia delle problematiche di sicurezza e come potrebbe essere usato per la sicurezza. Per rispondere a questo interrogativo si è fatta una revisione della letteratura a riguardo, indicando, nel capitolo 3, alcune delle soluzioni che sono state studiate. Successivamente si sono chiariti gli strumenti che vengono utilizzati per la creazione e la gestione di queste reti (capitolo 4) ed infine (capitolo 5) si è provato ad implementare un caso di studio per capire quali sono i problemi da affrontare a livello pratico. Successivamente verranno descritti tutti i passaggi individuati in maniera dettagliata ed alla fine si terranno alcune conclusioni sulla base dell’esperienza svolta.

Integrating wireless sensor networks and internet of things: A coap-based approach

L'obiettivo su cui è stata basata questa Tesi di Laurea è stato quello di integrare la tecnologia delle Wireless Sensor Networks (WSN) al contesto dell'Internet delle cose (IoT). Per poter raggiungere questo obiettivo, il primo passo è stato quello di approfondire il concetto dell'Internet delle cose, in modo tale da comprendere se effettivamente fosse stato possibile applicarlo anche alle WSNs. Quindi è stata analizzata l'architettura delle WSNs e successivamente è stata fatta una ricerca per capire quali fossero stati i vari tipi di sistemi operativi e protocolli di comunicazione supportati da queste reti. Infine sono state studiate alcune IoT software platforms. Il secondo passo è stato quindi di implementare uno stack software che abilitasse la comunicazione tra WSNs e una IoT platform. Come protocollo applicativo da utilizzare per la comunicazione con le WSNs è stato usato CoAP. Lo sviluppo di questo stack ha consentito di estendere la piattaforma SensibleThings e il linguaggio di programmazione utilizzato è stato Java. Come terzo passo è stata effettuata una ricerca per comprendere a quale scenario di applicazione reale, lo stack software progettato potesse essere applicato. Successivamente, al fine di testare il corretto funzionamento dello stack CoAP, è stata sviluppata una proof of concept application che simulasse un sistema per la rilevazione di incendi. Questo scenario era caratterizzato da due WSNs che inviavano la temperatura rilevata da sensori termici ad un terzo nodo che fungeva da control center, il cui compito era quello di capire se i valori ricevuti erano al di sopra di una certa soglia e quindi attivare un allarme. Infine, l'ultimo passo di questo lavoro di tesi è stato quello di valutare le performance del sistema sviluppato. I parametri usati per effettuare queste valutazioni sono stati: tempi di durata delle richieste CoAP, overhead introdotto dallo stack CoAP alla piattaforma Sensible Things e la scalabilità di un particolare componente dello stack. I risultati di questi test hanno mostrato che la soluzione sviluppata in questa tesi ha introdotto un overheadmolto limitato alla piattaforma preesistente e inoltre che non tutte le richieste hanno la stessa durata, in quanto essa dipende dal tipo della richiesta inviata verso una WSN. Tuttavia, le performance del sistema potrebbero essere ulteriormente migliorate, ad esempio sviluppando un algoritmo che consenta la gestione concorrente di richieste CoAP multiple inviate da uno stesso nodo. Inoltre, poichè in questo lavoro di tesi non è stato considerato il problema della sicurezza, una possibile estensione al lavoro svolto potrebbe essere quello di implementare delle politiche per una comunicazione sicura tra Sensible Things e le WSNs.

Sicurezza dei sistemi di autenticazione basati su credenziali, raccolta ed analisi di un vasto insieme di password

Nell’era dell’informazione in cui viviamo, ogni persona viene sdoppiata in due entità: oltre alla parte reale e materiale vi è un alterego fatto di dati ed informazioni che vive nei database e nei server che compongono il web. Il collegamento tra le due parti è dato dagli account e dalle chiavi di autenticazione, che si presumono essere segrete. Al giorno d’oggi ogni persona possiede almeno un account, sia esso una web mail, un profilo su un social network o l’account di online banking. Quasi la totalità di questi sistemi effettua l’autenticazione dell’utente tramite l’immissione di una password, e la sicurezza di quest’ultima è essenziale per la protezione delle informazioni personali, dei dati bancari e della propria identità. Col passare del tempo le informazioni personali che diamo in custodia al web crescono sempre più velocemente e diventano sempre più personali e delicate, ma purtroppo l’importanza che viene data alla sicurezza informatica non cresce di pari passo sia da parte degli utenti, sia da parte dei fornitori dei servizi web. Questa tesi ha come scopo quello di portare il lettore ad avere più coscienza rispetto alle tematiche della sicurezza informatica e di esporre in modo chiaro e semplice alcune delle problematiche che riguardano la sicurezza dei sistemi di autenticazione.

Progettazione di un sistema per la configurazione centralizzata di intrusion detection system

Il rilevamento di intrusioni nel contesto delle pratiche di Network Security Monitoring è il processo attraverso cui, passando per la raccolta e l'analisi di dati prodotti da una o più fonti di varia natura, (p.e. copie del traffico di rete, copie dei log degli applicativi/servizi, etc..) vengono identificati, correlati e analizzati eventi di sicurezza con l'obiettivo di rilevare potenziali tenativi di compromissione al fine di proteggere l'asset tecnologico all'interno di una data infrastruttura di rete. Questo processo è il prodotto di una combinazione di hardware, software e fattore umano. Spetta a quest'ultimo nello specifico il compito più arduo, ovvero quello di restare al passo con una realtà in continua crescita ed estremamente dinamica: il crimine informatico. Spetta all'analista filtrare e analizzare le informazioni raccolte in merito per contestualizzarle successivamente all'interno della realta che intende proteggere, con il fine ultimo di arricchire e perfezionare le logiche di rilevamento implementate sui sistemi utilizzati. È necessario comprendere come il mantenimento e l'aggiornamento di questi sistemi sia un'attività che segue l'evolversi delle tecnologie e delle strategie di attacco. Un suo svolgimento efficacie ed efficiente risulta di primaria importanza per consentire agli analisti di focalizzare le proprie risorse sulle attività di investigazione di eventi di sicurezza, ricerca e aggiornamento delle logiche di rilevamento, minimizzando quelle ripetitive, "time consuming", e potenzialmente automatizzabili. Questa tesi ha come obiettivo quello di presentare un possibile approccio ad una gestione automatizzata e centralizzata di sistemi per il rilevamento delle intrusioni, ponendo particolare attenzione alle tecnologie IDS presenti sul panorama open source oltre a rapportare tra loro gli aspetti di scalabilità e personalizzazione che ci si trova ad affrontare quando la gestione viene estesa ad infrastrutture di rete eterogenee e distribuite.

Effetto di starter autoctoni sulla qualità e la sicurezza di salami tradizionali spagnoli

Il lavoro svolto in questa tesi aveva l’obiettivo di valutare il potenziale tecnologico e bioprotettivo di ceppi di batteri lattici (LAB) isolati da salami tradizionali spagnoli. In particolare due ceppi (Lactiplantibacillus paraplantarum BPF2 e Pediococcus acidilactici ST6) che avevano dimostrato buone performance in vitro sono stati utilizzati, da soli o in miscela, come colture starter per la produzione salami e i prodotti ottenuti sono stati confrontati con un controllo a fermentazione spontanea ed un prodotto addizionato di uno starter commerciale contenente LAB e stafilococchi. Per quanto riguarda gli aspetti tecnologici, il pH ha mostrato cinetiche di acidificazione simili in tutti i prodotti, mentre il calo peso era più lento nel controllo. A livello microbiologico, i campioni addizionati di colture starter hanno mostrato carichi di LAB molto più elevati già al tempo zero, senza differenze significative in relazione al ceppo utilizzato. Enterobatteri e lieviti hanno mostrato andamenti simili in tutti i campioni. L’utilizzo di colture starter ha invece avuto un impatto rilevante sul contenuto di ammine biogene, con valori totali doppi nel campione ottenuto con fermentazione spontanea, e sul profilo in metaboliti volatili (soprattutto a carico di composti derivanti dall’acido piruvico). L’aspetto più rilevante di questa tesi è stato ottenuto nel challenge test, utilizzando come microrganismo target Listeria monocytogenes (inoculo 3 log ufc/g): infatti, nel controllo e nei campioni contenenti starter commerciale, L. monocytogenes era in grado di crescere fino a valori superiori a 5.7 log ufc/g, mentre i ceppi BPF2 e ST6 hanno determinato una riduzione del suo carico cellulare (2.4 log ufc/g). Questo conferma quindi le grandi potenzialità anti-listeria dei due ceppi testati e la loro attitudine ad essere utilizzati, oltre che come starter per i salami, anche come colture bioprotettive con lo specifico compito di contrastare lo sviluppo di L. monocytogenes.