Sicurezza Sistemi e Reti

CIA — Confidentiality, Integrity, Availability

1. Riservatezza (Confidentiality) — solo soggetti autorizzati accedono alle informazioni
2. Integrità (Integrity) — i dati non sono alterati in modo non autorizzato
3. Disponibilità (Availability) — risorse accessibili quando servono

Estensione moderna AAA: Authentication, Authorization, Accounting (audit). Aggiunte ulteriori: Non-Repudiation (non ripudio), Privacy.

Modello Parkerian Hexad (1998)

Estende CIA aggiungendo: Possession/Control, Authenticity, Utility.

Defense in Depth

Strategia a livelli multipli sovrapposti: fisico → rete → host → applicazione → dato → utente. Nessun singolo controllo deve essere unico baluardo.

Principi di base

• Least Privilege: minimi privilegi necessari
• Need to Know: accesso solo a info indispensabili
• Separation of Duties: separazione compiti critici
• Fail Secure / Fail Closed: in caso di errore → bloccare
• Zero Trust: "never trust, always verify" (modello NIST SP 800-207)

Crittografia simmetrica

Stessa chiave per cifratura e decifratura. Veloce ma problema scambio chiave.

• DES (deprecato — 56 bit)
• 3DES (deprecato 2024 — 168 bit effettivi)
• AES (Advanced Encryption Standard, 2001) — 128/192/256 bit, standard attuale
• ChaCha20 — alternativa software-friendly

Crittografia asimmetrica (chiave pubblica)

Chiave pubblica per cifrare / privata per decifrare. Risolve scambio chiave.

• RSA (Rivest-Shamir-Adleman, 1977) — fattorizzazione interi (≥ 2048 bit oggi)
• ECC (Elliptic Curve Cryptography) — curve ellittiche, chiavi più corte (256 bit ECC ≈ 3072 bit RSA)
• Diffie-Hellman — solo scambio chiave (no cifratura messaggi)

Hash crittografico

Funzione monodirezionale: input arbitrario → output fisso.

• MD5 (DEPRECATO — 128 bit, collisioni note dal 2004)
• SHA-1 (DEPRECATO — 160 bit, collisioni dimostrate 2017)
• SHA-256 / SHA-512 (famiglia SHA-2) — standard attuale
• SHA-3 (Keccak, 2015) — alternativa basata su sponge construction
• bcrypt / Argon2 / scrypt — password hashing (lenti per design)

Firma digitale

Hash del messaggio cifrato con chiave privata del firmatario. Verifica con chiave pubblica → garantisce autenticità + integrità + non ripudio.

PKI (Public Key Infrastructure)

Sistema di gestione certificati digitali X.509:

• CA (Certification Authority) — emette certificati
• RA (Registration Authority) — verifica identità
• CRL (Certificate Revocation List) / OCSP — verifica revoche
• Trust chain: Root CA → Intermediate CA → End-entity certificate

eIDAS (Reg. UE 910/2014, agg. eIDAS 2 — Reg. UE 2024/1183)

Quadro europeo identità digitale:

• Firma elettronica semplice / avanzata / qualificata
• Sigillo elettronico (per persone giuridiche)
• Marca temporale qualificata
• Servizi fiduciari qualificati
• eIDAS 2: introduce EUDI Wallet (European Digital Identity Wallet) entro 2026

Fattori di autenticazione

1. Qualcosa che sai (password, PIN)
2. Qualcosa che hai (token hardware, smartcard, smartphone)
3. Qualcosa che sei (biometria: impronta, viso, iride)
4. Qualcosa che fai (comportamento: digitazione, andatura)
5. Dove sei (geolocalizzazione)

MFA / 2FA

Multi-Factor Authentication = combinazione di 2+ fattori diversi. 2FA comune: password + OTP via app/SMS/token.

Standard moderni

• OAuth 2.0 (autorizzazione delegata) — RFC 6749
• OpenID Connect (OIDC) — identità su OAuth 2.0
• SAML 2.0 (Security Assertion Markup Language) — SSO enterprise
• FIDO2 / WebAuthn — passwordless authentication, chiavi hardware
• Passkey — implementazione consumer FIDO2 (Apple/Google/Microsoft)

Identità digitale italiana

• SPID (Sistema Pubblico Identità Digitale) — 9 IdP accreditati AgID, 3 livelli sicurezza (L1/L2/L3)
• CIE (Carta Identità Elettronica) — chip con certificati, autenticazione FSE/PA
• CNS (Carta Nazionale dei Servizi) — smartcard PA

Firewall

• Packet filter (livello 3-4) — regole su IP/porta/protocollo
• Stateful — traccia sessioni (connessioni stabilite)
• Application gateway (proxy livello 7) — ispezione contenuto
• Next-Generation Firewall (NGFW) — IDS/IPS integrato, deep packet inspection, threat intelligence

IDS / IPS

• IDS (Intrusion Detection System) — rileva e logga
• IPS (Intrusion Prevention System) — rileva e blocca
• Tecniche: signature-based, anomaly-based, heuristic-based

VPN (Virtual Private Network)

Tunnel cifrato su rete pubblica:

• IPsec (livello 3) — site-to-site, AH (autenticazione) + ESP (cifratura)
• OpenVPN / WireGuard — moderni, software-friendly
• TLS-VPN (es. SSL VPN) — accesso remoto via browser

TLS / HTTPS

Transport Layer Security (evoluzione SSL):

• SSL 2.0/3.0 — DEPRECATI
• TLS 1.0/1.1 — DEPRECATI (RFC 8996, 2021)
• TLS 1.2 — ancora supportato
• TLS 1.3 (RFC 8446, 2018) — standard attuale, handshake più veloce, perfect forward secrecy
• HTTPS = HTTP su TLS, porta 443

Network Segmentation

• VLAN (IEEE 802.1Q) — segmentazione livello 2
• Subnet + ACL — livello 3
• DMZ (Demilitarized Zone) — area perimetrale per servizi pubblici
• Microsegmentazione — granularità a livello applicazione (Zero Trust)

Tipologie attacchi rete

• DoS / DDoS (Denial of Service) — saturazione risorse (volumetrico, protocol, application)
• MITM (Man In The Middle) — intercettazione comunicazione
• ARP spoofing / DNS spoofing
• Port scanning (Nmap)
• Sniffing (Wireshark) — intercettazione passiva
• Replay attack — riproduzione messaggi catturati

Malware

Tipo	Caratteristica
Virus	Si replica infettando file ospite
Worm	Auto-replica via rete senza intervento utente
Trojan	Software apparentemente legittimo
Ransomware	Cifra dati e chiede riscatto (LockBit, BlackCat)
Spyware	Raccoglie info utente (Pegasus)
Adware	Pubblicità invasiva
Rootkit	Si nasconde a livello kernel
Botnet	Rete bot controllati C2 (Mirai)
Cryptominer	Sfrutta CPU/GPU vittima per minare crypto

Attacchi password

• Brute force — tutte le combinazioni
• Dictionary attack — wordlist
• Rainbow table — hash precalcolati (mitigato da salt)
• Credential stuffing — credenziali rubate da altri data breach
• Phishing — ingegneria sociale via email/sito fake
• Spear phishing — phishing mirato

Vulnerabilità applicative — OWASP Top 10 (2021)

1. A01 Broken Access Control
2. A02 Cryptographic Failures
3. A03 Injection (SQLi, NoSQLi, OS command)
4. A04 Insecure Design
5. A05 Security Misconfiguration
6. A06 Vulnerable and Outdated Components
7. A07 Identification and Authentication Failures
8. A08 Software and Data Integrity Failures
9. A09 Security Logging and Monitoring Failures
10. A10 Server-Side Request Forgery (SSRF)

XSS (Cross-Site Scripting)

• Stored — script salvato sul server (commento malevolo)
• Reflected — script in URL
• DOM-based — manipolazione DOM lato client

Mitigazione: output encoding + CSP (Content Security Policy).

CSRF (Cross-Site Request Forgery)

Forza utente loggato a eseguire azione non voluta. Mitigazione: token CSRF + SameSite cookie.

Incident Response (NIST SP 800-61)

1. Preparation — policy, training, tool
2. Detection & Analysis — SIEM, alert
3. Containment — isolare sistemi
4. Eradication — rimuovere causa
5. Recovery — ripristino operativo
6. Lessons Learned — post-mortem

SOC e SIEM

• SOC (Security Operations Center) — team monitoraggio 24/7
• SIEM (Security Information and Event Management) — Splunk, QRadar, Sentinel, Elastic SIEM
• SOAR (Security Orchestration, Automation, Response) — automatizza risposte
• EDR/XDR — endpoint/extended detection & response

NIS2 (Direttiva UE 2022/2555)

Recepita in Italia con D.Lgs. 138/2024. Estende perimetro cybersecurity a:

• Settori essenziali e importanti
• Obblighi: misure tecniche, governance, notifica incidenti entro 24h (early warning) + 72h (notifica completa)
• Sanzioni fino a 10 mln € o 2% fatturato globale
• Autorità: ACN (Agenzia Cybersicurezza Nazionale, istituita 2021)

GDPR e sicurezza dati personali

• Reg. UE 2016/679 — Art. 32: misure tecniche e organizzative adeguate
• Data Breach — notifica al Garante entro 72h (Art. 33)
• Privacy by Design / by Default (Art. 25)

Perimetro Sicurezza Cibernetica Nazionale

• D.L. 105/2019 + DPCM 30/07/2020
• Identifica soggetti pubblici/privati che svolgono funzioni essenziali
• Obblighi: notifica acquisti ICT, audit, valutazione CVCN

Codice dell'Amministrazione Digitale

• D.Lgs. 82/2005 (CAD) — Art. 51 sicurezza dei dati
• AgID Linee Guida sicurezza ICT PA
• Misure minime di sicurezza ICT per le PA (AgID 2017)