hit counter
June, 2007 - NonSoloSecurity Blog di Feliciano Intini - Site Home - TechNet Blogs

NonSoloSecurity Blog di Feliciano Intini

Notizie, best practice, strategie ed innovazioni di Sicurezza (e non solo) su tecnologia Microsoft

June, 2007

  • I primi 6 mesi di Windows Vista: quando i numeri parlano da soli

    Se avete letto il mio precedente post, quando il mio collega Jeff Jones ha pubblicato il report simile sui primi 90 giorni di Windows Vista, sapete già come la penso sulle statistiche di confronto delle vulnerabilità tra i diversi sistemi operativi. Ma i risultati che emergono da questo nuovo report, stilato a 6 mesi esatti dalla disponibilità di Windows Vista, meritano la giusta attenzione. Come potete notare dalla prima delle quattro tabelle presenti nel report i numeri parlano davvero da soli:
  • Security bug nel Repair Mode / Recovery Console di Vista ? Ma no ...

    Terza puntata della rubrica Anti-FUD (per la prima e seconda puntata leggi qui e qui). Fatto vero (purtroppo): ad un collega pochi giorni fa hanno rubato la moto mentre era al lavoro da un cliente, in pieno giorno. Come era protetta la moto ? Dal quel tipo di lucchetto che immobilizza la ruota. Come è stata rubata la moto ? E' arrivato un camion, sono scesi alcuni tizi e hanno caricato "di peso" la moto a bordo, in meno di 5 minuti! Cosa voglio dirvi con questo ? Un concetto fondamentale in ambito sicurezza: LA SICUREZZA FISICA è alla base di tutta la sicurezza (concetto ribadito anche dal modello Defense In-Depth a dall'immagine rappresentativa che ho riportato nel mio post di piano dell'opera).
  • Chiarimenti sulle notizie di enorme diffusione di malware sui siti web italiani

    E' sicuramente necessario aggiungere qualche elemento di chiarezza per aiutare a comprendere cosa stia succedendo in questi giorni relativamente alle notizie delle migliaia di siti web italiani "infettati" con malware in grado di carpire informazioni sensibili ai danni degli utenti. Purtroppo il "panico mediatico" che si genera naturalmente di fronte a eventi di questa portata non aiuta la diffusione di informazioni realmente utili per la protezione reattiva e, soprattutto, preventiva. Cerco quindi di darvi qualche indicazione che possano aiutarvi in tal senso.
  • Stirling, la prossima versione della suite Forefront

    Oggi mi sono imbattuto in una e-mail interna che ha richiamato alla memoria una notizia di inizio giugno di cui non mi sembra si sia vista molta eco in giro per il web, ma credo meriti almeno un post di introduzione. Mi riferisco alla notizia relativa ai piani di rilascio della prossima versione di Forefront codename "Stirling". Ho pensato che poteva essere anche una buona occasione per iniziare a presentarvi i colleghi del mio team di sicurezza, il Premier Center for Security (PCfS), di cui vi avevo accennato in breve nel mio secondo post, e di cui non vi ho più parlato nel dettaglio... (cercherò di rimediare presto a questa mancanza!).
  • Microsoft Surface: un giorno mio nipote dirà "il nonno c'era!"

    Se siete blog-addicted, sarete stati già inondati da post che parlano di questa meraviglia, Microsoft Surface ! Anche i media tradizionali ne stanno parlando molto, e questo di solito si traduce per me in attività extra-time di PR ... :-)... per spiegare a familiari e amici di cosa si tratti. Se non sapete ancora nulla dovete rimediare in fretta (vi rimando ai video del sito ufficiale e al post dell'amico Vincos che linka altri video), perché non potete perdervi questo momento magico, quando vede la luce una tecnologia ed un approccio innovativo che nel tempo cambieranno il nostro modo di vivere.
  • Assenza giustificata: assemblea soci AIPSI, ISSA conference, Technet Security Day

    La passione che mi sta prendendo per il blogging e l'incredibile riscontro numerico di chi mi sta seguendo mi fanno sentire il bisogno di giustificarvi (come si faceva a scuola!) questa lunga assenza dai post in questa settimana appena trascorsa: è terribile ormai non poter godere di piena connettività (e di tempo) per postare tutto quello che vorrei condividervi!
  • Iniziamo a scoprire le novità di sicurezza in Windows Server 2008 (ex Longhorn)

    Credo che Windows Server 2008, il nome definitivo scelto per il progetto del prossimo sistema operativo Server di Microsoft dal nome in codice "Longhorn", porti con se tutti i messaggi importanti che l'azienda Microsoft intende condividere con il mercato riguardo alla sua strategia sulla piattaforma di base. Mi domandavo perché un nome così austero e in apparenza privo di fantasia: tanto il nome Windows Vista è passionale e, appunto "visionario", tanto il nome Windows Server 2008 è serio e rigorososo. Perché ??
  • Analisi di rischio sui Bollettini di sicurezza Microsoft - giugno 2007

    Scusate il ritardo: questo mese la concomitanza dell'evento Technet Security Day a Roma di ieri e il tradizionale Patch Tuesday (ormai è chiamato così il giorno di emissione dei bollettini di sicurezza) mi hanno creato qualche problema logistico, visto che non ho (ancora...;-) il dono dell'ubiquità ... Come al solito fate riferimento al mio post N°10 per un background sull'approccio all'analisi di rischio e alla tabella seguente che sintetizza le 15 vulnerabilità corrette dai 6 bollettini:
  • Chiedo un confronto professionale, ragionato e soprattutto ...civile

    Vi saluto dalla cara e beneamata Puglia, dove mi trovo per un fine settimana lungo in famiglia, per non far perdere ai nonni i rapidi progressi di crescita di quel cucciolo di uomo che è mio figlio. Speravo di godere di quell' inizio d'estate tipico delle mie parti, dal clima caldo asciutto, che ti fa godere di pennichelle pomeridiane galattiche e piacevoli passeggiate serali a gustar gelati... e invece ??? Caldo da record di scirocco, umido, saune e boccheggi ... da far rimpiangere l'aria condizionata d'ufficio :-(((... Mi sto solo consolando con mozzarelle, focacce al pomodoro, zampine (salsicce sottili di carne di vitello tipiche della mia zona, a ridosso dei Trulli)e ciliege ferrovia (vedi foto) ... ovvero: come prendere 2 chili in 3 giorni !
  • Le "17 perle" della Security Governance

    Chi di voi non ha seguito il mio consiglio e caparbiamente ha voluto seguire la mia sessione "Security Governance" agli scorsi due eventi del Microsoft Security Day, si è sorbito la sintesi di tante mie esperienze sul campo da consulente di sicurezza impegnato nel fare security assessment sui grandi clienti italiani. Per poter condividere tali considerazioni in sola mezz'ora di sessione ho dovuto trovare il modo di condensarle e renderle immediate e illuminanti, capaci almeno di far riflettere chi opera nell'ambito del Security Management su quali siano le situazioni che meritano di essere indirizzate nella gestione della sicurezza in azienda
  • Sei sicuro della sicurezza del TUO codice ?

    Delle "17 perle" di cui vi ho appena detto, quella che ha suscitato maggiori domande di approfondimento nei 3 eventi in cui ho avuto modo di parlarne è stata appunto la 15a: Sei sicuro della sicurezza del TUO codice ? Il concetto di fondo che ho espresso riguardo a questo punto è esattamente quanto avevo già indicato al termine del mio post precedente, che vi riporto: con l'irrobustimento della piattaforma di base, chi attacca tenderà nel tempo a spostare la sua attenzione verso gli strati più alti a livello applicativo, sul codice custom, quello scritto dalle terzi parti o dal cliente stesso, dove sarà più facile ritrovare bug di sicurezza da sfruttare per un attacco, più mirato ma non meno pericoloso