Cap 1 - Security Fundamentals

Cosa fa

#

Introduce i fondamenti della sicurezza: CIA Triad, concetti di rischio, categorie e tipi di controllo, logging e SIEM. Base di tutto — ogni incidente, ogni controllo, ogni scenario d'esame si riconduce a questi concetti.

TL;DR

#

CIA = Confidentiality + Integrity + Availability — per ogni scenario d'esame chiedi: quale dei tre sta violando? Risk = Threat sfrutta Vulnerability → impatto sulla CIA Controlli: 4 categorie (Managerial/Operational/Technical/Physical) x 6 tipi (Preventive/Deterrent/Detective/Corrective/Compensating/Directive) Logs: Windows Event Viewer, /var/log Linux, Firewall, IDS/IPS SIEM: centralizza, aggrega, correla, allerta

mindmap
  root((Cap 1
Security
Fundamentals))
    CIA Triad
      Confidentiality · Integrity · Availability
    Risk
      Threat · Vulnerability · Risk Response
    Security Controls
      4 Categorie · 6 Tipi
    Logging
      Windows · Linux · Network
    SIEM
      Aggregation · Correlation · Alerts
    Compliance
      HIPAA · PCI-DSS · GDPR · SOX

CIA Triad

#

mindmap
  root((CIA Triad))
    Confidentiality
      Solo chi e autorizzato
      Come: Encryption
      Come: Access Controls
      Viola: unauthorized disclosure
    Integrity
      Dati non alterati
      Come: Hashing SHA-256
      Viola: data tampering
    Availability
      Sempre accessibile
      Come: Ridondanza RAID failover
      Come: Patching
      Viola: DoS downtime SPOF

        [C]
    Confidentiality
   "solo chi e' autorizzato"
       /        \
      /          \
[I] ____________ [A]
Integrity      Availability
"non alterato"  "sempre disponibile"

Barno's mindset: per ogni incidente chiedi "quale dei tre sta violando?" — quella e' la risposta all'esame.

Come funziona l'hashing per l'Integrity

#

Definizione: una funzione di hashing prende un input di qualsiasi dimensione e produce sempre un digest di dimensione fissa, determinata dall'algoritmo. Questa e' la proprieta' fondamentale che definisce l'hashing.

Un file da 1 KB e un file da 10 GB producono entrambi un digest da 256 bit con SHA-256.

File originale → [SHA-256] → hash A (es. 3f4a...)
File dopo N giorni → [SHA-256] → hash B

Se A == B → file intatto
Se A != B → file modificato

L'algoritmo e' irreversibile: non si puo' risalire al file dall'hash.

Hashing vs Encryption — confronto

#

Hook: hashing = impronta digitale (unica, non si torna alla persona). Encryption = cassaforte (si apre con la chiave).

Access Controls — Identification, Authentication, Authorization

#

mindmap
  root((Access
Controls))
    Identification
      Dichiara identita
      Esempio: username
    Authentication
      Prova identita
      Esempio: password token biometrico
    Authorization
      Verifica permessi
      Esempio: ACL ruoli cartelle

Access controls = chi puo' vedere/fare cosa.

Nota: Homer puo' avere un account valido ma zero permessi su certi file — identification e authentication OK, authorization lo blocca.

Availability — Ridondanza e Fault Tolerance

#

mindmap
  root((Availability))
    SPOF
      Single Point of Failure
      Elimina con ridondanza
    Ridondanza
      Disk: RAID
      Server: Failover cluster
      Network: Load balancing NIC teaming
      Power: UPS generatori
    Scalability
      Manuale lo fa l admin
      Scale OUT aggiunge server
      Scale UP aggiunge risorse
    Elasticity
      Automatica lo fa il sistema
      Alta domanda risorse crescono
      Bassa domanda risorse calano
    Resiliency
      Auto-ripara con minimo downtime
      Backup testati retry automatico

Obiettivo principale: eliminare ogni SPOF (Single Point of Failure).

SENZA ridondanza:
[Server] → [1 disco] ← SPOF: disco muore = server down

CON ridondanza (RAID):
[Server] → [disco1 + disco2] ← un disco muore, l'altro continua

Tipi di ridondanza

#

Scalability vs Elasticity

#

Scalability (manuale — lo fa l'admin):

• Scale OUT / orizzontale: aggiunge server → [S1] diventa [S1][S2][S3]
• Scale UP / verticale: aggiunge risorse allo stesso server → [S1: 16GB RAM] diventa [S1: 32GB RAM]
• Scale IN / Scale DOWN: l'inverso, rimozione manuale di server o risorse

Elasticity (automatica — lo fa il sistema):

• Domanda alta → risorse aggiunte automaticamente
• Domanda bassa → risorse rimosse automaticamente
• Come un elastico: si allunga e torna da solo. Esempi: AWS Auto Scaling, GCP

Remember This! Scalability = manuale. Elasticity = automatica.

Resiliency

#

I sistemi resilienti si auto-riparano con minimo downtime. Usano le stesse tecniche di alta disponibilita' ma con un focus sul recupero automatico:

• backup periodici testati
• NIC teaming (se una NIC smette, l'altra prende il traffico)
• ridondanza dischi
• retry automatico dei processi falliti (es. TCP ritrasmette i pacchetti persi, Chrome si riconnette dopo che la rete torna)

Patching

#

Mantenere i sistemi aggiornati con le patch è essenziale per la Availability. I bug del software causano problemi di sicurezza, crash casuali e comportamenti imprevisti. Quando i vendor scoprono i bug, rilasciano codice che li corregge (patch). Le organizzazioni implementano patch management programs per assicurarsi che i sistemi siano always up-to-date e che le vulnerabilità note vengano corrette prima di essere sfruttate.

Remember This! Il patching è un controllo preventivo che protegge la Availability — un sistema non patchato è una vulnerabilità aperta.

Resource Availability Versus Security Constraints

#

Le organizzazioni devono bilanciare disponibilità di risorse e sicurezza. La cifratura massimizza la Confidentiality — perché allora non cifrare tutto? Perché la sicurezza consuma risorse:

• Un file cifrato con AES-256 occupa circa il 60% di spazio in più sul disco
• Cifrare e decifrare richiede CPU e memoria, rallentando le applicazioni

I security expert direbbero che il costo vale la sicurezza. Gli executive hanno la responsabilità di minimizzare i costi senza sacrificare la sicurezza. L'obiettivo è trovare il punto ottimale tra resource costs e security needs.

Barno's note: stesso trade-off dei sistemi PHP/Symfony — abilitare HTTPS, cifrare sessioni, usare bcrypt per le password ha un costo computazionale reale. Non è gratis.

Risk Concepts

#

mindmap
  root((Risk))
    Threat
      Circostanza che minaccia CIA
      Interna esterna naturale accidentale
    Vulnerability
      Debolezza nel sistema
      HW SW configurazione utenti
    Risk
      Probabilita che Threat sfrutti Vulnerability
      Formula: Likelihood x Impact
    Risk Response
      Mitigate: riduci con controlli
      Transfer: assicurazione MSSP
      Accept: dentro soglia tolleranza
      Avoid: elimina l attivita

graph TD
    T["THREAT (minaccia)
    interna · esterna · naturale · accidentale"]
    V["VULNERABILITY (debolezza)
    hardware · software · configurazione · utenti"]
    R["RISK
    probabilita' che T sfrutti V
    con impatto sulla CIA"]
    M["RISK MITIGATION
    riduce la probabilita' O l'impatto
    tramite security controls"]

    T -->|sfrutta| V
    V -->|genera| R
    R -->|si gestisce con| M

Definizioni esatte Gibson (esame):

• Risk = the possibility or likelihood of a threat exploiting a vulnerability resulting in a loss
• Threat = any circumstance or event that has the potential to compromise confidentiality, integrity, or availability
• Vulnerability = a weakness in hardware, software, configuration, or users using the system
• Risk mitigation = reduces risk by reducing the chances that a threat will exploit a vulnerability OR reduces the risk's impact

Risk rating formula:

Risk Rating = Likelihood × Impact

Likelihood = quanto è probabile che accada. Impact = quanto è grave se accade. Exam trap: "owners and thresholds" = risk register (chi è responsabile). "probability and exposure factor" = ALE formula quantitativa. La domanda generica sul risk rating → sempre Likelihood × Impact.

Security incident = adverse event or series of events that can negatively affect the CIA of an organization's IT systems and data.

Barno's mindset: ogni incident e' una violazione di uno o piu' pilastri CIA. Identificare quale e' il primo passo.

Risk Response Strategies — le 4 opzioni

Quando un'organizzazione identifica un rischio, ha quattro possibili risposte:

Security Controls — Categorie

#

mindmap
  root((Categorie
Controlli))
    Managerial
      Chi: Management
      Policy scritte risk assessment
    Operational
      Chi: Persone day-to-day
      Training change management
    Technical
      Chi: Tecnologia HW SW
      Firewall antivirus IDS IPS
    Physical
      Chi: Puoi toccarlo
      Lock fences CCTV mantrap

Risponde a: chi o cosa implementa il controllo?

graph TD
    SC[Security Controls]
    SC --> M["Managerial
    Chi: Management
    Policy scritte, risk assessment"]
    SC --> O["Operational
    Chi: Persone day-to-day
    Training, change management"]
    SC --> T["Technical
    Chi: Tecnologia HW/SW
    Firewall, antivirus, IDS, IPS"]
    SC --> P["Physical
    Chi: Puoi toccarlo
    Locks, fences, CCTV, mantrap"]

Barno's hook: Physical = "quello che si puo' toccare" — facile da ricordare.

Security Controls — Tipi

#

mindmap
  root((Tipi
Controlli))
    Prima dell incidente
      Preventive
        Blocca l incidente
        Firewall training IPS AUP
      Deterrent
        Scoraggia psicologicamente
        Warning signs login banner
      Directive
        Istruisce come comportarsi
        SOP incident procedure
    Durante l incidente
      Detective
        Rileva che sta succedendo
        Log SIEM IDS video surveillance
    Dopo l incidente
      Corrective
        Ripristina normalita
        Backup incident handling
      Compensating
        Alternativa al controllo primario
        TOTP invece di smart card

Risponde a: quando agisce il controllo rispetto all'incidente?

PRIMA dell'incidente:
  Preventive  → blocca l'incidente
  Deterrent   → scoraggia psicologicamente
  Directive   → istruisce su come comportarsi

DURANTE l'incidente:
  Detective   → rileva che sta succedendo

DOPO l'incidente:
  Corrective  → corregge e ripristina
  Compensating → alternativa al controllo primario (usato anche prima)

EXAM TRAP — AUP vs Directive: AUP (Acceptable Use Policy) = Preventive, NON Directive.

• AUP impedisce comportamenti vietati prima che accadano → Preventive
• Directive = fornisce istruzioni su come comportarsi in risposta a situazioni di sicurezza (es. "se ricevi un'email sospetta, fai X")
• La differenza: AUP dice "non fare questo". Directive dice "fai questo quando succede quello".
• Change management = sia Operational sia Directive (caso speciale esplicito nel libro).

Barno's key: capire se il controllo agisce PRIMA, DURANTE o DOPO e' la chiave per classificarlo correttamente all'esame.

Combinare categorie e tipi

#

Un controllo appartiene SEMPRE ad almeno una categoria E un tipo.

Lock = sia preventive (blocca fisicamente) sia deterrent (scoraggia chi vede il lucchetto).

Hardening

#

Rendere un sistema piu' sicuro della configurazione di default. Strategia defense-in-depth:

• disabilitare porte e servizi non necessari
• implementare protocolli sicuri
• mantenere il sistema patchato
• password forti + policy robuste
• disabilitare account di default e non necessari

Logging and Monitoring

#

mindmap
  root((Logging))
    Windows Event Viewer
      Security log: accessi e audit
      System log: eventi OS
      Application log: eventi app
    Linux var log
      syslog o messages: sistema generale
      secure: autenticazione sessioni
    Network
      Firewall: traffico bloccato e permesso
      IDS: alert only non blocca
      IPS: IDS + blocca il traffico
      Wireshark: singoli pacchetti
    Application
      Web server log formato W3C
      Metadata: descrivono altri dati

Windows — Event Viewer

#

Linux — /var/log/

#

Network Logs

#

Application Logs

#

Web server log (formato Common Log W3C): ogni richiesta include host, user-identifier, authuser, date, request, status HTTP, bytes.

Metadata: dati che descrivono altri dati. Utili in indagini forensi (es. header email, metadata immagini).

Centralized Logging and Monitoring — SIEM

#

mindmap
  root((SIEM))
    Input
      Log collectors e sensors
      Windows Linux firewall IDS app
    Processo
      Log aggregation: normalizza fonti diverse
      Correlation engine: trova pattern
    Output
      Alerts e Triggers: notifiche real-time
      Automated reports
      Trends: pattern nel tempo
    Extra
      UBA: User Behavior Analysis
      Archiving: storage grandi volumi
      Syslog: formato e trasporto standard
    Attenzione
      Alert tuning: falsi positivi vs negativi
      NTP sync: tutti i server stesso orologio

Soluzione centralizzata per raccogliere, analizzare e gestire dati da sistemi multipli.

graph LR
    A[Windows Logs] --> S[SIEM]
    B[Linux /var/log] --> S
    C[Firewall Logs] --> S
    D[IDS/IPS] --> S
    E[App Logs] --> S
    S --> F[Log Aggregation]
    F --> G[Correlation Engine]
    G --> H[Alerts]
    G --> I[Trends]
    G --> J[Reports]
    H --> K[SOC Analyst]

Barno's note: i sensori/agenti SIEM sono quelli che abbiamo installato sul nostro server Ubuntu.

Alert Tuning

#

Bilanciare la sensitivita' per ridurre falsi positivi (alert su eventi non pericolosi) senza generare falsi negativi (mancanza di alert su eventi reali).

Esempio Gibson: Homer inserisce la password sbagliata per errore → il SIEM alerta → falso positivo. Sistema sotto attacco con 100 login falliti in 5 minuti → il SIEM non alerta → falso negativo. Il valore soglia (quanti login falliti triggerano l'alert) è configurabile, tipicamente tra 1 e 100.

Regola pratica: se alzi troppo la sensitivita' → alert-fatigue, gli analisti ignorano gli alert. Se la abbassi troppo → perdi eventi reali.

SIEM Dashboards

#

Il dashboard SIEM è la visualizzazione in tempo reale di tutto ciò che succede nella rete — come il cruscotto di un'auto. Fornisce continuous monitoring e real-time reporting. In grandi organizzazioni (NOC), il dashboard può occupare un intero display. Le viste sono customizzabili per ruolo e obiettivo.

Syslog

#

Protocollo standard per il formato e il trasporto dei log. La maggior parte dei SIEM usa syslog e include un syslog server per raccogliere log da dispositivi di rete. Syslog definisce solo formato e trasporto — non come il server gestisce i log dopo.

Time synchronization: tutti i server che inviano dati al SIEM devono essere sincronizzati con lo stesso orologio (NTP) — altrimenti la correlazione temporale degli eventi e' inutile.

Domande Sbagliate — Test Fine Capitolo

#

Q: AES crea un output fixed-length non reversibile? No. AES e' cifratura (encryption) — reversibile con la chiave. MD5 e' hashing — irreversibile per definizione. La domanda chiedeva "cannot re-create the original" = one-way = hashing = MD5. Hook: AES = cassaforte (si apre con la chiave). MD5 = tritacarne (non si torna indietro).

Q: Server e-commerce con picchi casuali di traffico — Elasticity o Scalability? Elasticity. I picchi sono casuali e imprevedibili — serve che il sistema reagisca da solo. Scalability sarebbe corretta se l'admin aggiungesse risorse manualmente sapendo in anticipo quando arriva il picco. Distinzione: Scalability = manuale e permanente. Elasticity = automatica, sale e scende da sola.

Q: Quale NON e' un controllo di fault tolerance — UPS / SIEM / RAID / NIC teaming? SIEM. UPS, RAID e NIC teaming sono ridondanze: se qualcosa si rompe, l'altro prende il posto. SIEM e' un controllo Detective — vede cosa succede, non sostituisce nulla se cade. Hook: fault tolerance = "se si rompe, l'altro prende il suo posto". SIEM non prende il posto di nulla.

Q: Kate scrive una SOP per i vulnerability assessment — quale categoria? Managerial, non Technical. Il tool che esegue la scansione e' Technical. La procedura che definisce come e quando farla e' Managerial. Hook: "Lo scrivi o lo configuri?" — se lo scrivi e' Managerial, se lo configuri e' Technical.

Scenario Reale

#

Un attaccante prova brute force su SSH (Threat). Il server non ha account lockout policy (Vulnerability). L'IDS rileva il pattern (Detective control) e il SIEM correla i log di piu' server vedendo lo stesso IP attaccare altri host (Correlation engine). Il trigger sul SIEM dopo N tentativi modifica il firewall per bloccare quell'IP (Corrective/Technical). Il SOC analyst riceve l'alert, segue il playbook (Directive/Operational) e documenta l'incidente. La CIA violata e' Availability (se il brute force avesse avuto successo e il servizio fosse stato compromesso).

Compliance Frameworks — Quale regola cosa

#

mindmap
  root((Compliance
Frameworks))
    HIPAA
      Healthcare USA
      PHI dati sanitari cartelle cliniche
    PCI-DSS
      Pagamenti e retail
      Numeri carta CVV PIN
    GDPR
      Tutti chi tratta dati cittadini UE
      PII dati personali europei
    SOX
      Finance aziende quotate USA
      Reporting finanziario
    FERPA
      Education USA
      Registri studenti
    GLBA
      Banche e istituzioni finanziarie USA
      Dati finanziari consumatori

Domanda tipo esame: "Which regulation primarily governs X?" La risposta dipende dal tipo di dato e dal settore.

NIST SP 800-53

#

NIST (National Institute of Standards and Technology) pubblica la serie SP 800. SP 800-53 "Security and Privacy Controls for Information Systems and Organizations" è il catalogo ufficiale dei security control, diviso in 20 famiglie. Molte certificazioni security (inclusa Security+) e regolamentazioni referenziano questo documento. Appendice C = catalogo completo di centinaia di controlli divisi in categorie.

Rilevanza esame: potresti vedere riferimenti a "NIST framework" o "SP 800-53" — è il documento di riferimento per i controlli federali US, non un tool ma uno standard.

Risorse

#

• Gibson SY0-701 Study Guide — Chapter 1, pp. 1-80 circa

Collegato a

#

• iam — CIA Triad, Access Controls, IAAA
• log — Logs, SIEM, syslog, correlation
• indice-gibson-messer-burning-Ice — indice completo del libro
• indice-gibson-messer-burning-Ice — indice completo del libro
• pre-assessment-risultati — Q2 e Q5 sbagliati su preventive/detective/corrective (Cap 1)
• 01-security-fundamentals-concepts — nota video stesso argomento (angolo BurningIceTech)