2015 & "vulnerabilita" nelle PMI.. (solo PMI?!)

1. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 1
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocityhttp://creativecommons.org/licenses/by-sa/2.0/it/deed.ithttp://creativecommons.org/licenses/by-sa/2.0/it/deed.it
2015 & "vulnerabilità" nelle2015 & "vulnerabilità" nelle
PMI.. (solo PMI?!)PMI.. (solo PMI?!)
Relatore:Relatore:
Igor FalcomatàIgor Falcomatà
Chief Technical OfficerChief Technical Officer
ifalcomata@enforcer.itifalcomata@enforcer.it

2. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 2
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
about:about:
aka “koba”aka “koba”
• attività professionale:
•analisi delle vulnerabilità e
penetration testing
•security consulting
•formazione
• altro:
•sikurezza.org
•(f|er|bz)lug
free advertising >free advertising >

3. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 3
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
a long time ago,
in a conference
far away...

4. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 4
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
“Vulnerabilità semplici in infrastrutture complesse..”

5. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 5
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
..e oggi ?

6. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 6
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
http://hackingstuffs.com/2012/10/12/warning-zombies-ahead-road-sign-board-hacked/

7. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 7
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
Esempio:
interfacce di
amministrazione
esposte

8. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 8
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity

9. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 9
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
Mi ricorda qualcosa...

10. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 10
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
Interfacce di
amministrazione
esposte
(SCADA edition)

11. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 11
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
https://www.shodan.io/

12. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 12
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
http://threatpost.com/open-serial-port-connections-to-scada-ics-and-it-gear-discovered

13. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 13
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
Interfacce di
amministrazione
esposte
(CLOUD edition)

14. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 14
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity

15. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 15
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
Ma che davéro? Nel 2015?
Sì davéro nel 2015.

16. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 16
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
Interfacce di
amministrazione
esposte
(LAN edition)

17. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 17
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
Facile:
# nmap ­sS 192.168.1.0/24
google:
qualcosa +default +password

18. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 18
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
Esempio:
traffico non
protetto

19. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 19
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
https://www.ssllabs.com/ssltest/

20. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 20
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
Esempio:
good ole web
(application
vulnerabilities)

21. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 21
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
https://xkcd.com/327/

22. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 22
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
Voi non ci crederete.. (non ci credevo neanche io..)
nel 2015.. su Internet..

23. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 23
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

24. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 24
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
Autorizzazioni:
https://www.example.com/app?id=1
https://www.example.com/app?id=n
WAF?
Se la business logic è rotta, la
(sicurezza della) applicazione è rotta

25. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 25
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
Esempio:
wireless troppo
ospitali

26. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 26
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity

27. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 27
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
Esempio:
client-side
attacks

28. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 28
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity

29. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 29
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
(Click)

30. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 30
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity

31. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 31
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity

32. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 32
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
Game Over!
thnxs/credits:
unknow + hdm@metasploit.com

33. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 33
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
utente remoto
desktop
ext. router
utente remoto
web server mail server db server
file server
dep. server
desktop
dep. server
desktopdesktop
desktop
firewall
access point
wifi user
wifi user
VPN gw
Mr. Malicious 2.0
3rd
party
Instant replay: exploit

34. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 34
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
utente remoto
desktop
ext. router
utente remoto
web server mail server db server
file server
dep. server
desktop
dep. server
desktopdesktop
desktop
firewall
access point
wifi user
wifi user
VPN gw
Mr. Malicious 2.0
3rd
party
Instant replay: pivoting

35. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 35
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
Esempio:
(s)compliance

36. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 36
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
Teoria:
● Azienda “non IT”
● Fatturato ~50 mln /anno€
● ISO 27002
● Focus su backup, change
management, segregation of duties,
password e accessi

37. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 37
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
Pratica:
● Da “porta di rete” a Domain Admin
in 10 minuti
● Accesso all'AS400 con password
guessing (o Man In The Middle)
● Accesso non autenticato/default a
UPS, storage, stampanti,
marcatempo, switch, remote
mngt, ..

38. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 38
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
Per concludere..

39. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 39
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
Limiti (self)
Assessment:
● Non “fidarsi” di quello che dice
il cliente/staff/etc.
● Non dimenticare lo strato
tecnologico sottostante
● Le policy sono fatte per essere
infrante ..

40. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 40
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocity
audit != VA != PT
● PT attività principalmente
artigianale
● “sfortunatamente” conta molto
l'esperienza
● alla fine della fiera..

41. © Igor Falcomatà <ifalcomata@enforcer.it>, alcuni diritti riservati: http://creativecommons.org/licenses/by-sa/2.0/it/deed.it - Pagina 41
2015 & "vulnerabilita" nelle PMI.. (solo PMI?!) - Smau Milano 2015 – 23 ottobre - fieramilanocityhttp://creativecommons.org/licenses/by-sa/2.0/it/deed.ithttp://creativecommons.org/licenses/by-sa/2.0/it/deed.it
Relatore:Relatore:
Igor FalcomatàIgor Falcomatà
Chief Technical OfficerChief Technical Officer
ifalcomata@enforcer.itifalcomata@enforcer.it
Domande?Domande?