About these ads

Archive

Posts Tagged ‘Consumerization’

Browsing Security Predictions for 2012

January 8, 2012 4 comments

Update 01/11/2012: Year-to-Tear comparison with 2011 Security Predictions

The new year has just come, vacations are over, and, as usually happens in this period, information security professionals use to wonder what the new year will bring them from an infosec perspective. The last year has been rich of events, whose echo is still resounding, and as a consequence, if RSA and Sony breach were not enough, the main (and somehow obvious) question is: will 2012 stop this trend or rather bring it to unprecedented levels, or, in other words, which threat vectors will disturb the (already troubled) administrators’ sleep?

Unfortunately my divination skills are not so developed (in that case I would not be here), but security firms can give a crucial help since they started to unveil their security predictions for 2012, at least since the half of December, so putting them together, and analyzing them is quite a straightforward and amusing task. Maybe even more amusing will be, in twelve years, to see if they were correct or not.

The security prediction that I take into consideration included, at my sole discretion (and in rigorous alphabetical order):

•    Cisco;
•    Fortinet;
•    Kaspersky;
•    McAfee;
•    Sophos;
•    Trend Micro;
•    Websense;

That is the only leader vendors for which I found predictions issued with original documents (feel free to indicate if I missed someone and I will be very glad to include them in the chart).

In any case, the landscape is quite heterogeneous since it encompasses security vendors covering different areas: one vendor, McAfee, covering all the areas (network, endpoint and content security), two vendors and one half focused on network and content security (Cisco, Fortinet and partially Sophos thanks to the Astaro acquisition), and two vendors focused essentially on endpoint security (Kaspersky and Trend Micro).

The following table summarizes their predictions:

In order to correctly understand the chart a premise is needed: as you will probably have already noticed, in several cases the predictions reflect the specific security focus for the analyzed vendor. For instance, Websense is focused on DLP, and that is the reason why the adoption of DLP is one of its predictions. Analogously McAfee is investing huge resources for Security on Silicon, and this implies that embedded systems and Malware Moving Beyond OS are present among its predictions. Same speech could be applied for Trend Micro and its Cloud Prediction and so on.

Some trends for this year are clearly emphasized: easily predictable Hactivism appears on 6 of the 7 vendors, as mobile (with different connotations) does. Social Media is on the spot as well as are SCADA, Embedded Systems and, quite surprisingly in my opinion, cloud. I would have expected a greater impact for APTs, but for a complete and more accurate analysis one should consider them together with threats targeting embedded systems or ICS. Even because according to several security firms, for instance Kasperky, APT Stuxnet-like will be used for tailored campaigns, whilst more “general purpose malware”, including botnets will be used for massive campaigns (this item is summarized as Mass Targeted Campaigns).

 

Some “old acquaintances” will be with us in 2012: consumerization, at least according to Sophos and Trend Micro (even if consumerization is strictly connected, if not overlapped with mobile) and, if the Comodo and Diginotar affaires were not enough, Rogue Certificates, according to McAfee. Instead some “new entries” are absolutely interesting, such as the threats related to NFC (even if in this case I would have expected a greater impact) or related to Virtual Currency. Besides let us hope that the prediction to adopt DNSSEC be more than a prediction but a consolidated practice.

The most conservative security firm? In my opinion Cisco. The most “visionary”? Maybe Fortinet, I found the “Crime as a Service (CaaS)” absolutely awesome, and most of all not so visionary, since there are already some (even if clumsy) attempts.

In any case with this plenty of Cyber Nightmares is not a surprise the fact the Enterprise security market is going to reach $23 billion worldwide in 2012 with a 8.7% growth year-on-year.

About these ads

Mobile Security: Vulnerabilities and Risks

May 24, 2011 5 comments

Today I took part as speaker to an event organized by my Company concerning Cloud and Mobile security. For this occasion I prepared some slides summarizing some concepts spread all over my blogs.

In my vision (you should know if you follow my blog) mobile vulnerabilties are mainly due to:

  • False security perception by users: they consider their device as a “simple” phone, forgetting they bring a small dual-core in their pockets;
  • “Light” behaviour from users: Sideloading, Jailbreak and Rooting are not good security practices;
  • Consumerization of Devices: well known (partially abused) concept: some mobile devices come from the consumer world and hence do not natively offer enterprise class security or suffer from intrinsic vulnerabilities:
  • Consumerization of Users: many users think they have consumer device so they think they do not deserve enterprise class security measures.

And the risks are:

  • False Security Perception leads to high probabilities of theft or loss of the device, and most of all, of its data;
  • “Light” behaviour from users dramatically increases the probability to directly install malware or surf towards insecure shores…
  • Consumerization of Devices leads to vulnerabilities that may be exploited to access and steal sensitive data or authentication credentials;
  • Consumerization of Users leads the users themselves to adopt imprper habits not appropriate for an enterprise use, which in turn make the device even more vulnerable to malware (i.e. installing non business application, lending it to others, etc.).

How to mitigate the risks?

  • Educate users to avoid “promiscuous” behaviours (no root or sideloading or jaibreak, do not accept virtual candies from unkown virtual persons);
  • At an organizational Level, define security policy for managing (un)predictable events such as device thieft or loss;
  • Beware of risks hidden behind social Network;
  • Use (strong) Data Encryption;
  • Do not forget to use security software;
  • Enforce Strong Authentication;
  • Keep the device update.

This in turn corresponds to enforce a device management policy in which mobile devices are treated like “traditional” endpoints (but they will sone become tradional endpoints).

You may find the slides on SlideShare… They are mainly in Italian but if you want, ask me and I will provide an additional translated version.

Good Reading!

Relazione Tavola Rotonda Mobile Security

Ho pubblicato su Slideshare la relazione da me redatta della Tavola Rotonda “Mobile Security: Rischi, Tecnologie, Mercato” tenutasi il 14 marzo a Milano all’interno del Security Summit 2011.

La relazione, che ho inserito all’interno di un thread del gruppo Linkedin Italian Security Professional, è visibile al link sottostante. Ancora un grazie al gruppo che ha ospitato questo interessantissimo appuntamento!

Mobile Security: Impressioni a Caldo

March 16, 2011 4 comments

Fortunatamente il virus che mi ha colpito sta mitigando i suoi effetti, la mente è un po’ più lucida e quindi mi permette di raccogliere le idee e tirare le somme sulla tavola rotonda del 14 marzo.

In effetti è stata una occasione propizia per confrontarsi con la prospettiva degli operatori e valutare come gli stessi intendano affrontare il problema della sicurezza mobile considerato il fatto che esso è si un problema tecnologico, ma interessa principalmente l’utente: parafrasando una felice espressione emersa durante la tavola rotonda, espressione tanto cara agli operatori, si può affermare che il problema della mobile security arriva “all’ultimo miglio”, ovvero sino a casa (in questo caso virtuale) dell’utente stesso.

Ad ogni modo su un punto gli addetti del settore, operatori inclusi, sono tutti d’accordo: sebbene il problema della sicurezza mobile parta da lontano, ovvero dal processo di Consumerization dell’IT che ha “prestato” al mondo Enterprise strumenti di lavoro non nativamente concepiti per un uso professionale; il ruolo principale, in termini di sicurezza, rimane quello dell’utente. Gli utenti hanno eccessiva familiarità con i dispositivi, dimenticano che sono a tutti gli effetti ormai vere e proprie estensioni del proprio ufficio, e questo li porta a comportamenti superficiali, quali ad esempio l’utilizzo di pratiche di root o jailbreak, l’utilizzo di Market paralleli e la mancata abitudine di controllare i permessi delle applicazioni durante l’installazione.

Naturalmente questo ha conseguenze molto nefaste poiché le minacce che interessano il mondo mobile sono molteplici e peggiorate dal fatto che oramai, con i nuovi dispositivi acquistati nel 2011 ci porteremo almeno 2 core nel taschino. Prendete le minacce che interessano i dispositivi fissi, unitele al fatto che il dispositivo mobile lo avete sempre dietro e lo utilizzate per qualsiasi cosa ed ecco che il quadro si riempe di frodi, furto di informazioni (di qualsiasi tipo visto l’utilizzo corrente dei dispositivi), malware, spam, Denial of Service, e non ultima, la possibilità di creare Botnet comandate da remoto per effettuare DDoS, SMS spam, rubare dati su vasta scala.

Sebbene il punto di arrivo sia lo stesso (ovvero la necessità di una maggiore consapevolezza da parte dell’utente), le opinioni sul ruolo del processo di Consumerization non sono omogenee tra chi, come il sottoscritto, ritiene che le tecnologie non abbiano i necessari livelli di sicurezza richiesti per un uso professionale (e questo fattore è peggiorato dall’atteggiamento dell’utente) e chi sostiene invece che le tecnologie sono intrinsecamente sicure ma il problema è in ogni caso riconducibile all’utente che si rivolge, lui stesso, ai dispositivi, anche per uso professionale, con un atteggiamento consumer.

Riguardo gli aspetti relativi a tecnologia e mercato la mia opinione è molto chiara: i due punti sono intrinsecamente connessi  e questo si traduce, sinteticamente, nella necessità di portare nel mondo mobile le stesse tecnologie di protezione degli endpoint tradizionali. Secondo la mia personale esperienza, il mercato ha difatti iniziato il processo, che diverrà sempre più preponderante, di considerare il mondo degli endpoint mobili come una estensione naturale del mondo degli endpoint tradizionali (notebook, desktop, etc.) ai quali si dovranno pertanto applicare le stesse policy e gli stessi livelli di sicurezza (con le opportune differenziazioni dovute alla diversa natura dei dispositivi) proprie del mondo wired. Fondamentale in questo scenario è il modello di gestione unificata endpoint fissi e mobili in grado di applicare in modo astratto e device indipendent le stesse politiche di sicurezza a tutti i dispositivi indipendentemente dalla natura degli stessi.

Per quanto concerne la tecnologia, (pre)vedo due filoni protagonisti del mondo mobile: il DLP e la Virtualizzazione. Il DLP poiché ritengo il modello di sicurezza mobile perfettibile, e di conseguenza lo ritengo terreno fertile per i produttori di sicurezza in grado di ampliare, con le proprie soluzioni, il modello di sicurezza nativo (con qualche riserva su Apple vista la poca apertura di Cupertino); la Virtualizzazione, di cui ho già avuto modo di parlare, consentirà di risolvere i problemi di tecnologia e privacy connessi con l’utilizzo professionale del proprio dispositivo. Grazie alla virtualizzazione, di cui dovremmo vedere i primi esempi nella seconda metà di quest’anno, una Organizzazione potrà gestire il proprio telefono virtuale all’interno del dispositivo fisico dell’utente, controllando le policy e le applicazioni e tenendo i due mondi completamente separati. Questa soluzione dovrebbe essere una ottima spinta per risolvere i problemi tecnologici e di privacy (non dimentichiamoci infatti che spesso l’utente finisce inevitabilmente per inserire informazioni personali anche nel dispositivo professionale), delegando, almeno per la macchina virtuale enterprise, il modello di sicurezza dall’utente all’Organizzazione.

Infine si arriva, inevitabilmente alla domanda fatale: la sicurezza ha un costo: chi paga? A mio avviso il modello è (relativamente) semplice e, personalissima opinione, è sufficiente voltarsi indietro per capire come potrà essere il modello di sicurezza futuro.

Naturalmente la distinzione tra consumer ed enterprise è d’obbligo: per quanto ho affermato in precedenza le organizzazioni, soprattutto se di una certa dimensione, saranno autonome nella realizzazione (e di conseguenza nel sostenerne i costi) della propria architettura di sicurezza mobile concependola come una estensione trasparente del modello di sicurezza per gli endpoint tradizionali. Questa è la tendenza verso cui sta andando il mercato e verso la quale stanno convergendo i produttori con l’offerta di suite di sicurezza complete per sistemi operativi fissi e mobili contraddistinte da modelli di gestione unificata.

Diverso è il caso del mondo consumer ma anche in questo caso prevedo che, implicitamente, i terminali mobili verranno trattati alla stregua di terminali fissi e quindi le funzioni di sicurezza potranno essere offerte, ad esempio, come un add-on del piano dati, analogamente a quanto accade oggi per l’antivirus/personal firewall, che ormai tutti gli operatori offrono in bundle con la connessione ad Internet. In questo caso è importante notare anche il fatto che l’età media degli utilizzatori è sempre più bassa pertanto, soprattutto nel mondo consumer, gli stessi mostreranno sempre maggiore familiarità con le tecnologie mobili e le loro necessarie estensioni in ambito di sicurezza al punto di considerarle tutt’uno.

Rimane ovviamente ancora da verificare l’aspetto relativo ad eventuali investimenti infrastrutturali: una interessante domanda rivolta agli operatori ha infatti evidenziato se vi è allo studio la creazione di una baseline (ovvero l’analisi dei livelli di traffico per evidenziare anomalie dovute, ad esempio, ad eccessivo traffico generato da malware). Allo stato attuale, essendo il problema trasversale tra tecnologie e legge, la baseline è dettata dalla stessa compliance.

L’Androide (Virtuale)? E’ Tutto Casa e Lavoro

February 16, 2011 2 comments

In questi i giorni i fari multimediali del mondo sono puntati verso Barcellona, dove si sta svolgendo il Mobile World Congress 2011.

Il lancio dei nuovi tablet ed i commenti del “giorno dopo” relativi alla Santa Alleanza tra Nokia e Microsoft (inclusa l’ostinazione di Intel nel perseguire il progetto MeeGo), l’hanno fatta da padroni. Tuttavia, accompagnato dalla mia immancabile deformazione professionale sono andato alla ricerca, tra i meandri dell’evento, di un qualcosa che non  fosse la solita presentazione di prodotti. Da qualche giorno difatti un tarlo mi assilla, inconsapevolmente incoraggiato dai buchi di sicurezza che, quotidianamente, i ricercatori di tutto il globo scoprono all’interno dei terminali, siano essi Cuore di Mela o Cuore di Androide.

In effetti sembrerebbe proprio che i nostri dati e la nostra vita (professionale e personale), che sempre di più affidiamo a questi oggetti, siano sempre meno al sicuro. Probabilmente, come più volte ripetuto (ma forse mai abbastanza) il peso maggiore di questa insicurezza è da imputare ai comportamenti superficiali degli utenti che, una volta abituatisi alla velocità, comodità e potenza dello strumento, ne dimenticano i limiti fisici ed il confine che separa l’utilizzo personale dall’utilizzo professionale. In teoria la tecnologia dovrebbe supportare l’utente per il corretto utilizzo professionale, tuttavia proprio in questo punto giace il paradosso: il secondo fattore che minaccia la diffusione di smartphone e tablet per un uso massiccio professionale consiste proprio nel fatto che, con l’eccezione della creatura di casa RIM, il famigerato Blackberry, i terminali di casa Apple e Android non sono stati nativamente concepiti per un uso esclusivamente professionale, ma hanno successivamente ereditato funzioni di tipo enterprise costrette a convivere con le altre funzioni del terminale meno adatte all’attività lavorativa (in termine tecnico si chiamano frocerie).

Questo fenomeno è noto come consumerization dell’information technology, ed è uno dei cavalli di battaglia con cui i produttori di sicurezza puntano il dito verso i produttori di tecnologia mobile, e più in generale verso tutte le tecnologie prestate dall’uso di tutti i giorni all’uso professionale (e ora capisco perché i telefoni della serie E di Nokia erano sempre una versione software indietro rispetto agli altri). Alle vulnerabilità di cifratura, delle applicazioni malandrine che escono dal recinto della sandbox, dei vari browser e flash (e perché no anche alla mancanza di attenzione degli utenti), i produttori di sicurezza dovranno porre rimedio, presumibilmente introducendo un livello di protezione aggiuntivo che recinti le applicazioni e le vulnerabilità troppo esuberanti e protegga i dati sensibili dell’utente, più di quanto il sistema operativo e i suoi meccanismi di sicurezza nativi riescano a fare.

L’ispirazione mi è venuta qualche settimana fa, leggendo il Cisco 2010 Annual Security Report, ed in particolare un passaggio ivi contenuto:

Mobility and Virtualization Trends Contributing to Renewed Focus on Data Loss Prevention

Ovvero la prossima frontiera della mobilità sarà proprio il DLP, in termini tecnologici e di conformità (procedure e tecnologie di DLP hanno sempre alla base necessità di compliance). Nel mondo mobile le due strade convergono inevitabilmente: il primo passo per una strategia di protezione dei dati e di separazione netta tra necessità personali e professionali si snoda attraverso la virtualizzazione del Sistema Operativo Mobile: un argomento che avevo già affrontato in un post precedente e per il quale mi sono chiesto, dopo l’annuncio dello scorso anno di Vmware e LG, se al Mobile World Congress 2011, sarebbero arrivate novità.

Il mio intuito ha avuto ragione e mi sono imbattuto in questo video in cui Hoofar Razivi, responsabile Vmware del product management, ha dimostrato, durante l’evento, l’utilizzo dell’applicazione di virtualizzazione sul dispositivo LG Optimus Black, sfoggiando uno switch semplice ed istantaneo tra i due sistemi operativi (Android ospitante e la versione Android embedded di Vmware) senza necessità di effettuare il reset del dispositivo.

Il terminale è così in grado di ospitare due versioni del sistema operativo: una personale, ed una professionale controllata centralmente dall’Organizzazione. Le policy che è possibile controllare nell’Androide professionale includono ad esempio la disabilitazione del cut and paste per prevenire la copia di dati sensibili, la disabilitazione di fotocamera, GPS e il Bluetooth. Esiste inoltre un client VPN interno e, come ulteriore protezione, i dati dell’Androide professionale, la cui immagine è cifrata in condizioni normali e può risiedere anche nella scheda SD, possono inoltre essere cancellati remotamente.

L’applicazione, che sarà sugli scaffali nella seconda metà di quest’anno, non dipende dal sistema operativo sottostante e può essere resa disponibile in modalità Over-The-Air, così può virtualmente funzionare su qualsiasi terminale (a patto che abbia abbastanza risorse). E’ molto probabile che sarà disponibile anche per altri sistemi operativi, sulla scia anche di quanto fatto da RIM che sta per presentare la propria soluzione BlackBerry Balance, concepita per gestire in maniera separata le informazioni personali e quelle aziendali all’interno di una Mora RIM.

Alla fine sembra proprio che, almeno nel mondo mobile, la virtualizzazione servirà per aumentare il livello di sicurezza dei dispositivi.

Follow

Get every new post delivered to your Inbox.

Join 2,944 other followers