0:00 Benvenuti a tutti. Io sono Sandro Impastato. Sono qua per parlarvi di 01.org. Qual è la nostra mission? Noi diciamo siamo insieme a Sapienza Futura gli organizzatori di questo evento, quindi una breve introduzione per parlarvi di noi e delle nostre attività. Allora, noi nasciamo qui a Roma il 4 ottobre del 2024. Siamo un'associazione di promozione sociale, un ente del terzo settore, siamo iscritti al runs del Lazio, ci occupiamo di tecnologia, sicurezza e principalmente formazione su questi temi. Nasce come naturale prosecuzione di una precedente esperienza che alcuni dei soci fondatori avevano avuto in un altro ambito sempre
0:46 di formazione. In che cosa crediamo? crediamo nell'innovazione, nella conoscenza e nella condivisione. Quindi tutto quello che noi facciamo, essendo un'associazione di promozione sociale ovviamente è gratuito. Poi vi darò ovviamente tutti i dettagli. Con queste fondamenta noi vogliamo provare ad immaginare un futuro migliore. Questi siamo i soci fondatori, siamo otto persone, abbiamo background abbastanza anche variegati, c'è chi, come me, per esempio, eh viene sia dal mondo tecnologico, ma anche il mondo della formazione, perché sono un docente sia di scuola superiore che a contratto all'università. Abbiamo persone esperti, abbiamo persone nell'ambito delle risorse umane, abbiamo ricercatori o ex ricercatori universitari abbiamo diciamo un
1:32 costituito un gruppo di persone che comprende talenti in settori diversi in modo da avere competenze eterogenee. Per spiegare la nostra mission partiamo da un brano di Alberto di Piero Angela, tratto da La meraviglia del tutto. Si può dire che la mancanza di opportunità probabilmente ha impedito a tanti autentici geni, sia uomini che donne, di esprimere il proprio talento. Chissà quanti capolavori di pittura, quanti romanzi memorabili, quante melodie fantastiche non sono mai nate, perché chi avrebbe potuto crearle non ha
2:17 vissuto nell'epoca o nella situazione giusta per farlo. Questo brano si ricollega anche a un altro elemento fondamentale dei nostri valori che è l'articolo 3 della nostra Costituzione che dice che è compito della Repubblica rimuovere gli ostacoli di ordine economico e sociale che limitando di fatto la libertà e l'eguaglianza dei cittadini impediscono il pieno sviluppo della persona umana e l'effettiva partecipazione di tutti i lavoratori all'organizzazione politica, economica e sociale del paese. Quindi noi ci prefiggiamo, come associazione di promozione sociale di dare formazione a quante più persone possibili, ovviamente
3:03 nell'ambito cyber, come cerchiamo di raggiungere i nostri obiettivi tramite diverse attività. siamo nati da poco. Eh, abbiamo un corso su YouTube che è in corso di svolgimento, quindi già è stato completato il primo modulo, si chiama Security 101, che è un corso di cyb security di base che parte proprio dai principi delle reti di calcolatori e poi man mano si occuperà di argomenti inerenti alla cyb security. Il corso, appunto, è su YouTube, potete tranquillamente guardare le lezioni. Sono oltretutto io il formatore. Abbiamo già organizzato una Binary con, questa di fatto quindi è la seconda, è stata organizzata al Politecnico di Torino il 9 aprile.
3:49 Dopodiché, poi sempre disponibile sul nostro canale YouTube trovate un webinar dedicato alla tecnologia IPV6 Istruzioni per l'uso a cura di Tiziano Tofoni di Race Romoli. Non rubo altro tempo ai nostri speaker, ai nostri ospiti che ringrazio a nome di tutta la nostra associazione. Qua trovate tutti i nostri riferimenti. Potete col QR code atterrate sul nostro link 3 da cui poi potete facilmente accedere a tutti i nostri canali social e principalmente al nostro canale YouTube dove trovate i nostri corsi e poi troverete anche un una registrazione dell'evento. Ok? Grazie a tutti e buon convegno.
4:38 Allora, buonasera a tutti. Scusate il setup. Allora, anticipo subito che il mio non è un talk tecnico né particolarmente nel dettaglio. La mia è soltanto un'introduzione verso ciò che siamo noi quanto maccheroni e quanto TRX e il mondo delle CTF in generale. Io prima di tutto vorrei sapere qua in aula se c'è qualcuno che sa cosa sono le CTF. Per forza, il sponsor di Cyber Challenge da anni. Nessun altro? Ok. Cosa sai di CTF? Potrebbe essere, diciamo, tra virgolette corsi vari alterno. >> Sì, ok. Perfetto. Precisamente quello.
5:32 >> No, non non ho capito. Cattività difesa al >> Ok, quindi sai sai delle CTF attacco difesa. Ok. Allora, diciamo che ci andremo più nel dettaglio dopo, però è un ottimo inizio. Intanto mi presento. Io sono Lorenzo Colombini, anche detto Lorenzinco dentro TRX e oggi sono qua per parlarvi di CTF. Allora, anzitutto mi presento, rappresento oggi il team The Roman Exploit. Theoman Exploit è un team CTF abbastanza nuovo, nel senso che nasce in Sapienza nel 2017 dopo la primissima edizione di Cyber Challenge. Sapete, non so se lo sapete, Cyber Challenge è un
6:18 programma di formazione di cui poi dopo entreremo meglio nel dettaglio che nasce proprio in Sapienza. I ragazzi che parteciparono all'edizione del 2017 si appassionarono al mondo d CTF e fondarono un team, il team ufficiale di Sapienza da quel momento. Al momento siamo molto forti. Ho aspettato tanto per postare per fare queste slide, le ho fatte ieri sera perché volevo avere il il dato più attuale possibile in quanto se me lo aveste chiesto un mese fa eravamo ottavi al mondo. Oggi, purtroppo, siamo leggermente fuori dalla top 10, però comunque siamo un rispettabilissimo 13o posto, primo posto in Italia, quindi
7:04 al momento in Italia a fare questo tipo di competizioni siamo i più forti. TRX è anche uno dei membri fondatori di Macheroni e Maccheroni è un team CTF proprio come TRX, solo che nasce come join team, cioè sostanzialmente team di varie università, ad esempio il Politecnico di Milano e il Politecnico di Torino, hanno creato un super team con lo scopo di andare a Defcon. Qualcuno sa, mi hanno nominato prima, cos'è Defcon? Chi altro sa cos'è Defcon? Ok, allora faccio un paragone molto terra a terra. Se la cyb security fosse football, Defcon sarebbe il Super Bowl. È l'evento dell'anno, diciamo. Tutti i riflettori ogni anno sono puntati su
7:50 Defcon e Defcon osta la competizione più importante dell'anno che è Defcon Ctf. Questa qui è la foto che vedete, la foto di quest'anno in cui abbiamo ottenuto un sesto posto in continuo miglioramento, in quanto abbiamo ottenuto lo stessa posizione rispetto all'anno precedente, però con metà dei membri partecipanti più o meno, quindi vuol dire vuol dire che il livello medio si è alzato sempre di più e questi siamo noi in un hotel di Las Vegas dopo aver giocato la CTF in una mega suite. Come dicevo, Maccheroni è un super mega team formato da altri team, creato per andare al DE def con CTF e noi siamo tra i fondatori del di Maccheroni. Cosa significa che siamo tra i fondatori? Nel senso che a livello decisionale quando si decide cosa fa, cosa giocare come CTF, come Maccheroni, la nostra voce ha
8:36 un peso più importante rispetto a magari un team che è entrato su successiva sede. Chi ha Chissà cos'è ECSC. Ok, molte meno mani alzateis zero rispetto a DEF con CTF. Allora, ECSC sta per European Cyber Security Competition, diciamo, nasce con l'idea di creare paese per paese programmi per l'addestramento alla cybersicurezza, in particolare al gioco delle CTF. è una CTF a livello europeo in cui si può partecipare se ha se si ha meno di 24 anni e si partecipa con il team della propria nazionale. In questo caso l'Italia quest'anno, lo dico con grande orgoglio, ha vinto il titolo
9:21 e TRX è tra i è il 40% dei membri di tutto il team Italy, che sarebbe il team della nazionale italiana. Ok, ma cos'è una CTF? Pochi di voi hanno alzato la mano, c'è chi non lo sa. Io l'ho scoperto nel 2023 quando un mio compagno di corso venne da me, mi disse "Ma ti scrive Cyber Challenge"? Disse "Che è Cyber Challenge? È una roba degli hacker, così vai, va bene, andiamo a vedere". E non ho più smesso. CTF sta per Capture the flag, non è un il gioco dei bambini che si rubano la bandierina. In questo caso la bandierina rappresenta un dato sensibile. Vi potreste immaginare dietro un sito web c'è una password dell'admin oppure dati della carta di credito
10:07 oppure banalmente un qualcosa che non dovreste poter fare se non bucando qualcosa. Esistono due tipi di CTF, come diceva prima il ragazzo seduto là, attacco difesa e geopardi. Imparare a giocare CTF è difficilissimo. Diciamo se vi volete tuffare in questo mondo per riuscire ad imparare qualcosa, inizialmente prendete mazzate a destra e sinistra perché la curva di apprendimento è durissima. Ed è per questo che noi dal 2023, da quando abbiamo vinto le edizioni Cyber Challenge, ci impegniamo a insegnare ai ragazzi che si iscrivono al progetto, anche al tuttora andante Cyber Bootcamp,
10:55 come si gioca una CTF o in generale le basi della cyb seccurity, perché come vedremo dopo le CTF non sono nient'altro che una scusa, cioè facciamo di una cosa che è relativamente pallosa, ovvero andare sui su internet e cercare codice, mattate di codice, così semplicemente per trovare vulnerabilità. Un gioco. Il fatto che questa cosa diventi un gioco ne facilita l'apprendimento, le cose rimangono molto più in testa. È un metodo molto efficace di insegnamento, significa si chiama gamification. Quindi cos'è una CTF? Un organizzatore crea un servizio e lo mette a disposizione. Un servizio può essere qualsiasi cosa. Io ho fatto un esempio di una challenge che abbiamo creato noi per il bootcamp che è Bonus Scultura,
11:41 che è il sito mocup del bonus scultura che non so quanti di voi hanno usufruito. In sostanza questo è un sito web in tutto e per tutto. Voi potete andare aggiungere cose al carrello, loggarvi, registrarvi e quant'altro. L'obiettivo della challenge è quello di recuperare il dato nascosto che sarebbe la flag, in questo caso rappresentato da un articolo che nonostante sia presente nel database del sito non viene mostrato, quindi non vi ha alcun modo di reperire l'articolo se non bucando qualcosa. Ed ecco che prontamente tirando fuori la soluzione, in questo caso vulnerabile SQL injection. Chissà cos'è SQL injection. Ok, man alzate benissimo. Ok, in questo caso c'era un SQL injection non proprio
12:27 banale abbastanza complicatina, in cui grazie a questa SQL injection si riesce a tirare fuori tutte le tabelle e tra queste c'è la prima in alto a sinistra che vedete che è la flag CCT. Invece riguardo l'AD cosa cambia? Perché alla fine questo abbiamo detto la Japard è un sito statico, uno va sul sito statico, lo buca, prende la flag, submitte alla flag, prende punti. E la D in cosa differisce? Beh, gli organizzatori non fanno più delle challenge statiche, creano dei veri e propri servizi per il quale poi scrivono anche dei bot che usufruiscono del servizio. Potreste immaginarvi dei Facebook fasulli in cui c'è un un admin
13:12 di gioco che ad ogni round della partita logga, si registra, guarda i post, crea un post e questa cosa succede a ogni tic di gioco, più o meno ogni 2 minuti. Quando un tic di gioco va a segno, oltre a usufruire del sito, in modo normale, l'admin. Tutto questo dando per scontato che ogni team abbia la stessa macchina, eh quindi ogni a ogni team viene assegnata una macchina con dei servizi sopra. Sono tutti ugualmente vulnerabili. E l'obiettivo qual è? Buca la macchina degli avversari nel mentre che paci la tua. Questa è una questa è una categoria di gara che è molto interessante, molto appetibile, soprattutto per chi cerca
13:58 persone che sono sveglie all'interno dell'azienda perché è estremamente realistico. Succede spesso che c'è un databach, una cosa del genere, bisogna reagire veloce, pacciare, buttare giù senza interrompere il servizio perché sennò si finisce sui giornali. E in questa categoria di gara ci si allena a fare proprio questo. Quali sono le categorie di gara di una CTF? Perché abbiamo detto un servizio vulnerabile, un sito web. Che significa? Non sono solo siti web, esistono quattro categorie principalmente. Poi c'è OSINT che non so perché piace tanto alle aziende e Forensic che non ho menzionato perché non ne vale la pena, sinceramente.
14:46 Io faccio dico per questo. La prima in reverse vi viene assegnato un qualsiasi cosa. Può essere un binario, un programma, una foto, un PDF. Veramente vale qualsiasi cosa. Capendo cosa fa e come funziona ciò che vi viene assegnato, scoprirete la challenge e fare l'inverso di quello che fa oppure decodificare quello che fa è la soluzione. Quindi è difficile parlare di reverse in questo modo perché è estremamente generale. Poi c'è web, av detto un sito web. Pone, Pone è la più aerosa. Rispetto al reverse vi viene dato un binario. Il binario è vulnerabile. Tutti voi conoscete il kernel del sistema operativo.
15:33 Ok? Immaginate un modulo del kernel del sistema operativo che vi fa fare doppia free, ok? oppure ha un buffer overflow al suo interno. Il vostro obiettivo è sfruttare il buffer overflow e diventare amministratori. E poi c'è la più difficile. Dico la più difficile perché non la capisco sinceramente. Crittografia, mi viene dato un messaggio cifrato e il messaggio è cifrato in modo leggermente diverso rispetto a come dovrebbe essere. è molto subdola la differenza, eh, perché guardate bene, non è che è una crittografia del tipo cifrario di Cesare a ci sommo le lettere, è magari può essere RSA tranquillamente che però è implementato in un modo che vi consente di tirar
16:18 fuori il messaggio originale. Voi se non lo sapete non ve ne accorgerete mai. Quindi sono molto importanti anche questo tipo di challenge. Come dicevo prima, le CTF sono un ottimo modo per poter imparare cose sulla cyb security, al punto in cui non esiste attualmente in Italia un corso universitario che vi insegna le cose che imparate giocando CTF. Lo dico con molta arroganza, però sono sicuro di quello che dico e giocando CTF riuscirete ad imparare molto di più rispetto anche a un professore universitario. Certo. Questo
17:06 oltre a questo, no, uno dice "Ok, oltre a diventare forte a cosa mi serve giocare una vera una CTF?" Diciamo che chi organizza CTF spesso e volentieri sa del potenziale vostro in quanto giocatore di CTF. Presentarsi a Google dicendo ho vinto la Google CTF o ho flaggato questo in Google CTF vi mette in una posizione di estremo vantaggio per ottenere una posizione da cyb seccurity engineer all'interno dell'azienda. Oltre a questo, facendo CTF, spesso e volentieri, quello che succede è che ci si imbatte in degli ups ricercando per una challenge voi
17:52 potreste imbattervi in un comportamento inaspettato e questo comportamento inaspettato poi potrebbe avere delle svolte. Chi si ricorda, per esempio, di Spectre 2017? Nessuno. Il crollo in borsa Intel più o meno. >> Sì, >> che sfruttava sulle schede la scheda inter. >> Esatto. Precisamente c'era un bug nel branch predictor. Tutti voi sapete cos'è il branch predictor? Più o meno. Ok. dietro no nessuno. Allora, immaginate che il processore, quando voi scrivete un if o un qual una qualsiasi altra istruzione di branching, deve decidere cosa fare in base al
18:37 risultato di quell'operazione. Nel mondo vero non c'è tempo affinché questa operazione vada prima a buon fine per decidere cosa fare. Quindi nel dubbio il processore fa entrambe le cose. Per esempio, if età maggiore o uguale di 18 maggiorenne, poi 6 minorenne. Internamente il processore svolge entrambe le cose, dopodiché quando il controllo va a buon fine perché la roba è stata caricata in memoria collassa sul branch giusto. Questo è pericolosissimo. Si puòccare informazioni basato su Spectre nello specifico era una roba cash miss o cash hit. Sapete cos'è un cash miss o un cash hit? Vabbè, non andiamo troppo nel dettaglio. Sostanzialmente, grazie al fatto che si può eseguire codice, anche se la
19:23 condizione non va a buon fine, si riesce a liccare informazioni molto facilmente. E questa è stata una vulnerabilità potentissima. Vi potete immaginare che una vulnerabilità quando ha un logo e un nome è roba seria. Spectra è una di queste e per chi non lo sapesse è stata trovata da Pietro Borello. Ok. Chi è Pietro Borello? ricercatore in sapersicurezza parte del team TRX e Maccheroni. Quindi giocando CTF, andando avanti e imparando sempre di più si trova roba seria e questa roba seria ti porta ad avere un lavoro, in questo caso ad Apple. Lui lavora ad Apple come
20:08 cyber seccurity researcher. Come si giocano le CTF? Allora, qualche settimana fa hanno aperto le iscrizioni a cyberchallenge.it, quindi se chiunque di voi fosse interessato per iniziare a giocare o capire se può fare al caso suo, io vi consiglio di iscrivervi, speriamo con sede sapienza, perché potete scegliere la sede universitaria dove fare il vostro percorso formativo e di venire a provare da noi. Noi vi insegniamo, siamo molto forti nell'insegnare, tanto che ai ragazzi che abbiamo insegnato nel 2024 hanno vinto l'edizione nazionale e nel 2025 pure. Quindi è 3 anni che vinciamo la
20:54 competizione universitaria tra tutte le università per chi ha meglio sostanzialmente, detto in parole semplici. Quindi vuol dire che siamo forti a insegnare questa roba. Se vi può far piacere iniziate a giocare con noi, altrimenti ctime.org c'è una lista gigantesca di tutte le CTF che vengono organizzate in presenza e non. Per esempio, non so se avete sentito parlare, in Sapienza è girata la mail ultimamente della CTF della cassa cassa de prestiti. Questa la conoscete? L'hanno mandata ai vostri professori. Ok. C'è una CTF e che verrà fatta qua a Roma in presenza della cassa dei prestiti che non so quanto può essere essere possa essere rappresentativo di una CTF vera in quanto è solo blue teaming, però comunque è un buon inizio,
21:40 magari vi divertite, passate un pomeriggio diverso. ripeto che sono molto difficili CTF, quindi andateci, sappiate che all'inizio sbagliare è perfettamente umano e non vi dovete dare non vi dovete scoraggiare. Detto questo, in realtà io, se non ci sono domande io avrei tra virgolette finito. Il mio era un intervento molto breve. Spero di avervi fatto conoscere un lato della cybersicurezza che non conoscevate. È un lato che non molti sanno, nel senso che in Italia a fare sta roba forse siamo 100. Se proprio i numeri all presi alla grande. Prego. >> Quindi entrare diciamo quello che ero lì basta fare questi CP o
22:28 >> Allora, per entrare in The Roman Exploit essenzialmente mi mandi un messaggio su Telegram, ok? E a seconda del tuo livello diciamo che noi preferiamo prendere persone che abbiamo già addestrato noi, così che sappiamo a che punto stanno, a meno che non siano presenti già in altri team di CTF. Per dire noi tendenzialmente addestriamo la nazion la squadra Sapienza ogni anno, che sono i sei che vanno a Torino a giocare la Cyber Challenge. Quei sei sono automaticamente invitati a giocare in The Roman Exploit. Quindi se vuoi iniziare da zero, la miglior cosa è iscriverti al programma cyberchallenge.it e a fine programma ti facciamo entrare. Ma
23:13 >> solo per gli studenti della Sapienza. >> Sì, cyberchallenge.it è per gli studenti Sapienza dagli 0 ai 24 anni. Se c'è uno studente Sapienza di 5 anni, non lo so. oppure per gli studenti superiori, anche perché tutte le scuole superiori aderiscono al programma e quindi mandano a noi. Per esempio, noi abbiamo un ragazzo si chiama si chiama Manuele Pandolfi, fortissimo, fa il quarto superiore barra quinto superiore, non gli stai dietro, c'ha tipo una zirode day in cuemu. Sapete cos'è Cuemu? Ok. >> Conosci Mandolfi? Ah, sì, ok, va bene, fa piacere. Quindi niente, >> un kit molto >> c'ha >> c'ha un kit lui molto
23:59 >> Sì, sì, anche un sito dove ultimamente sta andando su roba micro microarchitetturale. Prego. >> Che conoscenze ti per iniziare magari a buttarsi in mondo del GT? Ok? Allora, diciamo che non servono conoscenze propriamente specifiche, nel senso che la maggior parte della roba che ti interessa trovare e sapere la impari idealmente durante la CTF, che la CTF è fatta per imparare, no? Io ti consiglierei di a seconda della categoria che ti può piacere, provale un po' tutte, dopodiché decidi tu su cosa specializzarti. Diciamo che se ti piace la crittografia, idealmente dovresti sapere algebra lineare, algebra lineare, un po' di calcolo e
24:45 algebra modulare soprattutto, altrimenti se vuoi fare pone, quindi binary exploitation, dovresti conoscere quantomeno il C e oltre al C un po' di assembly. Per conoscere C e assembly l'ideale è giocare un po' di reverse prima, perché reverse tu guardi il codice macchina dalla mattina alla sera e capisci cosa fa il programma. Quindi lì impari assembly web. Web è un po' strana come categoria perché si pone sulla parte di cerca su internet un sacco di roba e magari trovi che in PHP se te gli mandi dollaro aperta quadra slash slash scoppia tutto perché PHP fa schifo, lo sappiamo tutti. Però diciamo che è particolare. Diciamo che idealmente dovresti saper
25:31 programmare un pochino, ma neanche troppo perché non guardi il programma per farlo funzionare quanto per romperlo. Ti è un occhio diverso, capito? Cioè, non è non è la stessa cosa. Esempio, non so se qualcosa descrivi su web sarebbe di aiuto o magari >> no perché generalmente tirare tu automatici sulla CTF è inutile perché la CTF ha una vulnerabilità che è non è tipo act the box che c'è la versione di questo che è bassa e quindi è vulnerabile un attacco che trovi, sei tu che fai l'attacco. Ok? è diverso rispetto a questo. Infatti, grazie di questa domanda che faccio questa distinzione. Chi di voi conosce Act the Box? Ok, perfetto. Su Act the Box essenzialmente voi guardate i servizi, le Wbox che vengono messe a disposizione
26:18 dalla piattaforma, vedete se c'è qualcosa di vulnerabile essenzialmente guardando a caso in giro a destra e a sinistra. Cercate su internet la proof of concept, tutta al più la modificate un attimino e poi la tirate. Che cazzo avete imparato? Ecco, quando voi giocate una CTF la vulnerabilità è intrinseca nel codice, voi la cercate, siete voi che scrivete l'exploit. Non esiste l'exploit prepronto su internet per quella per quella challenge. Di fatto voi siete a conoscenza adesso che quel particolare linguaggio in quel particolare punto è vulnerabile a quella particolare cosa. Più un metti nella salcoccia.
27:04 Altre domande? Allora, io vi ringrazio per l'attenzione, spero di non avervi annoiato, nonostante il mio non fosse un talk prettamente tecnico e passo la parola a chiunque ci sia dopo di me. Ok? Sapete tutti cos'è l'openource intelligence o cosa si intende per open source? Chi sì, chi no? L'approfondiamo un pochino. Sono l'ingegner Carlo Lando e entusiasta tecnologico, diciamo così, esperto in cyb security da svariati anni con esperienze fatte in entiativi in Italia all'estero e oggi lavoro come
27:50 direttore di una Business Unit Cyber Security che comprende due laboratori di certificazione e di prova accreditati dalla CN, diciamo i primi due laboratori con i quali abbiamo avviato abbiamo avviato questa nuova questo nuovo filone di enforcing della sicurezza del perimetro di sicurezza nazionale. Quando si parla di open source intelligence stiamo tendenzialmente parlando di informazioni, informazioni che possono oggi essere considerate come un po' il nuovo il nuovo oro, quello a cui tutti tendono. Forse questa è un po' la risposta del perché e quando si tratta di challenge tipo Osint le aziende sono tanto tanto prese da questa foga del dell'open
28:36 source intelligence perché non ci si rende conto che tante informazioni che che girano che vengono lasciate durante le sessioni di qualunque di qualunque natura intorno al web o dark web peggio ancora, lasciano tracce che poi servono a scopi diversi che oggi cerchiamo un po' di approfondire. Ehm è interessante comprendere come l'interconnessione di tutti i sistemi oggi tutto è interconnesso, dagli auricolari allo smartphone, alla lavatrice, all anche la macchina del caffè che non capisco perché abbiano connesso anche le macchine del caffè oggi. Tanto il caffè lo dovete sempre prendere a mano. E queste interconnessioni sono proiezioni di volontà personali, aziendali o
29:22 pubbliche. I servizi, quindi, che vengono esposti o che servono a chi li usa sono contenitori di informazioni. Ogni form che voi compilate lascia una traccia che viene utilizzata dal tenutario dell'informazione, ma involontariamente ne lascia per tanti altri. E quindi i dati oggi sono, diciamo, un po' l'oggetto del desiderio. Con i dati, con i dati si fa un po' di tutto, no? dalla dalle attività di statistica per orientare un mercato piuttosto che ad attività di tipo criminale. Ecco, ne abbiamo sentito prima, carte di credito, nomi, account, eccetera. Quando si parla di intelligence, l'intelligence è proprio ciò che deriva dal latino intelligo, che serve per comprendere e
30:08 conoscere ehm alcuni concetti o alcuni alcune informazioni, alcuni dati. La triade dell'intelligence normalmente diciamo comunemente viene identificata in tre in tre filoni principali: l'open source intelligence, che appunto è la classificazione di informazioni nel dominio pubblico che possono essere lette o conosciute da soggetti più disparati, quindi appunto pubblicate. Il Sockmint, che è il social media intelligence, è una sottranca dell'open source intelligence perché perché di fatto sui social network voi eh pubblicate vostre informazioni e quindi
30:56 da un certo punto di vista diventano informazioni pubbliche, quindi sorgenti aperte, ma contestualizzate a un criterio specifico che è quello dello scambio informativo della comunicazione attraverso i social network, quindi un sottoinsieme delle delle osint. Quando parliamo di humint, human che provengono da interazioni umane dirette. Una volta si chiamava social engineering, oggi lo chiamano humint. E che significa riuscire ad avere delle informazioni carpendo la buona fede delle persone che con voi interagiscono per fornire informazioni. Un maestro del social engineering era Kevin Mitick. È chiaro che le tre le i tre aspetti
31:41 dell'intelligence, in questo caso OSINT, Socmint e Humint, in un certo qual modo si sovrappongono quando c'è da sviluppare attività di indagine, chiamiamole per ora indagine, poi che siano a fini investigativi o che siano ad altri fini. Ehm, un analista deve tener presente di tutti questi aspetti per poter andare al al segno ed avere il quadro completo dell'informazione che deve gestire nel contesto in cui l'informazione ha un titolo ad esistere. Quando si parla di ciclo dell'ossint, il ciclo dell'OSINT è composto, diciamo, da cinque da cinque elementi elementi essenziali. Ehm, definire osint, diciamo, è abbastanza
32:28 abbastanza semplice. La parola stessa lo dice, leggo testualmente, è la disciplina che si occupa della ricerca, raccolta e analisi di informazioni provenienti da fonti aperte e pubbliche. su questo concetto del fonti aperte e pubbliche. Poi dopo entreremo un po' nel dettaglio per capire cosa è leito e cosa non è leito ed inquadrare la disciplina OSINTIN in un contesto che sia prettamente eh diciamo legale. Come vedete il Ciclosint prevede una fase di collezione delle informazioni, quindi quando avete accesso a quell'informazione, una fase di processo dell'informazione e collezione di un'informazione processata che non è l'informazione originale grezza, ma è un'informazione finalizzata
33:15 a un obiettivo informativo che ci siamo proposti. C'è la parte analitica e integrazione che significa che tutte le informazioni che abbiamo raccolto e catalogato vengono messe in correlazione tra di loro per identificare un contesto informativo che ci interessa. Quindi c'è la parte di produzione e disseminazione che intende la parte finale, diciamo, di della stesura di un rapporto che poi è funzionale a quelle che sono le attività di pianificazione e direzione di un'attività che si vuole svolgere con queste informazioni. Avete, immagino tutti quanti eh ricercato in un social network le reazioni su un post di qualcuno dei
34:02 vostri amici, no? Se da queste reazioni, se da questo post che ha avuto un centenaio di di reazioni, voi andate, non so se vi è mai capitato di andare a cercare quelli che hanno fatto le varie reazioni a questo post, più o meno positive che siano, tutte queste persone potete immaginare che abbiano in un certo qual modo una relazione cognitiva nei nei rispet nel rispetto della persona che ha fatto questo posto, no? E se ciascuna di queste persone che ha reagito a questo post, 100 persone diverse, a loro volta ha reagito a post simili oppure a loro volta hanno delle amicizie, delle dei link con persone affini più o meno, diciamo, a quella categoria di pensiero e mano cominciate a capire che questa ragnatela, questa quest'albero si si
34:49 allargao fino a trovare per esempio delle giunzioni tra alcuni elementi che apparentemente non hanno nulla in comune, ma che in realtà realtà quello che avevano in comune è un pat a un blog in un sito Vatel a pesca alla quale hanno fatto una reazione. Questo vi dà un po' l'idea, no, di che cosa si fa con l'attività osint. Immaginate che per fare attività di questo tipo, diciamo, viene richiesto, sono attività molto time consuming e people consuming, perché ci vogliono tante persone per strutturare ricerche di questo tipo. Poi piano piano ci arriviamo a capire anche quali sono le finalità di ricerche di questo tipo e perché l'OSINT oggi viene utilizzata in tanti contesti. sicuramente conoscete alcuni di questi strumenti OSINT che sono tra quelli un po' più vicini a agli assetti o alle
35:37 attività di Threat Intelligence, cyber Threat Intelligence, sono un po' più informatiche, no? E oggi vi darò una panoramica dell'OSINT che non è solamente la threat intelligence, ma come l'OSSINT viene o può essere applicato fino a diventare un eh un uno strumento di lavoro vero e proprio. Quindi alcuni di di tanti che ce ne sono, diciamo quelli più noti sono Shodan, che posso immaginare che conosciate perché è la prima ricerca che andate a fare su un indirizzo su un urlo, su un indirizzo IP o qualunque altra cosa e cercare quali sono le vulnerabilità e lo fate in una maniera indiretta senza andare a fare la Nmap sul sul target specifico. Maltego è un tool che vi permette di automatizzare alcune richi conosce Maltego, immagino.
36:24 Sì, c'è qualcuno sì, qualcuno che vi permette di automatizzare la messa in relazione di informazioni che potete prendere da sorgenti diverse. Poi in realtà ci sono dei plugin che permettono di svolgere determinate attività e prendere il dato e mettere una sorta di mindmap che vi dà la percezione della relazione che c'è tra un elemento e gli altri elementi. Questo è quello che poi va fatto come come fonte analitica. Google Dorking. Google è il mare magnum informativo dove basta qualche comando un poco più smaliziato e tirate fuori tante tante informazioni e sicuramente AV il bewned per sapere se c'è questi sono vi ho raccontato di questi tool selezionati così non a caso perché poi dopo ne vediamo un'applicazione pratica. In realtà una cosa importante dall avere
37:10 accesso a queste informazioni è chiarire un concetto specifico, cioè la rilevanza giuridica dell'accesso al dato. Se parliamo di raccolta passiva, cioè Shodan del caso, interrogo un servizio per ottenere un'informazione, vado a cercare su una pagina, su questa pagina web o su un articolo, ci sono nomi, cognomi o informazioni che mi possono servire. Sono informazioni pubblicate, le trovate, le prendete, ve le registrate. Anche per la parte giuridica c'è un aspetto da considerare sulla registrazione, la memorizzazione del dato, eh da siti web, pi aperte o quello che volete. Non ci sono tracce specifiche perché voi, come milioni di utenti accedete a un'informazione che è di pubblico dominio e generalmente non
37:55 avete problemi di legalità a meno di violare le policy specifiche di chi pubblica quell'informazione. Quando la raccolta non è passiva, ma è attiva, cioè sto facendo una scansione, sto interrogando un target per ottenere un'informazione e nemmap di turno, quello non è Osint perché non è un'informazione pubblica. Voi state sollecitando un servizio per ottenere informazioni che non sono di pubblico dominio. Ovviamente lascia lascia traccia come i logwall piuttosto che l'IDS, allerta eccetera eccetera ed è reato, cioè non siete autorizzati a fare attività di questo tipo. ci sono dei mestieri che permettono a chi eh deve svolgere attività di infogathering su eh diciamo servizi pubblicati o
38:43 pubblici, di svolgere azioni di questo tipo per raccogliere informazioni. Per fare queste attività dovete essere solo autorizzati da un ente pubblico. Normalmente privati non possono. Cerchiamo di capire un po' le applicazioni dell'ossint. Io le ho divise un po' in tre categorie principali. un OSINTIN che è funzionale all'attività di cyber defense. Adesso vedremo prima un caso istituzionale e poi un caso corporate, l'OSINT che viene utilizzato per attività offensive e quindi parleremo del dual use, che significa dual use di alcuni alcuni tool e l'OSint applicata a fini investigativi. cercherò di spiegarvi i concetti parlandovi di
39:28 alcuni esempi che sono all'ordine del giorno. E l'ENISA, mi immagino sappiate chi è, che è l'ente europeo che si occupa della di tutta la disciplina, sia normativa che operativa per quel che riguarda la cyb security per la per la Comunità Europea, utilizza l'OSINT come spina dorsale delle sue attività di cyberthreat intelligence, cioè stiamo utilizzando le informazioni osint relative a sistemi informativi che espongono servizi più o meno vulnerabili servizi essi stessi vulnerabili e come tools, chiamiamoli come strumenti di utilizzo comune per tutti gli appartenenti alla Comunità Europea che hanno necessità di avere accesso a queste informazioni, vengono pubblicati
40:15 dei rapporti e quindi annuale è il Thread Landscape in ISA nel quale viene dato un overview di quelli che sono gli attacchi o le minacce informatiche nell'arco dell'anno ha le infrastrutture critiche considerate importanti per la Comunità Europea eh hanno avuto in qualche modo una rilevanza. gli EU Joint Cyber Assessment Report che invece vengono prodotti da i singoli stati membri o da enti dello Stato membro e che forniscono informazioni su un assessment di sicurezza alle proprie infrastrutture. Cioè l'Europa chiede a tutti coloro che eh fanno parte della Comunità cyber europea di autoidentificare le minacce per se stessi, creare un rapporto e mandarlo
41:00 all'ENISEIA in maniera da poter avere un quadro completo e regolarmente vengono emanati m generalmente settimanalmente a tutti gli aventi titolo ad avere queste informazioni dei report settimanali con le varie minacce o le varie problematiche che si sono riscontrate nell'arco della settimana o del mese precedente. relativamente ad attacchi informatici perpretati contro, scusatemi, le infrastrutture europee. Tanto è importante il principio della raccolta informativa euso dell'uso di queste informazioni aperte. Noi stiamo parlando veramente di un marem magnum informativo enorme che va gestito che l'OINT è diventato in pratica un mercato Enisa emana dei bandi milionari, decine di milioni di euro, per l'acquisto di di
41:47 diciamo di servizi OSINT che riguardino la raccolta, l'analisi e la segnalazione di servizi. Quindi capite che da un punto di vista istituzionale queste informazioni sono essenziali sì per la parte cyber, ma anche per la per tutto ciò che riguarda le azioni antiterroristiche di ricerca di persone scomparse eccetera eccetera. Quindi queste informazioni sono essenziali per tante attività di tipo istituzionale. Le corporate perché hanno un interesse nell'impiego di informazioni di tipo OSINT. Una uno degli obiettivi principali del CISO. Sapete chi è il CISO? il capo della sicurezza di un'azienda, chef information security officer. Quindi un'azienda per obbligo di legge oggi, più o meno medio grande, ma anche
42:33 di piccole, deve individuare una persona che è responsabile della sicurezza di quell'infrastruttura, oltre che responsabile del trattamento dei dati, oltre che responsabile di tutta una serie di cose. E la prima preoccupazione di chi deve gestire la sicurezza di una corporate è quella di mappare la propria superficie di attacco esterna, cioè dove sono vulnerabile, quali vulnerabilità ho, quali criticità ho. E per fare questo ci sono vari motivi, vari modi. Sicuramente quello di delegare l'attività di penetration testing, attenzione a che significa penetration test in certi casi e per verificare le vulnerabilità esposte. Dall'altra parte la cosa più interessante, perché stiamo parlando di Osint, è ma le informazioni della mia azienda dove sono andate a finire? Le ho perse per qualche motivo e quindi
43:19 significherebbe che io sono stato già compromesso da una minaccia informatica, da un attacco informatico. Voglio sapere se sono stato compromesso. Quando si parla di cyber Threat Intelligence è importante capire che quando un dato, di solito si parla di dataalak, sapete tutti che cos'è un datalak, no? perdita informativa che poi viene pubblicata su canali più o meno accessibili, pubblicata appunto e quando interviene un datal e i dati vengono pubblicati e immagino che lo possiate intuire. Stiamo parlando di un quello che in gergo viene detto post mortem, cioè se io il dato ce l'ho pubblicato significa che io da qualche dato da qualche parte il dato l'ho preso e se il dato l'ho preso significa che qualcuno già ha svolto azioni contro la vostra infrastruttura per prendere il dato, memorizzare il dato, tirare fuori il dato e poi con calma l'ha pubblicato.
44:06 Quindi quando si acquista o si va a a che fare con un servizio di cyberat intelligence e si trova le mail con la username e password dei miei dipendenti e significa che quell'attività è stata già fatta mesi prima. Attenzione, alcuni case study di che cosa significa applicazione della OSINT al, diciamo, all'ambiente corporate vengono da Penlink e Finecast che sono due aziende che hanno prodotto o che producono e vendono sistemi di open source intelligence finalizzati a una serie di obiettivi. Per esempio, monitorare il dark web per le merci rubate. Sono un'azienda, ho i miei prodotti, mi rubano un cartone di
44:52 prodotti, mi rubano un camion, un container dei miei prodotti. Io vorrei sapere sti prodotti dove vanno a finire. Le forze di polizia sono inefficaci perché magari il container fa dal dall'India agli Stati Uniti, vallo a cercare dove è finito, quando l'hanno aperto e l'hanno smistato. Beh, questi materiali da qualche parte si devono vendere. E secondo voi dove si vendono? Sicuramente si vendono su eh servizi di condivisione dati con gli utenti nel dark web tipicamente dove gli utenti possono andarsi a comprare l'orologio rubato, eh il laptop rubato, il disco rubato. Parlo di materiale informatico, ma questo è valido per qualunque altra cosa. Ma il darkweb esso stesso, al di là della modalità d'accesso, non è un contenitore di informazioni pubbliche. Bene, quindi io sto utilizzando informazioni pubbliche per andare a
45:38 identificare dove i materiali che qualcuno mi ha rubato sono stati venduti. Beh, per chi vuole fare un'indagine e cercare di capire dove sono questi dati è interessante, no? Sicuramente identificare siti di fishing. I miei dipendenti aziendali possono essere vittime di campagne di fishing che hanno come obiettivo l'estrazione informativa o estrazioni informazioni sensibili per la mia azienda. Ma non funziona solo per l'azienda, funziona pure per le istituzioni. Quindi ci sono team di persone che svolgendo attività di social engineering attraverso i canali istituzionali di comunicazione cercano di carpire informazioni. Esempio da un blog della da un sito dell'Arma dei Carabinieri, sul blog si richiede
46:23 alla stazione di Roma Tuscolana quanti carabinieri ci sono dentro la stazione, quante macchine c'avete a disposizione, quante informazioni banali che qualunque operatore nel non pensare alla malizia potrebbe tranquillamente dare. Sono informazioni che chiaramente permettono a chi invece ha una un'attività ammalevola di sapere quanti carabinieri ci sono, quanti sono andati in malattia, quante macchine si sono rotte e e sapere che tipo di operazioni poter fare. Ora noi abbiamo fatto un caso isolato, ma moltiplicate questa tipologia di richieste informative per n volte per capire su 100 carabinieri che ci sono in un quartiere quanti sono effettivamente in grado di poter lavorare, lavorare ed operare. E chiaramente ci sono tante altre attività, come
47:09 capite, che attraverso le informazioni recuperate da canali aperti permettono anche di identificare minacce di tipo fisico contro le sedi. Ci si scrive su un canale Telegram o su un su un blog "Domani mattina andiamo a buttare giù il palazzo dell'INPS perché questi bastardi non ci pagano le pensioni?" per dire, beh, è un'informazione che un investigatore vorrebbe sapere per poter proteggere la sede dell'INPS o la Banca d'Italia coi lingotti d'oro. Fivecast invece ha implementato delle tecnologie di insider per diciamo per identificare insider thread e fughe di proprietà intellettuale attraverso li hanno chiamati i global sock, quindi sono security operation center che supervisionano altri security operation
47:55 center interni e sfruttando tecnologie di osint innestate sulle procedure del SOC riescono giustamente a identificare Insider Threat o eventuali fughe informative. Una delle fughe informative più simpatiche sono le fughe di brevetto, no? Voi abbiamo ho sentito parlare prima di git, pubblicazione di codici, pubblicazioni. Beh, ma voi l'avete mai visto all'interno di un codice, per quanto possa essere fatto bene, tutti i commenti che ci si infilano, ci si trova di tutto, nome di chi l'ha fatto, di chi non l'ha fatto, password di servizi, ci si trova di tutto. Quindi anche GTAB o i Git in generale sono sorgenti informative molto interessanti per chi vuole fare spionaggio industriale.
48:41 Quando parliamo di osint ai fini offensivi, stiamo parlando di un principio che è quello che vi ho raccontato prima del dual use, cioè gli strumenti che vengono utilizzati per effettuare attività di ricerca informativa a fini difensivi sono esattamente identici a quelli che vengono utilizzati per la ricerca informativa a fini offensivi. Cioè, se io devo individuare il mio target per apportare un attacco a quel target, parliamo in tema cyber, no? Poi potete traslarlo anche in tema terroristico, in tema spaccio, in tema rapina o quello che vi pare. Tutti i temi interessanti, no? Ehm, la ricerca è esattamente la stessa, quindi i tool che utilizzo per scoprire vulnerabilità del mio target individuato li utilizza sia l'attaccante che il
49:27 difensore. Ecco perché si parla di dual use, cioè sono tool o strumenti che possono essere possono avere una doppia una doppia accezione di impiego. La differenza, quindi, capite che non è tanto la capacità e la competenza tecnica, ma esclusivamente etica e legale, cioè l'autorizzazione. Voi tutti, chi più o meno CTF, chi più o meno pen tester, avete delle competenze e delle capacità. Queste, in funzione dell'autorizzazione che avete a fare qualcosa, possono farvi andare da una parte o dall'altra della barricata. Un esempio è stato di di utilizzo di di informazioni Osint e l'attacco al VPN Sonic Wall. L'attacco credenti in chal
50:12 based diviso in tre fasi sostanziali, molto semplificata. Non entro volutamente nel dettaglio tecnico, eh. Prima fase Socomint, social network, quindi scrapping di LinkedIn per identificare i dipendenti con accesso alle VPN. Tutti quelli che su LinkedIn scrivono io sono SIS admin dell'azienda X, io sono responsabile delle reti, io sono a formazione grandiosa. La seconda è di tipo osint, incrocio dei nomi del database datab, cerco un databdge, pastebin, o quello che voglio, cerco dentro nome e cognome di quel furbo prima che ha detto che m'ha detto che lui è il system integrator, il system adminuviana, non lo so. e quindi automaticamente
50:57 riesca a legare l'informazione di un nome utente e password di una persona che aveva o che ha una grant d'accesso di di livello molto elevato all'interno di un'infrastruttura e quindi una volta avuta username e password dell'amministratore di sistema di un'infrastruttura, beh, non è che ci vuole tanto andare a tirar fuori eh informazioni su endpoint, email o quant'altro. Del resto le credenziali valide ce le ho già, quindi capite come si passa da una da una fase all'altra. L'anello debole, dico io, è sempre quello che c'è tra la tastiera e il video. In mezzo c'è una periferica, non so se la conoscete, di solito si chiama essere umano. È un caso in cui le informazioni Osint e
51:44 Socomin Socomint sono fuse per trovare una soluzione al problema dell'accesso. Prego. parte poi sempre di quello che è il percorso Devops. >> Ni, quando parliamo di Dev Secops stiamo parlando di sviluppo. >> Sì, sì, adesso. >> Ok. Tendenzialmente queste cose chi fa dev segops dovrebbe tenerlo presente, però cerchiamo pure di capire che significa sviluppare un codice, sviluppare un sistema, sviluppare un'applicazione oppure lasciare informazioni o sfruttare informazioni finalizzate a bypassare. Cioè tu puoi produrre l'applicazione più sicura al mondo ardenizzata inviolabile senza porte aperte, con tutto quello che vuoi. Ma se poi quella per avere accesso a
52:29 quell'applicazione tu hai username e password e la tua username e password io l'ho tirata fuori da un blog oppure da un data bridge perché perché magari sull'altro computer di casa con cui tu ti colleghi alla tua VPN te sei beccato un bot perché tua figlia ha usato il tuo computer e s'è comprata gli abiti da Shane, faccio per dire, eh, te ne fai poco della del Dev Secops, detto per dire, chiaro. anche canta Sirways, parliamo di una compagnia aerea, ha subito lo stesso processo. In questo caso era tutto legato alla raccolta informativa OSINT, in particolare l'attacco all'infrastruttura era l'infrastruttura cloud che offriva servizi, quindi tre
53:14 settimane di mappatura metodica delle infrastrutture. Raga, se per tre settimane io faccio ricerca e raccolte in formazione Osint, non è che perché la mattina non ho niente da fare, invece di andarmi a prendere il cappuccino, la notte non dormo, vado a cercare informazioni dell'azienda, perché qualcuno me l'ha commissionato, no? Altrimenti non mi sto sbattendo tre settimane a cercare informazioni su mezzo internet, quindi si sono fatte numerazioni enumerazioni di sottodomini per andare a recuperare delle PI, gli end point esposti pubblicamente e poi sfruttando eh le integrazioni malconfigurate che sono state trovate tramite ricerche OSIN, è stato sferrato l'attacco. L'attacco, attacchi di questo tipo, come capite, non è che c'hanno tutta sta necessità di avere competenze tecniche.
54:02 Ma ehm la ricognizione che era stata impiegata per la ricerca delle informazioni era ben mirata, c'era tutto lo studio che c'era dietro all'informazione che si stava cercando. Poi magari più semplicemente l'informazione trovata viene venduta o rivenduta a chi poi invece svolge attività di tipo di tipo tecnico. E questa sicuramente quando parliamo di tecnica di ricognizione avversaria per chi fa sto mestiere come voi, ingegneria, quindi materie, stem, gitub e pastin scrapping sono il crogiuolo di chi vuole tirare fuori informazioni e perché magari all'interno del codice che viene pubblicato, non volendo, ci sono credenziali un coted, chiavi di API, codice codice
54:49 proprietario che viene messo all'interno di applicazione e codice che poi, cioè ci trova veramente di tutto. Di esempi ce ne sono tanti e questo è il motivo per cui si parla di nuovo oro. Se io trovo codice di un'applicazione che nessuno ha mai conosciuto ma che è funzionale a determinate cose, beh, io prendo questa applicazione, prendo questo codice, lo risucino alla a mia guisa, lo faccio diventare qualcosa di utile e me lo vado a rivendere. È un esempio è un esempio banale. Quando parliamo di applicazione dell'OSINT per le investigazioni, qui si può parlare semplicemente di raccolta informativa. Il caso di studio, per esempio, in questo caso, è il DNCH del 2016, un po' vecchiotto, però la cosa interessante era che l'interesse era quello della
55:37 possibilità di attribuzione di un attacco a certi gruppi specifici, nel caso per esempio delle attività di investigazione di tipo istituzionale, estate sponsored. tracciando impronte digitali, per esempio l'analisi della registrazione dei domini usati per l'attacco, piuttosto che svolgendo attività di analisi sui metadati, quindi dati rubati contenevano metadati in lingua russa, ma una serie di informazioni una dietro l'altra. Poi si fanno chiaramente analisi delle infrastrutture e si scopre magari utilizzando Shodan, altra fonte di sorgenti aperte, eh quali sono i server i server di una command and control che che era stata utilizzato da attaccanti che hanno utilizzato dei banner in lingua russa e che beh, era
56:24 chiaro che era facile attribuire una tipologia d'attacco a ehm community o a crew che erano state sponsorizzate da o mandate da una da uno stato, chiaramente nel caso specifico era russo. Nel caso, per esempio, invece d law enforcement, quando parliamo di law enforcement stiamo parlando dell'attribuzione di informazioni a validità probatoria, cioè è identificabile che quell l'informazione che prendo circostanziata e validata da un'altra fonte possa essere anche utilizzata come fonte probatoria all'interno di procedimenti. Per esempio, caso che è successo all'Europol in Ucraina, l'Ucraina ha
57:11 creato proprio una task force che hanno chiamato OTF, specializzata solo per l'Osint. Questo anche perché la guerra in Ucraina, sempre nella nell'epoca del del suo inizio, ha visto l'avvio del conflitto bellico prima con una campagna di disinformazione che è stata un ping pong tra i media russi e i media americani piuttosto che i media uini, al punto in cui le Giant come Google, come Amazon, come altri hanno impedito l'accesso con il loro DNS, con il loro sistema, hanno impedito l'accesso a certi siti mediati che, diciamo, esponevano informazioni di tipo russo che chiaramente cercavano di mescolare, diciamo, le carte. Anche
57:56 la disinformazione fa parte del contesto dell'ossinto. Un'informazione pubblicata alla quale voi dovete avere accesso oppure vi serve l'accesso per dimostrare determinate cose, deve essere sempre validata. La disinformazione chiaramente è oggetto di chi non vuole garantire la perdita informativa. Anche per quel che riguarda il tracciamento del malware golano, per chi più o meno l' la l'ha sentito un po' ha sentito di queste di queste informazioni, l'ossint fu usato per deanonimizzare e tracciare il creatore del malware, nel caso specifico da Ghost Spy in Brasile. E io nelle mie operazioni di ricerca informativa, ricerca informativa, di solito quelle pagate vi chiedono di creare un malware,
58:43 creare un beacon, infilare il beacon all'interno di un'infrastruttura in modo che non sia accessibile, non sia visibile a nessuno e con quel beon estrarre informazioni che sono utili a un'azienda che le paga o a un governo che deve proteggersi o ad altri fini, per esempio, criminali. Ok? Ma se poi il beacon viene identificato, il malware viene identificato e se ne riesce a individuare una traccia originaria, allora è possibile attribuire l'origine della creazione di un malware a una persona piuttosto che un'organizzazione. E capite bene che nel momento in cui questo ha validità probatoria abbiamo trovato il responsabile di un accesso abusivo a sistemi informatici piuttosto che la perdita informativa. A quel punto si innescano processi di tipo legale che hanno completamente un'altra un'altra un'altra un'altra processualità.
59:31 Spesso si confonde l'OSINT con il digital forensic. In effetti sono due cose completamente diverse. Il digital forensican di dati privati su un dispositivo. Io ho il dispositivo, faccio l'estrazione dei miei dati con tecnologie o tecniche di di tipo digital forensic e poi vado ad analizzare il dato per estrarre l'informazione che mi serve, probatoria o meno. In genere la digital forensic nel settore giuridico o o legale viene utilizzata per identificare la per attribuire la responsabilità di un crimine attraverso il mezzo informatico ad una persona che avendo possesso di quelle informazioni all'interno del suo contesto di dati e può vedersi attribuito un crimine informatico. L'OSINT fa analisi pubblici, quindi fa
1:00:19 analisi di dati pubblici, quindi stiamo parlando di due contesti essenzialmente diversi. Tuttavia, Osint e Digital Forensic possono, anzi debbono collaborare perché una è complementare dell'altra. L'analisi forense di un PC ci permette, per esempio, di recuperare alcune informazioni come può essere un username recuperato su forum pubblicati più o meno illeciti. L'impiego di queste credenziali può essere utilizzato, per esempio, per andare a cercare informazioni più interessanti all'interno magari del del dato che devo analizzare piuttosto che su eh su forum pubblici. trova i post del sospetto mentre
1:01:06 sviluppa le hacking tool provandone l'interno. Una delle problematiche principali è quando si svolgono attività di osintattive, diciamo così. Abbiamo detto che interagire non è Osint, è quello di lasciare le tracce, cioè di allertare il target. Mi spiego? Se voi visualizzate il post di qualcuno, ok, su TikTok, su Instagram, su quando voi l'avete visualizzato, sull'account del dell'omino c'è scritto "Ah, Tizio e Kai ha visualizzato il post". Eh, sono andato a prendere un'informazione pubblicata. Sì, ma so pure dove l'ho vista questa so pure chi è che l'ha vista questa informazione pubblicata. Quindi uno dei rischi sicuramente nell'applicazione di ricerca di tipo
1:01:54 osint è quello di farsi scoprire. Quindi, se io svolgo attività di ricerca informativa, le tracce che lascio possono ovviamente essere utilizzate a mio danno e quindi ci sono alcuni consigli che è quella di anonimizzare tutto ciò che viene fatto nelle varie ricerche che possono essere sviluppate sui social network o sulle sorgenti aperte. Fatevi una macchina virtuale. Immagino che tutti sappiate cos'è una macchina virtuale. Utilizzate delle VPN per anonimizzare il vostro indirizzo IP e chiaramente utilizzate dei profili fittizzi se state facendo ricerca. No, non vi sto incitando al crimine, eh. Vi sto dicendo come si utilizzano le tecniche di ricerca informativa senza lasciare informazioni. Queste cose, come vi ho detto, per fini legali o per fili istituzionali devono essere autorizzate. Per fini privati ricordatevi che avete
1:02:39 la responsabilità delle azioni che fate. Prego. domanda in base a quello che lei ha detto che anche tempo fa è stato detto che in poi sempre su per esempio Sh vengono pubblicati indizi qui username password >> no Shodan non pubblica sempre username anzi più che altro pubblica le vulnerabilità >> sì e però non non ho fatto. >> Prego. >> E >> lo puoi fare se vuoi. È pubblico, eh, non è che non t' arrestano. Sì, erano state pubblicate, non ricordo adesso precisamente abilità, però magari c'era anche il secondo link perché era un articolo
1:03:25 >> e che permetteva l'accesso attraverso questi dati l'accesso alle telecamere pubbliche dello Stato, telecamere che hanno in casa gli italiani, per esempio, lo stato lei ha detto parte della CN della CN. >> Sì. No, non faccio parte dell'ACN. Io dirigo i laboratori che usa l'ACN per fare i test di sicurezza. Viene tutelata una persona dallo Stato che non è a conoscenza che le proprie informazioni volanti un qualcosa sono pubblicate. M >> m Allora, cerchiamo cerchiamo di fare chiarezza. Lo Stato può proteggere gli interessi comuni dei cittadini, non gli interessi privati. Quindi se le telecamere erano o sono telecamere del Senato della Repubblica, Ministero della
1:04:10 Difesa, Ministero degli Interni, quelli sono enti che sono gangli essenziali della vita di un paese, tant'è che fanno parte del perimetro di sicurezza cibernetica nazionale e per questo lo Stato mette in essere tutte le operazioni possibili per proteggere questa tipologia di informazioni. Ma se stiamo parlando di un interesse privato, le telecamere nel magazzino di qualcuno, le telecamere a casa tua, se tu hai un sistema che è vulnerabile a certe criticità, sei tu che te lo devi pecciare il sistema non può essere lo Stato che ti può aiutare a pecciarlo. Quello che puoi fare è è come come ti posso spiegare, eh ti compri la macchina nuova, lasci la macchina parcheggiata col motore acceso e con le chiavi dentro.
1:04:57 La domanda l'assicurazione se si rubano la macchina ti paga perché >> perché puoi pagare >> è chiaro il È chiaro il parallelo, no? >> Cioè lasciare comprare un sistema e malconfigurarlo è responsabilità di chi se lo compra il sistema di come configurarlo. Se tu avessi voluto un livello di sicurezza maggiore pagavi una ditta di esperti che veniva a montarti la telecamera e ti chiudeva le porte. servizi come Shodan che diciamo sono ad accesso pubblico, che cosa fanno? Costantemente, tutti i giorni scansionano tutti gli indirizzi IP pubblici alla ricerca di porte aperte, vulnerabilità, servizi disponibili, criticità e ti permettono a te, terza parte che magari è un interesse, di
1:05:44 andare a cercare quell'indirizzo IP, quali vulnerabilità ha per poterle sfruttare e accedere a quell'infrastruttura. Ti faccio un'altra domanda. Non è che Shoda ci scrive il tuo nome e cognome su quell'indirizzo IP, no? C'è scritto un indirizzo IP con le porte vulnerabili. è un'informazione, tra virgolette pubblica. Poi sei tu che vai a cercare quell'indirizzo IP, di quell'indirizzo IP vai a sapere chi è il nome, il cognome, chi è il proprietario, chi è e allora svolgi un'azione di sfruttamento di quelle vulnerabilità, allora è reato. Cioè, stai prendendo informazioni pubbliche che tu pubblicamente non sono conosciute a chi è per andare a creare un danno o accesso abusivo informatico di una persona che tu conosci, quindi è un
1:06:29 target. Altrimenti liste di milioni miliardi di indirizzi IP con le porte aperte a te in generale si fa il contrario, cioè dall'URL, dall'indirizzo diciamo dall'elemento soggettivo ne derivo è ma tu che indirizzi IP c'hai assegnati, vado a vedere quali sono i tuoi indirizzi IP assegnati, poi vado a vedere quali sono le voletabilità di quegli indirizzi IP e poi le sfrutto. Però stiamo parlando sempre di azioni che hanno una volontarietà, l'abbiamo detto all'inizio, no? L'interconnessione è espressione di una volontarietà di un soggetto che sia una una volontà positiva o che sia una volontà negativa. Ho risposto alla domanda. ACN non ti può aiutare se c'hai le telecamere bucabili a casa? No, quello sicuramente no, però a tutela di una
1:07:16 persona che non c'ha le diciamo queste conoscenze che comunque non può permettersi in team ci sta nveglianze telecamere e qualsiasi altra cosa. >> Non c'è un'informativa che >> Sì. Attenzione, >> la CN pubblica costantemente bollettini e eh indicazioni su come proteggere le proprie infrastrutture, come mettere in essere dei processi e procedure per poter tutelare i propri servizi, le proprie infrastrutture, proprie. Però quello che può fare l'ACN è uno proteggere il bene pubblico che è essenziale. Per quel che riguarda il bene privato, io non posso proteggere il bene privato di ogni cittadino, ma posso dare indicazioni al cittadino di quali possono essere magari i servizi che sono
1:08:02 considerabili più sicuri perché magari sono omologati o certificati. Quindi c'è un elenco di servizi SAS eh quindi pubblicati che sono stati accreditati da ACN. Sperabilmente, se tu vuoi utilizzare un servizio che ha un livello di sicurezza più elevato per garantire la tua sicurezza, utilizza quei servizi che la CN pagata dallo Stato, quindi sono è lo Stato che ha pagato eh il test di quel servizio per garantire che quel servizio ha quel livello di sicurezza che tu cerchi. Ecco, in questo sì, ma sul bene privato io come ACN, no? Se tu decidi, invece di comprarti la telecamera prodotta in Italia e certificata da ACN, perché ha un costo, capisco, ma dici "No, vabbè, io mi compro la telecamera cinese di una marca non meglio nota che mi importo dalla Cina e manco marcata ci è e voglio usare
1:08:48 quella perché spendo meno." Eh, capisci da te che è un po' complicato cercare di aiutare chi proprio non vuole essere aiutato, no? Non so com'è. Immagina questo concetto di utilizzare dei sistemi non sicuri. Traslalo in un'azienda di 2000 dipendenti che vuole fare sto ragionamento e dice vabbè è sempre un'azienda privata. Dice vabbè io c'ho 2000 telecamere, le ho comprate tutte in Cina, ma che fai? Non mi protegge se poi mi bucano perché Shodan ha scritto quali sono le mie vulnerabilità? Si possono dare delle linee guida. Poi oltre questo considera che l'ACN supervisiona tutto ciò che riguarda la sicurezza del perimetro di cybersicurezza nazionale. Il perimetro sono che significa? Tutte quelle entità governative o private che
1:09:35 danno funzioni a enti che vengono considerate essenziali per l'infrastruttura del governo, quindi l'infrastruttura cibernetica del governo. Ok? Quindi un'azienda privata che eh sviluppa prodotti o che svolge servizi per conto di infrastruttura pubblica, quella fa parte del perimetro e quindi da questo punto di vista l'ACN ha delle misure che servono a proteggere quelle, diciamo, quelle infrastrutture, benché non è che vada la CN a proteggere, dà delle indicazioni, omologa e certifica quegli enti che devono essere certificati NIS 2, certificati 27.001, 2001 c tutte le certificazioni del caso a fronte di questo segnalano che la loro infrastruttura è fatta in un certo modo, composta in un certo modo e certificata e protetta quella e nel caso di un
1:10:21 incidente hanno l'obbligo entro 24 24 o 4 non mi ricordo >> a seconda del tipo di incidente da dalle 4 ore entro 8 ore va comunicato che quel soggetto ha subito un inter ha subito un incidente informatico e il CERT nazionale CISRT nazionale che fa parte della CN interviene per aiutare la risoluzione di quell'incidente o dove è talmente grave intervengono direttamente. Quindi c'è una protezione, però non si può fare per tutti quanti i cittadini italiani ovviamente
…
