Ripasso degli argomenti d'esame più frequenti

La crittografia è una delle aree tematiche più verificate in Security+. Memorizzi questi confronti: simmetrica e asimmetrica — la crittografia simmetrica (AES, 3DES) è più veloce e viene utilizzata per cifrare grandi quantità di dati; quella asimmetrica (RSA, ECC) è più lenta, ma risolve il problema della distribuzione delle chiavi (viene utilizzata per lo scambio di chiavi e le firme). Dimensioni delle chiavi da conoscere: RSA-2048 come minimo per la sicurezza attuale, AES-128 o AES-256 per la crittografia simmetrica. Algoritmi comuni: SHA-256/SHA-3 per l'hashing, HMAC per l'autenticazione dei messaggi, ECDHE per lo scambio di chiavi, AES-GCM per la crittografia autenticata. Le domande spesso chiedono di selezionare l'algoritmo corretto per uno specifico caso d'uso: sappia quale categoria di algoritmo (simmetrico/asimmetrico/hash/MAC) si applica a ogni scenario.

Le domande sulla PKI sono comuni e spesso basate su scenari. Conoscete con precisione questi ruoli: Root CA — al vertice della gerarchia di attendibilità, con certificato autofirmato, generalmente mantenuta offline; Intermediate/Subordinate CA — firma i certificati delle entità finali, è online e consente di mantenere offline la Root CA; Registration Authority (RA) — verifica l’identità prima che una CA emetta un certificato (può essere separata dalla CA); CRL (Certificate Revocation List) — elenco dei certificati revocati pubblicato periodicamente; OCSP (Online Certificate Status Protocol) — verifica in tempo reale della revoca; OCSP Stapling — il server recupera in anticipo la risposta OCSP e la allega all’handshake TLS, riducendo la latenza. Campi del certificato: subject, issuer, periodo di validità, chiave pubblica, SAN (Subject Alternative Names), estensioni.

Le domande sui modelli di controllo degli accessi compaiono negli scenari: dovete identificare quale modello è in uso o quale è consigliato. DAC (Discretionary Access Control) — il proprietario della risorsa controlla l’accesso (autorizzazioni Windows NTFS, autorizzazioni dei file Linux); è flessibile, ma dipende dal giudizio dell’utente. MAC (Mandatory Access Control) — il sistema applica il controllo degli accessi in base a etichette (Top Secret/Secret/Confidential); viene utilizzato nei sistemi governativi e militari; gli utenti non possono modificare le autorizzazioni. RBAC (Role-Based Access Control) — l’accesso viene concesso in base all’appartenenza a un ruolo; è il modello più comune nelle aziende ed è scalabile. ABAC (Attribute-Based Access Control) — l’accesso si basa sugli attributi dell’utente, della risorsa e dell’ambiente; è il modello più flessibile e viene utilizzato nell’IAM cloud. Rule-Based AC — l’accesso è determinato da regole (ACL dei firewall, limitazioni basate sull’orario).

Il ciclo di vita della risposta agli incidenti NIST SP 800-61 è un argomento d’esame praticamente certo. Le quattro fasi e le relative attività principali sono: Preparazione — piano di IR, playbook, costituzione del CSIRT, distribuzione degli strumenti, esercitazioni tabletop; Rilevamento e analisi — triage degli avvisi, identificazione degli IoC, determinazione dell’ambito, classificazione della gravità, conservazione delle prove; Contenimento, eradicazione e ripristino — isolamento della rete, blocco degli account, rimozione del malware, ripristino dei sistemi da backup integri, monitoraggio per individuare eventuali reinfezioni; Attività successive all’incidente — analisi post-incidente senza attribuzione di colpe, analisi della causa principale, documentazione delle lezioni apprese, miglioramenti dei processi. Spesso le domande chiedono a quale fase appartenga una determinata attività oppure in quale ordine si susseguano le fasi.

Riconoscete questi attacchi dalle descrizioni degli scenari: DoS/DDoS — sovraccaricare un obiettivo per impedire l’accesso legittimo; SYN Flood — DDoS che invia numerosi pacchetti SYN senza completare l’handshake, esaurendo la tabella delle connessioni del server; Smurf Attack — flood ICMP amplificato che utilizza un indirizzo broadcast; ARP Poisoning — invio di risposte ARP contraffatte per reindirizzare il traffico attraverso l’attaccante (consente un attacco MITM); DNS Poisoning — inserimento di record DNS falsi per reindirizzare gli utenti verso siti dannosi; VLAN Hopping — attacco alla segmentazione della rete tramite double-tagging 802.1Q o negoziazione di trunk non autorizzata; Replay Attack — acquisizione e ritrasmissione di una sessione di autenticazione valida; MITM — l’attaccante intercetta e, se necessario, modifica il traffico tra due parti.

Le domande sul calcolo del rischio richiedono di conoscere esattamente le formule del rischio quantitativo: SLE (Single Loss Expectancy) = valore dell’asset × fattore di esposizione (EF). Esempio: un server del valore di $100,000 con una perdita prevista del 40% per incidente ha un SLE di $40,000. ARO (Annual Rate of Occurrence) = numero di volte all’anno in cui si verifica la minaccia. ALE (Annual Loss Expectancy) = SLE × ARO. Esempio: SLE $40,000 × ARO 0.5 = ALE $20,000/anno. ROI di un controllo = (ALE prima del controllo) − (ALE dopo il controllo) − (costo annuale del controllo). Se il controllo costa ogni anno più della riduzione dell’ALE, non è conveniente. Queste formule distinguono l’analisi quantitativa (valori numerici oggettivi) da quella qualitativa (valutazioni Alto/Medio/Basso).

Le domande sui protocolli di autenticazione sono basate su scenari: dovete individuare il protocollo corretto per una determinata situazione. RADIUS — autenticazione per l’accesso alla rete (VPN, Wi-Fi 802.1X); utilizza UDP; cifra solo la password; è comune nelle reti wireless aziendali; TACACS+ — alternativa sviluppata da Cisco; utilizza TCP; cifra l’intero payload; è preferito per l’amministrazione dei dispositivi (router/switch); SAML — standard SSO basato su XML per applicazioni web tra IdP e SP; è comune per l’SSO aziendale verso servizi SaaS cloud; OAuth 2.0 — framework di autorizzazione (non di autenticazione) per l’accesso delegato; è il protocollo utilizzato da Facebook per «Accedi con Facebook»; OpenID Connect (OIDC) — livello di autenticazione basato su OAuth 2.0; aggiunge un token di identità (JWT) al token di accesso di OAuth.

La classificazione dei controlli è un argomento frequente d’esame. I controlli vengono classificati secondo due dimensioni: Tipo (in base all’implementazione): Tecnici (firewall, crittografia, MFA), Amministrativi/gestionali (policy, procedure, formazione, verifiche dei precedenti), Fisici/operativi (serrature, guardie, telecamere, recinzioni). Categoria (in base alla funzione): Preventivi (impediscono che si verifichi un incidente — firewall, accesso con badge), Detective (identificano un incidente già verificatosi o in corso — IDS, log di audit, CCTV), Correttivi (riducono l’impatto dopo un incidente — backup, gestione delle patch), Deterrenti (scoraggiano gli attacchi — cartelli di avvertimento, telecamere di sicurezza), Compensativi (controllo alternativo quando quello primario non può essere implementato — air gap invece della crittografia per un sistema legacy).

Le domande sulla sicurezza wireless confrontano le generazioni dei protocolli: WEP — compromesso, non deve mai essere utilizzato; RC4 con chiave statica e IV debole; violabile in pochi minuti; WPA2-Personal (PSK) — utilizza CCMP/AES; è sicuro, ma la chiave condivisa è vulnerabile agli attacchi brute-force se debole; l’attacco KRACK aggira WPA2 (è disponibile una patch); WPA2-Enterprise — 802.1X con RADIUS; autenticazione individuale per ogni utente; nessuna chiave condivisa; è la soluzione più sicura per le organizzazioni; WPA3-Personal — SAE (Simultaneous Authentication of Equals) sostituisce PSK; forward secrecy; resistente agli attacchi a dizionario offline; WPA3-Enterprise — aggiunge una modalità di sicurezza a 192 bit con AES-256 e HMAC-SHA384. Per l’esame: sappiate quale versione consigliare negli scenari domestici, delle piccole aziende e delle grandi aziende.

L’ordine di volatilità definisce la sequenza con cui raccogliere le prove, così da preservare prima i dati più deperibili. Dal più al meno volatile: 1. Registri e cache della CPU (durata di nanosecondi); 2. RAM e processi in esecuzione (durata di alcuni minuti: la perdita di alimentazione li distrugge); 3. Connessioni di rete e cache ARP (cambiano continuamente); 4. File di swap/paging (riflettono il contenuto recente della RAM); 5. Immagini dei dischi (persistenti, ma modificabili); 6. Dati di logging e monitoraggio remoto (fu साइट, i più duraturi); 7. Supporti di archiviazione (nastri, dischi di backup: i meno volatili). Gli investigatori forensi raccolgono le prove iniziando dall’alto di questo elenco: la RAM viene sempre acquisita prima di creare l’immagine del disco.

Il modello di responsabilità condivisa viene verificato attraverso scenari basati sui modelli di servizio. In IaaS (Infrastructure as a Service — EC2, Azure VM), il provider protegge il data center fisico e l’hypervisor; il cliente protegge il sistema operativo, le applicazioni, i dati, la configurazione di rete e l’identità. In PaaS (Platform as a Service — Heroku, RDS), il provider protegge anche il sistema operativo e il middleware; il cliente protegge il codice dell’applicazione, i dati e la gestione degli accessi. In SaaS (Software as a Service — Microsoft 365, Salesforce), il provider protegge tutto tranne il contenuto dei dati, la gestione degli accessi e la conformità normativa. La regola è: più alto è il livello di astrazione del servizio, maggiore è la responsabilità della sicurezza trasferita al provider; tuttavia, i dati e l’identità sono sempre responsabilità del cliente in tutti i modelli.

Verificate la vostra comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione avete ripassato: la scelta degli algoritmi crittografici (crittografia simmetrica per i dati in blocco, asimmetrica per lo scambio di chiavi e le firme, AEAD per la crittografia autenticata), le formule per il calcolo del rischio (SLE = AV × EF, ALE = SLE × ARO), che distinguono l’analisi quantitativa da quella qualitativa, e i tipi e le categorie di controlli (tecnici/amministrativi/fisici combinati con preventivi/detective/correttivi/deterrenti/compensativi). Questi argomenti ad alta frequenza compaiono in diverse domande d’esame e in contesti differenti. Ora parleremo della gestione del tempo e delle strategie di eliminazione delle risposte per massimizzare il vostro punteggio all’esame.