- Comprendere il significato della ricognizione in cybersecurity.
- Individuare correttamente il target di una ricognizione.
- Definire l'obiettivo dell'attività.
- Stabilire il perimetro entro il quale svolgere l'osservazione.
- Individuare le aree informative che si desidera conoscere.
- Costruire un semplice piano di ricognizione.
- Comprendere il confine tra ricognizione e raccolta concreta delle informazioni.
Che cos'è la ricognizione
Tag: Reconnaissance | Tag: Pianificazione
La ricognizione, in inglese Reconnaissance, è una fase preliminare dell'analisi di sicurezza nella quale si osserva il target e si stabilisce che cosa vogliamo conoscere.
Prima di iniziare una raccolta sistematica di informazioni è infatti necessario comprendere quale organizzazione stiamo osservando, quale sia il nostro obiettivo e quali aspetti possano essere rilevanti.
La domanda che guida questa fase è: "Che cosa vogliamo conoscere del target?"
TARGET
|
v
OSSERVAZIONE INIZIALE
|
v
DEFINIZIONE DELL'OBIETTIVO
|
v
DEFINIZIONE DEL PERIMETRO
|
v
CHE COSA VOGLIAMO CONOSCERE?
|
v
PIANO DI RICOGNIZIONE
Il nostro target: Poste Italiane
Tag: Target | Tag: Organizzazione
Per rendere concreta questa fase utilizziamo come esempio Poste Italiane.
L'organizzazione possiede una presenza Web pubblica articolata in diverse sezioni informative. Questo permette di osservare come un'organizzazione reale presenti pubblicamente la propria identità, le proprie attività e la propria struttura.
Organizzazione: Poste Italiane S.p.A.
Presenza Web osservata: sito corporate pubblico di Poste Italiane.
Strumento: normale consultazione tramite Google Chrome.
Utilizziamo esclusivamente ciò che è normalmente visibile attraverso il sito Web pubblico. Non vengono effettuate scansioni, enumerazioni tecniche, tentativi di accesso o altre interazioni tecniche con i sistemi.
Osservazione iniziale del target
Tag: Osservazione | Tag: Presenza Web
Aprendo il sito corporate di Poste Italiane con Google Chrome possiamo effettuare una prima osservazione generale.
In questa fase non dobbiamo ancora trascrivere tutti i dati contenuti nelle pagine. Ci interessa soprattutto capire quali aree informative sono presenti e quali potrebbero essere utili in una successiva attività di raccolta.
Azienda
Sono presenti pagine dedicate all'organizzazione.
Governance
È presente una sezione dedicata alla governance.
Documentazione
Sono presenti aree che rendono disponibili documenti pubblici.
Abbiamo soltanto riconosciuto alcune aree del sito che potrebbero diventare oggetto di analisi. Non abbiamo ancora costruito una raccolta strutturata dei dati.
Definire l'obiettivo
Tag: Obiettivo | Tag: Analisi
Una ricognizione deve avere un obiettivo preciso. Senza un obiettivo rischieremmo di osservare molte informazioni senza sapere quali siano realmente utili.
Comprendere quali aspetti dell'organizzazione Poste Italiane sono pubblicamente rappresentati attraverso il sito corporate e stabilire quali informazioni potrebbero essere raccolte successivamente.
Quali aspetti di Poste Italiane vogliamo conoscere attraverso la sua presenza Web pubblica?
Definire il perimetro
Tag: Scope | Tag: Confini
Il perimetro, spesso indicato con il termine inglese scope, stabilisce i confini dell'attività.
Nel nostro esempio il perimetro è volutamente molto semplice: osserviamo esclusivamente la presenza Web pubblica dell'organizzazione attraverso la normale navigazione.
| Elemento | Definizione |
|---|---|
| Target | Poste Italiane |
| Ambiente osservato | Sito corporate pubblico |
| Modalità | Normale navigazione tramite browser |
| Contenuti | Pagine e documenti pubblicamente accessibili |
| Esclusioni | Qualsiasi attività tecnica o tentativo di accesso ai sistemi |
Che cosa vogliamo conoscere?
Tag: Domande | Tag: Piano
Dopo la prima osservazione possiamo trasformare ciò che abbiamo notato in una serie di domande di ricognizione.
Queste domande non contengono ancora le risposte. Servono a stabilire quali informazioni dovremo cercare nella fase successiva.
Organizzazione
Che tipo di organizzazione è Poste Italiane?
Quali informazioni istituzionali rende pubbliche?
Attività
In quali settori opera?
Quali servizi presenta pubblicamente?
Struttura
Quali informazioni sulla struttura societaria sono pubbliche?
Quali informazioni sulla governance sono disponibili?
Presenza
Quali informazioni sulla presenza territoriale sono pubbliche?
Quali sedi vengono indicate?
Documentazione
Quali documenti sono pubblicamente disponibili?
A quali argomenti si riferiscono?
Contatti
Quali canali di contatto sono pubblicamente dichiarati?
Dove vengono pubblicati?
Costruiamo il piano di ricognizione
Tag: Piano di ricognizione | Tag: Domande
Le domande individuate possono essere organizzate in un piano di ricognizione.
Il piano non contiene ancora i dati raccolti: contiene ciò che vogliamo conoscere.
| Area | Che cosa vogliamo conoscere? | Possibile area del sito da osservare |
|---|---|---|
| Identità | Quali informazioni descrivono formalmente l'organizzazione? | Area aziendale |
| Dimensione | Quali informazioni pubbliche descrivono le dimensioni dell'organizzazione? | Chi siamo |
| Attività | Quali sono i principali settori e servizi dichiarati? | Chi siamo / aree di business |
| Struttura | Quali informazioni sulla struttura societaria sono pubblicate? | Governance |
| Presenza | Quali informazioni sulla presenza territoriale sono disponibili? | Pagine istituzionali |
| Documentazione | Quali tipologie di documenti sono rese pubblicamente disponibili? | Governance / documenti |
| Contatti | Quali contatti e riferimenti ufficiali sono pubblicati? | Pagine istituzionali |
Ora sappiamo che cosa vogliamo conoscere e abbiamo individuato le aree generali nelle quali queste informazioni potrebbero essere presenti. Questo è il nostro piano di ricognizione.
Dove ci fermiamo
Tag: Confine | Tag: Fasi
È importante fermarsi qui per distinguere chiaramente la ricognizione dalla fase successiva.
- identifichiamo il target;
- definiamo l'obiettivo;
- stabiliamo il perimetro;
- osserviamo le aree generali del sito;
- formuliamo le domande;
- costruiamo il piano di ricognizione.
- non compiliamo una scheda con tutti i dati trovati;
- non registriamo sistematicamente informazioni e fonti;
- non classifichiamo ancora i risultati raccolti;
- non costruiamo ancora il quadro informativo finale.
Un esempio per distinguere le due fasi
Tag: Ricognizione | Tag: Confine
Supponiamo di osservare la sezione "Chi siamo" del sito corporate di Poste Italiane.
| Osservazione | Come la utilizziamo nella ricognizione |
|---|---|
| Esiste una pagina "Chi siamo" | Formuliamo la domanda: "Quali informazioni descrivono l'organizzazione?" |
| Sono presentate diverse attività | Formuliamo la domanda: "In quali settori opera Poste Italiane?" |
| Esiste una sezione Governance | Formuliamo la domanda: "Quali informazioni sulla struttura societaria sono pubbliche?" |
| Sono presenti documenti | Formuliamo la domanda: "Quali documenti sono pubblicamente disponibili?" |
Se leggiamo che Poste Italiane dichiara un determinato numero di dipendenti e lo inseriamo nella nostra scheda, stiamo già raccogliendo un dato.
Nella ricognizione ci fermiamo invece alla domanda: "Qual è la dimensione dell'organizzazione?"
La ricognizione di Poste Italiane
Tag: Schema | Tag: Reconnaissance
POSTE ITALIANE
|
v
RICOGNIZIONE
|
+-------------+-------------+
| | |
v v v
TARGET OBIETTIVO PERIMETRO
| | |
+-------------+-------------+
|
v
CHE COSA VOGLIAMO
CONOSCERE?
|
+----------------+----------------+
| | |
v v v
ORGANIZZAZIONE ATTIVITA' STRUTTURA
| | |
+--------+-------+-------+--------+
| |
v v
DOCUMENTAZIONE CONTATTI
| |
+-------+-------+
|
v
PIANO DI RICOGNIZIONE
Il risultato della ricognizione
Tag: Output | Tag: Piano
Al termine della ricognizione non abbiamo ancora una raccolta completa di informazioni su Poste Italiane.
Abbiamo invece ottenuto qualcosa di fondamentale: un piano che stabilisce che cosa vogliamo conoscere.
Target: Poste Italiane
Obiettivo: comprendere quali aspetti dell'organizzazione sono pubblicamente rappresentati attraverso la presenza Web corporate.
Perimetro: normale consultazione delle pagine Web pubbliche.
Informazioni che vogliamo conoscere:
- identità e caratteristiche dell'organizzazione;
- dimensione;
- principali attività e servizi;
- struttura societaria e governance;
- presenza territoriale;
- documentazione pubblicata;
- contatti e riferimenti ufficiali.
E adesso?
Tag: Passaggio | Tag: Information Gathering
La ricognizione ci ha permesso di stabilire che cosa vogliamo conoscere.
Possiamo ora passare alla fase successiva e iniziare a consultare sistematicamente le fonti, individuare i dati, registrarli e associarli alla loro provenienza.
Abbiamo deciso che cosa vogliamo conoscere.
Ora iniziamo a raccogliere concretamente queste informazioni:
Information Gathering.
- La ricognizione è una fase preliminare dell'analisi di sicurezza.
- Il primo elemento da identificare è il target.
- È necessario definire un obiettivo preciso.
- Il perimetro stabilisce i confini dell'attività.
- L'osservazione iniziale permette di riconoscere le principali aree informative del target.
- Le osservazioni vengono trasformate in domande di ricognizione.
- Il risultato della fase è un piano di ricognizione che stabilisce che cosa vogliamo conoscere.
- La raccolta sistematica delle risposte appartiene alla fase successiva di Information Gathering.
- Comprendere il significato della ricognizione.
- Identificare il target di un'attività di ricognizione.
- Definire l'obiettivo dell'osservazione.
- Stabilire il perimetro dell'attività.
- Osservare le principali aree informative di un sito pubblico.
- Trasformare le osservazioni iniziali in domande.
- Costruire un piano di ricognizione.
- Distinguere la ricognizione dalla raccolta sistematica delle informazioni.
Parole chiave
I termini principali introdotti in questa guida sono: