Agenti e sicurezza nelle reti

Prima parte: introduzione

Premessa

Difendere una rete di comunicazione non è semplice. Le ragioni di questa non semplicità nascono da una contraddizione tra la natura intrinsecamente distribuita del problema e la gestione centralizzata del suo controllo.

L’attacco ad una rete di comunicazione può avvenire (nel senso del manifestarsi dei sintomi di attacco) in un punto qualunque della rete stessa. La centralizzazione in un SOC (Security Operation Center) rende tale struttura e le sue linee di comunicazione con l’esterno un bersaglio molto appetibile che, se venisse centrato, porterebbe alla totale impossibilità di difendersi da un attacco.

I sintomi di un attacco sono spesso significativi solo se analizzati da un punto di vista di insieme piuttosto che singolarmente. Tutti i sistemi non distribuiti di rilevamento di intrusioni (Intrusion Detection System o IDS) quando agiscono in via preventiva, ossia bloccando l’attacco sul nascere, sono soggetti ad un alto tasso di falsi positivi. Quando invece agiscono a posteriori consentono di ridurre gli effetti dell’attacco ma, comunque, una parte di danno si è già avuta. Raggruppando più sintomi è più semplice ottenere valutazioni corrette, anche in via preventiva.