Ateneo - UPO

L’insegnamento affronta la sicurezza informatica e l’informatica forense come ambiti complementari. La prima parte riguarda l’analisi delle vulnerabilità dei sistemi e delle applicazioni software, le principali tecniche di attacco, e le relative contromisure. La seconda parte riguarda la risposta agli incidenti e la digital forensics: individuazione, acquisizione, conservazione, analisi e correlazione delle evidenze digitali, nel rispetto dei requisiti di integrità, tracciabilità e ripetibilità. Le attività teoriche sono affiancate da esempi ed esercitazioni di laboratorio su casi semplificati.

Testi principali:

1. W. Du, Computer & Internet Security: A Hands-on Approach, 3rd edition. Il testo costituisce il riferimento principale per i principi di sicurezza informatica, le vulnerabilità del software e delle applicazioni web, le tecniche di attacco e le relative contromisure. I capitoli indicati durante l’insegnamento sono coordinati con le esercitazioni e con le attività CTF di Cybersecurity.
2. J. Kävrestad, M. Birath, N. Clarke, Fundamentals of Digital Forensics: A Guide to Theory, Research and Applications, 3rd edition, Springer, 2024, ISBN 978-3-031-53648-9. Il testo costituisce il riferimento principale per i principi, le metodologie e gli strumenti di acquisizione, conservazione, analisi e correlazione delle evidenze digitali e per le attività CTF di Digital Forensics.

Testi consigliati per approfondimento:

G. Johansen, Digital Forensics and Incident Response, 3rd edition, Packt Publishing, 2022, ISBN 978-1-80323-867-8. Il testo approfondisce gli aspetti operativi e organizzativi dell’incident response e la loro integrazione con le indagini forensi.
D. Andriesse, Practical Binary Analysis, No Starch Press, 2018, ISBN 978-1-59327-912-7. Il testo è consigliato per approfondire l’analisi degli eseguibili e le tecniche di sicurezza del software.

I materiali pubblicati sulla piattaforma DIR, comprendenti presentazioni, istruzioni di laboratorio, challenge CTF, esempi e documentazione tecnica, costituiscono parte integrante del materiale di studio. Per ciascuna parte del programma sono indicati sulla piattaforma i capitoli e i materiali necessari alla preparazione della prova scritta e della discussione orale.

L’insegnamento concorre agli obiettivi formativi del Corso di Studio fornendo conoscenze e strumenti metodologici per analizzare la sicurezza dei sistemi informatici, valutare vulnerabilità e contromisure e affrontare correttamente un incidente informatico.

Al termine dell’insegnamento, la studentessa o lo studente dovrà essere in grado di:
1. descrivere i requisiti fondamentali di sicurezza di sistemi e applicazioni software;
2. spiegare le principali vulnerabilità software e web, le tecniche di attacco che le sfruttano e le relative contromisure;
3. applicare in contesti controllati metodologie di analisi delle vulnerabilità e penetration testing;
4. descrivere le fasi di gestione di un incidente informatico;
5. acquisire e analizzare evidenze digitali senza alterarne il contenuto, documentandone integrità, provenienza e catena di custodia;
6. correlare evidenze eterogenee per ricostruire gli eventi rilevanti di un incidente;
7. motivare le scelte tecniche adottate e comunicarne risultati, limiti e implicazioni con terminologia appropriata.

L’insegnamento attribuisce 9 CFU e prevede 72 ore complessive di attività didattica, articolate in 24 ore di didattica erogativa e 48 ore di didattica interattiva. Il carico complessivo convenzionale è pari a 225 ore, delle quali 153 sono dedicate allo studio individuale e all’autoapprendimento.

Per affrontare proficuamente l’insegnamento è necessario possedere conoscenze consolidate di:
- architettura dei sistemi di elaborazione;
- sistemi operativi, processi, memoria, file system e meccanismi di protezione;
- reti di calcolatori e protocolli di comunicazione;
- programmazione in linguaggio C;
- rappresentazione binaria dei dati e gestione della memoria;
- uso di base di ambienti Unix/Linux e della riga di comando.

È inoltre utile saper leggere e comprendere frammenti di codice, tracce di esecuzione, log di sistema e traffico di rete. Eventuali propedeuticità formali sono quelle previste dal Regolamento didattico del Corso di Studio.

L’insegnamento combina didattica erogativa e didattica interattiva.

La didattica erogativa comprende lezioni in presenza dedicate ai principi della sicurezza informatica, alle vulnerabilità software e web, alle tecniche di attacco e difesa, e alla digital forensics. I contenuti sono illustrati mediante esempi, schemi e analisi di casi.

La didattica interattiva comprende esercitazioni, attività di laboratorio e challenge CTF (Capture the Flag) sia per la parte di Cybersecurity sia per la parte di Digital Forensics, svolte in ambienti controllati e su casi semplificati. Le attività sono finalizzate a:
- riconoscere vulnerabilità e comprendere il funzionamento di attacchi selezionati;
- individuare contromisure adeguate;
- analizzare log, artefatti e altre fonti di evidenza digitale;
- applicare procedure di acquisizione e verifica dell’integrità;
- correlare evidenze e ricostruire una sequenza di eventi;
- documentare in forma sintetica il procedimento seguito, gli strumenti utilizzati e le evidenze che hanno condotto all’individuazione delle flag;
- discutere criticamente le scelte metodologiche e i limiti delle conclusioni raggiunte.

Le attività offensive sono svolte esclusivamente in ambienti autorizzati e controllati, con finalità didattiche e difensive. La piattaforma DIR mette a disposizione materiali, istruzioni operative e un modello sintetico per la documentazione delle attività, utilizzabili anche da chi non frequenta.

Tutte le informazioni necessarie per la preparazione dell’esame sono contenute nella presente scheda e nei materiali resi disponibili sulla piattaforma DIR. Eventuali comunicazioni organizzative relative agli appelli sono pubblicate attraverso i canali istituzionali.

Le studentesse e gli studenti con disabilità, Disturbi Specifici dell’Apprendimento (DSA) o Bisogni Educativi Speciali (BES) possono richiedere servizi e strumenti specifici rivolgendosi allo Staff Sviluppo e Coordinamento Carriere e Servizi alle Studentesse e agli Studenti e consultando la pagina dedicata del sito di Ateneo:
https://uniupo.it/it/servizi/servizi-studentesse-e-studenti-condizione-di-disabilit%C3%A0-e-dsa

Dopo avere preso contatto con lo Staff di Ateneo, le studentesse e gli studenti interessati possono contattare la docente o il docente titolare per concordare la concreta applicazione delle misure previste, con riferimento agli aspetti didattici e alle modalità di esame.

L’esame prevede una prova scritta obbligatoria e una prova orale facoltativa. La prenotazione deve essere effettuata tramite ESSE3 nelle date degli appelli.
La prova scritta, individuale e svolta mediante i computer del laboratorio didattico, dura 2 ore e consiste nella risoluzione di una o più challenge di Cybersecurity e Digital Forensics. Le challenge richiedono di analizzare scenari, dati o reperti digitali, individuare vulnerabilità o evidenze rilevanti e applicare i metodi e gli strumenti trattati nell’insegnamento. Per ciascuna challenge possono essere richiesti la soluzione o la flag, una sintesi del procedimento, l’interpretazione degli output e la motivazione delle principali scelte tecniche.

La prova scritta verifica:
* la capacità di applicare metodi e strumenti di Cybersecurity e Digital Forensics;
* la capacità di analizzare vulnerabilità, incidenti, dati ed evidenze digitali;
* la correttezza del procedimento e dei risultati;
* la capacità di interpretare output e risultati intermedi, motivare le scelte tecniche e riconoscere errori o alternative;
* l’autonomia operativa e l’uso appropriato della terminologia specialistica.

La valutazione considera correttezza e completezza delle soluzioni, appropriatezza di strumenti e metodi, interpretazione delle evidenze e chiarezza nella documentazione del procedimento. La prova è valutata in trentesimi ed è superata con almeno 18/30.

La sufficienza richiede l’individuazione degli elementi essenziali delle challenge e soluzioni complessivamente corrette, ottenute con un procedimento tecnicamente adeguato, pur con incompletezze o imprecisioni non sostanziali. Valutazioni più elevate richiedono soluzioni complete e rigorose, uso consapevole degli strumenti, corretta interpretazione delle evidenze e autonomia nell’affrontare situazioni complesse. L’eccellenza richiede piena correttezza, autonomia, rigore metodologico e motivazione critica delle scelte.

Dopo aver superato lo scritto, la candidata o il candidato può sostenere una prova orale facoltativa sugli aspetti metodologici del corso. L’orale verifica la comprensione dei metodi di Cybersecurity e Digital Forensics, la capacità di collegare principi e procedure, discutere criticamente limiti, errori e alternative ed esporre le argomentazioni con chiarezza e proprietà di linguaggio.

Se l’orale non viene sostenuto, il voto finale coincide con quello dello scritto. Se viene sostenuto, può confermarlo o modificarlo, in aumento o in diminuzione, fino a 3 punti. L’orale non può compensare uno scritto insufficiente. La lode può essere attribuita con uno scritto valutato 30/30 e un orale eccellente, caratterizzato da piena padronanza metodologica, autonomia di giudizio e particolare chiarezza espositiva.

Livelli di valutazione:
* insufficiente: preparazione frammentaria, incapacità di applicare i procedimenti fondamentali, mancata comprensione delle soluzioni pratiche o errori concettuali rilevanti;
* 18-20/30: conoscenze essenziali e applicazione dei procedimenti fondamentali con errori non gravi;
* 21-23/30: conoscenze abbastanza complete e applicazione generalmente corretta;
* 24-26/30: conoscenze solide, analisi corrette e motivazioni chiare;
* 27-29/30: conoscenze approfondite, autonomia di analisi ed elevata correttezza metodologica e tecnica;
* 30/30 e 30 e lode: padronanza completa e critica, piena comprensione delle attività pratiche e argomentazione rigorosa e particolarmente chiara. La lode richiede un livello particolarmente elevato di approfondimento, autonomia e qualità espositiva.

Per preparare lo scritto sono indispensabili lo svolgimento personale delle attività pratiche e delle challenge di Cybersecurity e Digital Forensics e la revisione delle relative soluzioni e della documentazione disponibile su DIR. Per l’eventuale orale è indicato lo studio dei testi e dei materiali sugli aspetti metodologici del corso pubblicati su DIR. Sono previsti sei appelli annuali, le cui date sono pubblicate su ESSE3.

1. Fondamenti di sicurezza informatica
- Proprietà e requisiti di sicurezza: riservatezza, integrità, disponibilità, autenticità e accountability.
- Minacce, vulnerabilità, rischio, attacco e contromisura.
- Principi di difesa in profondità, minimo privilegio e riduzione della superficie di attacco.

2. Sicurezza del software
- Vulnerabilità di buffer overflow.
- Tecniche di sfruttamento del buffer overflow.
- Attacco return-to-libc.
- Vulnerabilità e attacchi format string.
- Contromisure a livello di compilatore, sistema operativo e applicazione.
- Analisi controllata di codice vulnerabile.

3. Evidenza digitale e principi di digital forensics
- Proprietà dell’evidenza digitale.
- Integrità, autenticità, ripetibilità e riproducibilità.
- Identificazione, raccolta, acquisizione, conservazione, analisi e presentazione.
- Hashing, imaging forense, write blocker e catena di custodia.
- Distinzione tra dato osservato, interpretazione e conclusione.

4. Acquisizione delle evidenze
- Acquisizione da computer e supporti di memorizzazione.
- Acquisizione da dispositivi mobili.
- Acquisizione da dispositivi e infrastrutture di rete.
- Dati persistenti e dati volatili.
- Verifica dell’integrità e documentazione delle operazioni.

5. Analisi e correlazione delle evidenze
- File system, metadati e artefatti di sistema.
- Log, timeline ed eventi.
- Artefatti di applicazioni, browser e comunicazioni.
- Evidenze di rete.
- Correlazione tra fonti eterogenee.
- Ricostruzione degli eventi e valutazione dei limiti dell’analisi.

6. Attività applicative
- Esercitazioni in ambiente controllato su vulnerabilità e contromisure.
- Analisi di scenari di incidente.
- Acquisizione e verifica di immagini forensi.
- Analisi e correlazione di artefatti digitali.
- Redazione sintetica di risultati tecnici e conclusioni motivate.

Integrazione della dimensione di genere
L’insegnamento richiama l’attenzione sull’uso di un linguaggio tecnico inclusivo e sulla necessità di considerare, nella progettazione delle misure di sicurezza e nell’analisi degli incidenti, l’impatto delle tecnologie su persone e gruppi diversi, evitando assunzioni o interpretazioni discriminatorie.

Conoscenza e capacità di comprensione
Al termine dell’insegnamento, la studentessa o lo studente dovrà conoscere e comprendere:
- i principi e i requisiti fondamentali della sicurezza informatica;
- le principali vulnerabilità del software, le relative tecniche di attacco e le contromisure adottabili;
- i principi dell’evidenza digitale, con particolare riferimento a integrità, autenticità, tracciabilità, ripetibilità e riproducibilità;
- le fasi e le metodologie di identificazione, acquisizione, conservazione, analisi e presentazione delle evidenze digitali;
- le principali fonti di evidenza, quali file system, metadati, log, artefatti di sistema, applicazioni, browser, comunicazioni e dati di rete;
- i criteri per correlare fonti eterogenee e ricostruire una sequenza di eventi.

Capacità di applicare conoscenza e comprensione
La studentessa o lo studente dovrà essere in grado di:
- individuare vulnerabilità in semplici scenari o frammenti di codice;
- spiegare il funzionamento di tecniche di attacco selezionate e proporre contromisure coerenti;
- applicare procedure di acquisizione di dati persistenti e volatili, documentando le operazioni svolte;
- verificare l’integrità delle copie acquisite mediante funzioni di hash;
- analizzare file system, metadati, log e altri artefatti digitali;
- correlare evidenze provenienti da fonti diverse;
- formulare una ricostruzione motivata degli eventi, distinguendo dati osservati, inferenze e conclusioni.

Autonomia di giudizio
La studentessa o lo studente dovrà saper selezionare le informazioni rilevanti, valutare l’attendibilità e i limiti delle evidenze disponibili, scegliere metodologie e strumenti adeguati al caso, formulare ipotesi esplicite e motivare le conclusioni raggiunte.

Abilità comunicative
La studentessa o lo studente dovrà saper descrivere vulnerabilità, attacchi, contromisure, procedure di acquisizione e risultati di analisi in modo chiaro, logicamente organizzato e tecnicamente corretto, utilizzando il lessico specialistico della disciplina.

Capacità di apprendimento
La studentessa o lo studente dovrà essere in grado di utilizzare testi, documentazione tecnica, materiali didattici e strumenti di laboratorio per approfondire autonomamente nuove vulnerabilità, tecniche di difesa e metodologie di digital forensics.

Livello minimo per il superamento
Per raggiungere la sufficienza, la studentessa o lo studente deve conoscere i concetti fondamentali di tutti i nuclei principali del programma, riconoscere le vulnerabilità e le contromisure più comuni, descrivere correttamente le fasi essenziali dell’acquisizione e dell’analisi forense, applicare i procedimenti standard a casi semplici e formulare risposte comprensibili e sostanzialmente corrette.

Livello avanzato
Un livello avanzato richiede conoscenze ampie e integrate, autonomia nell’analisi di scenari non identici a quelli esercitati, capacità di correlare evidenze eterogenee, valutare criticamente ipotesi alternative e produrre conclusioni rigorose, complete e ben motivate.