Email aziendale, posta elettronica servizi a confronto

Comunque vengano chiamati, Email Aziendale, Posta Elettronica Aziendale, Piani Email Aziendali, si tratta sempre dei servizi più usati dalle aziende per lo scambio dei messaggi con i propri clienti e fornitori: posta elettronica.email aziendale confronto

Qui segnaliamo un caso reale di una azienda con diverse sedi in Italia e che ha in uso 700 mailbox aziendali sul proprio dominio.
Il reparto IT ha deciso di rinnovare il proprio servizio e il fornitore e per questo ci ha chiesto di mettere a confronto quanto disponibile sul mercato. Ecco che cosa e’ emerso.

Stime eseguite su 700 Email account *:

Gmail: 3.416,00 Euro/mese IVA COMPRESA (Caselle MAX 30 GB)

OVH: 845,46 Euro/mese IVA COMPRESA (Caselle MAX 10 GB)

Aruba: 641,81 Euro/mese IVA COMPRESA (Caselle MAX 5 GB)

Sicurezzarete: 470,00 Euro/mese IVA COMPRESA (Caselle MAX 30 GB)
Mail Server dedicato, antivirus, antispam, firewall, pannello amministrativo, certificato ssl per tutti i protocolli (web, imap, smtp),
accesso tramite pop3, imap e webmail, mailbox fino a 30 GB. Server managed ovvero gestito da Sicurezzarete (non occorre conteggiare ulteriore assistenza). Durata minima contratto 6 mesi.
Stesso costo fino a 1000 Account.

In sostanza l’adozione di un server mail gestito (managed) per la gestione della email aziendale permette di avere un risparmio del 28% e di avere a disposizione servizi migliori (30 GB contro 5 GB spazio mailbox).
* I calcoli sono stati eseguiti alla data del 27 ottobre 2018 e sono stati considerati i costi dei servizi piu’ possibili simili tra loro visto che alcuni fornitori scorporano in varie componenti i servizi acquistabili (estensione spazio di archiviazione, servizio imap, antispam, antivirus). Di ciascun fornitore viene riportato il link al listino usato sul relativo nome.

INFORMAZIONI

Foreshadow / L1TF nuova falla di sicurezza nei processori Intel

Nei giorni scorsi Intel ha reso noto la scoperta di un nuovo vettore del tipo “esecuzione speculativa side-channel”, denominato L1TF / Foreshadow e basato sullo stesso concetto dei difetti Spectre e Meltdown scoperti ad inizio 2018.

Sicurezzarete

Cos’è L1TF?
Chiamato “L1 Terminal Fault” (L1TF) – o “Foreshadow” – questa vulnerabilità riguarda le CPU con tecnologia SMT (nota anche come “hyper-threading” per i processori Intel). Può consentire l’esecuzione di codice dannoso su un thread per accedere ai dati dalla cache L1 di un altro thread all’interno dello stesso core.

La vulnerabilità Foreshadow è difficile da sfruttare e solo una dimostrazione sviluppata in condizioni di laboratorio ha convalidato la sua esistenza. Sebbene non ci siano prove che suggeriscano che questa vulnerabilità sia stata ancora usata, sono stati creati tre identificatori CVE con qualifica di livello “alto”:

L1 Terminal Fault – SGX (CVE-2018-3615) 7.9 High
L1 Terminal Fault – OS, SMM (CVE-2018-3620) 7.1 High
L1 Terminal Fault – VMM (CVE-2018-3646) 7.1 High

Il manutentore di Linux Greg Kroah-Hartman ha rilasciato nuovi aggiornamenti sui canali del kernel di Linux 4.18, 4.17, 4.14, 4.9 e 4.4 per risolvere la vulnerabilità di L1 Terminal Fault “L1TF” / Foreshadow tipo Meltdown che colpisce i processori Intel.

Le versioni del kernel Linux 4.4.148, 4.9.120, 4.14.63, 4.17.15 e 4.18.1 sono le prime a presentare le patch con la mitigazione a L1TF / Foreshadow.

Qui gli script per testare la vulnerabilita’ delle proprie macchine:

DOWNLOAD dello script per verificare lo stato di protezione per i sistemi Linux:
https://github.com/speed47/spectre-meltdown-checker/raw/master/spectre-meltdown-checker.sh

Ottimizzazione siti web ed ecommerce, il rapporto velocità/profitto

Studi recenti hanno dimostrato che esiste una chiara relazione tra la velocità di caricamento delle pagine di un sito e la loro capacità di condurre a contatti o produrre profitto nell’ambito ecommerce.
In un tempo in cui la maggior parte di siti web e’ costruita con il diffuso CMS WordPress e Woocommerce, spesso si assiste a tempi di caricamento di una singola pagina di oltre 8 secondi.

Gli studi eseguiti (kissmetrics) mostrano che il 47% dei consumatori si aspetta che una pagina web venga caricata in 2 secondi o meno.
Il 40% delle persone abbandona un sito web che impiega più di 3 secondi per caricarsi.
Un ritardo di 1 secondo nella risposta della pagina può comportare una riduzione del 7% delle conversioni.
Se un sito di e-commerce guadagna € 1.000 al giorno, un ritardo di un secondo a pagina pagina potrebbe potenzialmente costare € 25.000 di vendite perse ogni anno.
Alcune delle possibili soluzioni per l’ottimizzazione dei siti web sono: la riduzione delle immagini e degli script, sistemi di caching lato client e server, la compressione, l’uso di protocolli evoluti come http/2 e l’ottimizzazione del server (database, webserver, linguaggio di scripting, sistema operativo).

ottimizzazione siti apache, wordpress, woocommerce
ottimizzazione siti apache, wordpress, woocommerce

Verifica stato di protezione da Meltdown e Spectre

Le ultime enormi falle rivelate nel 2018, Meltdown e Spectre, mettono a rischio moltissimi sistemi.

Controlla Meltdown_Spectre

Come si fa per verificare se i nostri sistemi sono vulnerabili?

Ecco due riferimenti:

Non stupitevi se, ad oggi (19 Gennaio 2018) i vostri sistemi sono vulnerabili, lo sono la maggior parte di quelli esistenti sul pianeta.
Per assistenza professionale potete contattare SicurezzaRete

Meltdown, Spectre: la bufera informatica del 2018, a rischio la maggior parte dei computer.

Il 4 gennaio scorso sono state scoperte (da gruppi indipendenti) e rivelate 3 gravi vulnerabilità informatiche legate ai microprocessori moderni.
Le vulnerabilita’ affliggono Personal Computer, server, dispositivi mobili (tablet e telefoni) e servizi Cloud.
I bug chiamati Spectre, in due varianti, e Meltdown, possono essere usate per sferrare un attacco (side-channel) e sottrarre informazioni dai sistemi informatici su cui sono presenti. Tra queste password, file, documenti, immagini.
Il bug puo’ essere sfruttato sia su sistemi Windows, Linux e su Mac OSX.

Vulnerabilita Meltdown Spectre

L’allarme lanciato e’ grave e i grandi vendor e provider (Google, Amazon, Microsoft, etc.) sono tutti in fermento per individuare ed applicare soluzioni. In particolare la fonte autorevole Graz University of Technology, che e’ tra gli scopritori del problema, indica alcune allarmanti domande e risposte (FAQ), tra queste:

Sono interessato dalla vulnerabilità?
Sicuramente, sì.

Cosa può essere trapelato?
Se il tuo sistema è interessato, il nostro exploit proof-of-concept può leggere il contenuto della memoria del tuo computer. Questo può includere password e dati sensibili memorizzati nel sistema.

Alle aziende che gestiscono server e intendono mettere in sicurezza i loro sistemi informatici consigliamo di affidarsi ad esperti si sicurezza informatica (vedi SicurezzaRete).

 

VIDEO DIMOSTRATIVI


Riferimenti
https://meltdownattack.com/

CVE-2017-5715 (branch target injection – Spectre)
CVE-2017-5753 (bounds check bypass – Spectre)
CVE-2017-5754 (rogue data cache load – Meltdown)

Falla kernel linux: “dirty cow”, aggiornamento dei server linux necessaria

Il 20 ottobre scorso una grave falla nel kernel linux e’ stata resa nota e corretta nelle piu’ recenti versioni del Kernel.
Il baco e’ grave, sfrutta un meccanismo mal gestito di Copy-On-Write (COW da cui prende il nome di Dirty COW) e permette ad utenti non privilegiati di eseguire operazioni con i massimi privilegi di amministrazione. Sulla rete circolano POC (proof-of-concept) che dimostrano che si puo’ facilmente sfruttare il baco. La classificazione CVSS3 indica una gravita’ 7.8 (su 10), una bassa complessita’ per la realizzazione di attacchi e un alto impatto di eventuali attacchi. La falla di recente identificata come CVE-2016-5195, e’ presente nel kernel Linux da alcuni anni e potrebbe essere stata sfruttata da tempo dagli hacker, solo ora e’ stata risolta ufficialmente.

I server che offrono servizi all’esterno (web server, ftp server, SQL server) devono essere urgentemente aggiornati. I principali vendor (RedHat, Suse, Canonical) stanno rilasciando i pacchetto per aggiornare i sistemi.
INFORMAZIONI DETTAGLIATE

Problemi sicurezza server linux: dirty cow
Problemi sicurezza server linux: dirty cow

Author: Brad Spengler <spender@grsecurity.net>
Date: Thu Oct 20 00:57:52 2016 -0400

From: Linus Torvalds <torvalds@linux-foundation.org>

This is an ancient bug that was actually attempted to be fixed once (badly) by me eleven years ago in commit 4ceb5db9757a (“Fix get_user_pages() race for write access”) but that was then undone due to problems on s390 by commit f33ea7f404e5 (“fix get_user_pages bug”). …
Also, the VM has become more scalable, and what used a purely theoretical race back then has become easier to trigger.

 

Servizio di monitoraggio web server e uptime siti web

Creato e attivato nuovo servizio di monitoraggio dei web server e di altri servizi (posta elettronica, database, etc.) per i clienti SicurezzaRete. A breve sara’ attivato un servizio gratuito anche per gli utenti che amministrano il proprio web server linux ma non sono ancora clienti di SicurezzaRete.
Il servizio avvisa con un alert lo staff che puo’ cosi’ intervenire tempestivamente per la risoluzione del disservizio (down) minimizzando il danno economico e di immagine dell’azienda.

servizio monitoraggio web server sicurezzarete
servizio monitoraggio web server sicurezzarete

Il monitoraggio web server con visualizzazione grafica, oltre a segnalare i disservizi, consente di seguire i tempi di risposta dei web server e capire l’efficacia del servizio. Il tutto teso a ottimizzare la resa del proprio business on-line.
Come ormai da tempo noto (da studi effettuati da Akamai e Gomez.com gia’ nel 2009), la metà degli utenti di Internet si aspettano che un sito venga caricato in 2 secondi o meno, e tendono ad abbandonare un sito che non viene caricato entro 3 secondi.

Inoltre, il 79% degli acquirenti web che hanno problemi con le prestazioni del sito web affermano che non torneranno al sito per comprare. Questo si traduce in una perdita di profitti negli e-commerce e nella vendita di servizi, oltre che un danno di immagine.

Terminato supporto di sicurezza per PHP 5.5, 80% di server a rischio

Da 21 luglio 2016 e’ terminato il supporto di sicurezza al PHP 5.5 (nella sua ultima incarnazione 5.5.38) (fonte Unsupported Branches php.net).

Nonostante cio’ le statistiche di rilevamento, ad ottobre 2016 (fonte W3techs) indicano che oltre l’80% dei server usa versioni non piu’ supportate per la sicurezza, ovvero versioni dalla 5.0 alla 5.5. Solo una piccola percentuale ha adottato le nuove versioni tra cui la 5.6 che ricevera’ supporto fino a dicembre 2018.
Nel frattempo, dal 21 luglio, sono stati scoperti per il PHP 5.6 numerosi nuovi problemi di sicurezza (fonte changelog php.net) che molto probabilmente affliggono anche le versioni precedenti (PHP 5.5, PHP 5.4, PHP 5.3, PHP 5.2, etc.).

bug #73007 (add locale length check). (CVE-2016-7416)
bug #72293 (Heap overflow in mysqlnd related to BIT fields). (CVE-2016-7412)
bug #72928 (Out of bound when verify signature of zip phar in phar_parse_zipfile). (CVE-2016-7414)
bug #73029 (Missing type check when unserializing SplArray). (CVE-2016-7417)
bug #73052 (Memory Corruption in During Deserialized-object Destruction). (CVE-2016-7411)
bug #72860 (wddx_deserialize use-after-free). (CVE-2016-7413)
bug #73065 (Out-Of-Bounds Read in php_wddx_push_element). (CVE-2016-7418)
bug #72663 (Create an Unexpected Object and Don’t Invoke __wakeup() in Deserialization). (CVE-2016-7124)
bug #72681 (PHP Session Data Injection Vulnerability). (CVE-2016-7125)
bug #72627 (Memory Leakage In exif_process_IFD_in_TIFF). (CVE-2016-7128)
bug #72697 (select_colors write out-of-bounds). (CVE-2016-7126)
bug #72730 (imagegammacorrect allows arbitrary write access). (CVE-2016-7127)
bug #72749 (wddx_deserialize allows illegal memory access). (CVE-2016-7129)
bug #72750 (wddx_deserialize null dereference). (CVE-2016-7130)
bug #72790 (wddx_deserialize null dereference with invalid xml). (CVE-2016-7131)
bug #72799 (wddx_deserialize null dereference in php_wddx_pop_element). (CVE-2016-7132)

Si consiglia di provvedere autonomamente agli aggiornamenti dei webserver o affidandosi a servizi offerti da aziende specializzate come SicurezzaRete.com

Dropbox, rubati i dati di 68 milioni di account. Cloud sicuro?

Gli hacker hanno ottenuto le credenziali per più di 68 milioni di account per la piattaforma on-line di cloud storage Dropbox. Il furto risale ad una violazione dei dati avvenuta nel 2012, ma solo da pochi giorni si è capita l’entità del furto e i potenziali problemi della sicurezza cloud.
Dropbox ha confermato pochi giorni fa la violazione ed ha comunicato ai propri clienti l’obbligo di reimpostazione la propria password.

sicurezza cloud
sicurezza cloud

Il servizio di controllo e notifica delle violazioni del servizio Leakbase ha individuato file ottenuti dai “trafficanti di database”, circa 5GB di dati contenenti dettagli su 68,680,741 account, che comprendono gli indirizzi e-mail e le hash delle password di utenti Dropbox.

Un dipendente senza nome di Dropbox ha verificato la legittimità dei dati.
Dei 68 milioni, quasi 32 milioni di password sono protette con la funzione di hashing “Bcrypt”, che rende difficile per gli hacker di ottenere le password effettive degli utenti, mentre il resto delle password sono protette debolmente con l’algoritmo di hash SHA-1.

“Abbiamo confermato che la reimpostazione della password proattivo che abbiamo completato la scorsa settimana ha riguardato tutti gli utenti potenzialmente coinvolti”, ha detto Patrick Heim, responsabile della Sicurezza e fiducia per Dropbox.

Fonte: http://thehackernews.com/2016/08/dropbox-data-breach.html

Sicurezza, prestazioni, end-of-life e aggiornamento server linux

Fonte www.sicurezzarete.com.
Gli utenti chiedono sempre nuove features, gli sviluppatori aggiungono protocolli, interfacce, metodi, migliorano, ottimizzano e creano nuove versioni. Cosi’ inesorabilmente i software piu’ vecchi diventano obsoleti e su di essi, pur trattando di open-source, ben pochi ci mettono le mani. Nella fase terminale della loro vita i software ricevono per un po’ solo i “security update”, gli aggiornamenti di sicurezza, quelli senza i quali tali software diverrebbero un grave problema. Poi, i gruppi di sviluppatori piu’ corretti fissano una data di end-of-life, ovvero la fine di qualuque supporto per quella versione del software. Dopo tale data gli sviluppatori ufficiali non apportano piu’ modifiche, neanche quelle per rimediare alle falle di sicurezza piu’ gravi.
Sicurezza Linux End-of-LifeGli sviluppatori corretti si e’ detto, si’ perche’ alcuni terminano completamente il supporto senza neanche renderlo ufficiale. No, non stiamo parlando di qualche solitario free-lance, dentro questa schiera ci sono colossi come APPLE! Si’ avete capito bene, il meraviglioso OSX, il sistema operativo che gira sui famosi “mac” non ha infatti una programmazione di ciclo di vita. Si riceve solo un “caldo” invito ad aggiornare, tanto poi, da alcuni anni il nuovo OS e’ gratis… Si’ ma qualcuno ha hardware non supportato, e per loro?
Tra i software estremamente diffusi che hanno invece un rapido e scandito ciclo di sviluppo, supporto ed end-of-life c’e’ il diffusissimo PHP, il linguaggio server-side usato da oltre l’81% di siti al mondo (1) nel 2016. In particolare la versione 5 domina la scena completamente (2) con il 98,7% rispetto a tutte le versioni da sempre sviluppate.

Delle varie minor-release della versione 5 si osserva inoltre la seguente diffusione (3):

PHP Versione 5.3 -> 34.0% (EOL 14 agosto 2014)
PHP Versione 5.4 -> 30.3% (EOL 2 settembre 2015)
PHP Versione 5.5 -> 16.2%
PHP Versione 5.2 -> 12.3% (EOL 6 gennaio 2011)
PHP Versione 5.6 -> 6.4%
PHP Versione 5.1 -> 0.8% (EOL 24 agosto 2006)
PHP Versione 5.0 -> meno dello 0.1% (EOL 5 settembre 2005)
PHP Versione 5.7 -> meno dello 0.1%

Ora pero’ osservando il ciclo di end-of-life di PHP (4) si nota una cosa importante:
le versioni precedenti alla 5.5 hanno terminato il loro ciclo di supporto alla sicurezza dal 2 settembre 2015. Facendo i calcoli il 77% dei siti web usano una versione di PHP che NON RICEVE SUPPORTO DI SICUREZZA pertanto, in alcuni casi, sono facilmente violabili. L’unica attenuante sono le distribuzioni di classe Enterprise le quali continuano ad applicare patch alle vecchie versioni di PHP per prolungarne la vita.
La soluzione efficace al problema e’ quella di affidarsi ad aziende di assistenza sistemistica che provvedano all’aggiornamento dei server linux e unix al fine di mantenere nel tempo un adeguato livello di sicurezza che possa garantire continuità dei servizi e protezione dei dati.

(1) http://w3techs.com/technologies/overview/programming_language/all
(2) http://w3techs.com/technologies/details/pl-php/all/all
(3) http://w3techs.com/technologies/details/pl-php/5/all
(4) http://php.net/supported-versions.php

Gennaio 2016