Crystal cercando di fare un quadro generico della mia situazione posso dirti che:
Se è così il tuoi rischio è abbastanza basso - vanno però considerati anche i rischi di furto fisico (specialmente se è un laptop), e di perdita di dati per danni fisici e non.
Crystal A2F un po' ovunque anche se proprio qui ho letto di un utente che lo sconsigliava preferendogli Google Authenticator;
Google Authenticator è una forma di 2FA - ce ne sono anche altre. Se usi una smartcard o un HSM sono forme 2FA, anche più sicure di Google Authenticator, anche se magari più scomode che richiedono hardware aggiuntivo.
Crystal Giustissimo. Però vedi, tutti i siti fanno ciò che scritto io: ovvero basano la sicurezza sui programmi software.
Li paga la pubblicità - cosa dovrebbero dirti? 🤑
Crystal escono siti di divulgatori anche abbastanza famosi e preparati come il buon Aranzulla che legano la sicurezza informatica sull'utilizzo di software
Idem come sopra 🤑🤑🤑. Io a scrivere qui non ci guadagno niente, invece (sono un grullo, lo so 🤪). E fammi stendere un velo pietoso su Aranzulla...
Sì, ma costano.
Crystal nfatti cercavo di capire se fosse il caso di installare antivirus o altro visto che con iphone non c'era alcun bisogno.
In genere gli OS dei cellofoni sono più "sandboxati" di quelli dei PC, e le app fanno meno e possono provenire solo dagli store. E questo sandboxing impedisce anche agli AV di essere efficaci, rendendoli meno utili. Anche gli smartphine possono essere compromessi - vedi ad esempio la vulnerabilità nei driver video ARM annunciata oggi.
Poi ripeto, un buon AV non fa male, Kaspersky è sicuramente fra i migliori a parte i fatti recenti che hanno imposto delle cautele specialmente in certi ambienti, ma il panorama è cambiato da trent'anni fa quando il rischio maggiore era il virus e senza internet always on le minacce si propagavano più lentamente. Oggi è veramente da considerare 'ultima linea di difesa - si spera che individui quello che avrebbe dovuto essere bloccato prima ma non lo è stato. Non parti da lì per costruire una difesa valida però - e che sia Kaspersky, McAfee o Defender non è più così rilevante come una volta.
Crystal questa persona, senza l'ausilio del social engineering, può farlo?
Certo. Quanto facile è farlo però dipende da quanto è sicuro il target da attaccare, e quanto è competente e che risorse ha l'attaccante. Spesso il target è sufficientemente poco protetto che basta relativamente poco per comprometterlo.
Crystal senza l'ausilio del social engineering, può farlo? Partendo dal nostro profilo social o dal nostro account su qualche piattaforma,
Però quello che stai descrivendo è proprio open source intelligence e social engineering - usi le informazioni che trovi online su una persona per cercare un punto debole per l'attacco. Veramente, uno dei sistemi più semplici per ottenere una testa di ponte è spesso la mail o il link malevolo, verso chi magari non aggiorna qualcosa da anni. Ci sono tool come SET che automatizzano il tutto, anche senza ricorrere all'artiglieria pesante stile Cobalt Strike e simili. o certi toolkit in vendita per customizzarsi noti malware.
Può essere che l'AV li identifichi, ma anche no - chi scrive malware testa con gli AV per bypassarli. È opportuno non avere Word\Excel\Powerpoint craccato (e quindi mai aggiornato) e fare attenzione a quello che si apre e si clicca. Se non si vuole pagare MS Office, meglio LibreOffice.
Dipende poi che ambienti frequenti... su un forum di fotografia più difficilmente trovi persone con le abilità per fare un attacco valido, fra i gamer ci sono sicuramente più geek e nerd con ben altri skill informatici, o che sanno dove trovarli.
Comunque molte minacce sono oggi fatte per un ritorno economico, che sia un ransomware, ottenere un nodo per una botnet, o truffare qualcuno. Poi sì, ci sono ancora quelli che hanno piacere a fare danni e basta, per una varietà di motivi.
Purtroppo oggi pensare "ho acquistato X e Y, sono a posto" - non è più sufficiente, perché non c'è una semplice soluzione software a minacce complesse - altrimenti le adotterebbero tutti e ciao ciao al malware - che richiedono invece un approccio più completo. E in termini di prodotti può essere meglio affidarsi a prodotti diversi in modo da far sì che sia meno probabile che una singola vulnerabilità sia presente in tutta una suite. Ad esempio è ormai pratica abbastanza comune che se usi Apache come web server usi Nginx come reverse proxy o viceversa. Così se c'è una vulnerabilità in uno è meno probabile che ci sia anche nell'altro. O il firewall di frontend è diverso da quello di backend. Complica la vita, può aumentare la sicurezza. Poi ovviamente uno dei prodotti non deve essere un colabrodo.
Quindi se chiedi "qual è oggi il miglior AV per Windows", si può anche fare un discorso ragionato. Se mi chiedi invece "Miglior combinazione software per la cybersicurezza" posso risponderti che non c'è - o forse è così scomoda ("usa FreeBSD in sola modalità console!") che non è molto adottabile.
