Problematiche generali. Categorie di sistemi informatici

Transcript

1 SICUREZZA

2 Problematiche generali Categorie di sistemi informatici

3 architettura centralizzata

4 Problematiche generali!categorie di sistemi informatici " architettura centralizzata In questo tipo di architetture si ha un Centro di Elaborazione Dati (CED( CED), che normalmente viene mantenuto in un luogo sotterraneo o protetto fisicamente, ad esempio, da porte blindate e accessi controllati, dentro cui sono conservate tutte le unità di elaborazione e tutte le unità di memorizzazione dei dati. Gli utenti accedono e sfruttano queste risorse informatiche tramite dei terminali, quindi una tastiera ed un video, non un vero e proprio Personal Computer o una work-station. 4

5 Problematiche generali La sicurezza è di tipo fisico o, al massimo, del sistema operativo del sistema di elaborazione e gli utenti hanno a disposizione dei meri dispositivi di input/output. 5

6 Architetture distribuite

7 Problematiche generali "Architetture distribuite I sistemi di elaborazione e di memorizzazione sono sparsi, sia all'interno di una rete locale (LAN) ma anche su una rete geografica (WAN), diventa quindi difficile controllare fisicamente tutti quanti i sistemi. Le postazioni di lavoro dell'utente sono dei Personal Computer e quindi l utente ha la possibilità di attivare localmente, presso la sua stazione di lavoro, dei programmi. Questi potrebbero essere dei programmi di attacco, cioè che inficiano la sicurezza del sistema complessivo. Per architetture di tipo distribuito, bisogna quindi ripensare completamente alla sicurezza, in modo tale che sia indipendente dalla locazione fisica dei sistemi di elaborazione e sia indipendente anche dalle reti a cui ci si collega. 7

8 Sicurezza: dove è il nemico?

9 Sicurezza: dove è il nemico? Se dobbiamo mettere in piedi un sistema di sicurezza, una delle cose più importanti è identificare dove si trova il nemico da cui vogliamo difenderci. 9

10 Sicurezza: dove è il nemico? "Fuori Fuori dalla nostra rete In questa ipotesi ciò che bisogna fare è cercare di proteggere la nostra rete dalle intrusioni che potrebbero provenire dall'esterno. È questo il caso tipico in cui trovano applicazione i cosiddetti firewall,, letteralmente muri taglia-fuoco, porte antincendio. "Dentro Dentro la nostra rete Nell'ipotesi che all'interno della nostra organizzazione ci sia qualcuno che possa volere attaccare il sistema dall'interno, la messa in opera di un sistema di tipo firewall non è più sufficiente, bisogna riuscire a fare protezione della rete locale o della Intranet. L'unica soluzione applicabile è la protezione delle applicazioni. 10

11 Sicurezza: dove è il nemico? Se riusciamo a proteggere le nostre applicazioni, abbiamo reso il sistema sicuro, indipendentemente dalle reti che attraversiamo e dalle postazioni di lavoro dove operiamo. 11

12 Autenticazione semplice

13 Autenticazione semplice Si parla di autenticazione, ed in particolare di autenticazione semplice, ogniqualvolta un utente desidera accedere ad un sistema di elaborazione. Un corretto sistema di autenticazione non deve credere ciecamente a quello che l'utente dice di essere, ma deve chiedere una prova formale. Per ottenere questa prova formale si useranno dei sistemi di autenticazione precisi, esatti e soprattutto non falsificabili facilmente. Normalmente un sistema di elaborazione ci chiede Username e Password. 13

14 Mutua autenticazione

15 Mutua autenticazione Non soltanto l'utente deve presentarsi nei confronti del sistema, ma l'utente potrebbe avere un ragionevole dubbio che il sistema cui lui sta facendo il collegamento, non sia quello a cui desidererebbe collegarsi. Questo perché è possibile mettere in piedi una rete di calcolatori, i cosiddetti server-ombra, o anche server-fantasmi i quali con tecniche opportune mostrano un'interfaccia simile a quella del sistema originale e quindi sarebbero in grado di fornirci dei dati sbagliati, mentre noi in assoluta buona fede crediamo di esserci collegati al sistema giusto. 15

16 Autorizzazione

17 Autorizzazione Una volta che abbiamo fatto l'autenticazione degli utenti e dei sistemi a cui si stanno collegando, bisogna decidere se questi utenti, o questi sistemi, hanno diritto a svolgere certe operazioni. Si parla quindi di autorizzazione per decidere se, in base ai dati di autenticazione che sono stati forniti, è lecito ottenere il controllo di un certo oggetto o attivare una certa procedura di elaborazione. 17

18 Riservatezza

19 Riservatezza Un'altra proprietà di sicurezza rilevante nei sistemi informativi è la riservatezza. Con la riservatezza si intende il fatto che una comunicazione, o comunque dei dati memorizzati all'interno di un sistema di elaborazione, non possano essere visualizzati, catturati, da persone che non hanno diritto di accedere a questi dati. 19

20 Integrità

21 Integrità "Attacchi che comportano delle modifiche, delle cancellazioni. Bisogna avere dei sistemi che siano in grado di rilevare se dei messaggi sono stati modificati o cancellati. Questo tipicamente viene fatto a livello applicativo, nel senso che quando ad esempio si manda un ordine di pagamento, si aspetta una conferma che il pagamento sia stato effettivamente ricevuto, ma a livello basso, a livello di pacchetti di rete, la cancellazione di pacchetti è una cosa che può anche essere dovuta a guasti di rete e quindi i sistemi non sanno bene distinguere un attacco da un semplice guasto. 21

22 "Attacchi di tipo replay Integrità Una persona che lavori all'interno della rete di elaborazione potrebbe semplicemente catturare dei bit e, in tempo successivo, rimetterli in circolo in rete. Tipo di attacco molto difficile da parare. 22

23 Tracciabilità

24 Tracciabilità Altre proprietà di sicurezza desiderata all'interno di un sistema informativo sono: la tracciabilità e il non ripudio. Per tracciabilità si intende il fatto che quando una persona compie delle operazioni all'interno di un sistema di elaborazione, noi vorremmo poter essere in grado di seguire le sue orme, le sue tracce. Vorremmo poter essere in grado di evidenziare quali operazioni sono state compiute e da quali persone, all'interno del nostro sistema di elaborazione. Noi possiamo volerlo dimostrare sia in maniera informale, soltanto per dei nostri controlli interni, oppure vogliamo poter dimostrare le azioni che sono state compiute in modo inoppugnabile, ad esempio in modo che possa essere utilizzato anche come prova a carico o a discarico di un certo elemento, in tribunale. 24

25 Alcune tipologie di attacco

26 IP spoofing-packet sniffing Si parla di attacchi di tipo IP spoofing quando il nodo di elaborazione che sta conducendo l'attacco falsifica il proprio indirizzo IP, cioè il proprio indirizzo di rete, per far finta di essere un'altra macchina, tipicamente uno shadow-server server o server- ombra. Si parla invece di packet sniffing,, letteralmente annusamento dei pacchetti e quindi cattura dei pacchetti, quando un qualunque nodo di elaborazione collegato ad una rete di tipo broadcast,, come sono in realtà gran parte delle reti locali, svolge delle operazioni di cattura dei pacchetti e quindi dei dati in essi contenuti, durante il loro transito davanti alla sua postazione di lavoro. 26

27 Connection hijacking- Denial-of-service Si parla di connection hijacking o di data spoofing quando un nodo di elaborazione non soltanto svolge un'operazione di cattura dei pacchetti che stanno transitando, ma addirittura emette dei pacchetti falsi all'interno di un collegamento già stabilito. Si parla invece di attacchi denial-of of-service per quegli attacchi che sono mirati a togliere la disponibilità di un certo sistema informatico, tipicamente degli attacchi che portano al crash o al blocco di un sistema di elaborazione. 27

28 Connection hijacking- Denial-of-service Statisticamente si vede che la maggior parte degli attacchi informatici più banali vengono condotti semplicemente sfruttando bachi del software. Questo è un grosso problema: i normali sistemi informativi tendono ad essere sviluppati con sempre minor cura nella parte di sviluppo del software, questo perché c'è sempre maggior pressione per arrivare più in fretta alla nuova release del prodotto e i codici divengono sempre più grossi. Bisogna però ricordarsi che ogni baco software che è rimasto all'interno di un programma può essere sfruttato da un attaccante per conquistare o mettere in ginocchio il nostro sistema. 28

29 SICUREZZA E FIREWALL

30 Sicurezza In generale, la sicurezza ha a che fare con i seguenti aspetti: controllo del diritto di accesso alle informazioni; protezione delle risorse da danneggiamenti (volontari o involontari); protezione delle informazioni mentre esse sono in transito sulla rete; verifica che l'interlocutore sia veramente chi dice di essere. 30

31 Sicurezza In molte situazioni in cui esiste una rete aziendale connessa con una rete esterna (ad esempio Internet), può sorgere la necessità di: proteggere le informazioni riservate da accessi provenienti dall'esterno della rete aziendale, consentendo solo l'accesso a informazioni pubbliche; limitare l'accesso, da parte degli elaboratori posti sulla rete aziendale, alle informazioni presenti sulla rete esterna. Questo si può ottenere per mezzo di un firewall (parete tagliafuoco), che è l'incarnazione moderna del fossato pieno d'acqua (e magari anche di coccodrilli) e del ponte levatoio che proteggevano gli antichi castelli. 31

32 Sicurezza Il principio è lo stesso: " forzare il passaggio di tutto ciò che transita (esseri umani nell'antichità, traffico di rete oggi) attraverso un unico punto di ingresso e uscita, dove si provvede ad effettuare gli opportuni controlli. " Il firewall si inserisce fra la rete aziendale e quella esterna. In tal modo, tutto il traffico dall'una all'altra parte deve per forza transitare attraverso il firewall. 32

33 FIREWALL Dispositivi in grado di bloccare informazioni nocive che transitano in Internet

34 Firewall I firewall sono dispositivi software od hardware posti a protezione dei punti di interconnessione eventualmente esistenti tra una rete privata interna (ad es. una Intranet) ed una rete pubblica esterna (ad. es. Internet) oppure tra due reti differenti. Agiscono come dei filtri che, dopo aver controllato tutto il traffico di rete che proviene dall'esterno e quello che viene generato dall'interno, permettono soltanto quel traffico che risulta effettivamente autorizzato. 34

35 Funzioni di un firewall Le diverse funzioni di un firewall possono essere raggruppate in queste categorie: " Firewall per la Sicurezza (Statefull( Packet Inspection) " Firewall come Filtro (in ingresso e in uscita) " Firewall come Gateway " Firewall per estensione della propria LAN (Accesso sicuro e LAN to LAN tramite Internet) 35

36 Firewall per il Packet Inspection Un firewall è in genere in grado di analizzare il contenuto di ogni pacchetto che passa attraverso esso. Questo è fondamentale per bloccare il traffico indesiderato o gli attacchi di hacker Internet senza complicare eccessivamente le configurazioni. Tipici esempi di packet Inspection: filtrare gli attacchi Internet di tipo "denial" of service" " (il firewall riconosce che è in corso un tentativo di attacco verso una macchina Interna e lo blocca) la possibilità di verificare il sito in cui si sta navigando e il contenuto dello stesso per eventualmente bloccare o registrare comportamenti non consentiti. 36

37 Firewall per il Packet Inspection Il packet inspection è fondamentale per la realizzazione di un firewall di buon livello. Si parla di Statefull Packet Inspection nel momento in cui il firewall tiene traccia delle comunicazioni e quindi prende le decisioni (ammettere o meno una comunicazione) in base al contesto 37

38 Firewall come Filtro Un firewall è in grado di filtrare il traffico in base al tipo di protocollo, all'indirizzo e alla porta sorgente e all'indirizzo e alla porta di destinazione. Una funzione fondamentale e' quella che permette di filtrare il traffico Web degli utenti di una lan verso Internet in base al contenuto dei siti web o in base ad altre politiche. 38

39 Firewall come Gateway I firewall possono essere usati come gateway verso Internet. In questa ottica il firewall viene visto dalla rete locale come 'router', anche se generalmente sarà un altro router a realizzare la connessione fisica verso Internet. 39

40 Firewall per estensione della propria LAN Una funzione che si ritrova in molti firewall è la possibilità di gestire le VPN (Virtual Private Network). Una VPN permette di estendere la propria rete privata (LAN) verso altre reti private utilizzando come dorsale una rete pubblica. Questo è possibile perché i dati trasmessi da una rete privata all'altra vengono automaticamente crittografati e de-cirttografati dai firewall, rendendo in questo la trasmissione sicura. Vantaggi: " riduzione drastica dei costi per i collegamenti aziendali " maggiore sicurezza nella trasmissione dei dati. 40

41 Firewall per estensione della propria LAN 41

42 Firewall a filtraggio di pacchetti,e firewall a livello di circuito Distinzione dei firewall in base al funzionamento interno

43 Firewall a filtraggio di pacchetti I firewall a filtraggio di pacchetti esaminano le informazioni contenute nella intestazione del pacchetto relativa al protocollo IP e le confrontano con il loro set di regole interno permettendone o bloccandone il transito. Vantaggi: costo contenuto velocità Punti deboli: sensibilità verso determinati tipi di attacco (ad es. quelli basati sull'ip spoofing). connessione diretta tra sorgente e destinazione (una volta che il firewall lascia transitare il pacchetto, esso non garantisce più alcuna difesa contro ogni successivo attacco). 43

44 Firewall a livello di circuito Al contrario i firewall a livello di circuito, molto più costosi, forniscono un livello di protezione più elevato poiché esaminano non soltanto l'intestazione ma anche il contenuto dei pacchetti in transito. Questo meccanismo di funzionamento viene anche detto "stateful packet inspection" proprio perché l'esame del contenuto del datagramma è diretto a verificare lo stato della comunicazione in corso e, quindi, ad assicurare che il sistema di destinazione abbia effettivamente richiesto la comunicazione stessa. In questo modo c'è la garanzia che tutte le comunicazioni si svolgano soltanto con indirizzi sorgente effettivamente conosciuti per effetto di precedenti interazioni. 44

45 Firewall a livello di applicazione Un altra tipologia di prodotti è quella dei firewall a livello di applicazione: si tratta di dispositivi che "vedono" il traffico passante non come una sequenza di pacchetti ma come un flusso di dati e verificano la legittimità delle connessioni permettendo soltanto il tipo di traffico che risponde a delle funzionalità specifiche (ad es. l'accesso alla rete Internet oppure lo scambio dei messaggi di posta elettronica). In linea generale questa classe di prodotti è spesso rappresentata da sistemi con servizi di proxy che funzionano agendo da tramite tra un client ed un qualsiasi server esterno. 45

46 Firewall a livello di applicazione In pratica il client invia la sua richiesta di connessione ad una rete esterna al server proxy il quale, dopo aver verificato l'ammissibilità del traffico in base alle regole definite, la inoltra al sistema di destinazione. Una volta ricevuta la risposta, essa viene reinoltrata al client che di conseguenza è sempre nascosto e non instaura mai una connessione diretta con il sistema esterno. 46

47 Firewall a livello di applicazione I vantaggi derivanti da questo differente meccanismo di funzionamento sono principalmente costituiti da: un migliore controllo sui protocolli applicativi (vedi http, ftp, smtp, ecc..) dal momento che il software, se opportunamente configurato, è in grado anche di riconoscere la presenza di vulnerabilità specifiche ed evitare di conseguenza lo sfruttamento di exploit noti da parte di un aggressore. minore suscettibilità agli attacchi basati sulle tecniche di occultamento dei dati all'interno del traffico legittimo (cd. tunneling), 47

48 Firewall a livello di applicazione possibilità di produrre log dettagliati ed, in alcuni casi, dalla capacità di interfacciamento con altri sistemi (ad esempio gli IDS o sistemi di scoperta delle intrusioni) con un conseguente miglioramento dei livelli di sicurezza complessivi. Svantaggio: introduzione di una inevitabile lentezza nello smistamento del traffico di rete 48

49 Configurazione I firewall non sono dispositivi "autonomi"

50 Configurazione I firewall devono essere istruiti nel prendere decisioni in merito alla ammissibilità del traffico in transito attraverso delle regole ben precise definite dall'utente. La predisposizione di questo set di regole può richiedere una fase di studio ed implementazione più o meno lunga e laboriosa a seconda di quali siano effettivamente le esigenze di difesa. Il fulcro dell'intero funzionamento di questi dispositivi sta proprio nella loro corretta configurazione. 50

51 L aggiornamento del software I firewall che non hanno natura di dispositivi hardware sono delle vere e proprie applicazioni. L'unica differenza con le applicazioni tradizionali è che in questi casi il firewall rappresenta l'ultimo baluardo di difesa per cui se un aggressore riesce a superare questa barriera sfruttando una vulnerabilità specifica del prodotto egli può avere pieno accesso al sistema protetto e compiere di conseguenza ogni tipo di attività. Per evitare che ciò accada è assolutamente necessario applicare sempre tutte le patch rilasciate dal produttore del software. 51

52 Software Prodotti freeware, shareware o commerciali

53 Software In rete esiste un buon numero di prodotti freeware, shareware o commerciali che rientrano nella fascia di mercato dei firewall a difesa personale. Alcuni prodotti: ZoneAlarm per Windows 9.x,Me,NT4,2000/XP in versione freeware scaricabile dall'indirizzo 53

54 ZoneAlarm Questo prodotto combina le funzionalità di un firewall con quelle di un sistema di controllo delle applicazioni e presenta una serie di caratteristiche quali: possibilità di scegliere tra tre livelli di protezione predefiniti (Basso,Medio,Alto); flessibilità e facilità di configurazione; analisi in tempo reale dei tentativi di connessione verso l'esterno (l'utente conserva la possibilità di scegliere se continuare o bloccare la connessione); 54

55 Tiny Personal Firewall Il secondo prodotto è Tiny Personal Firewall per Windows 9.x,Me,NT4,2000 freeware, liberamente scaricabile all'indirizzo 55

56 Tiny Personal Firewall Questo prodotto oltre a fornire le classiche funzioni di filtraggio dei pacchetti è anche in grado di costruire dei filtri a livello delle applicazioni e mette a disposizione una serie di ulteriori funzionalità. Alcune funzionalità: # possibilità di definire una lista di indirizzi di fiducia; # possibilità di applicare le regole di filtro soltanto durante un preciso intervallo temporale; # possibilità di scegliere tra tre livelli predefiniti di comportamento (blocco di tutto il traffico, richiesta esplicita di conferma per ciascuna connessione per la quale non sia presente una regola di filtraggio oppure nessun tipo di blocco). 56

57 Black Ice Defender L'ultimo prodotto è Black Ice Defender per Windows 9.x,NT4,2000 disponibile all'indirizzo 57

58 Black Ice Defender Si tratta di un prodotto commerciale che unisce le funzionalità tipiche di un firewall con quelle di un sistema per la scoperta delle intrusioni (IDS). Il software analizza in tempo reale tutti i pacchetti in transito e, grazie ad un database interno aggiornabile che raccoglie le impronte caratteristiche delle varie tipologie di attacco, è in grado di riconoscere svariati tentativi di intrusione e di bloccarli prima che essi siano portati a compimento fornendo un immediato riscontro all'utente e raccogliendo in un file di log le informazioni relative all'aggressore quali l'indirizzo IP, l'eventuale nome NETBIOS della macchina utilizzata ed il suo indirizzo hardware. 58

59 Black Ice Defender Altre caratteristiche interessanti sono: " facilità di configurazione con la possibilità di scegliere tra quattro tipologie differenti di livelli: " possibilità di definire gruppi di indirizzi di fiducia; " produzione di log dettagliati 59

60 Decalogo

61 Decalogo Molti dei problemi che tipicamente si presentano quando si tratta della sicurezza di un sistema informatico possono essere evitati attraverso l'adozione delle seguenti azioni correttive: 1. usare un buon antivirus 2. usare un firewall 3. non aprire allegati di posta elettronica 4. accertarsi sempre della genuinità di qualsiasi programma prima di eseguirlo e dei documenti che possono contenere delle macro; 5. applicare sempre le più recenti patch: questo vale non soltanto per il sistema operativo ma anche per il software applicativo; 61

62 Decalogo 6. prestare la massima attenzione al funzionamento anomalo del sistema operativo; 7. disabilitare Java, JavaScript ed ActiveX o usare software specifico che funge da filtro per i contenuti interattivi che vengono normalmente ricevuti o utilizzando forme di navigazione anonime tramite proxy server; 8. disabilitare le funzionalità di scripting nei client di posta elettronica: spesso infatti le maggiori vulnerabilità che colpiscono i browser, legate alla presenza di contenuti interattivi, si presentano anche in questo genere di software; 62

63 Decalogo 9. disabilitare le funzionalità di scripting nei client di posta elettronica: spesso infatti le maggiori vulnerabilità che colpiscono i browser, legate alla presenza di contenuti interattivi, si presentano anche in questo genere di software; 10.fare un backup regolare di tutti i dati sensibili; 11.creare un disco di boot: ciò può aiutare in un eventuale attività di recovery di un sistema compromesso. 63