9HURQD /DVROX]LRQH)6HFXUH XQDSLDWWDIRUPDGLVHFXULW\D SURWH]LRQHGHOODUHWHFRQWUR KDFNHUH0DOLFLRXV&RGH

Transcript

1 ,7HP0DJJLR 9HURQD /DVROX]LRQH)6HFXUH XQDSLDWWDIRUPDGLVHFXULW\D SURWH]LRQHGHOODUHWHFRQWUR KDFNHUH0DOLFLRXV&RGH Andrea Gradella Anti-Virus Security Division Symbolic

2 Agenda Terminologia Caratteristiche di alcune infezioni che hanno caratterizzato il 2002 Alcune Best Practices Soluzione F-Secure

3 Cosa st iam o t rat t ando Malware = Malicious Software Termine generico che comprende tutto il software dannoso: Virus Worms Trojans RATs DoS Tools etc

4 Classific azioni Le precedenti definizioni sono fortemente generalizzate: è frequente incontrare malware che appartiene a più di una di queste categorie Es. Melissa: è un macro-virus che usa come vettore i documenti di MS Word, ma è anche un worm dell . Code Red è un worm che agisce come DoS Tool

5 Uso estensivo delle MAIUSCOLE e dei punti esclamativi!!! E-m ail e ingegneria soc iale Il "virus" arriva sempre e solo via e si attiva quando si apre il messaggio Hoax Il "virus" causa sempre danni irreparabili Si può rimuovere il "virus" solo cancellando il messaggio Gli utenti sono invitati a propagare l'allarme Viene sempre citata una fonte autorevole (MS, IBM, FBI ), ma senza nominare un portavoce Il "virus" viene sempre descritto come "più distruttivo" di un altro, o "il più pericoloso" Uso di gergo tecnico per nascondere l'infondatezza dell'argomento Inesattezza dei termini: si parla spesso di "trojan horse virus" Si suppone che il "virus" arrivi sempre in un messaggio con lo stesso subject Spesso AOL è descritta come vittima del "virus" Aggiunte apocrife: "Mi ha detto mio cugino che "

6 Slapper (14/09/2002) Routine di propagazione Sfrutta una vulenrabilità nota della libreria OpenSSL (Buffer Overflow) Le istanze del worm comunicano tra loro: possibilità di propagare istruzioni E in grado di effettuare upload e di eseguire arbitrariamente programmi sul host infetto Può essere utilizzata per effettuare attacchi di tipo DDoS 1 Gen 2 Gen 3 Gen

7 Tanat os alias Bugbear (30/09/2002) :RUPLQJUDGRGLGLIIRQGHUVL PROWRUDSLGDPHQWHYLDHPDLO SUHVHQ]DGHOODYXOQHUDELOLWj 06 3URSDJD]LRQHDWWUDYHUVROD /$1,QJUDGRGL³UXEDUH 8VHUQDPH H3DVVZRUG &RPSRQHQWH%DFNGRRU

8 Tanat os alias Bugbear (30/09/2002) Componente Backdoor Apre una connessione sulla porta Consente l accesso al host infetto attraverso un interfaccia Web Viene creata un interfaccia HTML attraverso la quale è possibile sfogliare le directory del PC infetto. E possibile avere informazioni quali sistema operativo, tipo di processore, fix e driver di rete

9 Opasoft (01/10/2002) Scansione, sulla porta NETBIOS 137, della rete (sfrutta vulnerabilità MS ) Routine di propagazione Una volta infettato, l host inizia la routine di propagazione all interno della LAN e con scansioni su Internet alla ricerca di un nuovo host da infettare Apre una Backdoor in grado di effettuare l upload del Worm e di eseguire script arbitrari. La connessione di questa backdoor viene fatta verso il link Replay Data )LOHDQG 3ULQW 6KDULQJ 23(1

10 Difesa o prevenzione? Gli analisti antivirus sono esseri umani, quindi i loro tempi di reazione non sono immediati Date le premesse, è chiaro che sarebbe difficile contrastare la diffusione di un ipotetico super-worm a qualche ora dalla diffusione Occorre spostare l attenzione sulla prevenzione La connettività universale implica che ognuno di noi è un anello della catena

11 (Alc une) Best Prac t ic es Un utente informato tende a essere prudente Utilizzo di client sicuri e dotati delle patch più recenti No ai modem non autorizzati No alle applicazioni non necessarie Anti-Virus per tutti i client, nessuna eccezione Sui server: non limitarsi mai all installazione out of the box Informarsi costantemente sulle vulnerabilità per le proprie piattaforme Controllo costante dei log Configurare correttamente il firewall Se possibile, usare personal firewalls e IDS

12 Prot eggere c on l Ant i-virus i c lient della m ia ret e è suffic ient e? Le impronte vengono rese disponibile rapidamente, molto spesso però i Worm sono in grado di diffondersi ancor più rapidamente La scansione euristica degli Anti-Virus può non riconoscere Malware di nuova generazione Gli Anti-Virus possono non essere in grado di rilevare i Worm caricati in memoria La presenza di vulnerabilità nelle applicazioni può by-passare la presenza di un Anti-Virus Come proteggersi? Utilizzo di Personal Firewall ed Anti-Virus

13 Le soluzioni F-Sec ure 'HVNWRSVHODSWRSV F-Secure Anti-Virus per Workstations F-Secure Distributed Firewall +DQGKHOGV F-Secure Anti-Virus per PocketPC F-Secure Anti-Virus per Nokia 9200 Communicator 6HUYHUGLSRVWD F-Secure Anti-Virus per Microsoft Exchange F-Secure Anti-Virus per Internet Mail (SMTP) F-Secure Anti-Virus per MIMEsweeper 6HUYHUV F-Secure Anti-Virus per File Servers (Windows + Linux) 6FDQVLRQHGHOWUDIILFR:HE HGHPDLO F-Secure Anti-Virus for Firewalls (CVP)

14 Le soluzioni F-Sec ure Managem ent e Report ing c ent ralizzat o Comunicazione tra Console ed host attraverso protocollo HTTP Possibilità di creare regole e/o restrizioni per gli host Operazioni automatiche e trasparenti per gli utenti Monitoraggio dei prodotti F-Secure installati sugli host Avvio da remoto di operazioni predefinite

15 Le soluzioni F-Sec ure Managem ent e Report ing c ent ralizzat o Possibilità di creare report personalizzati che possono essere visualizzati attraverso F-Secure Policy Manager Console, attraverso un browser, oppure esportati in formato Microsoft Excel Report degli Alert Verifica dell aggiornamento delle impronte virali sugli host

16 Le soluzioni F-Sec ure F-Sec ure Dist ribut ed Firew all F-Secure Distributed Firewall consente di proteggere le informazioni riservate presenti sugli host contro l accesso non autorizzato (hackers) F-Secure Distributed Firewall include: Intrusion Prevention Application Control Security Alerts Interfaccia semplice da utilizzare Gestibile e configurabile attraverso F-Secure Policy Manager Console

17 Le soluzioni F-Sec ure F-Sec ure Dist ribut ed Firew all

18 Le soluzioni F-Sec ure F-Sec ure Dist ribut ed Firew all &RUSRUDWH1HWZRUN$GPLQLVWUDWRU

19 Le soluzioni F-Sec ure F-Sec ure Ant i-virus Installazione da remoto, attraverso F-Secure Policy Manager Console Aggiornamento automatico ed incrementale delle impronte virali Configurabile da remoto Completamente trasparente per l utente finale Pianificazione di scansioni manuali

20 Le soluzioni F-Sec ure F-Sec ure Ant i-virus Anti-Virus multi-engine: F-Prot: rilelevazione e disinfezione di Macro, file e boot sector virus AVP: rilelevazione e disinfezione di virus polimorfici e macro virus Orion: motore euristico per la rilevazione dei malware sconosciuti

21 Le soluzioni F-Sec ure Sc enario 1 F-Secure Policy Manager Server F-Secure Policy Manager Console Virus Research Laboratory FSAV + FSDFW FSAV FSAV + FSDFW /$1 FSAV per IM FSAV + FSDFW

22 Le soluzioni F-Sec ure Sc enario 2 F-Secure Policy Manager Server F-Secure Policy Manager Console Virus Research Laboratory FSAV + FSDFW FSAV Proxy FSAV + FSDFW /$1 FSAV per IM 5HPRWH2IILFH

23 Domande? Grazie