Proteggere la nostra rete informatica

Transcript

1 Proteggere la nostra rete informatica Oggi la sicurezza della rete informatica del nostro ufficio o azienda è una necessità non solo imprescindibile, ma anche un obbligo di legge (legge 196/03). Una fala che consenta l accesso ad estranei, un virus, un cavalo di troia possono infati paralizzare di colpo la nostra operatività (magari a ridosso di una scadenza), farci perdere informazioni essenziali o, peggio, farle uscire al esterno. Alo stesso modo, la mail spazzatura rallenta il nostro uso quotidiano dela posta eletronica, come pure l utilizzo indiscriminato o semplicemente sbagliato del collegamento ad internet può ridurre drasticamente la produttività del personale o la velocità della nostra rete. Con la recente diffusione dei collegamenti permanenti ad internet (ADSL), la vulnerabilità delle piccole reti è cresciuta a dismisura. Per fortuna vi sono anche soluzioni efficaci, rapide da implementare, e dai costi contenuti, che permettono di ridurre drasticamente i rischi a cui siamo sottoposti. Il tutto, ovviamente, a patto di progettare i nostri sistemi informativi con competenza e cognizione di causa, senza delegarli ad attività marginale alla portata di chiunque. Di seguito viene presentata una carrellata molto generale dei problemi che dobbiamo tenere presenti, e delle possibili soluzioni a nostra disposizione. Il quadro di riferimento che si dà per scontato è quello di una abitazione, ufficio o piccola azienda, connessa ad Internet tramite ADSL (o qualsiasi altra connessione permanente o semipermanente). Come funziona il collegamento ad Internet Quando ci colleghiamo ad Internet, diventiamo raggiungibili da qualsiasi altro apparato connesso alla rete, in qualsiasi parte del mondo esso sia. Generiamo del traffico in uscita, ed al tempo stesso riceviamo del traffico in entrata (per esempio le pagine web che richiediamo di vedere). Questo significa che siamo un oggeto ben identificabile e raggiungibile. Ci viene assegnato un identificativo, deto indirizzo IP, che diventa un po il nostro numero di telefono, solo che è ben noto a tuti e non c è modo di tenerlo riservato. Se il collegamento avviene direttamente con un pc ed un modem (soluzione che NON dovrebbe MAI accadere al giorno d oggi), tute le funzionalità del nostro pc sono potenzialmente visibili dal esterno. Quindi se abbiamo attivo un programma di condivisione file o un gestionale, ad esempio, potenzialmente chiunque può accedervi (soprattutto se questo ha un errore di programmazione noto, un bug, e per il quale magari non abbiamo installato tempestivamente l aggiornamento necessario a risolverlo). Se il collegamento avviene tramite la nostra rete locale, il ponte tra essa ed Internet è costituito da un apparecchio chiamato router. Il router fa da ponte fra i nostri pc ed Internet, e proprio per questo è collegato sia alla rete locale che alla linea ADSL (caratteristica unica che rende molto facile riconoscerlo fra i nostri apparati di rete). In questo caso la connessione è più sicura, perché non tuto quelo che gira sul nostro pc sarà raggiungibile dal esterno. Proteggere la nostra rete informatica di B. A. Zambetti Pagina 1 di 5

2 Ciononostante questa architettura non ci dà di per se stessa grandi garanzie aggiuntive sulla sicurezza. La protezione del NAT Nel caso in cui la nostra rete sia connessa ad internet tramite un router (come dovrebbe già avvenire da tempo in ogni ufficio), possiamo contare su un meccanismo di protezione semplice ma di una certa efficacia. Poiché i nostri pc non sono direttamente connessi ad internet, ma usano il router come ponte per il colegamento, si può sfruttare una tecnica chequest ultimo mette a disposizione permete di nascondere il nostro pc al resto del mondo. In pratica, se noi chiediamo di vedere, ad esempio, una pagina web, è il router che intercetta la richiesta, la inoltra al nostro posto al server internet, riceve la risposta, e quindi la consegna al nostro pc. Il nostro pc non riceverà NESSUN ALTRO MESSAGGIO da Internet che sia diverso dalle risposte alle richieste che egli stesso ha generato. Quindi se qualcuno cercherà, da Internet, di attaccare i nostri sistemi, difficilmente riuscirà a raggiungerli perché si fermerà al router. Questo meccanismo, chiamato NAT (network address translation), consente, in sostanza, di tenere nascosta la nostra rete, ed aprirla di volta in volta solo per le esigenze che noi stessi manifestiamo. Il tuto, ovviamente, senza che l utente si accorga di nulao sappia che questo avviene. Il NAT è un primo tassello della sicurezza, che non dovrebbe MAI mancare in una connessione ad internet, sia questa usata a casa o in ufficio. Dato il basso costo di un router e di una scheda di rete, anche rispetto ad un più semplice modem, questo tipo di connessione rappresenta un imprescindibile livello di sicurezza di cui non dobbiamo fare a meno. Il firewall Se il NAT rappresenta una prima barriera, esso non è certo stato concepito come sistema di sicurezza, e non garantisce un livello completo di controllo sul traffico di rete. Inoltre, vi sono determinate situazioni in cui il NAT non è utilizzabile. Se, per esempio, nella nostra rete di ufficio vi è un server di posta, usato sia per le comunicazioni interne che per ricevere la posta da internet (soluzione per fortuna sempre più diffusa, visti gli enormi benefici che offre rispetto al vecchio schema delle caselle di posta presso un provider esterno), questo deve almeno in parte essere sempre raggiungibile dal esterno, e da chiunque. Ciò implica, ovviamente, la necessità di un controllo rigoroso su quanto gli utenti esterni fanno, o cercano di fare, con il nostro sistema di posta (va bene consegnare un destinata a noi, ma va meno bene cercare di forzarlo per rubare i nostri documenti). Vi sono poi molte tecniche, su cui non mi addentro, tramite le quali è possibile forzare una rete ed accedere a servizi più o meno vitali, oppure anche solo a bloccarne il funzionamento. Per proteggere la nostra rete è quindi importante utilizzare, per la connessione ad Internet, un firewal. Questo apparecchio può essere considerato come un router più evoluto, che, oltre a fungere da ponte fra le reti, si occupa anche analizzare tutto il traffico che lo attraversa. Il livello di analisi può essere più o meno raffinato a seconda del modello adottato, ma il concetto Proteggere la nostra rete informatica di B. A. Zambetti Pagina 2 di 5

3 non cambia: con un firewal c è un elemento dela nostra rete che controla ativamente tuto quello che transita da eper l esterno. Molti apparati utilizzati per le connessioni adsl integrano già funzionalità di firewall di base, aumentando il livello di sicurezza senza introdurre costi aggiuntivi particolari. Per necessità più articolate, o per disporre di protezioni aggiuntive (si vedano i paragrafi seguenti), può essere importante disporre di un firewall autonomo, con funzionalità avanzate ed un alto livello di sicurezza. In questo modo non solo potremo disporre di un componente di protezione più efficace, ma disporremo sicuramente di un apparecchio più flessibile e capace di supportarci in molteplici situazioni. Le funzionalità di firewall possono essere realizzate anche esclusivamente per via software (cioè attivando un particolare programma su un pc), ma una soluzione di questo tipo è meglio che sia riservata ad aziende di una certa dimensione, con necessità complesse e soprattutto con competenze e personale dedicato alla gestione di queste cose. Per tutti gli altri è molto meglio un bell apparecchio fine a se stesso. Protezione antivirus Uno dei problemi più annosi della sicurezza informatica è costituito dai virus, e, più recentemente, da una miriade di programmi che magari non possono essere catalogati come i tradizionali virus, ma che possono provocare danni altrettanto gravi. Mi riferisco, ad esempio, ai cavali di troia (che consentono ad altri di prendere possesso del nostro pc dal esterno, ed usarlo magari per compiere azioni ilegali a nostro nome ), ai dialer (quei programmi che collegano il nostro modem a numeri internazionali) o agli spyware, programmi che controllano cosa facciamo con il nostro pc e trasmettono a terzi queste informazioni (fra cui magari la password che digitiamo quando accediamo alla nostra banca on-line). Dal punto di vista della rete, possiamo identificare come principali fonti di ingresso di virus il web (con pagine e file scaricati), e la posta elettronica. Sebbene i nostri pc siano sicuramente dotati di antivirus aggiornati, ed il nostro server aziendale e di posta elettronica monti un sistema centralizzato di protezione ed aggiornamento (vero? siamo nel 2005 ), le possibili falle sono sempre molte. Per questo motivo disporre di un firewall che effettui anche controllo antivirus rappresenta una soluzione estremamente efficace. Con un apparecchio di questo tipo, infatti, TUTTO il traffico in entrata (e in uscita) dala nostra rete viene automaticamente controlato e verificato, eliminando al origine ogni possibile infezione. Il tuto senza interventi da parte del utente, malfunzionamenti, aggiornamenti da fare a mano, o ritardi nel uso dela connessione. Ovviamente questo non rimpiazza i nostri tradizionali antivirus per client e server, perché le infezioni possono arrivare anche dal interno (per esempio tramite CD infeti), ma ci dà un alto livelo di sicurezza per quanto riguarda la nostra connessione ad internet e ci fa dormire, su questo versante, sonni tranquilli. Proteggere la nostra rete informatica di B. A. Zambetti Pagina 3 di 5

4 Controlare l uso dela rete Un problema non secondario legato al nostro collegamento ad Internet è rappresentato da cosa fanno i nostri utenti interni con questo collegamento. La prima discriminante è legata al uso dei servizi (ricordo che l equazione di molti profani Internet=Web è profondamente sbagliata: Internet è una cosa, il web è uno dei suoi servizi, come lo può essere la posta elettronica). Se il web e la posta elettronica possono essere generalmente accettati, meno gradito potrebbe essere l uso dei programmi di chat o messaggeria istantanea, e sicuramente sgradito sarà l uso di programmai P2P usati per scaricare musica, film o software pirata, che, oltre a portare probabilmente in ufficio/azienda materiale illegale (con le conseguenze del caso), causeranno un alto livello di occupazione del nostro collegamento ed un rallentamento di tutte le altre attività. Alcuni di questi programmi, poi, contengono funzionalità degne di un cavalo di troia vero e proprio, e possono essere usati da utenti esterni per compiere operazioni sul e dal nostro computer. Ancora una volta, un firewall di buon livello ci viene in aiuto, perché ci può consentire di limitare, ad esempio, l uso del colegamento internet al solo web ed alla posta elettronica, bloccando ogni altro tipo di traffico relativo a servizi non utili al nostro lavoro. Un secondo livello di problemi è legato al web: quali siti servono a lavorare e quali no? Spesso, infatti, è utile che il personale (o una parte di esso) acceda ad alcuni siti, ma altrettanto spesso è facile cadere nella tentazione di passare molto tempo su altri che nulla hanno a che fare con il lavoro (portali di informazioni, webmail, servizi finanziari, oroscopo, meteo, incontri online, ecc.). In questi casi risulta utile limitare l accesso a determinate categorie di siti, o a indirizzi specifici, perlomeno per alcuni utenti. Una alternativa possibile può essere quella di porre questa limitazione, ma prevedendo l eccezione di alcune fasce orarie (es. pausa pranzo) in cui si lascia campo aperto ala navigazione. Il tuto, ovviamente, a pato che il nostro firewal vigili per evitare che qualcuno acceda in ogni caso a siti che contengono virus o altre simpatiche sorprese! Di nuovo, per controllare quello che vogliamo venga usato del web, il nostro firewall può offrire un supporto integrato di ottimo livello (se ne adottiamo uno con questa funzionalità, ovviamente). Per questo specifico problema vi possono in realtà essere anche altre alternative, per esempio una strutura di rete diferente e l uso di un proxy server (vale a dire una macchina, una specie di segretaria, a cui tutti devono richiedere una determinata pagina web se la vogliono vedere) che può effettuare un controllo preventivo sulle richieste che riceve. La soluzione integrata nel firewall, però, ha il pregio di non aggiungere altro software sulla rete e non cambiarne la struttura, e, quindi, contenere la complessità negli ambienti piccoli e non dotati di personale tecnico per la gestione e manutenzione. Lo spam Chi non conosce lo spam? L invio di non richieste (pubblicità) è uno dei mali di Internet, e ogni casella di posta elettronica è bombardata da messaggi di questo tipo. Sebbene non vi Proteggere la nostra rete informatica di B. A. Zambetti Pagina 4 di 5

5 sia una soluzione complessiva a questo problema, vi sono delle tecniche che possono ridurre del 90% la posta spazzatura che riceviamo, con pochi errori. La protezione può essere adottata dal server di posta che gestisce le nostre caselle (sia esso il nostro server aziendale interno, oppure quello di un provider esterno), oppure, ancora una volta, può essere applicata dal firewall che lo connette ad internet. In ogni caso, vengono applicate delle analisi al mittente del messaggio (inteso come il server che ci ha contattati per consegnarcelo, non quello che compare nel nostro programma di posta che non ha alcun valore perché chiunque può mandare una mail con il mittente che preferisce), alla sua struttura, alle parole contenute, ed a un ampia gamma di parametri tecnici. Sula base di questa analisi, il messaggio viene inoltrato oppure no. Questi sistemi sono efficaci, a patto che ricevano un aggiornamento costante. Conclusioni Le problematiche connesse alla sicurezza del nostro collegamento ad internet sono molte, e spesso i più ignorano completamente la loro esistenza. Questo ovviamente non deve spaventarci, o tantomeno farci rifuggire dal vivere always-on, ma deve semplicemente indurci a valutare le giuste soluzioni ai problemi (d altronde se fare stare in piedi un ponte è difficile, non per questo rinunciamo a farlo, no?). La cosa importante, come sempre, è quella di valutare con professionalità e competenza ogni singola situazione, e provvedere a dotarla degli strumenti più adeguati, opportunamente configurati e con il necessario processo di aggiornamento. In questo articolo ho cercato di dare una panoramica molto generale di alcuni degli aspetti su cui dovremmo interrogarci in relazione alla nostra rete ed al nostro collegamento ad Internet. Non mi sono volutamente addentrato in dettagli tecnici, né nei problemi, nelle soluzioni o nei prodotti che le implementano, riguardo ai quali sarò eventualmente felice di rispondere a chi dovesse avere interesse ad approfondire l argomento. Ovviamente, per ciascuno dei temi accennati, sarebbe possibile espandere notevolmente il discorso, anche continuando a tenere come riferimento solo un ufficio o piccola azienda. Come pure si potrebbe parlare di temi oggi importanti quali reti senza fili, collegamenti VPN (casa-ufficio, o tra uffici), server aziendali, sicurezza delle postazioni di lavoro, centralini elettronici e telefonia su rete dati, obblighi imposti dalla legge 196/03. Ma questi sono altri argomenti, di cui magari avremo modo di parlare in futuro ing. Bruno A. Zambetti bruno.zambetti@huge.it Proteggere la nostra rete informatica di B. A. Zambetti Pagina 5 di 5