COMPUTER EMERGENCY RESPONSE TEAM

Transcript

1 STATO MAGGIORE DIFESA Reparto Informazioni e Sicurezza Ufficio Sicurezza Difesa CERT COMPUTER EMERGENCY RESPONSE TEAM BOLLETTINO DI SICUREZZA INFORMATICA IL BOLLETTINO È DISPONIBILE ON-LINE SUL SITO PER CONTATTI ED INFORMAZIONI ris.cert@smd.difesa.it

2 INDICE PERSONAL FIREWALL E SICUREZZA Panoramica 1 FIREWALL XP LE RULES NEL PERSONAL FIREWALL IE: BLOCCO DELLA PAGINA INIZIALE Difficoltà: PRINCIPIANTE Difficoltà: INTERMEDIA Difficoltà: PRINCIPIANTE SOLUZIONI PER LO SHOULDER SURFING Hardware 10 LE VENTI VULNERABILITÀ PIÙ CRITICHE PER LA SICUREZZA IN INTERNET (10^ PARTE) 11 Difficoltà: INTERMEDIA

3 PERSONAL FIREWALL E SICUREZZA Panoramica Non più di dieci anni fa l attività di hacking richiedeva un elevato livello di conoscenza tecnica ed un notevole dispendio di tempo, generalmente impiegato nel tentativo di penetrare obiettivi di elevato interesse. Con la rapidissima espansione di Internet gli strumenti di hacking si sono raffinati ed automatizzati, fornendo a figure praticamente inesperte la possibilità di condurre attacchi informatici su ampia scala. Tali strumenti sono facilmente reperibili in rete e vengono costantemente aggiornati dalla comunità di hacking, la quale ne promuove lo sviluppo ed il libero utilizzo. La tangibile conseguenza è che qualunque neofita sia attualmente in grado di lanciare un programma di tipo Scan/Probe e, con il semplice inserimento di uno o più indirizzi IP, riceva automaticamente le informazioni sulle vulnerabilità dei bersagli e la lista dei possibili attacchi. L esperienza quotidiana ci mostra come persino il computer adibito ad uso domestico, potenzialmente privo di informazioni di rilievo, sia continuamente soggetto a tentativi di infiltrazione, molto spesso condotti con successo. L utilizzo di un Personal Firewall permette di proteggersi da buona parte di queste minacce, bloccando il traffico di rete non richiesto o comunque non necessario all utente. Indipendentemente dall implementazione, che può essere sia hardware che software, il Firewall analizza i pacchetti di rete e li filtra secondo criteri personalizzabili, escludendo o limitando servizi che, non richiesti dall utente, potrebbero essere altresì sfruttati da terzi per scopi illeciti. La necessità di disporre di strumenti di difesa sta inducendo i produttori di software ad implementare versioni più o meno complesse di Personal Firewall direttamente nei sistemi operativi, come è avvenuto nel caso di Microsoft Windows XP. E altresì possibile optare per uno dei numerosi programmi disponibili sul mercato o, in molti casi, reperibili gratuitamente in rete con formula di licenza freeware. FIREWALL XP Difficoltà: PRINCIPIANTE Il S.O. Windows XP possiede un Firewall di base di semplice configurazione, con il quale si può limitare il rischio di subire attacchi attraverso i vari servizi di Internet (ftp, http, ecc.). E importante sapere che non esiste una installazione guidata del suddetto Firewall (Wizard), quindi sarà cura dell utente procedere manualmente alla sua configurazione, seguendo la procedura qui descritta: - 1 -

4 1. dal tasto start (avvio) cliccare su Risorse del computer (figura 1); figura 1 2. cliccare con tasto ipertestuale (destro del mouse) su Risorse di rete (figura 2) e selezionare Proprietà (figura 3); figura 2 figura 2 figura 3 3. dalla maschera che apparirà (figura 4) scegliere la connessione che si desidera proteggere, cliccandoci sopra una sola volta per evidenziarla. In seguito cliccare su Cambia impostazioni connessione ; - 2 -

5 figura 4 si aprirà quindi la finestra di Proprietà riportata in figura 5 (attivabile anche cliccando con il tasto destro su Connessione alla rete locale (LAN) e selezionando l opzione Proprietà ); 4. scegliere la scheda Avanzate e successivamente spuntare la casella corrispondente all'attivazione del Firewall Proteggi il computer e la rete limitando o impedendo l accesso al computer da Internet. La pressione del pulsante OK terminerà la procedura: a conferma dell avvenuta installazione, sull'icona della connessione protetta apparirà un lucchetto (figura 6). figura 6 figura 5 figura 6 Il Firewall XP permette, oltre a filtrare i dati, di monitorare il traffico di rete registrando un file di log testuale (.txt). Per l attivazione di tale opzione seguire i seguenti passi: 5. cliccare di nuovo su Impostazioni e selezionare la scheda Registrazione di protezione (figura 7)

6 6. spuntare le opzioni di registrazione desiderate, che sono tenere traccia di tutti i pacchetti non bloccati e/o delle connessioni riuscite (figura 7). Durante l utilizzo della rete verrà quindi creato ed aggiornato un file di log (di default è C:\Windows\pfirewall.log) che conterrà informazioni indispensabili ad una eventuale individuazione di intrusioni od altre minacce informatiche (figura 8). figura 7 figura 8 N.B. la consultazione di un file di log in formato testuale può non apparire del tutto user friendly ; per ovviare a ciò è disponibile in rete un programma che permette di consultare detto file, presentandolo con una veste grafica di più semplice lettura. Il programma (freeware) si può scaricare al seguente indirizzo: L'ultima scheda su cui è possibile intervenire è quella relativa all'impostazione dei pacchetti di tipo ICMP (Internet Control Message Protocol). figura

7 L impostazione di default blocca tutto il traffico di rete di tali pacchetti che, sono fra l altro, comunemente utilizzati da programmi di tipo Probe/Scan per individuare la configurazione e le vulnerabilità di sistemi remoti. Qualora non sussistano specifiche esigenze, si consiglia di non variare la configurazione di default. Premendo OK si accetteranno le modifiche effettuate e si attiverà in tal modo il Firewall. Il giudizio sul Firewall XP è complessivamente positivo, in quanto rende disponibile a tutti, in particolare a coloro che si affacciano senza grande esperienza all insidioso mondo di Internet, un indispensabile strumento di protezione. Gli utenti con qualche conoscenza in più potrebbero però non accontentarsi del livello basico di protezione offerto da tale applicativo, optando per una delle numerose alternative disponibili sul mercato. LE RULES NEI PERSONAL FIREWALL Difficoltà: INTERMEDIA Il Firewall XP descritto nel precedente articolo, a fronte di una estrema semplicità di configurazione, presenta alcuni basilari svantaggi: (1) mancanza di un controllo sulle comunicazioni in uscita verso la rete; (2) impossibilità di selezionare il traffico di rete sulla base dell applicativo che lo genera. Particolarmente grave è il punto (1): sulla nostra macchina potrebbe per esempio essere presente a nostra insaputa un key-logger, in grado di inviare nella rete tutte le sequenze di tasti premuti sulla nostra tastiera, password e carte di credito comprese. Un firewall predisposto al controllo del traffico in uscita ci segnalerebbe subito un attività illecita di questo tipo. L impossibilità di conoscere esattamente l applicativo che genera un certo traffico di rete (punto 2) ci vincola ad un approccio tutti o nessuno. Per esempio, una volta permesso l utilizzo del servizio http, accetteremo implicitamente che qualunque applicazione si colleghi a nostra insaputa a siti remoti, magari inviando informazioni personali. Un Firewall che permetta l accesso al servizio http solo al nostro Web Browser eviterà questo genere di problema. In rete, provando a digitare la chiave firewall in un qualsiasi motore di ricerca, si possono trovare diversi applicativi che soddisfano le esigenze sopra menzionate, oltre a numerose altre. Ne esistono tipi per qualsiasi piattaforma, a pagamento e gratuiti; un indirizzo dove trovare Personal Firewalls freeware è il seguente: Si è già detto in precedenza che un Firewall non è altro che un software che filtra e notifica tutto ciò che entra e esce dal PC una volta connessi in rete. Molti pensano di non avere bisogno di un simile programma, altri lo provano ma dopo essere impazziti - 5 -

8 con continui avvisi e allarmi lo disabilitano perché non riescono a navigare come prima della sua installazione. Questo tipo di problema si risolve decidendo i criteri di filtraggio, altrimenti dette usando la terminologia tecnica rules. Le rules dei Personal Firewall permettono di selezionare le porte che devono rimanere aperte e quelle da manternere chiuse, in quanto non usate da nessun servizio o programma utile all utente. Ogni porta (delle previste come canali di comunicazione, compreso il valore 0 ) ha uno scopo ben preciso o viene usata per un servizio ben definito. Per fare qualche esempio, il browser (Internet Explorer o Netscape) usa principalmente la porta 80 o la porta 8080 come alternata; Outlook usa la porta 25 per inviare la posta e la 110 per riceverla, mentre la porta 119 serve per leggere le news. Per visionare una lista completa delle varie porte associate ai differenti servizi l indirizzo è: Windows, come altri sistemi operativi, lascia aperte per default le porte su menzionate anche se nessun programma le sta usando; questo potrebbe procurare un prezioso appiglio ad un eventuale attacco. Le altre porte a disposizione risultano potenzialmente pericolose, potendo per esempio essere utilizzate da worms e trojans. Di seguito sono riportati alcuni esempi di trojan più comuni e le relative porte utilizzate: 1234 Ultors trojan; Back Orifice; Sub Seven; NetBus; NetBus 2 Pro; Una lista completa può essere facilmente reperita in rete digitando porte trojan in un qualsiasi motore di ricerca. Un buon Personal Firewall invece, non solo consente di aprire specifiche porte limitatamente al periodo d uso dei programma di interesse, ma permette anche di definire quali programmi abbiano accesso ad Internet. Fornisce inoltre la possibilità di specificare quali tipi di pacchetti debbano essere filtrati: si possono bloccare per esempio quelli di tipo ftp, udp, ecc. Particolare attenzione deve essere dedicata ai pacchetti ICMP (Internet Control Message Protocol). Il più conosciuto di questi è l Echo Request utilizzato, fra l altro, dal noto comando Ping : questi prova a bussare ad un determinato IP su una o più porte, attendendo la risposta denominata Pong ( Echo Replay ). Questo processo, normalmente utilizzato per verificare se il computer pingato è connesso in rete, viene sfruttato dai programmi denominati portscan per bussare su più porte e raccogliere informazioni sul computer vittima. A questo proposito il Personal Firewall permette, sempre tramite settaggio delle rules, di non rispondere al comando Ping, rendendo così il PC invisibile in rete; inoltre l attaccante, non riuscendo ad avere informazioni sulle porte aperte, non riesce a scoprire le vulnerabilità del PC bersagliato, non ultima la presenza di un server trojan od altro codice malevolo in ascolto

9 Il settaggio delle rules prevede anche di configurare la visualizzazione di diverse tipologie di avvisi quali: segnalazione dell avvenuto blocco di intrusioni da IP non desiderati; segnalazione dell avvenuto blocco del traffico non autorizzato in uscita/entrata; richiesta di permessi (connessione di un programma ad Internet). Di norma i Personal Firewall permettono di personalizzare la registrazione del file di log consentendo, a coloro che hanno buone conoscenze dei protocolli di comunicazione, di analizzare il traffico in entrata ed in uscita ed affinare man mano il settaggio delle rules. Chiaramente lo scopo principale di monitorare il traffico di rete è quello di individuare i tentativi di intrusione ed i relativi perpetuatori. E pertanto consigliabile un settaggio del file di log che eviti la registrare di tutti gli eventi, onde evitare di trovarsi a dover vagare in mezzo a migliaia di informazioni inutili nella vana ricerca di poche indicazioni cruciali. Una considerazione importante da tener in debito conto è che la configurazione delle rules non deve essere troppo restrittiva, per non avere successivamente difficoltà nella navigazione, ma neanche troppo flessibile, in quanto si rischierebbe di annullare la funzione primaria di filtraggio; occorre quindi cercare un giusto compromesso, tenendo sempre in debito conto l importanza dei dati che si cerca di proteggere. Un consiglio, prima di installare un Personal Firewall, è quello di effettuare la scansione completa del PC con un programma antivirus e/o anti trojan (aggiornato), altrimenti si corre il rischio di dare un permesso di uscita a qualche codice malevolo, magari rinominato o camuffato come altro programma di uso comune. L installazione di un Firewall su una macchina già compromessa può aiutare a scoprire il tipo di infezione, ma nella maggior parte dei casi non ci fornirà alcuna garanzia di sicurezza. Nel prossimo numero applicheremo i concetti qui esposti ad un applicativo freeware molto diffuso, Zone Alarm, fornendo un esempio pratico di impostazione di un set personalizzato di rules

10 IE: BLOCCO DELLA PAGINA INIZIALE Difficoltà : PRINCIPIANTE Navigando in Internet, quante volte ci sarà capitato di trovarci in siti che chiedono insistentemente di configurare la propria home page come pagina iniziale del nostro browser, e quanti altri hanno fatto in modo che questa configurazione avvenisse a nostra insaputa. In tal modo ci siamo trovati l indirizzo della pagina iniziale, tipicamente un motore di ricerca o il nostro quotidiano on-line preferito, furtivamente cambiato, e siamo stati costretti a modificarlo manualmente accedendo alle opzioni di Internet Explorer. Nella maggior parte dei casi però al riavvio del computer il problema si è ripresentato. Una possibile soluzione a tale problema è quella di configurare il registro di sistema in modo da bloccare la pagina iniziale, in modo che non possa più venire alterata. A tal fine, la procedura da seguire e la seguente: 1. dal tasto start (avvio) cliccare su Esegui figura 1 2. digitare regedit seguito da OK; figura 2-8 -

11 3. una volta entrati nel registro di sistema il percorso da seguire è (figura 3): HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel; 4. il valore da sostituire è l ultimo 0 nella stringa HomePage con il valore 1 figura 3 Una volta apportata la variazione, la pagina iniziale nelle opzioni di Internet Explorer (figura 4) risulterà non modificabile nemmeno da parte dell utente: la casella Indirizzo risulterà bloccata ed il sito in essa contenuto sarà visualizzato in grigio, colore tipico delle opzioni disabilitate nei S.O. Windows. figura 4 Questa configurazione è chiaramente reversibile, nel momento in cui l utente decida di cambiare la pagina iniziale, semplicemente reimpostando a 0 il valore modificato

12 SOLUZIONI PER LO SHOULDER SURFING HARDWARE Utilizzando il proprio computer notebook in ambienti pubblici si prova comunemente la sgradevole sensazione di essere oggetto di sguardi indiscreti da parte delle persone sedute accanto o di chi passa dietro di noi. Questa situazione si traduce normalmente nella difficoltà di concentrarsi sulla propria attività, ma può altresì diventare un problema di sicurezza qualora la materia trattata rivesta carattere riservato. Il termine anglosassone usato per tale fenomeno è shoulder surfing, indicante proprio la possibilità che qualcuno navighi nei nostri affari privati sbirciando da dietro le nostre spalle. In realtà il termine nasceva per indicare un attività non legata al mondo informatico: si erano riscontrati parecchi casi di osservatori indiscreti, muniti di apposito binocolo, che in luoghi pubblici quali stazioni, aeroporti e centri commerciali, osservavano da zone sopraelevate gli ignari possessori di carte telefoniche prepagate. Una volta sbirciato il codice di attivazione della scheda, si telefonava gratis a spese della vittima. Il problema, poi trasposto nel mondo dei computer portatili, ha acquisito carattere di minaccia alla sicurezza. Un aiuto, anche se non una soluzione definitiva, ci viene fornito dalla possibilità di applicare sullo schermo del nostro notebook un Privacy Filter, ovvero un filtro che permetta la visione del contenuto dello schermo solo ed unicamente a chi vi si trova esattamente di fronte. Qualunque altra persona, da qualunque altro angolo di vista, non scorgerà altro che uno schermo nero. Questo tipo di filtri, ormai disponibili per ogni dimensione di schermo, sono di facile applicazione e rimangono in sede anche a notebook chiuso. Tale soluzione può assicurare un buon livello di riservatezza quando utilizzata su aerei e treni, facendo attenzione agli spazi aperti fra sedili e possibili riflessioni su finestrini. In ambienti vasti, sarà cura dell utilizzatore scegliere una postazione con spalle ad una parete e chiaramente sempre lontano da eventuali superfici riflettenti (specchi, marmi lucidi, ecc.). Qualora il problema di riservatezza si ponga per PC fissi dotati di monitor tradizionali, tipicamente posizionati in ambienti di tipo open-space, sono disponibili in commercio versioni di Privacy Filter per monitor CRT. Questi filtri, oltre ad assicurare le medesime prestazioni delle versioni per notebook, offrono generalmente anche una capacità di abbattimento delle radiazioni. Il costo di acquisto può però arrivare ad essere comparabile a quello del monitor stesso, rendendo spesso più conveniente adottare altre soluzioni di tipo ambientale quali il semplice spostamento della postazione

13 LE VENTI VULNERABILITA PIU CRITICHE PER LA SICUREZZA IN INTERNET (10^ PARTE) Difficoltà: INTERMEDIA W8 Internet Explorer W8.1 Descrizione: Microsoft Internet Explorer (IE) è il web browser installato di serie sulle piattaforme Microsoft Windows. Tutte le versioni esistenti di Internet Explorer presentano vulnerabilità critiche. È possibile progettare pagine Web che sfruttino queste vulnerabilità sull Internet Explorer dell utente che visualizza tali pagine. Le vulnerabilità possono essere classificate in diverse categorie che comprendono lo spoofing di pagine Web, le vulnerabilità dei controlli ActiveX, le vulnerabilità da Active scripting, l interpretazione non corretta di MIME-type e di content-type e i buffer overflow. Le conseguenze possono riguardare la rivelazione del contenuto di cookie, file o dati in locale, l esecuzione di programmi in locale, il download e l esecuzione di codice arbitrario, fino al controllo completo del sistema vulnerabile. W8.2 Sistemi operativi interessati Queste vulnerabilità sono presenti sui sistemi Microsoft Windows con qualsiasi versione di Microsoft Internet Explorer. È importante notare che IE viene installato da una grande varietà di software Microsoft e che quindi è spesso presente su tutti i sistemi Windows, anche sui server per i quali un sistema di navigazione del Web è raramente necessario. W8.3 Riferimenti CVE CAN , CAN , CVE , CVE , CVE , CVE , CVE , CVE , CVE W8.4 Come determinare se siete vulnerabili Se utilizzate Internet Explorer sul vostro sistema e non avete installato la più recente patch cumulativa, molto probabilmente siete vulnerabili. Se sulla vostra rete è abilitato l Aggiornamento di Windows, potete verificare sia se IE è effettivamente installato, sia

14 quali patch di Internet Explorer siano presente sul vostro sistema visitando l indirizzo Se sul vostro sistema non è disponibile l Aggiornamento di Windows, potete utilizzare per la verifica HFNetChk (Network Security Hotfix Checker) o il Microsoft Baseline Security Analyzer (MBSA), vedasi Bollettino di Sicurezza Informatica nr. 1/2003. Esiste, anche, la possibilità di valutare l effetto di queste vulnerabilità sul sistema, visitando il sito all indirizzo : W8.5 Come proteggersi Sono disponibili le patch per queste vulnerabilità per le versioni 5.01, 5.5, 6.0 di Internet Explorer. Anche le versioni precedenti di Internet Explorer sono vulnerabili, ma non sono disponibili per queste versioni le patch di alcune vulnerabilità. Se sul vostro sistema è attiva una versione precedente di IE, dovreste prendere in considerazione un aggiornamento. Se utilizzate IE 5.01 o successivo, iniziate installando il service pack per Internet Explorer più recente. Potete trovare le versioni più aggiornate agli indirizzi: Internet Explorer 6, service pack 1 Internet Explorer 5.5, service pack 2 Internet Explorer 5.01, service pack 2 Dopo aver installato il service pack 2 per IE 5.5 o IE 5.01, dovete anche aggiungere la più recente cumulative security patch (Q323759), che rimedia ad ulteriori vulnerabilità. (Questa patch è già inclusa nel service pack 1per IE 6.) Per maggiori informazioni riguardo le vulnerabilità a cui rimedia questa patch e le modifiche appropriate da apportare alla vostra configurazione per mitigare i rischi, verificare il relativo Security Bulletin e il corrispondente Knowledge Base article. Ciascuno di questi articoli discute una variante della vulnerabilità cross-site scripting, della quale qualche aspetto non viene completamente risolto dalla patch. Per ulteriori informazioni, andate all indirizzo Di solito è buona prassi disabilitare gli script quando non sono necessari. Per mantenere protetto il vostro sistema, seguite costantemente le uscite di nuovi aggiornamenti di IE utilizzando Windows Update, HFNetChk, o il Microsoft Baseline Security Analyzer (MBSA). Potete anche ottenere informazioni generali sugli aggiornamenti di IE dalla Internet Explorer Home