Tecnologie Gnu Linux per la sicurezza della rete aziendale

Transcript

1 Tecnologie Gnu Linux per la sicurezza della rete aziendale Massimiliano Dal Cero, Stefano Fratepietro ERLUG 1

2 Chi siamo Massimiliano Dal Cero CTO presso Tesla Consulting Sicurezza applicativa e sistemistica Main developer progetto DEFT Linux Stefano Fratepietro IT Security specialist Consulente di Computer Forensics per forze dell'ordine e privati DEFT Linux project leader 2

3 Obiettivi La sicurezza non è un prodotto ma un processo Pregi e difetti delle soluzioni open source e closed source Zentyal All in one solution Firewall Proxy server DNS server Ldap Servizi di directory Nagios Struttura Controllo Esempi pratici di uso Open VPN 3

4 La sicurezza è un processo 4

5 La sicurezza è un processo La sicurezza informatica è un processo, non un prodotto! Una infrastruttura IT è sicura quando le sue componenti collaborano tra di loro condividendo delle policy ben definite Mantenere aggiornati i sistemi che compongono l'infrastruttura IT Comprare una soluzione di marca non è garanzia di sicurezza 5

6 La sicurezza è un processo Vulnerabilità Cisco ASA 6

7 Voci di costo Composizione dell'offerta non open source Costo della soluzione Costo del canone di manutenzione Costo della licenza annuale Composizione offerta open source Canone di manutenzione annuale Eventuale costo della personalizzazione 7

8 Alcuni casi di successo 8

9 Small business Linux server - Sviluppato da ebox Tecnologies, S.L. Basato su Ubuntu LTS Firewall Http/s Proxy Dns server Dhcp server Certification Authority (CA) VPN Ipsec lan2lan e client Intrusion Detection System (IDS) Radius server Ldap server Mail server Jabber server 9

10 Configurazione tipo 10

11 11

12 Controllo dei servizi 12

13 Firewall 13

14 Proxy 14

15 DNS Server 15

16 Dominio e condivisione file 16

17 Dominio e condivisione file 17

18 Zentyal - Pro Interfaccia grafica user friendly Non c'è bisogno di scrivere una riga di configurazione con vi Possibilità di crearsi un dominio stile active directory Microsoft User management (LDAP) File sharing (Netbios/Samba) Firewall in 5 minuti Http proxy in 10 minuti Dns server pronto all'uso Dhcp server pronto all'uso Antivirus su molti dei servizi offerti No costi di licenza 18

19 Zentyal - Contro Non è possibile applicare delle policy di dominio come nei domini Active Directory Microsoft Firewall in 5 minuti si, ma gestendo un solo segmento di rete per installazione Le liste dei profili del proxy sono solo manuali Nella soluzione base, l'antivirus non si aggiorna giornalmente Non è possibile erogare il servizio in alta affidabilità Le soluzioni all in one potrebbero causare problemi di carico della macchina o di completo fault dell'azienda nel caso in cui il sistema avesse un malfunzionamento 19

20 Sistema proattivo di monitorizzazione di servizi, host e risorse (spazio disco, carico della CPU, esistenza di processi,...) Controlli paralleli Monitoraggio ed esecuzione di comandi remoti Estendibile tramite plugin Nagios 3 Nagios XI Interfaccia Free Nagios XI, evoluzione di Nagios, ma resa proprietaria e sviluppata da nagios.com Altro Per lo più implementazioni commerciali (NetEye Wurth) Nagios Core Cuore Free che racchiude tutte le funzionalità del prodotto, sviluppata da nagios.com e dalla community nagios.org 20

21 Nagios Remote Plugin Executor NRPE STRUTTURA Nagios Server Nagios può monitorare i servizi da remoto monitorando le porte, o facendo eseguire controlli sull'host remoto tramite NRPE per monitorare risorse o servizi NRPE NRPE Sempre tramite NRPE può eseguire comandi in base a event handler specifici (esempio: restart Apache remoto) 21

22 Check e status 22

23 23

24 E' anche possibile monitorare costantemente lo stato della sicurezza degli host o dei servizi facendoci pervenire comunicazione immediata e/o prendere contromisure specifiche CASE STUDY 24

25 CASE STUDY Fallische check hash Copio file e allego in messaggio Ripristino file trusted 25

26 VPN: Virual Private Network È una rete che viene creata utilizzando una struttura per la telecomunicazione pubblica (come Internet) per fornire un accesso sicuro all'intranet aziendale per uffici o utenti remoti. Rappresenta una soluzione meno onerosa rispetto alla linea dedicata. La sicurezza delle trasmissioni viene assicurata da un sistema di criptazione dei dati come il tunneling. Il termine VPN è un termine generico che definisce l'idea e non un marchio o uno standard. In particolare, non esiste alcun ente che regoli la denominazione di un prodotto come VPN: quindi ogni produttore può utilizzare la denominazione a suo piacimento. 26

27 È usato per creare un tunnel crittografato punto-punto fra host Permette agli host di autenticarsi l'uno con l'altro per mezzo di chiavi private condivise, certificati digitali o credenziali utente/password. Usa in modo massiccio le librerie di cifratura OpenSSL Usa il protocollo SSLv3/TLSv1. È disponibile su GNU/Linux, xbsd, Mac OSX, Solaris e Windows 2000/XP/Vista/7. Offre un ricco insieme di caratteristiche per il controllo e la sicurezza. Non è compatibile con IPsec o altri sistemi VPN concentra tutto il traffico dati e di controllo su una singola porta IP. Può usare UDP o TCP Può funzionare attraverso la maggior parte dei server proxy (HTTP incluso) e non ha problemi ad integrarsi col NAT. Il server può "inviare" alcune opzioni di configurazione di rete ai client. Fra queste, l'indirizzo IP, gli instradamenti, e alcune opzioni di connessione. 27

28 CASE STUDY Un'azienda ha uno o più collaboratori che devono collegarsi al CRM aziendale che non si vuole esporre sulla rete Internet per ovvi motivi di sicurezza. SOLUZIONE Installare una VPN su un server aziendale che permetta la comunicazione su canale sicuro tra gli host remoti e la rete interna aziendale Ogni collaboratore dovrà quindi installare il client VPN e configurarlo con i parametri della VPN aziendale e fornire le corrette credenziali 28

29 29

30 Conclusioni Spesso quello che ci permette di fare una soluzione con costi di licenza, lo possiamo fare con un prodotto free software ed open source SENZA costi di licenza d'uso Una soluzione free software ed open source è una ottima scelta per ottimizzare i costi nella fornitura di servizi di sicurezza informatica per le pmi Le soluzioni proprietarie sono sicuramente degli ottimi prodotti ma hanno un senso solo su determinate esigenze 30

31 Domande? Grazie! Le slides e le riprese audio/video dell'intervento saranno disponibili su: 31