Primi risultati della Risk Analysis tecnica e proposta di attività per la fase successiva di Vulnerability Assessment

Transcript

1

2 TSF S.p.A Roma Via V. G. Galati 71 Tel Società soggetta all attività di Direzione e Coordinamento di AlmavivA S.p.A. Analisi di sicurezza della postazione PIC operativa Primi risultati della Risk Analysis tecnica e proposta di attività per la fase successiva di Vulnerability Assessment 20 Novembre2008

3 Metodologia P = Probabilità di Accadimento Rischio quantificazione statistica degli eventi storicamente accaduti valutazione dello skill necessario ad un hacker per sfruttare la vulnerabilità I = Impatto (relativo ad Integrità, Disponibilità e Confidenzialità) quantificazione asettica delle implicazioni a cui potrebbe dare luogo lo sfruttamento della vulnerabilità valutazione del cliente in merito all importanza dell asset a cui la minaccia si riferisce P I 3

4 Variazioni rilevanti occorse Sulla postazione PIC operativa possibilità di eseguire il browser internet explorer possibilità di lanciare l eseguibile RunAs sviluppato ad hoc possibilità di accedere al servizio OWA per la posta elettronica possibilità di accedere ai portali lineadiretta.gruppofs.it e portalerfi.rfi.it Sul firewall Aggiunta regola per l accesso a LineaDiretta Sul dominio Aggiunta di RunAs, iexplore, nella whitelist degli eseguibili ammessi Sul router Nessuna variazione Sul server OWA e sui portali indicati Nessuna variazione 4

5 Controlli ISO applicati Controllo ISO A (organizzativo) A (tecnologico) Variazione o Consiglio E specificato nel controllo che verranno effettuate delle verifiche sia di rete che applicative. Le prime sono già programmate, le seconde non ancora (in riferimento all eseguibile runas sviluppato ad hoc). Si evidenzia come siano previsti dei test di capacity per rilevare eventuali A A A A A A problematiche di performance e/o colli di bottiglia. In questo caso, l accesso prima non esistente da parte delle postazioni operative PIC verso OWA, portale RFI e LineaDiretta potrebbe generare del traffico non previsto. Si sottolinea come sia necessario integrare il tracciamento via log, anche per le nuove funzionalità a cui le postazioni PIC avranno accesso. Le politiche di controllo accessi legate a requisiti di sicurezza e di business sono variate e quindi occorrerà rendere evidenza cartacea del fatto. Sono da aggiungere dei nuovi target all insieme di quelli previsti come destinazioni raggiungibili dalle postazioni. Viene menzionato il solo utilizzo di canali SSL mentre in realtà l accesso alle nuove funzionalità può avvenire anche su canale in chiaro http. 5

6 Controlli ISO non applicati Controllo ISO A Variazione o Consiglio In questo controllo non applicato viene specificato che nessuna postazione è dotata di supporti rimovibili. Non è chiaro se si tratti di blocchi garantiti da configurazione oppure dalla assenza fisica delle porte. A A Con le evoluzioni relative ad OWA, il canale di posta dovrà essere considerato come possibile fonte di data leakage. A Il timeout per le sessioni ora è applicato al sistema di posta OWA. A Da rivalutare qualora non si ritenga più la rete PIC logicamente separata da tutte le altre. 6

7 Potenziali vulnerabilità (1) V01 Esecuzione di script via browser causare sulla postazione operativa PIC l esecuzione di ActiveX o di altra tipologia di malware interpretabile ed eseguibile dal browser V02 Esecuzione di codice via browser causare sulla postazione operativa PIC l esecuzione di un codice arbitrario che sfrutta vulnerabilità presenti nel browser e nelle sue eventuali estensioni V03 Esecuzione di macro excel causare sulla postazione operativa PIC l esecuzione di macro dannose attraverso l utilizzo di una versione vulnerabile del tool Excel V04 Canale di posta utilizzare il canale di posta come vettore di iniezione di malware, attraverso internet explorer e excel (i due eseguibili inseriti nella whitelist delle group policy) 7

8 Potenziali vulnerabilità (2) V05 Regola firewall per LineaDiretta raggiungibilità del portale LineaDiretta da parte di tutta la rete 10 V06 Canale in chiaro per tutti i target indicati esiste la possibilità di comunicare in chiaro attraverso il protocollo http V07 Manipolazione dell autenticazione effettuando azioni di reverse engineering e di debug dell esecuzione del codice custom RunAs si potrebbe manipolare l autenticazione bypassandola oppure impersonificando un altro utente V08 Configurazione proxy è possibile utilizzare il browser delle postazioni web, senza passare da un proxy, per raggiungere tutta la rete 10.* 8

9 Cosa manca: quantificazione Probabilità e Impatto Vulnerabilità Storico Skill V01 Medio V02 Alto V03 Medio V04 Alto V05 Basso V06 Medio V07 Alto V08 Basso Valore della Probabilità di Accadimento Vulnerabilità Asettico Valore Impatto Confidenzialità Impor per Integrità, tanza Disponibilità e V01 Basso V02 Basso V03 // // // V04 Medio V05 // // // V06 // // // V07 Alto V08 // // // 9

10 Cosa manca: quantificazione rischio e accettazione Valore del Rischio Vulnerabilità Probabilità di Accadimento Impatto relativo alla integrità di Integrità, Disponibilità e Confidenzialità V01 V02 V03 V04 V05 V06 V07 V08 Accettazione del rischio Mitigazione del rischio 10

11 Proposta di Vulnerability Assessment A. Controllo dell effettiva blindatura delle postazioni operative PIC in merito alla whitelist di eseguibili lanciabili dall operatore B. Controllo dello stato di aggiornamento e di hardening della postazione operativa tipo C. Test di raggiungibilità DALLA postazione operativa PIC D. Controllo dei processi attivi e delle porte aperte sulla postazione operativa tipo E. Test di verifica dell effettiva protezione da malware della postazione operativa PIC attraverso l invio di un set di mail malevole ad hoc (virus molto datato, virus molto recente, attachment zip con password, macro excel, virus excel, spyware) F. Vulnerability assessment sul server OWA G. Test di raggiungibilità della postazione operativa PIC dalla VPN Verde H. Raggiungibilità del CED RFI attestandosi con un portatile nella stessa rete della Postazione operativa PIC I. Verifica della possibilità di effettuare reverse engineering sul codice RunAs sviluppato ad hoc e conseguente verifica della possibilità di effettuare manipolazioni dell autenticazione. 11