Auditing di sicurezza Report O. Pinazza per il gruppo Audi2ng CCR- INFN Tutorial Sicurezza CCR, LNF 15 febbraio 2012

Transcript

1 Auditing di sicurezza Report 2011 O. Pinazza per il gruppo Audi2ng CCR- INFN Tutorial Sicurezza CCR, LNF 15 febbraio

2 Il mandato del gruppo auditing Il gruppo di Audi2ng INFN si occupa esclusivamente di sicurezza informa2ca e nasce in ahuazione a quanto stabilito dalla direjva del 16/1/2002, pubblicata nella GazzeHa Ufficiale n. 69 del 22 marzo 2002, recante raccomandazioni per la Sicurezza informa2ca e delle telecomunicazioni nelle pubbliche amministrazioni e recepita dall Ente con l adozione della Carta della Sicurezza Informa2ca (C.D. 23/2/2007) Le ajvità previste possono essere riassunte nei pun2 seguen2: raccolta di informazioni sull organizzazione delle risorse informa2che; analisi dei rischi per individuare le priorità delle ajvità da svolgere; analisi delle poli2che di sicurezza adohate; rilevazione dei servizi ritenu2 pericolosi, espos2 all esterno delle varie re2 locali; ricerca di vulnerabilità e verifica delle configurazioni dei server individua2 nel punto precedente; verifica della configurazione delle apparecchiature di rete (router, switch, ecc.); emissione di raccomandazioni per ovviare alle vulnerabilità rilevate e verifica della loro applicazione stesura di rappor2 periodici, des2na2 ai responsabili locali e alla Direzione dell Ente. Controlli da remoto: scansioni con2nue con nmap (o equivalente) su tuhe le macchine con indirizzi ges22 dall Ente, inclusi switch e router, per la rilevazione di servizi accessibili dall esterno delle re2 locali; scansioni periodiche con nessus (o equivalente) sulle macchine individuate nel punto precedente alla ricerca di eventuali vulnerabilità: queste ajvità, a differenza delle preceden2, verranno preannunciate. Sarà cura del gruppo svolgere le ajvità di cui sopra, in par2colare le scansioni alla ricerca di vulnerabilità, nel modo meno invasivo possibile e con un ampio preavviso. E chiaro, però, che si traha di azioni inerentemente intrusive e che quindi potranno provocare interruzioni dei servizi in esame, crash di macchine e altri malfunzionamen2, di cui il gruppo non potrà essere ritenuto responsabile. Sarà ovviamente sempre possibile, su richiesta del responsabile, escludere macchine par2colarmente cri2che. Dopo ogni ciclo di verifiche, le segnalazioni delle nuove vulnerabilità rilevate saranno rese disponibili, in modo che i responsabili indica2 delle varie StruHure possano prendere le opportune contromisure. Il gruppo produrrà inoltre un rapporto, almeno annuale, delle sue ajvità e dei suggerimen2 da presentare alla Direzione dell Ente. 2 h"p://web.infn.it/ccr/index.php/sicurezza- informa;ca

3 Attività 2011: scansioni ed altri servizi Scansioni Nmap quasi con2nue Scansioni delle vulnerabilità Nessus periodiche Le scansioni sono ajve lun- ven 9-18, escluso agosto/fes2vi Scansioni fai- da- te tramite il sito hhps:// Monitoraggio dell aggiornamento di sistemi opera2vi (Windows e Linux) Google alert e Shadow server (GARR) Startup per l audi2ng del sistema informa2vo (ora indipendente) Redazione di Rappor2 periodici sullo stato della sicurezza informa2ca nell INFN 3

4 Il report 1a edizione 4

5 Commento ai risultati del 2010 Presen2 mol2 server vulnerabili Raccomandazioni: Aggiornamento di sistemi opera2vi e di sw U2lizzo di regole di firewall per proteggere servizi cri2ci e limitare il numero di server espos2 Separazione dei servizi cri2ci su nodi dedica2 Si segnalavano: Problemi di coesistenza con re2 universitarie Assenza di referen2 in alcuni gruppi collega2 5

6 2011: Scansioni automatiche Nmap Port scanner OS e version scanner Una scansione nmap parte automa2camente quando la precedente si conclude Nessus Vulnerability scanner le scansioni nessus sono annunciate, sono interrohe durante il weekend e i risulta2 sono disponibili ai responsabili su audiweb.infn.it lista delle re2 INFN lista delle re2 escluse lista degli host esclusi d_scan audit_code scan type scan date target type command_line 72 ROBOT nmap net /usr/local/bin/nmap - d3 - v - PN - sv - st - su - T3 - p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, scada nmap net /usr/local/bin/nmap - d3 - v - PN - sv - st - su - T3 - p T:1527,2527,512,2505, ROBOT nmap net /usr/local/bin/nmap - d3 - v - PN - sv - st - su - T3 - p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap - d3 - v - PN - sv - st - su - T3 - p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap - d3 - v - PN - sv - st - su - T3 - p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap - d3 - v - PN - sv - st - su - T3 - p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, igi- 01.pd.infn.it nessus host /opt/nessus/bin/nessus - c /home/nessus/bin/.nessusrc.last - Tnessus - q 61 ROBOT nmap net /usr/local/bin/nmap - d3 - v - PN - sv - st - su - T3 - p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nessus host /opt/nessus/bin/nessus - c /home/nessus/bin/.nessusrc.last - Tnessus - q 60 ROBOT nmap net /usr/local/bin/nmap - d3 - v - PN - sv - st - su - T3 - p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap - d3 - v - PN - sv - st - su - T3 - p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap - d3 - v - PN - sv - st - su - T3 - p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap - d3 - v - PN - sv - st - su - T3 - p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap - d3 - v - PN - sv - st - su - T3 - p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap - d3 - v - PN - sv - st - su - T3 - p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap - d3 - v - PN - sv - st - su - T3 - p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap - d3 - v - PN - sv - st - su - T3 - p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nessus host /opt/nessus/bin/nessus - c /home/nessus/bin/.nessusrc.last - Tnessus - q 50 ROBOT nmap net /usr/local/bin/nmap - d3 - v - PN - sv - st - su - T3 - p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap - d3 - v - PN - sv - st - su - T3 - p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap - d3 - v - PN - sv - st - su - T3 - p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap - d3 - v - PN - sv - st - su - T3 - p U:53,T:22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap - d3 - v - PN - sv - st - su - T3 - p U:53,T:22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap - d3 - v - PN - sv - st - su - T3 - p U:53,T:22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap - d3 - v - PN - sv - st - su - T3 - p U:53,T:22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080,8081

7 Nessus Licenza pagata da CCR (1500 Euro/anno) Su richiesta INFN, SL è stato inserito fra le distribuzioni ufficiali (falso posi2vo plugin 33850) dall ul2ma scansione, la INFN CA compare fra le trusted authori2es (falso posi2vo plugin 51192) 7

8 Risultati delle scansioni 2011 Scansioni nmap host visibili host ufficiali e non porte aperte versioni Scansioni nessus analisi delle vulnerabilità Repor2s2ca automa2ca Scansioni recen2 una o due ogni mese o"obre 2011 Scansioni recen2 Maggio 2011 Novembre

9 nodi visibili dall esterno Numero totale di nodi indirizzabili Re2/nodi esclusi nodi scansiona nodi rileva Percentuale di esposizione 7% Esposizione delle sedi dal 0.7% al 30% (eccezione: Ferrara 97% - senza ACL o errata interpretazione della risposta dell apparato firewall?) 9

10 nodi visibili dall esterno Sezione Numero massimo nodi Nodi visibili Re2/nodi esclusi indirizzabili dall'esterno % esposizione Aquila Bari Bologna Cagliari Catania CNAF Cosenza Ferrara Firenze Genova Lecce LNF LNGS LNL LNS Messina Milano Milano Bicocca Napoli Padova Parma Pavia Perugia Pisa presid Roma Roma Roma Salerno Torino Trento Trieste Udine TOTALE

11 Nodi visibili e servizi rilevati Sezione host Server web Server SSH Server SMTP server DNS Aquila Bari Bologna Cagliari Catania CNAF Cosenza Ferrara Firenze Genova Lecce LNF LNGS LNL LNS Messina Milano MilanoBicocca Napoli Padova Parma Pavia Perugia Pisa presid Roma Roma Roma Salerno Torino Trento Trieste Udine Totale

12 Vulnerabilità nodi rileva Numero nodi vulnerabili vulnerabilità rilevate Vulnerabilità alte 517 Vulnerabilità medie Vulnerabilità basse

13 Vulnerabilità Sezione nodi vulnerabili nodi con vulnerabilità alte vulnerabilità alte vulnerabilità medie vulnerabilità basse Aquila Bari Bologna Cagliari Catania CNAF Cosenza Ferrara Firenze Genova Lecce LNF LNGS LNL LNS Messina Milano MilanoBicocca Napoli Padova Parma Pavia Perugia Pisa presid Roma Roma Roma Salerno Torino Trento Trieste Udine Totale

14 Servizio DNS Sezione DNS rileva2 DNS ufficiali DNS ufficiali non raggiungibili vulnerabilità alte vulnerabilità medie vulnerabilità basse ID (DNS cache snooping - medium) ID (recursive query - medium) ID (Zone transfer - medium) Aquila Bari Bologna Cagliari Catania CNAF Cosenza Ferrara Firenze Genova Lecce LNF LNGS LNL LNS Messina 1 0 Milano Milano Bicocca Napoli Padova Parma Pavia Perugia Pisa presid Roma Roma Roma Salerno Torino Trento Trieste Udine Totale ID (nega2ve record cache poisoning - high) ID (non random ports - high) 14

15 Servizi web Sezione server web rileva2 server con vulnerabilità alte vulnerabilità alte vulnerabilità medie vulnerabilità basse vulnerabilità web services" di cui vulnerabilita ALTE Aquila Bari Bologna Cagliari Catania CNAF Cosenza Ferrara Firenze Genova Lecce LNF LNGS LNL LNS Messina Milano Milano Bicocca Napoli Padova Parma Pavia Perugia Pisa presid Roma Roma Roma Salerno Torino Trento Trieste Udine Totale

16 Servizio SMTP Sezione Host ufficiali host rileva2 vulnerabilità vulnerabilità alte vulnerabilità medie vulnerabilità basse Aquila Bari Bologna Cagliari Catania CNAF Cosenza Ferrara Firenze Genova Lecce LNF LNGS LNL LNS Messina Milano MilanoBicocca Napoli Padova Parma Pavia Perugia Pisa presid Roma Roma Roma Salerno Torino Trento Trieste Udine Totale

17 Servizio SSH Sezione server SSH rileva2 nodi con vulnerabilità alte vulnerabilità alte vulnerabilità medie vulnerabilità basse Numero totale di vulnerabilità Aquila Bari Bologna Cagliari Catania CNAF Cosenza Ferrara Firenze Genova Lecce LNF LNGS LNL LNS Messina Milano Milano Bicocca Napoli Padova Parma Pavia Perugia Pisa presid Roma Roma Roma Salerno Torino Trento Trieste Udine Totale

18 Servizi Windows Sede 135/tcp RCP 137/udp NETBIOS 138/udp NETBIOS 139/tcp NETBIOS 389/tcp LDAP 445/tcp SMB 3389/TCP RDP Windows NT Windows 2000 Aquila Bari 1 Bologna 2 Cagliari 1 Catania 5 CNAF 2 Cosenza Ferrara 1 Firenze 2 Genova Lecce LNF LNGS LNL 1 LNS Messina Milano Milano Bicocca 2 Napoli Padova Parma Pavia 2 Perugia 1 Pisa presid Roma Roma2 Roma3 Salerno Torino Trento Trieste Udine 1 Totale

19 Conclusioni E quasi pronto il Rapporto 2011, sarà consegnato a CCR Ci sono ancora troppi server vulnerabili, facilmente visibili dall esterno. Ricordiamo le raccomandazioni: mantenere i sistemi aggiorna2 e installare le patch di sicurezza rivedere le regole di firewalling separare i servizi cri2ci Migliorano i servizi SMTP e DNS, male Web, SSH Pagine web del gruppo hhps://audiweb.infn.it/ hhps:// A questo lavoro hanno contribuito i membri del gruppo audi2ng: Franco Brasolin, Roberto Cecchini, Fulvia Costa, Leandro Lanzi, Aurora Mazzone, Michele MicheloHo, OmbreHa Pinazza 19