Upload
simona-tucci
View
218
Download
0
Embed Size (px)
Citation preview
Principali caratterisitche di sicurezza
Principali caratterisitche di sicurezza
AgendaAgendaUAP (User Account Protection)UAP (User Account Protection)
Parental ControlParental Control
Internet Explorer 7.0Internet Explorer 7.0
Protezione dai virusProtezione dai virus
Windows Service HardeningWindows Service Hardening
Network Access ProtectionNetwork Access Protection
FirewallFirewall
Avvio sicuroAvvio sicuro
User Account ProtectionUser Account ProtectionE’ molto frequente lavorare sui propri E’ molto frequente lavorare sui propri pc come amministratoripc come amministratori
Ci consente usabilitàCi consente usabilità
Non ci consente sicurezzaNon ci consente sicurezzaVirus, worm e spyware penetrano nelle Virus, worm e spyware penetrano nelle macchine e usano questi privilegi macchine e usano questi privilegi amministrativiamministrativi
Chi ha troppi diritti, può fare “troppi danni”…Chi ha troppi diritti, può fare “troppi danni”…
Anche diverse applicazioni richiedono Anche diverse applicazioni richiedono diritti di Administrator o di Power Userdiritti di Administrator o di Power User
Anche molte operazioni di gestione del Anche molte operazioni di gestione del sistema operativo li richiedonosistema operativo li richiedono
Cosa fa UAP…Cosa fa UAP…Abilita gli utenti ad eseguire Abilita gli utenti ad eseguire operazioni come non-administratoroperazioni come non-administrator
Solo l’utente built-in “Administrator” Solo l’utente built-in “Administrator” avrà sempre pieni poteri amministrativiavrà sempre pieni poteri amministrativi
Qualunque altro utente, anche facente Qualunque altro utente, anche facente parte del gruppo “Administrators”, avrà parte del gruppo “Administrators”, avrà inizialmente poteri limitatiinizialmente poteri limitati
Se deve eseguire operazioni comuni, userà Se deve eseguire operazioni comuni, userà questi suoi diritti limitatiquesti suoi diritti limitati
Se deve eseguire operazioni amministrative, Se deve eseguire operazioni amministrative, dovrà effettuare un’elevazione dei suoi dovrà effettuare un’elevazione dei suoi privilegiprivilegi
In Windows Vista Beta1, UAP non è In Windows Vista Beta1, UAP non è abilitato per default. Nella Beta2 sarà abilitato per default. Nella Beta2 sarà attivo.attivo.
Come funziona UAPCome funziona UAPPer utenti del gruppo “Users”Per utenti del gruppo “Users”
Ogni volta che devono eseguire Ogni volta che devono eseguire operazioni amministrative, sono richieste operazioni amministrative, sono richieste le credenziali di un utente le credenziali di un utente amministrativo (come prima, ma senza amministrativo (come prima, ma senza obbligo di richiamare “Run as”)obbligo di richiamare “Run as”)
Per utenti di un gruppo Per utenti di un gruppo amministrativoamministrativo
Al logon vengono dotati di uno “split-Al logon vengono dotati di uno “split-token”token”
Possiedono ora 2 tipi di credenziali : Possiedono ora 2 tipi di credenziali : amministrative e comuni. Quelle comuni sono amministrative e comuni. Quelle comuni sono utilizzate per tutte le operazioni comuni utilizzate per tutte le operazioni comuni (browser, posta, ecc…)(browser, posta, ecc…)
Per eseguire task amministrativi, un prompt Per eseguire task amministrativi, un prompt chiede all’utente di confermare le credenziali chiede all’utente di confermare le credenziali di admindi admin
Per maggior scorrevolezza, è anche possibile far Per maggior scorrevolezza, è anche possibile far apparire il prompt, senza richiesta di re-immettere apparire il prompt, senza richiesta di re-immettere la passwordla password
Protezione delle applicazioni (1)Protezione delle applicazioni (1)
Durante l’installazioneDurante l’installazioneWindows Vista rileva ogni tentativo di Windows Vista rileva ogni tentativo di lanciare un Setup Installerlanciare un Setup Installer
Il prompt chiede la conferma amministrativaIl prompt chiede la conferma amministrativa
Dopo l’installazioneDopo l’installazioneVecchie applicazioni non funzionano Vecchie applicazioni non funzionano correttamente se non si è amministratoricorrettamente se non si è amministratori
Motivo : cercano di scrivere in parti di registro Motivo : cercano di scrivere in parti di registro o in cartelle di solito accessibili solo agli o in cartelle di solito accessibili solo agli amministratoriamministratori
Vista “virtualizza” queste parti di registro Vista “virtualizza” queste parti di registro o cartelle e le trascrive in parti accessibili o cartelle e le trascrive in parti accessibili agli utenti standard (HKCU e per-user agli utenti standard (HKCU e per-user store)store)
Protezione delle applicazioni (2)Protezione delle applicazioni (2)
Le vecchie applicazioni funzionano Le vecchie applicazioni funzionano ora anche con diritti di standard userora anche con diritti di standard user
UAP è da considerarsi come UAP è da considerarsi come tecnologia di transizionetecnologia di transizione
Gli sviluppatori sono tenuti a scrivere Gli sviluppatori sono tenuti a scrivere codice compatibile con Windows Vistacodice compatibile con Windows Vista
Usare tecnologia Windows InstallerUsare tecnologia Windows Installer
Fare testing come “non-administrator”Fare testing come “non-administrator”
Operazioni amministrative solo in Operazioni amministrative solo in installazioneinstallazione
Operazioni user in esecuzioneOperazioni user in esecuzione
Esecuzione delle applicazioniEsecuzione delle applicazioni
E’ sempre possibile indicare E’ sempre possibile indicare manualmente ad una applicazione di manualmente ad una applicazione di essere eseguita con privilegi elevati essere eseguita con privilegi elevati (“Run elevated”)(“Run elevated”)
E’ possibile anche indicare ad una E’ possibile anche indicare ad una applicazione di essere eseguita applicazione di essere eseguita SEMPRE con privilegi elevati (è il tab SEMPRE con privilegi elevati (è il tab “Compatibility” nelle proprietà “Compatibility” nelle proprietà dell’eseguibile)dell’eseguibile)
Pulsante “Unlock” per alcuni Pulsante “Unlock” per alcuni strumenti del Pannello di Controllostrumenti del Pannello di Controllo
Parental ControlParental ControlGarantisce un uso “corretto” del pc ai Garantisce un uso “corretto” del pc ai propri figli propri figli
Limita quando e per quanto un figlio può Limita quando e per quanto un figlio può utilizzare il computerutilizzare il computer
Limita quali siti web un figlio può visitareLimita quali siti web un figlio può visitare
Limita quali programmi un figlio può Limita quali programmi un figlio può eseguireeseguire
Restringe l’accesso ad alcuni giochiRestringe l’accesso ad alcuni giochi
Esegue report dettagliati sull’utilizzo del Esegue report dettagliati sull’utilizzo del computer da parte dei figlicomputer da parte dei figli
Internet Explorer 7.0Internet Explorer 7.0Basato su UAPBasato su UAP
Esegue in modalità read-only Esegue in modalità read-only (eccetto “File Temporanei Internet” e (eccetto “File Temporanei Internet” e “Cronologia)“Cronologia)
Malware penetrato da Internet non Malware penetrato da Internet non può eseguire operazioni dannosepuò eseguire operazioni dannose
Gli Add-on possono essere installati Gli Add-on possono essere installati solo col permesso dell’utentesolo col permesso dell’utente
Possibilità di cancellare tutta la cache Possibilità di cancellare tutta la cache e i controlli ActiveX con un solo clice i controlli ActiveX con un solo clic
Filtro anti-phishing integratoFiltro anti-phishing integrato
Altre caratteristiche di IE7Altre caratteristiche di IE7Avvisa sempre l’utente quando Avvisa sempre l’utente quando inserisce dati in un sito non protetto inserisce dati in un sito non protetto SSL/TLSSSL/TLSViene evidenziata la barra degli Viene evidenziata la barra degli indirizzi se si è connessi ad un sito indirizzi se si è connessi ad un sito sicurosicuro““Tab browsing” integrato in RTMTab browsing” integrato in RTMEvidenzia il nome di dominio se Evidenzia il nome di dominio se questo è un indirizzo IP o contiene questo è un indirizzo IP o contiene caratteri specialicaratteri specialiIDN per gli URL con caratteri IDN per gli URL con caratteri multilinguamultilinguaZoom delle pagine web senza Zoom delle pagine web senza perdere qualitàperdere qualitàSSLv3 e TLSv1 per la crittazioneSSLv3 e TLSv1 per la crittazione
IE6IE6
IE6 in esecuzione come AdminIE6 in esecuzione come Admin
Installa un driver,
Avvia Windows Update
Modifica impostazioni,
Download di immagini
Cache dei contenuti
Exploit possono installare MALWARE
Exploit possono installare MALWARE
Accesso come Admin
Accesso come Admin
Accesso come UserAccesso come User
Temp Internet FilesTemp Internet Files
HKLM
Program Files
HKCU
My Documents
Startup Folder
File e impostazioni non fidati
IE7 in Protected ModeIE7 in Protected Mode
IE7 inProtected
Mode
IE7 inProtected
Mode
Installa un driver, Installa un controllo ActiveX
Modifica delle impostazioni,
Salva immagini
Inte
gri
ty C
on
tro
l
Bro
ker
Pro
cess
Impostazioni e file rediretti
Com
pat
Red
irect
or
Contenuti in cache
Accesso come Admin
Accesso come Admin
Accesso come UserAccesso come User
Temp Internet FilesTemp Internet Files
HKLM
HKCC
Program Files
HKCU
My Documents
Startup Folder
File e impostazioni non fidati
Protezione dai virusProtezione dai virus
Agente integrato che opera in due Agente integrato che opera in due fasi:fasi:
Durante l’aggiornamento da XP a Vista, Durante l’aggiornamento da XP a Vista, verifica i file esistenti su disco alla verifica i file esistenti su disco alla ricerca di virus (usa un database ricerca di virus (usa un database standard delle signature)standard delle signature)
Dopo l’installazione periodicamente Dopo l’installazione periodicamente Windows Vista scarica nuovi database Windows Vista scarica nuovi database delle signature da Windows Updatedelle signature da Windows Update
Windows Service HardeningWindows Service Hardening
Impedisce ai servizi Windows critici di Impedisce ai servizi Windows critici di eseguire attività dannose nel eseguire attività dannose nel registro, nel file system o in reteregistro, nel file system o in rete
Es. RPC bloccato nel modificare il Es. RPC bloccato nel modificare il registroregistro
Ad ogni servizio sono associati un SID Ad ogni servizio sono associati un SID e un profilo che consentono o negano e un profilo che consentono o negano operazioni locali o di reteoperazioni locali o di rete
Serve a bloccare i tentativi dei codici Serve a bloccare i tentativi dei codici maligni di costringere i servizi di sistema maligni di costringere i servizi di sistema a eseguire operazioni dannosea eseguire operazioni dannose
E’ ora difficile che software maligni si E’ ora difficile che software maligni si propaghino da pc a pcpropaghino da pc a pc
Network Access ProtectionNetwork Access ProtectionAgente che impedisce a un client di Agente che impedisce a un client di connettersi alla rete interna se non connettersi alla rete interna se non dispone di ultime patch e antivirus dispone di ultime patch e antivirus aggiornatoaggiornato
Dipende dalle caratteristiche Dipende dalle caratteristiche dell’infrastruttura server circostante dell’infrastruttura server circostante (Longhorn Server)(Longhorn Server)
Si applica a tecnologie DHCP, VPN, IEEE Si applica a tecnologie DHCP, VPN, IEEE 802.1x, IPSec802.1x, IPSec
Serve a impedire che computer non Serve a impedire che computer non protetti si connettano alla rete interna, protetti si connettano alla rete interna, diffondendo worm o virusdiffondendo worm o virus
Per informazioni sulla tecnologiaPer informazioni sulla tecnologiahttp://www.microsoft.com/technet/itsolutions/network/nap/http://www.microsoft.com/technet/itsolutions/network/nap/
naparch.mspxnaparch.mspx
FirewallFirewallBasato sul firewall di Windows XP SP2Basato sul firewall di Windows XP SP2
Filtri per il traffico in uscitaFiltri per il traffico in uscita
Configurabile tramite Group PolicyConfigurabile tramite Group Policy
Configurabile tramite linea di Configurabile tramite linea di comandocomando
Avvio sicuroSituazione attualeAvvio sicuroSituazione attuale
Tanti programmi di cracking delle Tanti programmi di cracking delle passwordpassword
Attacchi off-line alle chiavi di sistemaAttacchi off-line alle chiavi di sistema
Attacchi ai protocolli di sicurezzaAttacchi ai protocolli di sicurezza
Furto o perdita di pc o dischi rigidiFurto o perdita di pc o dischi rigidi
Compromissione dei file criptatiCompromissione dei file criptati
Difficoltà ad eliminare completamente Difficoltà ad eliminare completamente dati sensibili dai dischi (numerosi dati sensibili dai dischi (numerosi tools di analisi e recupero)tools di analisi e recupero)
Soluzioni di Windows VistaSoluzioni di Windows VistaTPM (Trusted Platform Module), TPM (Trusted Platform Module), metodo di sicurezza hardware-basedmetodo di sicurezza hardware-based
Microchip installato su motherboardMicrochip installato su motherboard
Protegge da attacchi software, non Protegge da attacchi software, non da operazioni di utenti riconosciutida operazioni di utenti riconosciuti
Memorizza in maniera sicura tutte le Memorizza in maniera sicura tutte le chiavi di crittografia, password e chiavi di crittografia, password e certificaticertificati
Evita accessi al disco (in caso di Evita accessi al disco (in caso di furto)furto)
Evita accessi ai dati da sistemi Evita accessi ai dati da sistemi operativi diversioperativi diversi
Struttura del discoStruttura del discoLe partizioni criptate
dell’OS contengono:• OS crittato• Page file crittato• File temporanei criptati• Dati criptati• File di ibernazione
crittato
La System Partition contiene utility per il boot(non criptate, 50MB)
MBR
Valore del Full Volume EncryptionValore del Full Volume Encryption
La crittazione del file di ibernazione La crittazione del file di ibernazione protegge dall’ibernazione di portatili protegge dall’ibernazione di portatili con documenti sensibili aperticon documenti sensibili apertiLa Full Volume Encryption aumenta la La Full Volume Encryption aumenta la sicurezza di tutte le chiave di sicurezza di tutte le chiave di registry, file di configurazione, file di registry, file di configurazione, file di paginazione e ibernazione presenti paginazione e ibernazione presenti sul disco crittatosul disco crittatoLa semplice distruzione della chiave La semplice distruzione della chiave consente la dismissione sicura degli consente la dismissione sicura degli asset aziendaliasset aziendali
Scenari di ripristinoScenari di ripristino
La chiave principale di crittazione, a La chiave principale di crittazione, a scelta, è memorizzabile su supporti scelta, è memorizzabile su supporti esterni o in AD, per successivo esterni o in AD, per successivo richiamorichiamo
Scenario di ripristino dopo rottura Scenario di ripristino dopo rottura dell’hardwaredell’hardware
È possibile spostare il disco dal portatile È possibile spostare il disco dal portatile rotto al nuovo portatilerotto al nuovo portatile
Scenario di ripristino dopo attaccoScenario di ripristino dopo attaccoCambiamento/cancellazione dei file del Cambiamento/cancellazione dei file del Boot LoaderBoot Loader
Ripristino dell’avvio sicuroRipristino dell’avvio sicuro
Abilitazione della funzione
Accessoalla retevia AD
Deposito della chiaveper esempio via AD
L’utente rompe il computer
HD della macchina rottainserito nella nuova macchina
Alert: Secure Startup Recovery
Secure Startup Recovery has failed.
You will not be able to start up your computer nor access your data. Your hard drive will remain encrypted until you can provide either the recovery media or your recovery key.
Close
x
Utente chiama SysAdminSysAdmin sblocca e fornisce la chiaveutente dopo aver verificato le credenziali
Secure Startup Recovery Key
Please enter your Secure Startup Recovery Key.
CancelOk
x
**** **** **** ****
Secure Startup Recovery Mode
You have successfully recovered your data.
The recovery process is complete.
Close
x
EFS e FVE Partner nella protezioneEFS e FVE Partner nella protezione
EFSEFSFornisce sicurezza nel contesto utenteFornisce sicurezza nel contesto utente
Migliorato in Windows Vista per Migliorato in Windows Vista per incrementare la sicurezza fornita incrementare la sicurezza fornita all’utente (smartcards)all’utente (smartcards)
Non misura l’integrità dei singoli Non misura l’integrità dei singoli componenti del processo di bootcomponenti del processo di boot
Non fornisce protezione offline per l’OS, Non fornisce protezione offline per l’OS, file temporanei, file di swap e di file temporanei, file di swap e di ibernazioneibernazione
FVEFVEFornisce sicurezza Fornisce sicurezza nel contesto nel contesto macchinamacchina – pensato – pensato per proteggere l’OSper proteggere l’OS
Protegge tutti i Protegge tutti i settori sul volume settori sul volume di installazione di di installazione di Windows, inclusi i Windows, inclusi i file temporanei, i file temporanei, i file di swap e file di swap e ibernazione.ibernazione.
Non fornisce Non fornisce sicurezza a livello sicurezza a livello utenteutente
© 2005 Microsoft Corporation. All rights reserved.This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.