Download ppt - Claudio Telmon - Strumenti di difesa -1 © Claudio Telmon, 1999 Le tecnologie per la difesa Claudio Telmon Claudio Telmon

Claudio Telmon - Strumenti di difesa -1

Claudio Telmon - Strumenti di difesa -1© © Claudio Claudio TelmonTelmon, 1999, 1999

Le tecnologie per la difesaLe tecnologie per la difesaLe tecnologie per la difesaLe tecnologie per la difesa

Claudio Telmon Claudio Telmon <<[email protected]@di.unipi.it>>



ArgomentiArgomentiArgomentiArgomenti

Il caso di studioIl caso di studio I sistemi I sistemi

firewallfirewall AutenticazioneAutenticazione Virtual Private Virtual Private

NetworksNetworks

Sistemi di Sistemi di Intrusion Intrusion detectiondetection

Integrity Integrity CheckersCheckers

ScannersScanners Virus, worm e il Virus, worm e il

resto del resto del bestiariobestiario



Il caso di studioIl caso di studioIl caso di studioIl caso di studio



Caso di studioCaso di studioCaso di studioCaso di studio

Esiste già una connessione a Esiste già una connessione a InternetInternet

Rappresentanti e sedi remote Rappresentanti e sedi remote accedono via modemaccedono via modem

Il router ha alcune regole di Il router ha alcune regole di filtraggio messe dal providerfiltraggio messe dal provider

Il mainframe gestisce i dati critici Il mainframe gestisce i dati critici ed è isolato...ed è isolato...

... Ma chiacchierando viene fuori ... Ma chiacchierando viene fuori che un PC ha una scheda di che un PC ha una scheda di emulazione 3270emulazione 3270



Primo problema: la rete è Primo problema: la rete è compromessa? compromessa?

Primo problema: la rete è Primo problema: la rete è compromessa? compromessa?

Gli attaccanti nascondono le tracceGli attaccanti nascondono le tracce Un trojan horse potrebbe ad Un trojan horse potrebbe ad

esempio:esempio: connettersi a un server sulla porta 80 (http)connettersi a un server sulla porta 80 (http) accettare comandi nelle pagine webaccettare comandi nelle pagine web mandare le risposte nelle querymandare le risposte nelle query

La soluzione comune per un sistema La soluzione comune per un sistema compromesso è reinstallarlocompromesso è reinstallarlo

Non è generalmente pratico Non è generalmente pratico reinstallare “preventivamente” una reinstallare “preventivamente” una reterete



Come affrontare il problema Come affrontare il problema sicurezzasicurezza

Come affrontare il problema Come affrontare il problema sicurezzasicurezza

La sicurezza deve essere parte La sicurezza deve essere parte della progettazione di ogni parte della progettazione di ogni parte della retedella rete

La sicurezza “aggiunta dopo”:La sicurezza “aggiunta dopo”: è meno efficaceè meno efficace è più difficile da implementareè più difficile da implementare interferisce maggiormente con le normali interferisce maggiormente con le normali

attivitàattività

Esempio precedente: connettersi Esempio precedente: connettersi a Internet e poi, con calma, a Internet e poi, con calma, affrontare la sicurezza della rete?affrontare la sicurezza della rete?



Politica di sicurezzaPolitica di sicurezzaPolitica di sicurezzaPolitica di sicurezza

Non è un problema da Non è un problema da sistemisti:sistemisti: il sistemista non può decidere quali il sistemista non può decidere quali

servizi sono necessari a un’aziendaservizi sono necessari a un’azienda il sistemista non è in grado di imporre il sistemista non è in grado di imporre

le sue decisionile sue decisioni il sistemista non può stabilire i il sistemista non può stabilire i

provvedimenti da prendere in caso di provvedimenti da prendere in caso di violazioneviolazione

Definisce cosa è lecito fareDefinisce cosa è lecito fare solo dopo è possibile scegliere gli solo dopo è possibile scegliere gli

strumenti per strumenti per implementarlaimplementarla



Primo strumento: il firewallPrimo strumento: il firewallPrimo strumento: il firewallPrimo strumento: il firewall

DMZ servizi pubblici



Il sistema firewallIl sistema firewallIl sistema firewallIl sistema firewall Controlla il traffico fra due o più reti Controlla il traffico fra due o più reti

implementando la politica di implementando la politica di sicurezzasicurezza

Caratteristiche:Caratteristiche: Efficacia nell’implementazione della politicaEfficacia nell’implementazione della politica Versatilità nella gestione di nuovi serviziVersatilità nella gestione di nuovi servizi Efficienza nella gestione del trafficoEfficienza nella gestione del traffico Capacità di logging, accounting e generazione Capacità di logging, accounting e generazione

allarmiallarmi Facilità di gestioneFacilità di gestione Costo (in funzione dei sistemi protetti) anche Costo (in funzione dei sistemi protetti) anche

come perdita di produttivitàcome perdita di produttività Tecnologia utilizzata?Tecnologia utilizzata?



Funzionalità di un firewallFunzionalità di un firewallFunzionalità di un firewallFunzionalità di un firewall

Il firewall può:Il firewall può: selezionare i servizi accessibili dall’esternoselezionare i servizi accessibili dall’esterno selezionare i servizi accessibili dall’internoselezionare i servizi accessibili dall’interno verificare il traffico per individuare schemi di verificare il traffico per individuare schemi di

attaccoattacco aggiungere meccanismi di autenticazione e aggiungere meccanismi di autenticazione e

accountingaccounting

Il firewall non può:Il firewall non può: controllare il traffico che passa per altre vie controllare il traffico che passa per altre vie

(modem, floppy)(modem, floppy) rimediare a una politica di sicurezza carenterimediare a una politica di sicurezza carente proteggere da connivenze interneproteggere da connivenze interne



Secondo strumento: Secondo strumento: autenticazioneautenticazione

Secondo strumento: Secondo strumento: autenticazioneautenticazione

La maggior parte dei La maggior parte dei meccanismi di autenticazione meccanismi di autenticazione tradizionali ha delle gravi tradizionali ha delle gravi debolezze:debolezze: esposizione dell’informazione di esposizione dell’informazione di

autenticazione (es. password in autenticazione (es. password in chiaro)chiaro)

autenticazione iniziale (es. One Time autenticazione iniziale (es. One Time Password) soggetta a connection Password) soggetta a connection hijackinghijacking

vulnerabilità ad attacchi di forza bruta vulnerabilità ad attacchi di forza bruta (basati su dizionario o test esaustivo)(basati su dizionario o test esaustivo)



Meccanismi di autenticazioneMeccanismi di autenticazioneMeccanismi di autenticazioneMeccanismi di autenticazione Qualcosa che si sa (password, PIN)Qualcosa che si sa (password, PIN) Qualcosa che si ha (smart card, Qualcosa che si ha (smart card,

token)token) Qualcosa che si è (misure Qualcosa che si è (misure

biometriche)biometriche) È possibile ( e preferibile) È possibile ( e preferibile)

combinare più meccanismicombinare più meccanismi ... Ma ogni catena è robusta quanto ... Ma ogni catena è robusta quanto

il suo anello più deboleil suo anello più debole è inutile usare meccanismi di autenticazione è inutile usare meccanismi di autenticazione

robusti su sistemi deboli (es. Client con robusti su sistemi deboli (es. Client con BO2K)BO2K)



Smart card e sistemi biometriciSmart card e sistemi biometriciSmart card e sistemi biometriciSmart card e sistemi biometrici

L’uso della smart card L’uso della smart card garantisce, salvo garantisce, salvo manomissioni, che una chiave manomissioni, che una chiave non sia diffusa, ma non non sia diffusa, ma non garantisce che la smart card garantisce che la smart card non sia consegnata a un’altra non sia consegnata a un’altra persona o rubatapersona o rubata

I sistemi biometrici danno più I sistemi biometrici danno più garanzie?garanzie?



I dati sono datiI dati sono datiI dati sono datiI dati sono dati

01100110001

01100110001

01100110001



Firma digitaleFirma digitaleFirma digitaleFirma digitale

Utilizza un meccanismo a chiave Utilizza un meccanismo a chiave pubblicapubblica

Garantisce l’integrità di un Garantisce l’integrità di un messaggiomessaggio

Garantisce che l’origine del Garantisce che l’origine del messaggio conosca la chiave messaggio conosca la chiave privata utilizzataprivata utilizzata

È verificabile da chiunque senza È verificabile da chiunque senza perdita di sicurezza della chiave perdita di sicurezza della chiave privataprivata



Firma digitale Firma digitale firma autografafirma autografaFirma digitale Firma digitale firma autografafirma autografa

La firma digitale è legata La firma digitale è legata all’uso della chiave privataall’uso della chiave privata

La firma autografa è legata La firma autografa è legata all’uso della manoall’uso della mano



Legare la chiave alla personaLegare la chiave alla personaLegare la chiave alla personaLegare la chiave alla persona Le Certification Authority sono Le Certification Authority sono

delle “Terze parti fidate” che delle “Terze parti fidate” che garantiscono l’associazione fra garantiscono l’associazione fra un’entità e una coppia di chiaviun’entità e una coppia di chiavi

L’uso di TTP introduce dei punti L’uso di TTP introduce dei punti di vulnerabilità estremamente di vulnerabilità estremamente critici ma gestiti centralmentecritici ma gestiti centralmente

In ogni caso la chiave è In ogni caso la chiave è effettivamente legata al effettivamente legata al massimo alla smart cardmassimo alla smart card



Cosa si firma?Cosa si firma?Cosa si firma?Cosa si firma?

Usare la chiave senza rubarlaUsare la chiave senza rubarla Il caso Quicken: nel gennaio 1997 un Il caso Quicken: nel gennaio 1997 un

gruppo di hacker tedeschi (CCC) ha gruppo di hacker tedeschi (CCC) ha dimostrato in televisione di essere in dimostrato in televisione di essere in grado di far eseguire delle operazioni grado di far eseguire delle operazioni bancarie senza conoscere il PIN….. bancarie senza conoscere il PIN….. Con la firma digitale sarebbe cambiato Con la firma digitale sarebbe cambiato qualcosa?qualcosa?



Cosa si firmaCosa si firmaCosa si firmaCosa si firma

AAAAAAAAA

BBBBBB



Terzo strumento: le VPNTerzo strumento: le VPNTerzo strumento: le VPNTerzo strumento: le VPN




Le Virtual Private NetworksLe Virtual Private NetworksLe Virtual Private NetworksLe Virtual Private Networks Realizzano dei canali autenticati e Realizzano dei canali autenticati e

cifrati fra reti e/o sistemicifrati fra reti e/o sistemi Permettono di utilizzare reti Permettono di utilizzare reti

pubbliche al posto di linee dedicate pubbliche al posto di linee dedicate e/o modeme/o modem

Non permettono l’esame del trafficoNon permettono l’esame del traffico agli hackeragli hacker ai firewall e agli IDSai firewall e agli IDS

Non proteggono dal Non proteggono dal comportamento di utenti autorizzaticomportamento di utenti autorizzati



Quarto strumento: gli IDSQuarto strumento: gli IDSQuarto strumento: gli IDSQuarto strumento: gli IDS




I sistemi di Intrusion DetectionI sistemi di Intrusion DetectionI sistemi di Intrusion DetectionI sistemi di Intrusion Detection Rilevano schemi di attacchi (noti o Rilevano schemi di attacchi (noti o

potenziali)potenziali) Esaminano solo il traffico che vedonoEsaminano solo il traffico che vedono Non esaminano il traffico cifratoNon esaminano il traffico cifrato Hanno gli stessi problemi degli antivirus:Hanno gli stessi problemi degli antivirus:

aggiornamento e qualità dei databaseaggiornamento e qualità dei database falsi positivifalsi positivi

Rilevano attacchi interni e che superano Rilevano attacchi interni e che superano il firewallil firewall

Dove posizionarli?Dove posizionarli?



Quinto strumento: integrity Quinto strumento: integrity checker e IDS localichecker e IDS locali

Quinto strumento: integrity Quinto strumento: integrity checker e IDS localichecker e IDS locali




IDS locali e integrity checkerIDS locali e integrity checkerIDS locali e integrity checkerIDS locali e integrity checker

Un IDS dedicato a un host è più Un IDS dedicato a un host è più personalizzabile e potenzialmente personalizzabile e potenzialmente efficaceefficace

I sistemi di integrity check verificano I sistemi di integrity check verificano lo stato di un sistema rispetto a un lo stato di un sistema rispetto a un databasedatabase

Richiedono una gestione host basedRichiedono una gestione host based Sono sensibili alle modifiche alla Sono sensibili alle modifiche alla

configurazioneconfigurazione Vanno protetti (codice e database) Vanno protetti (codice e database)

come gli antiviruscome gli antivirus



Sesto strumento: gli scannerSesto strumento: gli scannerSesto strumento: gli scannerSesto strumento: gli scanner I “security probe” e i “penetration test” I “security probe” e i “penetration test”

cercano di verificare lo stato di una rete cercano di verificare lo stato di una rete mettendosi nei panni di un hackermettendosi nei panni di un hacker

Gli scanner permettono di verificare lo Gli scanner permettono di verificare lo stato di molti sistemistato di molti sistemi

Sono spesso inadatti a verificare Sono spesso inadatti a verificare firewallfirewall

Sono facilmente rilevabili dagli IDS Sono facilmente rilevabili dagli IDS (spesso i produttori sono gli stessi)(spesso i produttori sono gli stessi)

Piccole personalizzazioni di un attacco Piccole personalizzazioni di un attacco fanno spesso la differenzafanno spesso la differenza



Limiti dei security probeLimiti dei security probeLimiti dei security probeLimiti dei security probe

Non si è mai nelle condizioni di Non si è mai nelle condizioni di un hacker veroun hacker vero limiti alle autorizzazionilimiti alle autorizzazioni limitazione dei disservizilimitazione dei disservizi

Si provano solo le competenze di Si provano solo le competenze di una personauna persona

Non si verificano i difetti Non si verificano i difetti architetturaliarchitetturali

Si ottiene una visione puntiforme Si ottiene una visione puntiforme nel tempo della sicurezza del nel tempo della sicurezza del sistemasistema



Virus, worm e il resto del Virus, worm e il resto del bestiariobestiario

Virus, worm e il resto del Virus, worm e il resto del bestiariobestiario

Le macchine più vulnerabili sono Le macchine più vulnerabili sono sempre più spesso i client:sempre più spesso i client: sono utilizzati per attività critiche e insicure sono utilizzati per attività critiche e insicure

contemporaneamentecontemporaneamente sono peggio configurati e gestitisono peggio configurati e gestiti sono meno controllati e controllabilisono meno controllati e controllabili

La verifica centralizzata di tutto La verifica centralizzata di tutto quello che può arrivare su un client è quello che può arrivare su un client è impraticabileimpraticabile

Da Internet arrivano più velocemente Da Internet arrivano più velocemente i virus degli aggiornamenti agli i virus degli aggiornamenti agli antivirusantivirus