CONTINUOUS PERIMETER ASSESSMENT
Descrizione del servizio e degli strumenti utilizzati
L’ESIGENZA DA SODDISFARE
• Censimento delle classi di indirizzi IP Pubblici riconducibili alle società del gruppo Bancario
• Esecuzione di un monitoraggio continuo dei sistemi e dei servizi esposti sul perimetro esterno del sistema informativo
• Tra le motivazioni da cui trae spunto l’esigenza possiamo evidenziale le seguenti:
censimento delle classi IP pubbliche
asset/device awareness
service awareness
• L’esecuzione di un network scan e di un vulnerability assessment non è sufficiente per governare con efficacia la sicurezza di un perimetro
del sistema informativo aziendale
• Il principio su cui si basa il servizio di “security mapping” è quello di rendere dinamica la mappatura dei servizi esposti sul perimetro di
analisi e dei prodotti software impiegati per l’implementazione di tali servizi, al fine di monitorare l’evoluzione nel tempo di tale “mappa” e
rilevare con tempestività eventuali variazioni che, se non gestite, possano trasformarsi in vulnerabilità
LA SOLUZIONE PROPOSTA
• La soluzione proposta da NSR prende spunto dalle linee guida e dalle best practices proposte da enti di rilevanza internazionale,
quali:
SANS Institute, A Real-Time Approach to Continuous Monitoring
NIST – National Institute of Standard and Technology, Information Security Continuous Monitoring (ISCM)
for Federal Information Systems and Organizations
• Il processo su cui è costruita la soluzione di assessment e mapping della sicurezza del perimetro esterno del sistema informativo,
è riassunto nelle seguenti fasi
Snapshot phase: fotografia periodica della configurazione in essere
Asset identification phase: identificazione degli asset IT legati ai servizi emersi dalla rilevazione periodica e
collegamento a vulnerabilità potenziali
Variance identification phase: rilevazione e focus sulle variazioni rilevate tra una scansione e la precedente
• La discovery map è costituita dall’insieme dei servizi e degli asset esposti sul perimetro esterno, definito rilevando
automaticamente le classi di indirizzi IP assegnate alle aziende del Gruppo
• È arricchita con l’evidenza delle variazioni nel tempo
PROCESSO DINAMICO DI ATTUAZIONE DEL SERVIZIO
• Rilevazione iniziale:
classi IP associate alle aziende
del Gruppo Bancario
servizi esposti sugli indirizzi IP
del perimetro di analisi
Avvio del
servizio
Rilevazione iniziale classi
IP e servizi esposti
• Raccolta dei dati in una base dati strutturata
• Rilevazione periodica:
servizi esposti e asset IT
calcolo delle differenze rispetto
alla rilevazione precedente
rilevazione vulnerabilità note sugli asset IT
• Reporting
aggiornamento della security map
(perimetro esposto all’esterno: servizi e asset)
segnalazione e gestione delle
differenze rilevate
Rilevazione iniziale asset
associati a servizi
Presentazione
security map
Presentazione
alert e
potenziali
issues
Rilevazione periodica
servizi esposti
IP / Asset /
Service
Catalog
Rilevazione periodica asset
associati a servizi
Calcolo degli scostamenti
RILEVAZIONI CLASSI DI INDIRIZZI IP PUBBLICI ASSEGNATI
I registry accreditati presso IANA offrono database pubblici delle classi IP assegnate alle organizzazioni;
ad esempio per l’Europa il registry è RIPE-NCC (Réseaux IP Européens – Network Coordination Centre)
CENSIMENTO PERIMETRO IP DI INDAGINE
Catalogo Aziende del Gruppo Bancario
“Storico” delle aziende
AFRINIC
APINIC
ARIN
LACNIC
RIPE
Search Engine
Check False Positive
Continuos Monitoring
ARCHITETTURA DELLE COMPONENTI DEL SISTEMA DISCOVERY
Sistema Informativo Aziendale
Perimetro esterno (servizi esposti)
agent layer
persistence layer
A1
A2
A3
Asset and Service
Catalog
Service Analysis Engine
analysis and
presentation layer
Dashboard
A4
An
FASI DEL PROCESSO
Pattern
1
Search Engine
2
Non Validato
Validato
Esculo
Falso Positivo
Classi IP
Host Monitoring
IP Non Attivi
IP Attivi
3
L1 (10 porte)
L2 (1024 Porte)
L3 (65535)
Service Discovery
Service Monitoring
Dashboard
FASE DI HOST MONITORING
Classi IP
2
IP Attivi
IP Non Attivi
AGENT LAYER
Gli agent sono le componenti software dedicate alla rilevazione continua delle seguenti informazioni:
servizi esposti sul perimetro di analisi, definito identificando un insieme di indirizzi IP o intere classi di
indirizzi IP
asset IT associati a tali servizi (sistemi operativi, application server, database server, ecc.
Gli agent sono dotati di un’architettura “pluggable” per l’integrazione con tool di scansione
e di vulnerability scan esterni (es.: Nmap, Nessus, OpenVAS, ecc.)
Security Map Agent
È possibile configurare un set di agent in
modo tale da distribuire il carico delle
attività di scansione via rete;
la predisposizione di più agent per il
network scan può seguire differenti
strategie:
bilanciamento del carico
differenziazione delle politiche
di configurazione dei processi di analisi
activity scheduling
dynamic config. man.
motore di scansione con plug-in
esterni
Scheduler
scanning tool
Pluggable
information
gathering
engine
scanning tool
scanning tool
raccolta e normalizzazione dei
dati, archiviazione sul catalogo di
sistema
Data collector
ENGINE DI ANALISI E PRESENTAZIONE
•
•
•
L’output prodotto dagli agent di network scanning viene raccolto e normalizzato in una base dati (Asset and Service Catalog),
in cui i record sono organizzati con profondità storica, al fine di valutare le variazioni nel tempo
Il motore di analisi esegue i seguenti controlli:
valutazione delle differenze rispetto alla scansione precedente
associazione servizio/asset sorftware e valutazione di eventuali differenze rispetto ad associazioni effettuate
precedentemente
Il presentation layer porterà in evidenza alcuni parametri relativi alla security map del perimetro di analisi:
dati di sintesi: variazioni percentuali sui servizi esposti, variazioni percentuali sugli asset rilevati, numero di vulnerabilità
identificate e variazione rispetto alla rilevazione precedente
dati analitici rilevanti: dati di dettaglio sui servizi esposti con particolare evidenza relativamente ai nuovi servizi
Thank you!
Via Portuense 2482 – Edificio A – Interno 1
00054 Fiumicino – Roma
Tel +39 06-65.04.75.21
Fax +39 06-65.04.75.19
www.nsr.it
[email protected]
Public Use
