Auditing e Sicurezza Informatica

Auditing e Sicurezza Informatica
Automazione di scansioni di servizi di
rete remote finalizzate all'auditing per la
sicurezza informatica.
Borsista: Dario Vettore
Tutor: Michele Michelotto
5° Borsisti Day – 13/05/2014
Auditing e Sicurezza Informatica
Auditing •  cos’è? •  perché farlo? •  scansioni perché? Dario Vettore - Borsisti Day 2014
2
Auditing e Sicurezza Informatica
INFN  Nmap  Nessus  https://audiweb.infn.it Garr  Servizio Scarr  https://scarr.garr.it/ Dario Vettore - Borsisti Day 2014
3
Auditing e Sicurezza Informatica
Ambiente di lavoro •  MV con Scientific Linux 6.5 –  bersaglio •  MV con Backbox Linux 3.13 –  attaccante Dario Vettore - Borsisti Day 2014
4
Auditing e Sicurezza Informatica
•  Dario Vettore - Borsisti Day 2014
5
Auditing e Sicurezza Informatica
Nmap (1/2) ~ Alternative •  arp-­‐scan –  controllo solo su macchine accese, poche info •  pnscan –  meglio di arp-­‐scan, ma molto meno di nmap •  knocker –  veloce, buona alternativa a nmap, non scala su grandi reti e porte Dario Vettore - Borsisti Day 2014
6
Auditing e Sicurezza Informatica
• 
• 
• 
• 
• 
• 
Nessus software per effettuare scansioni proprietario client/server/riga di comando output in HTML/PDF/XML propone soluzioni alle vulnerabilità patch? Dario Vettore - Borsisti Day 2014
7
Auditing e Sicurezza Informatica
OpenVAS, un alternativa a Nessus • 
• 
• 
• 
• 
• 
software per effettuare scansioni open source client/server/riga di comando output in HTML/PDF/XML/Latex propone soluzioni alle vulnerabilità patch? Dario Vettore - Borsisti Day 2014
8
Auditing e Sicurezza Informatica
Nessus/OpenVAS Criterio di confronto
Nessus
OpenVAS
Installazione
Facile
Difficile
UI
Semplice (Client/
Server)
Semplice
Qualità test
Molto Alta
Buona
N° plugin (05/14)
>60.000
~33.790
Costo (€)
1.200/anno +
supporto
0/anno
Dario Vettore - Borsisti Day 2014
9
Auditing e Sicurezza Informatica
Nessus/OpenVAS/ Altri [1]
Rank
Open Source
Nessus
1°
NO
OpenVAS
2
SI
Core Impact
3
NO
Nexpose
4
NO
[1] http://sectools.org/tag/vuln-scanners/
Dario Vettore - Borsisti Day 2014
10
Auditing e Sicurezza Informatica
Penetration-­‐test •  cos’è? •  perché si fa? Dario Vettore - Borsisti Day 2014
11
Auditing e Sicurezza Informatica
Penetration-­‐test – Fasi e Software (1/2) –  Information Gathering •  Nmap/Whatweb –  Vulnerability Assessment •  Nessus/OpenVAS/Nikto –  Exploitation •  Sqlmap/msfconsole/joomscan Dario Vettore - Borsisti Day 2014
12
Auditing e Sicurezza Informatica
Penetration-­‐test – Fasi e Software (2/2) –  Privilege Escalation •  Whireshark –  Maintaining Access •  Weevely (Web BackDoor),ptunnel –  Reporting •  MagicTree –  Distribuzioni linux •  BackBox, BackTrack, NodeZero, ecc Dario Vettore - Borsisti Day 2014
13
Auditing e Sicurezza Informatica
Impiego dei tool •  Nessus vs OpenVAS –  dominio: pd.infn.it, cnaf.infn.it ~ confronto?? •  Nmap –  dominio: pd.infn.it •  Nikto, joomscan –  dominio: pd.infn.it •  Whatweb –  dominio: *.infn.it Dario Vettore - Borsisti Day 2014
14
Auditing e Sicurezza Informatica
Risultati: 130 siti web analizzati 14
CMS
12
Php
11
30
10
21
20
8
6
5
10
4
3
4
2
1
1
WPress
3.3.2
WPress
3.5.1
1
1
17
16
1
0
0
WPress Joomla 1.5
3.8.1
- 1.6
Drupal
SPIP
WebServer
80
70
60
50
40
30
20
10
0
69
46
1
Apache
1.3.27
9
Apache
2.0.x
1
Apache
2.2.[3-25]
Glassfish
2
Zope
Non
2.7-2.10 identificata
(Apache)
Dario Vettore - Borsisti Day 2014
15
Auditing e Sicurezza Informatica
In futuro (1/2)  Sql Injection –  SELECT * FROM users WHERE USER='pippo' AND pwd='' OR USER='pippo'  XSS –  <script type="text/javascript">alert('XSS')</script> Dario Vettore - Borsisti Day 2014
16
Auditing e Sicurezza Informatica
In futuro (2/2)  Honeypot server o di produzione o di ricerca  Honeypot client Dario Vettore - Borsisti Day 2014
17
Auditing e Sicurezza Informatica
Grazie per l’attenzione FINE Dario Vettore - Borsisti Day 2014
18
Nmap Nome Cognome - Borsisti Day 2014
19
ZenMap Nome Cognome - Borsisti Day 2014
20
Nessus client Nome Cognome - Borsisti Day 2014
21
OpenVAS: new target Nome Cognome - Borsisti Day 2014
22
OpenVAS: new task Nome Cognome - Borsisti Day 2014
23