WEB SECURITY
annuncio pubblicitario
WEB SECURITY Enrico Branca [email protected] WEBB.IT 03 Di cosa si dovrebbe parlare Partendo dalle problematiche di sicurezza relative ai client verranno evidenziati i piu' comuni errori di configurazione e i loro effetti sulla rete, sia essa una Lan aziendale o internet stessa. Si cerchera' quindi di sfatare alcuni luoghi comuni e di fare chiarezza sul significato di alcune parole troppo spesso usate in modo errato, arrivando a parlare dei server presenti su internet e delle problematiche relative alla protezione dei dati riservati degli utenti ed alla fornitura di alcuni tipi di servizi. L'intervento si concludera' con l'analisi di alcuni test effettuati attraverso internet. PASSWORDS ( 1 ) Creazione delle password • 7 o più caratteri • lettere MAIUSCOLE, minuscole e numeri • Periodo di validità di 30 giorni PASSWORDS ( 2 ) Uso delle password • • • • • Accesso a risorse riservate via LAN Accesso a risorse riservate via WEB Accesso ai Client Accesso ai Server Ecc.. PASSWORDS ( 3 ) Gestione delle password • • • • • • Salvate su disco Conservate all’interno del sistema operativo Registrate all’interno di programmi appositi Conservate su sistemi remoti Registrate all’interno di database Ecc.. PASSWORDS ( 4 ) Gestione delle password • Salvate su disco - RITROVABILI • Conservate all’interno del sistema operativo RITROVABILI • Registrate all’interno di programmi appositi ESTRAIBILI • Conservate su sistemi remoti - INTERCETTABILI • Registrate all’interno di database - ESTRAIBILI • Ecc. ANTIVIRUS ( 1 ) • Motori di scansione • Porte utilizzate • Gestione degli aggiornamenti • Gestione dell’antivirus ANTIVIRUS ( 2 ) • Azioni in caso di VIRUS • Azioni in caso di TROIANO • Azioni in caso di MALWARE • È realmente utile ? CONDIVISIONE RISORSE ( 1 ) • Utilizzo di NETBIOS • Utilizzo di SAMBA • Utilizzo di NFS • Utilizzo di DFS CONDIVISIONE RISORSE ( 2 ) • Che protocolli si usano ? • Come avviene l’autenticazione ? • Si usano diversi sistemi operativi ? • Come vengono integrati i sistemi ? • La sicurezza viene considerata ? INSTALLAZIONI ( 1 ) • L’installazione viene preventivamente studiata o si effettua quella standard? • Il sistema viene testato e controllato ? • Il sistema viene aggiornato e manutenuto correttamente? INSTALLAZIONI ( 2 ) • Le applicazioni in che modo vengono installate ? • Si esegue un controllo dell’impatto delle applicazioni sul sistema ? • Che influenza hanno sulla sicurezza ? CONFIGURAZIONI ( 1 ) • Chi si preoccupa di fare il TUNING dei sistemi ? • Come sono configurati i CLIENT ? • Come sono configurati i SERVER ? • Come e’ configurata la RETE ? CONFIGURAZIONI ( 2 ) • È stata realizzata una CHECK – LIST ? • Viene mantenuta aggiornata? • Le configurazioni vengono testate in laboratorio prima di essere applicate sulle macchine in produzione ? CRITTOGRAFIA ( 1 ) • A cosa serve la crittografia ? • Chiave pubblica, chiave privata o password ? • Come avviene lo scambio delle chiavi ? • Crittografia su file, su rete, sul file system, o sulla memoria ? CRITTOGRAFIA ( 2 ) • Si parla di crittografia o decodifica ? • A chi e a che cosa serve crittografia ? • Come viene implementato il sistema di crittografia ? SERVIZI FORNITI ( 1 ) • Quali servizi vengono erogati ? • Quali sono le macchine adibite a server ? • Quali ruoli hanno e che relazioni ci sono con la rete interna? SERVIZI FORNITI ( 2 ) • Viene fatto l’auditing dei sistemi accessibili attraverso la rete ? • Viene testata la sicurezza delle macchine che forniscono servizi ? • In caso di blocco del servizio come si opera? SERVER E RUOLI • Ogni macchina ha una posizione ben specifica all’interno della rete aziendale ! • I sistemi vanno progettati prima di essere installati ! • La rete che ospita le macchine DEVE essere progettata prima di collegare le macchine ! • PIANIFICAZIONE ! FIREWALL ( 1 ) • Serve a filtrare le connessioni ma non solo • Serve a gestire gli accessi alla rete ma non solo • DEVE ESSERE MANUTENUTO • DEVE ESSERE CONTROLLATO FIREWALL ( 2 ) • Avere un firewall non significa essere protetti • Se non si segue la regola del “DEFAULT DENY” il firewall è inutile • I firewall non bloccano tutti gli attacchi ma aiutano ad evitarli LETTURE CONSIGLIATE • • • • SICUREZZA DIGITALE Miti da sfatare, strategie da adottare Bruce Schneier Tecniche Nuove • • • • Web Security, Privacy & e-Commerce Sicurezza per utenti, amministratori e ISP S. Garfinkel con G. Spafford Hops Libri • • • • Server Linux Sicuri Strumenti e best practice per allestire host inviolabili Michael D. Bauer Hops Libri RIFERIMENTI UTILI • GFI Languard Network Security Scanner • www.gfisoftware.com/lannetscan/ • Foundstone Superscan v3.0 • www.foundstone.com/resources/freetools.htm • @stake LC4 • www.atstake.com/research/lc/ RIFERIMENTI UTILI • eEye Retina Security Scanner 4.9x • www.eeye.com/html/Products/Retina/index.html • nmapwin 1.3.1 • www.nmapwin.org/ • Firewalk • www.packetfactory.net/firewalk/ RIFERIMENTI UTILI • SANS Institute • www.sans.org/ • CERT® Coordination Center • www.cert.org/ • SecurityFocus • www.securityfocus.com/
