Sicurezza degli Impianti InformaticiG.Serazzi – S.Zanero aa 2005/06 INTR-1

Corso di

SicurezzaSicurezzadegli degli

Impianti InformaticiImpianti Informatici

A.A. 2005A.A. 2005--20062006

Sicurezza degli Impianti InformaticiG.Serazzi – S.Zanero aa 2005/06 INTR-2

chi siamochi siamo

Giuseppe SerazziGiuseppe Serazzitel. 3535 - corsi.serazzi@elet.polimi.itStefano ZaneroStefano Zanerotel. 4010 - zanero@elet.polimi.itSito:Sito: www.elet.polimi.it/upload/serazzi/sicurezza (slide, materiali, programma e informazioni)Libro di testo: R. Anderson, “Security Engineering”, Wiley: cap 2,3,5,13,18,19,21,22Libro alternativo/approfondimenti: D. Gollman, “Computer Security”, Wiley: cap 1,2,8,12,13

Sicurezza degli Impianti InformaticiG.Serazzi – S.Zanero aa 2005/06 INTR-3

Il programma in breve Il programma in breve (1)(1)

Introduzione alle problematiche di sicurezzaI principali tipi di attacchi I principali metodi di difesa

Confidenzialità e integrità delle informazioniConcetti base di crittografiaAlgoritmi, protocolli e scenari d'usoApprofondimenti: la firma digitale

Architetture distribuite sicureGli attacchi di rete (sniffing, DoS, spoofing,...)Firewall e sicurezza architetturaleReti wireless: WEP, EAP, 802.1X

Tool per verificare la sicurezzaAttivi (Portscanner, Vulnerability Assessment)Reattivi (IDS, antivirus...)

Sicurezza degli Impianti InformaticiG.Serazzi – S.Zanero aa 2005/06 INTR-4

Il programma in breve Il programma in breve (2)(2)

Impianti informatici per l’e-businessArchitetture sicure per l’e-commerceTransazioni commerciali sicure: IPSEC, HTTPS, SET e la dual signature

Aspetti organizzativi della sicurezzaL’analisi del rischioLe politiche di SicurezzaProblematiche gestionali della sicurezzaLa Sicurezza fisica

Aspetti legali ed eticiNormativa italiana sul crimine informaticoLa problematica della privacy

Sicurezza degli Impianti InformaticiG.Serazzi – S.Zanero aa 2005/06 INTR-5

IntroduzioneIntroduzioneallaalla

Sicurezza InformaticaSicurezza Informatica

11/03/200611/03/2006

Sicurezza degli Impianti InformaticiG.Serazzi – S.Zanero aa 2005/06 INTR-6

I tre obiettivi cardine della sicurezzaI tre obiettivi cardine della sicurezza

ConfidenzialitConfidenzialitàà: solo le persone autorizzate possono accedere alle informazioniIntegritIntegritàà: solo le persone autorizzate possono modificare le informazioni, e solo nelle modalitàper cui sono state autorizzate a procedere.DisponibilitDisponibilitàà: le persone autorizzate possono sempre ricevere le informazioni di cui hanno bisogno entro un tempo “ragionevole” (secondo i requisiti)Paradigma “CIA” (Confidentiality, Integrity and Availability)

Sicurezza degli Impianti InformaticiG.Serazzi – S.Zanero aa 2005/06 INTR-7

Il formalismo della sicurezzaIl formalismo della sicurezza

ConfidenzialitConfidenzialitàà: Accesso alle risorse only if utente autorizzato (relazione molti – a – molti)

IntegritIntegritàà: Modifica delle risorse only if utente autorizzato (relazione molti – a – molti)

DisponibilitDisponibilitàà: if utente_autorizzato and richiesta_accesso(t) then accesso_consentito(t+k) and k < delta, con delta “intervallo ragionevole” secondo le specifiche.

La relazione di sicurezza è (deve essere) un IF AND ONLY IF !

Nell'implementazione classica, Confidenzialità – Integrità –Disponibilità sono definite da una relazione tra:

– UTENTI opportunamente identificati

– RISORSE cui possono accedere

Meccanismi di identificazione all’accesso, utilizzo di permessi, dispositivi di auditing per verificare il buon funzionamento del tutto

Sicurezza degli Impianti InformaticiG.Serazzi – S.Zanero aa 2005/06 INTR-8

Rischi, minacce, vulnerabilitRischi, minacce, vulnerabilitàà

RischioRischio: è l'esposizione di un'organizzazione a perdite o danni. es.: “il rischio che il sistema informativo aziendale venga messo fuori uso da un worm, in termini di perdita economica e di tempo”

MinacciaMinaccia: è l'elemento esterno che rappresenta un pericolo per l’impresa: un competitor aggressivo è una minaccia, essere in una zona soggetta ad alluvioni èuna minaccia...

VulnerabilitVulnerabilitàà: una debolezza nel sistema che può essere utilizzata (exploit) da una minaccia (aggressore)

L'atto con cui una minaccia sfrutta una vulnerabilità per trasformare il rischio in danno si chiama attaccoattacco o disastrodisastro

Sicurezza degli Impianti InformaticiG.Serazzi – S.Zanero aa 2005/06 INTR-9

DisastriDisastri

Un disastro è conseguenza dell'attuarsi di una minaccia non dovuta ad una aggressione intenzionaleDisastri naturali: terremoto, alluvione...Disastri dovuti all'uomo e alla tecnologia: incendio, esplosione, mancanza di corrente..Disastri fortuiti

Le coincidenze congiurano sempre per produrre il massimo danno possibile (una delle leggi di Murphy)

Bisogna predisporre:Contingency management plan: chi individua il disastro e attiva le risposteBusiness continuity plan: come facciamo a garantire la continuitàdel businessDisaster recovery plan: che procedure prepariamo per ripristinare le condizioni normali

Non è solo questione di sicurezza informatica...Priorità all'incolumità delle persone: si tratta di un requisito etico fondamentale

Sicurezza degli Impianti InformaticiG.Serazzi – S.Zanero aa 2005/06 INTR-10

Attacchi informaticiAttacchi informatici

Un attacco è un tentativo deliberato di violare il paradigma C.I.A.Attacchi

Interni EsterniSpesso si pensa solo ai secondi !

Attacchi GenericiSpecifici per il business aziendaleSpesso si pensa solo ai primi !

Sicurezza degli Impianti InformaticiG.Serazzi – S.Zanero aa 2005/06 INTR-11

Terminologia correttaTerminologia corretta

HackerHacker non significa criminale informaticoHacker significa “smanettone”, da “to hack”

Generalmente si usano due terminologieWhite hat hacker, ethical hackerWhite hat hacker, ethical hacker: l'esperto che agisce eticamenteBlack hat hacker, malicious hacker, crackerBlack hat hacker, malicious hacker, cracker: coloro che agiscono in modo criminale

Altra cosa importante: distinguere tra cracker e chi distribuisce software copiato (warez), da chi traffica in carte di credito (carding)... sono tutte tipologie diverse di pericoli

Sicurezza degli Impianti InformaticiG.Serazzi – S.Zanero aa 2005/06 INTR-12

Dove Dove èè localizzato il localizzato il ““nemiconemico””

FuoriFuori dall’organizzazioneAccessi non autorizzati al SI aziendale tramite Internet

DentroDentro l’organizzazioneVolontari: accesso non autorizzato o sabotaggio di dati riservati (progetti, brevetti, dati finanziari,…) da parte di utenti interniInvolontari: superficialità, noncuranza, incompetenza possono causare seri danni e/o aprire la porta ad attacchi esterni

Fra i partnerpartner aziendaliPolicy non gestite correttamente, attacchi al partner che possono ripercuotersi sulla nostra azienda,…

DappertuttoDappertutto…Sicurezza a livello di applicazione (worm, virus, bachi,…)

Sicurezza degli Impianti InformaticiG.Serazzi – S.Zanero aa 2005/06 INTR-13

Un semplice esperimentoUn semplice esperimento……

Win95Win95

Win98Win98

Linux Linux 2.22.2

Internet

Linea ADSL connessa ad Internet, e Linea ADSL connessa ad Internet, e connessa ad un hub con un IDSconnessa ad un hub con un IDS

Sicurezza degli Impianti InformaticiG.Serazzi – S.Zanero aa 2005/06 INTR-14

I risultatiI risultati

Primo attacco dopo meno di 10 minutimeno di 10 minuti di connessioneSequenza di port scanport scan (poco importante…)

Tentativi ripetuti di connessione alle porte

23/TELNET, 25/SMTP, 110/POP3, 80/HTTP…

ICMP floodICMP flood, ICMP redirectICMP redirect, tentativi di ARP SpoofingARP Spoofing

Principalmente attacchi da parte di “script kiddies”(nessun reale “valore” sulla rete)

In totale 12 attacchi nelle prime 24 ore, e 38 attacchi in 5 giorni

E stiamo parlando di una rete finta senza nessuna attrattiva!!!

Sicurezza degli Impianti InformaticiG.Serazzi – S.Zanero aa 2005/06 INTR-15

Esempi dalla vita realeEsempi dalla vita reale

Yahoo! viene tolto dalla rete per 24 ore: loss of loss of businessbusiness inestimabileEgghead.Com (B2C) annuncia disclosure di 70.000 credit card: perdita economica forse rimediabile, perdita d’immagine irrimediabileirrimediabile (i dati parlano del 20% fatturato)MicrosoftMicrosoft subisce l’onta dell’hacking tre volte in un meseIn Italia non siamo immuninon siamo immuniSiamo soltanto così impreparati che è impossibile anche solo stimarestimare il fenomeno (molti nemmeno sanno di essere colpiti !)

Sicurezza degli Impianti InformaticiG.Serazzi – S.Zanero aa 2005/06 INTR-16

Alcuni tipi di attacco Alcuni tipi di attacco (1)(1)

AttacchiAttacchi DOSDOS (Denial of Service)rendere indisponibili uno o più servizi erogati da un sistema a causa di una sua saturazione provocata in modo artificiale

Flooding e DDOS (Distributed DOS) intasandone completamente le risorse

DOS mirato a un servizio critico facendolo crollarePenetrazione nel sistemaPenetrazione nel sistema: acquisizione di privilegi non consentiti (root) per

SottrazioneSottrazione di informazioni (piani industriali, brevetti…alto valore!)

Utilizzo improprioUtilizzo improprio del sistema (distribuzione materiale illegale, attacchi verso terzi, …)

Social EngineeringSocial Engineering: metodologia di intrusione che utilizza un approccio non-tecnico, prevalentemente basato su interazioni umane

Sicurezza degli Impianti InformaticiG.Serazzi – S.Zanero aa 2005/06 INTR-17

Alcuni tipi di attacco Alcuni tipi di attacco (2)(2)

Attacchi a livello di rete: SniffingSniffing: lettura “abusiva” di tutti i pacchetti che transitano in rete mediante snifferSpoofingSpoofing: falsificazione dell’indirizzo IP del mittente al fine di fingersi “un altro”HijackingHijacking: persone non autorizzate prendono il controllo di un canale di comunicazione; la connessione viene utilizzata da una terza parte

Infezioni da parte di virus & wormOnline PhishingOnline Phishing: truffe online organizzate per la raccolta di dati sensibili (numeri carte di credito, login e password,…)

Sicurezza degli Impianti InformaticiG.Serazzi – S.Zanero aa 2005/06 INTR-18

Sicurezza a livello di OS Sicurezza a livello di OS (1)(1)

Sistemi operativi progettati per ambienti multi-utente

Es: Un*x, Windows 2000/XP,…

Dotati di meccanismi di autenticazione degli utenti (login)

Accesso alle risorse e privilegi controllati a livello del sistema operativo

Pensati anche per l’utilizzo da remoto (servizi di rete)

L’identificazione degli utenti è fornita (tipicamente) da LOGIN e PASSWORD

Ogni utente appartiene a uno o più GRUPPI

Ogni file e ogni dispositivo (connessioni, periferiche, ecc.) ha un insieme di permessi che ne regolano l’uso

Sicurezza degli Impianti InformaticiG.Serazzi – S.Zanero aa 2005/06 INTR-19

Sicurezza a livello di OS Sicurezza a livello di OS (2)(2)

Un primo livello di sicurezza consiste nel garantire che chi accede al sistema sia “riconoscibile”

Un secondo livello di sicurezza consiste nel garantire che possa accedere solo a file che gli sono permessi

Unica eccezione l’utente “root” che per definizione non rispetta nessun permesso.

I “demoni”, o programmi residenti che offrono servizi di rete, rispettano anche loro queste restrizioni, in base ai privilegi degli utenti con cui vengono eseguiti (nel mondo Un*x, SUID: Saved User ID)

Alcuni demoni devono essere eseguiti SUID root (cioèsenza nessuna restrizione di accesso) per una serie di motivi

Sicurezza degli Impianti InformaticiG.Serazzi – S.Zanero aa 2005/06 INTR-20

Sicurezza a livello di OSSicurezza a livello di OS

Penetrazione nel Sistema: gli Penetrazione nel Sistema: gli ““exploitexploit””

Prima idea “ingegnua”: indovinare le password (brute force attack). Possibili difese sono:

mettere scadenze automatiche (aging) utomatiche (aging) evitare attacchi esaustivi limitando il numero di tentativi con

insuccesso (dopo 2 o 3 insuccessi disabilitare il login)

E’ proprio vero che “Non è possibile “accedere” al sistema senza fornire login e password”?I “demoni” offrono servizi di rete, a volte anche ad utenti non autenticati. Ricordiamoci che i “demoni” usano per le restrizioni il SUID, che a volte è “root”. Quindi un demone può avere un accesso non ristretto al sistema.Se si riesce a “imbrogliare” un demone e a fargli eseguire comandi al posto nostro, si può sfruttare il suo SUID e violare le restrizioni d’accesso (tipico meccanismo degli EXPLOIT)

Sicurezza degli Impianti InformaticiG.Serazzi – S.Zanero aa 2005/06 INTR-21

Sicurezza a livello di OS: Sicurezza a livello di OS: Difesa dagli exploitDifesa dagli exploit

Utilizzare solo software conosciuto e studiato a fondo

Seguire le “best practice” durante l’installazione

Open source vs. close source: la relativa certezza certezza delldell’’analisianalisi vs. la ““security through obscuritysecurity through obscurity””

Le vulnerabilità vengono scoperte costantemente: il software deve essere aggiornato

Qualsiasi sistema in rete è per definizione vulnerabile e deve essere costantemente controllato per segni di effrazione !

Sicurezza degli Impianti InformaticiG.Serazzi – S.Zanero aa 2005/06 INTR-22

Tecniche di base della sicurezzaTecniche di base della sicurezza

Identificazione e AutenticazioneIdentificazione e Autenticazione: individuazione di un utente e verifica della sua identità tramite:

ciò che si sa (condivisione di un segreto, pwd, …), ciò che si possiede (smart-card, certificato digitale,…) ciò che si è (impronte digitali, iride, …)

Autorizzazioni e controllo accessiAutorizzazioni e controllo accessi: assegnazione dei diritti di accesso alle risorse (archivi, file, …). Si verifica che un soggetto utilizzi soltanto le risorse alle quali èstato autorizzato (Access Control Lists, ACL) ed effettui solo le operazioni permesse

Uso di tecniche crittograficheUso di tecniche crittografiche: utilizzo di algoritmi di cifratura (per rendere non intelleggibile l'informazione), di hashing (per garantire l'integrità)