SEI – Sistemi di Esercizio Infrastrutturale
Servizi di verifica e supporto alla Sicurezza
Informatica
In collaborazione con
ver 2.1
Inquadramento del servizio nel contesto ITIL
L’IT Service Management di TSF è basato su ITIL. Questa scelta è volta a fornire
servizi IT nella giusta qualità in base a definiti SLA.
Pertanto il servizio andrà contestualizzato nei processi ITIL interessati.
SERVICE MANAGEMENT
SERVICE SUPPORT
Descrive come i clienti e gli
utenti possono accedere ai
servizi
adeguati
a
supportare le loro attività ed
il business, e come questi
servizi sono supportati.
Service
Desk
Configuration
Mng
Incident
Mng
Problem
Mng
SERVICE MANAGEMENT
Change
Mng
Release
Mng
Il SERVICE SUPPORT E L’INCIDENT MANAGEMENT
Release
Management
Users
Service
Desk
Incident
Management
Alerts
Configuration
Management
Problem
Management
Change
Management
L’INCIDENT MANAGEMENT E LA CRISIS SUPPORT
>
>
>
>
>
Se il Service Desk non può risolvere l’incidente all’interno di un intervallo
predefinito, si determina quale gruppo di supporto dovrebbe occuparsi
dell’incidente. Questo indirizzamento, definito “escalation funzionale”, si basa
sulla categoria alla quale è assegnato l’incidente.
Sulla base delle priorità e degli SLA, l’utente/i coinvolto verrà informato sul
massimo tempo stimato per risolvere l’incidente
Il service Desk instrada gli incidenti per i quali non è disponibile alcuna soluzione
immediata, avendo classificato l’incidente e verificato che non esiste un
incidente simile per il quale è stata resa disponibile una soluzione.
Il Service Desk, in caso di incidente con grande impatto, rileva un “allarme”
Le procedure per la gestione di particolari incident ovvero gli incidenti di
sicurezza sono predisposte dal Security Management e veicolate dall’Incident
Management.
In tale contesto si inserisce il servizio denominato “Crisis Support”.
CRISIS SUPPORT ACTIVITY
Tale attività, in relazione a quanto sino ad ora esposto, si divide in
due fasi:
>
PROBLEM SOLVING: a seguito di evento di tipo distruttivo avvenuto
all’interno del Perimetro T.S.F. per le quali siano state attivate le prime
procedure di emergenza. Questa tipologia di attività, di carattere
reattivo, scaturisce dalla ricezione di un allarme di sicurezza inviato dal
Cliente, ed è rivolta ad effettuare l’applicazione delle relative
contromisure, a seconda del tipo di “allarme” rilevato, a tutela del
patrimonio tecnologico e informativo di T.S.F.
>
Cenno al secondo punto
PROBLEM SOLVING: EROGAZIONE
L’attività sarà erogata nel seguente modo:
>
>
>
>
Raccolta dei dati necessari alla determinazione della tipologia dell’allarme
(ovvero identificare se l’allarme è di tipo rete, sistema o applicazione).
Questo processo include l’analisi dei log provenienti da dispositivi di
sicurezza (FW, IDS, ecc), dispositivi di rete, sistemi e applicazioni impattati
dall’evento
Valutazione dell’impatto in termini di: disponibilità dei sistemi e servizi
coinvolti, vulnerabilità sfruttate, eventuali informazioni sottratte
Applicazione delle contromisure tecnologiche atte al ripristino delle normali
condizioni operative. Nel caso in cui l’applicazione delle contromisure
necessiti dell’interazione con entità esterne a T.S.F. (ad esempio il carrier
fornitore della connettività), lo specialista intervenuto potrà farsi carico,
qualora il Cliente lo ritenga opportuno, di condividere con le entità esterne
coinvolte la strategia di azione in risposta all’evento
Stesura del rapporto di intervento
PROBLEM SOLVING: EROGAZIONE (segue)
Il servizio di problem solving verrà erogato H24 per i giorni lavorativi, il
sabato, la domenica e le festività. L’attivazione dell’intervento dovrà
avvenire entro 30 minuti dalla ricezione della chiamata di segnalazione.
I numeri assegnati per il servizio di Crisis support sono:
•Numero Verde: 800502444 (attivo 9-18)
•Reperibilità: 338-2674325 (h24)
•Escalation: 335 1028305 (h24)
SECURITY MANAGEMENT
>
Nell’ambito delle attività del Security Management troviamo quella
dell’allerta e dell’identificazione di nuove minacce e possibili vulnerabilità.
In questo ambito si colloca l’attività di
ANALYSIS ACTIVITY
&
DIFESA PROATTIVA
ANALYSIS ACTIVITY
L’attività è divisa nelle seguenti fasi:
•
•
•
PENETRATION TEST
REMEDIES
REPETITION
Metodologia
Analisi iniziale
1) Definizione degli obiettivi e
dello scopo del VA
2) Identificazione e classificazione
degli Assett Critici
output
Project
Plan
Assessment
1) Identificazione vulnerabilità di rete e dei
servizi (Medium Level Assessment)
2) Identificazione vulnerabilità di sistema
(Basic Level Assessment)
3) Identificazione vulnerabilità delle
applicazioni (Advanced Level Assessment)
output
Descrizione
AS-IS
Vulnerabilità e
minacce
Analisi conclusiva
1) Contestualizzazione e
prioritizzazione delle vulnerabilità
2) Definizione di un project plan
per la risoluzione delle
vulnerabilità
output
Security
Plan
Strategia di
intervento
Fasi dell’attacco
HT/B-e Ethical
Hacking
Non-invasive
Analysis
FOOTPRINTING
SCANNING
Invasive
Analysis
ENUMERATION
Attack
ESCALATING
PRIVILEDGES
GAINING ACCESS
Consolidation
PILFERING
COVERING TRACES
Fasi attacco da internet
NON – INVASIVA
•FOOTPRINTING
Questa fase ha lo scopo di raccogliere il maggior
numero di informazioni sull’obiettivo che si intende
attaccare senza “toccare” l’obiettivo stesso, ovvero
effettuando una cosiddetta “analisi non invasiva”.
In particolare in questa fase si cerca di determinare:
domini, blocchi di rete e indirizzi IP dei sistemi
direttamente collegati a Internet. Gli strumenti utilizzati
sono: Search Engine, Whois server, Arin database,
interrogazione DNS, ecc.
•SCANNING
L’obiettivo dello scanning è ottenere una mappa più
dettagliata possibile del sistema da attaccare. Ciò
significa acquisire informazioni su quali indirizzi IP dei
blocchi di rete trovati nella fase precedente siano
effettivamente “contattabili” dall’esterno (IP discovery),
quali servizi siano “attivi” (TCP/UDP port scan) e, infine,
quali sistemi operativi “posseggano”. Gli strumenti
utilizzati sono: interrogazioni ICMP (gping, fping, ecc.),
scansione delle porte TCP e UDP (strobe, netcat, nmap,
ecc.), fingerprint dello stack (nmap, ettercap).
INVASIVA
•ENUMERATION
Con questa fase si inizia l’”analisi invasiva”. Si
effettuano, infatti, connessioni dirette ai server e
“interrogazioni” esplicite. Tali attività potrebbero, a
seconda della configurazione presente sui sistemi
target, originare dei logs sui sistemi (tipicamente su
sistemi di controllo). Attraverso l’enumerazione si vuole
giungere a identificare, sulle macchine riscontrate come
raggiungibili, account validi (list user accounts), risorse
condivise (list file shares) e applicazioni attive sulle
porte in ascolto (identify application). Le tecniche
utilizzate variano a seconda dei sistemi operativi delle
macchine che vogliamo analizzare.
Fasi attacco da internet
ATTACCO
•GAINING
ACCESS
Una volta ottenute le informazioni del punto
precedente, inizia il vero e proprio attacco che ha come
obiettivo riuscire a “entrare” nel sistema remoto. I
metodi utilizzati anche in questo caso dipendono dal
sistema operativo della macchina target, ma si basano
sostanzialmente sulla ricerca di password corrispondenti
agli utenti trovati (password guessing), sullo
sfruttamento di errori progettuali delle applicazioni e
servizi attivi sul server (buffer overflows, attacchi data
driven, ecc.) o del sistema operativo stesso.
•ESCALATING
PRIVILEDGES
L’obiettivo di questa fase è sfruttare i risultati ottenuti
nella fase precedente per ottenere il pieno controllo del
sistema remoto attaccato. Ciò si ottiene, per esempio,
reperendo i files presenti sul sistema che contengono le
password (/etc/passwd, SAM, ecc.) e tentando di
decifrare le password in essi contenute (password
cracking), oppure utilizzando appositi exploits.
CONSOLIDAMENTO
•PILFERING
Se si giunge a questa fase significa che si è ottenuto il
pieno controllo del sistema target. Quindi è bene
valutare la configurazione del sistema stesso al fine di
capire se, dove e cosa il sistema registra (logs). I
sistemi di auditing saranno eventualmente disabilitati
(es. con Win NT mediante auditpol). A questo punto la
macchina in oggetto può diventare una “testa di ponte”
per attaccare altre macchine. In tal caso saranno
reperite informazioni riguardanti altri sistemi.
•COVERING
TRACKS
Prima di abbandonare il sistema “conquistato” vengono
cancellati gli eventuali logs che hanno registrato la
presenza clandestina ed eventualmente installati trojan
o back-doors che consentano di rientrare facilmente
sulla macchina in un secondo momento. Può essere
utile anche installare tools nascosti quali sniffers o
keyloggers al fine di catturare altre password del
sistema locale o di altri sistemi ai quali utenti ignari si
collegano dalla macchina controllata.
Attacco applicativo
ANALISI APPLICATIVA
Questa analisi è costituita da una serie di
tentativi di attacco che coinvolgono solo i
protocolli di comunicazione utilizzati dagli
utenti finali per interagire con le applicazioni.
Nel caso specifico delle applicazioni web, tali
attacchi sono basati su manipolazioni dei
pacchetti HTTP che vengono scambiati fra i
browser degli utenti ed il web server. Esistono
diverse categorie di attacchi verso applicazioni
web, che possono portare alla
compromissione di uno o più layer dell’intera
infrastruttura applicativa:web server,
application server, data tier.
Caratteristica comune a tutti gli attacchi
applicativi è la completa trasparenza ad ogni
sistema di di fesa perimetrale (firewall, ids,
ecc.); manipolazioni dei protocolli di layer 7
(applicativi) non possono essere rilevate da
dispositivi che analizzano il traffico a layer 3
(network).
L’attività di security audit dell’applicazione
web identifica in modo completo le classi di
attacco.
Nella colonna seguente ne vengono elencati i
metodi.
METODI DI ATTACCO
•Cross-site
scripting: attacchi che sfruttano una non corretta
validazione dei contenuti restituiti dal server in risposta a
richieste HTTP opportunamente modificate.
•Parameter tampering: attacchi che sfruttano una non corretta
validazione dei parametri passati dal browser al web server.
•Hidden field manipulation: attacchi che, sfruttando paradigmi di
programmazione non sicuri, alterano il valore di parametri
applicativi fra due successive richieste HTTP.
•Backdoors e opzioni di debug: attacchi basati su errori di
configurazione e/o di programmazioni molto noti e diffusi.
•Forceful browsing: attacchi che mirano ad accedere a risorse
protette seguendo percorsi di navigazione non previsti.
•Buffer overflow: attacchi che comportano l’esecuzione di codice
arbitrario in assenza di opportuna validazione dei parametri in
ingresso.
•Cookie poisoning: attacchi basati sulla manipolazione dei cookie
di sessione HTTP.
•Configurazioni errate: attacchi che sfruttano comuni errori di
configurazione.
•Vulnerabilità note: attacchi che sfruttano la mancata
applicazione di patch.
•SQL injection: attacchi che mirano all’esecuzione di query non
previste sui DBMS di backend
•Attacchi http: manipolazioni degli Header HTTP.
DIFESA PROATTIVA
>
DIFESA PROATTIVA: concernente la segnalazione di nuove
vulnerabilità e di nuovi exploit, potenzialmente pericolosi per T.S.F. per i
quali non siano ancora state rilasciate contromisure relativamente alle
tipologie di attacchi informatici. Queste attività verranno erogate in
modalità continuativa, e sono finalizzate a mantenere aggiornato il
personale T.S.F. affinché venga ridotto a zero il divario temporale tra il
rilascio di una contromisura ad una vulnerabilità pertinente al
patrimonio informativo di T.S.F. e la sua applicazione in esercizio.
DIFESA PROATTIVA (Segue)
>
Le attività di carattere preventivo, verranno direttamente erogate dal
Centro Servizi Hacking Team/Business-e che, essendo in contatto con
il mondo dell’underground, analizzando quotidianamente i bollettini di
sicurezza emessi dai principali advisory, siano essi pubblici (SANS,
CERT, MITRE, ecc) o emessi direttamente dai fornitori delle tecnologie
impiegate presso l’ambiente T.S.F. , provvederà a comunicare
tempestivamente le informazioni secondo le modalità concordate con il
Cliente in sede di definizione del contratto.
>
Sarà cura dell’offerente di predisporre, all’interno delle sue strutture di
back office, una procedura automatica per conservare le informazioni
in oggetto in un repository che conterrà oltre al dettaglio del bollettino
anche la data di comunicazione del medesimo al Cliente.