Open Security
Upcoming SlideShare
Loading in...5
×
 

Open Security

on

  • 482 views

La sicurezza informatica con programmi open source

La sicurezza informatica con programmi open source

Statistics

Views

Total Views
482
Views on SlideShare
482
Embed Views
0

Actions

Likes
0
Downloads
2
Comments
0

0 Embeds 0

No embeds

Accessibility

Categories

Upload Details

Uploaded via as Adobe PDF

Usage Rights

© All Rights Reserved

Report content

Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
  • Full Name Full Name Comment goes here.
    Are you sure you want to
    Your message goes here
    Processing…
Post Comment
Edit your comment

Open Security Open Security Presentation Transcript

  • Open security La sicurezza informatica con programmi open source Francesco M. Taurino LinuxDAY 2006 - Caserta
  • Sicurezza informatica- La sicurezza NON è installare un firewall- La sicurezza NON è un prodotto o un servizio- Un controllo di sicurezza NON è “fai uno scan della rete e spegni qualche servizio...” La sicurezza è un processo
  • La sicurezza informatica è- “Posso ancora lavorare produttivamente senza pensare ai problemi di sicurezza”?- efficace come “lannello più debole” della catena- la gestione del rischio per computer e personale- “Chi può avere accesso fisicamente ai server, ai backup o ai pc?”- 24x7x365... sempre- fare tutto quello quello che si può, senza incidere (troppo...) su produttività e budget La sicurezza è un processo
  • Alcune considerazioniLa sicurezza informatica si deve occuparedi: 1. accesso fisico 2. autenticazione e autorizzazione 3. server e client 4. servizi e applicazioni 5. reti 6. confidenzialità e integrità 7. disponibilità
  • 1. Accesso fisicoFa parte della sicurezza passiva.Esempi:- protezione dei locali- porte blindate- identificazione del personale
  • 2. Autenticazione e autorizzazioneConsistono nella verifica dellidentità edelle credenziali di un utente (unprogramma o un computer) e nellesamedei privilegi di accesso a determinaterisorse che gli sono stati concessi.
  • 2. Autenticazione e autorizzazioneAlcuni tool:- OpenLDAP, Fedora Directory Server- FreeRadius, GNU Radius
  • 3. Server e clientNella scelta e nellimplementazione di unastruttura informatica è vitale la correttaselezione dei sistemi operativi di server eclient.Il mercato client è per oltre il 90%rappresentato da Windows, mentre inambito server questo sistema è presentesul 52% delle macchine.
  • 3. Server e clientI virus, i worm e gli spyware “in the wild”sono quindi studiati per attaccare questotipo di sistemi.Linux sui desktop e sui server è quindi unascelta fattibile sia per le funzionalità cheper il positivo impatto sulla sicurezza, vistoche non è in grado di eseguire questi“codici maligni”.
  • 4. Servizi e applicazioniCome per i sistemi operativi, è importanteselezionare accuratamente i softwareapplicativi o utilizzati per erogare servizi.Sono inoltre necessari continui update,verifiche della presenza di vulnerabilitànei server “esposti”, controlli sulla bontàdelle password, etc etc
  • 4. Servizi e applicazioniAlcuni tool:- chroot (creazione di “gabbie” per servizi)- servizi senza privilegi elevati- apt, yum, urpmi (aggiornamenti s.o.)- Nessus (ricerca vulnerabilità)- Snort (rilevazione tentativi di intrusione)- John the Ripper (password cracker)
  • 5. RetiMessi in sicurezza locali, server e servizi,dobbiamo assicurarci che le nostre reti(anche a basso livello) offrano lo stessolivello di sicurezza dei livelli più elevati.Alcuni tool:- Wireshark, tcpdump (sniffing)- Kismet (wireless sniffer)- Nmap (lista servizi, identificazione s.o.)- Nedi (discovery apparati)
  • 6. Confidenzialità e integritàTutta la struttura è in sicurezza.Ma i dati, le mail, laccesso ai server comevengono protetti?Dobbiamo avere un sistema la chegarantisca la confidenzialità (una terzaparte che entri in possesso delleinformazioni scambiate tra mittente edestinatario non è in grado di ricavarnealcun contenuto informativo intelligibile).
  • 6. Confidenzialità e integritàIl sistema deve garantire lintegrità, cioèprotezione dei dati e delle informazioni neiconfronti delle modifiche del contenutoeffettuate da una terza parte, essendocompreso nellalterazione anche il casolimite della generazione ex novo di dati edinformazioni.
  • 6. Confidenzialità e integritàLa confidenzialità e lintegrità di dati eprogrammi si ottengono in fasi e modidifferenti, dalla protezione dellecomunicazioni alla criptazione dei dati intransito su canali intrinsecamente insicuri(come Internet).
  • 6. Confidenzialità e integritàAlcuni tool:- SSL/TLS e ssh (connessioni sicure)- VPN (tunnel criptati su canali insicuri)- GnuPG (criptazione dati e mail)- Tripwire (verifica integrità programmi)
  • 7. DisponibilitàCon il termine disponibilità si intende laprevenzione della non accessibilità, ai legittimiutilizzatori, sia delle informazioni che dellerisorse, quando informazioni e risorse servono.Il concetto quindi, oltre che riguardare dati edinformazioni, è esteso a tutte le possibili risorseche costituiscono un sistema informatico, come,ad esempio, la banda di trasmissione di uncollegamento, la capacità di calcolo di unelaboratore, lo spazio utile di memorizzazionedati, ecc.
  • 7. DisponibilitàAnche la disponibilità dei dati e dellabanda si ottiene in fasi e modi differenti,dalla protezione fisica dei locali, allacorretta gestione di server, supporti estrategie di backup fino alla realizzazionedi sistemi di cluster e sistemicompletamente ridondati.
  • 7. DisponibilitàAlcuni tool:- RAID (per la protezione dello storage)- LinuxHA (alta disponibilità)- LVS (Linux Virtual Server)- RedHat Cluster Suite