l'hosting di qualità
     al tuo servizio

La Gestione della Sicurezza

La gestione della sicurezza è oggi uno degli aspetti più cruciali per le aziende che operano nel mondo IT. Il rapido evolvere delle tecniche di attacco ed intrusione costringe a continui aggiornamenti degli skill tecnici degli operatori.

La nostra strategia può essere così suddivisa:

Monitoraggio degli apparati

Tutti i nostri server sono costantemente monitorati al fine di garantire

• massima efficienza (controllo performance di sistema)
• continuità di servizio (no down time)
• elevati stantard di sicurezza attiva e proattiva

Monitoraggio performance e servizi vengono eseguiti in modo continuativo nell’arco delle 24 ore 7/7, verificando lo stato di tutti i servizi (http, mail, ftp ...) ad intervalli di 5 minuti.

Nel caso di un ‘fermo’:

• sono fornite sulla console di controllo sono evidenziate:
  
  • indicazione del servizio fermo
  • indicazione dell’ora del fermo
• sono intraprese le seguenti azioni:
  
  • tentativo di ripristino automatico ‘via software’
  • intervento di un tecnico se il ripristino automatico dovesse fallire
• sono generate evidenze sulla console di controllo:
  
  • registrazione dell’effettivo riavvio
  • registrazione del tempo ‘di fermo’
  • registrazione dell’azione per mantenere uno storico ai fini statistici

Questo tipo di monitoraggio consente di avere una continua visione d’insieme dello stato di tutti i servizi raggruppati per server. Inoltre, in virtù della frequenza di controllo di 5 minuti, eventuali problemi sono rapidamente individuati, riducendo così drasticamente i tempi del disservizio.

Durante i fine settimana e giorni festivi, alle azioni sopra descritte si aggiunge la notifica via SMS che il software invia al tecnico reperibile. In questo modo, sempre nel caso dovesse fallire il ripristino automatico, il tecnico sarà già allertato e pronto ad intervenire.

Sicurezza dei sistemi

Tutti i server sono mantenuti costantemente aggiornati sotto il profilo software. Gli aggiornamenti coinvolgono tutti i servizi direttamente utilizzati dagli utenti e quindi più soggetti ad attacchi (http, php, mysql ...), come anche tutti gli altri software presenti sulle macchine (kernel ...).
Tali interventi consentono di avere dei server teoricamente inattaccabili, ma nonostante queste azioni preventive, un pericolo reale è spesso presente. Esso è dovuto a script installati dagli stessi utenti sui propri siti, attraverso i quali si possono verificare gli attacchi ai server. Questa è sicuramente la situazione più difficile da gestire e da monitorare.
Purtroppo nella maggior parte dei casi, gli utenti installano software che poi non vengono mai più aggiornati; un tipico esempio è dato da scritp in Perl o PHP (l’esempio più eclatante è dato da uno dei più diffusi (in Italia) software per realizzare portali: PhpNuke).

La sensibilizzazione dell’utente al problema è cosa difficilissima. Solitamente si prende coscienza del problema solo dopo aver subito un attacco andato a buon fine.

In base alla situazione sino ad ora descritta, appare evidente come la sicurezza del proprio sito sia, in primo luogo, strettamente correlata al tipo di sito ad al software con il quale è stato realizzato.
Un sito costituito da semplici pagine HTML non incorre negli stessi rischi di attacco di un sito realizzato ricorrendo a linguaggi di scripting come PHP o ASP.

A questo punto il problema principale diventa quello di circoscrivere eventuali attacchi ed impedire che essi coinvolgano la sicurezza strutturale del server e l’integrità dei contenuti degli altri utenti presenti sulla macchina.

Questo obiettivo viene perseguito principalmente attraverso i seguenti processi:

• messa in sicurezza del software/sistema
• filtraggio del traffico
• periodiche verifiche di integrità del sistema
• costante monitoraggio dell’attività svolte sui server
• costante analisi del traffico in ingresso ed in uscita da ogni server

• Le configurazioni standard di un sistema operativo sono sovente troppo blande sotto il profilo della sicurezza. La prima attività è quindi quella di disattivare tutti i servizi inutili e potenzialmente vulnerabili. Successivamente si passa ad una verifica delle configurazioni dei singoli servizi attivi come ad esempio le impostazioni di criteri di sicurezza basati su gruppi e permessi di utilizzo.
• Tutti i server sono protetti da firewall. Questo accorgimento permette di decidere nel dettaglio quali porte/servizi sono abilitati a generare traffico. Ad esempio il firewall si occupa di bloccare il traffico verso le porte che non sono utilizzate da servizi necessari come http, mail, ecc. Il firewall ha anche il compito di prevenire attività di scansione volte all’individuazione delle versioni e dei servizi in uso (attività di enumerazione).
• Al momento del set up di ogni un nuovo server viene eseguita la mappa di tutti i file presenti sul sistema. Questa “fotografia” verrà usata nel futuro come riferimento per rilevare eventuali modifiche non autorizzate su file o directory.
  L’analisi è molto dettagliata e si basa sul confronto delle dimensioni e della lunghezza dei file di sistema.
• Correlato con le attività descritte al secondo punto, il monitoraggio delle attività in corso sul server è uno degli aspetti più critici. Tutti i nostri sistemi sono configurati per inviare un’e-mail all’amministratore del sistema nel momento in cui viene rilevata un’attività illecita come ad esempio le sostituzioni di file di sistema, variazioni di permessi su file e directory o altro.
  Tale configurazione consente di avere un’immediata notifica in caso di attacco così da poter intervenire tempestivamente al fine di individuare e risolvere la natura del problema.
• Questa è sicuramente l’attività più importante e determinante per mantenere un sistema sicuro. L’attività è certamente difficile e dispendiosa sia in termini di risorse hardware, sia umane. Tutto il traffico viene costantemente controllato e, nel momento in cui viene rilevato un comportamento anomalo, è registrato in un database.
  Il software che analizza in traffico si basa su un database nel quale sono memorizzati tutti i tipi di attacchi noti. Questo consente di conoscere con certezza ed in tempo reale se sul sistema sono in corso scansioni alla ricerca di vulnerabilità o, peggio, attacchi.
  L’aspetto più rilevante è che questo controllo consente un’analisi talmente precisa che è possibile risalire non solo al sito attaccato, ma anche allo script utilizzato in modo ‘illecito’. In condizioni normali, su un server condiviso che quindi ospita centinaia di siti, un’attività di questa precisione sarebbe impossibile.
  L’altro importante vantaggio è facilmente intuibile: avviare immediatamente un’attività di ricerca di vulnerabilità sugli script presenti sul server, consente di poter intraprendere azioni correttive prima che tali vulnerabilità siano utilizzate.

Auditing e Monitoring della Rete

Il sistema prevede la sensorizzazione globale o parziale del network, allo scopo di rilevare, analizzare ed identificare minacce e attività illecite o dannose perpetrate sulla rete e soprattutto di individuare in real time la loro origine.
Operando a livello applicazione, siamo in grado di analizzarne tutti i livelli di incapsulamento ed i contenuti.

Obiettivi

• Rilevazione ed auditing delle attività di scan o di altri accessi anomali sulla rete (port scan, network scan, scan SNMP, query NETBIOS, browsing di computer, etc.)
• Rilevazione di attività di DoS (Denial of Service)
• Rilevazione di attività di spamming massive attraverso l'analisi del traffico sviluppato
• Individuazione di FTP server, sharing di cartelle di Windows, rilevazione di applicativi “peer to peer” per lo scambio di file MP3, DivX, pedopornografia, etc.