Italia: nuove tecnologie, formazione e governo del rischio inesistente

Oggi il computer è in molti casi "invisibile"  almeno nell'accezione di uno strumento necessariamente costituito da una unità centrale più o meno ingombrante che contiene il processore, dischi, memoria, ecc., una tastiera, un monitor, e altre periferiche.  

Come aveva previsto nel 1998 Don Norman (The Invisible Computer, The MIT Press, 1998 - https://www.nngroup.com/books/invisible-computer/), oggi il computer è presente in molte forme nella nostra vita quotidiana.  Smartphone, consolle giochi, smart TV, auto connesse sono solo alcuni  degli esempi. Il computer è anche elemento centrale in numero sempre crescente di attività produttive industriali, manifatturiere, dei servizi, nella sanità. Non esiste oggi attività umana che non dipenda in modo più o meno stretto dal computer o da una rete di computer.  

L'usabilità del computer "invisibile", nascosto in molti oggetti, ha reso popolari strumenti fino a poco tempo fa orientati a un pubblico specialistico. Pensiamo ad esempio ai gruppi di radioamatori che negli anni '70 e '80 creavano gruppi accessibili solo a chi avesse le competenze per installare una staziona radio. Oggi tale possibilità è immediatamente disponibile a chiunque abbia un telefono connesso e sia iscritto a una delle tante piattaforme per la creazione di reti sociali. Tuttavia la facilità con cui si utilizzano gli strumenti e ci si collega ad altre persone non è stata accompagnata da una approfondita riflessione sulle sicurezza delle informazioni. 

Qualunque computer oltre a memorizzare informazioni su di noi, memorizza anche informazioni sulle persone con cui siamo in contatto. Inoltre è una potente risorsa di calcolo che, quando connessa in rete, può essere violata in modo da essere controllata da un estraneo. L'invisibilità del computer (includendo tutti gli strumenti smart-) e delle informazioni che memorizza e elabora rende più difficile far percepire i pericoli e i rischi connessi. Fra i tanti esempi possibili, cito la rete "Mirai", costruita violando migliaia di dispositivi connessi in rete come videocamere di sorveglianza. L'obiettivo degli attaccanti non è stato quello di rubare informazioni, ma di utilizzare la potenza computazionale per lanciare un attacco di tipo DDoS (Distributed Denial of Service) che nel 2016 ha reso per diverse ore inaccessibili la maggior parte dei siti Internet da parte degli abitanti della costa orientale degli USA (per una descrizione approfondita https://elie.net/blog/security/inside-mirai-the-infamous-iot-botnet-a-retrospective-analysis/). Questo significa che è necessario non solo proteggere le informazioni che riguardano la nostra sfera personale e le informazioni delle persone con cui siamo in contatto e che memorizziamo nei nostri sistemi, ma proteggere i sistemi stessi per evitare che diventino delle vere e proprie "armi" in mano di attaccanti che in modo invisibile ne prendono il controllo per attaccare i veri obiettivi. 

Nel mondo fisico siamo molto attenti a possibili pericoli visibili per l'incolumità personale e per quella altrui, tanto che per utilizzare utensili professionali di lavoro, macchine operatrici o per condurre un automezzo, occorre frequentare dei corsi e superare esami teorici e pratici.  

Nel momento in cui i computer sono praticamente invisibili ma si trovano a gestire numerosi strumenti che hanno un effetto nel mondo fisico e che, conseguentemente, la loro interconnessione in rete comporta effetti a catena potenzialmente pericolosi, cosa si fa nel mondo reale per mitigare il rischio? 

L'effetto fisico infatti si può realizzare attraverso catene di connessioni, a partire da un computer non direttamente connesso a un dispositivo fisico, ma che può essere raggiunto attraverso una relazione di fiducia fra dispositivi connessi anche consentita dalle persone che ne gestiscono l'utilizzo.  

Focalizziamoci per un momento sullo smartphone, l'oggetto connesso oggi più diffuso. 

Oggi non ci stupiamo che qualunque smartphone localizzi immediatamente il volto di una persona quando inquadriamo per scattare una foto. Eppure fino a una decina di anni fa, questo era un compito che richiedeva una potenza di calcolo elevata e algoritmi non sempre privi di errori.  Oggi con il medesimo smartphone in modo naturale passiamo dal commentare le foto dell'amico, a disporre un bonifico bancario, a gestire contratti di varia natura, interagire con documenti di lavoro e controllare elettrodomestici di casa. Alla intuitività dell'interazione purtroppo non è accompagnata la necessaria consapevolezza (awareness) dei rischi dovuti a malintenzionati che abusano della nostra fiducia. 

Ora, fin da bambini ci insegnano i rudimenti della circolazione stradale per renderci da subito in grado di usare le strade, comprendere le regole e i segnali, in modo da usarle in sicurezza per se e per gli altri che utilizzano la strada. Quando ero bambino, uno strumento come l'ascensore era proibito prima del compimento dei 12 anni e nel palazzo in cui vivevo i pulsanti erano posti in alto, fuori dalla portata di un bambino piccolo.

   Ora, è evidente a tutti come la rapida evoluzione delle tecnologie informatiche e della comunicazione siano un fattore di sviluppo non solo economico ma anche sociale, per le maggiori possibilità di interagire, di conoscere il mondo al di fuori della propria cerca, di poter cogliere opportunità. 

Ma per poter godere di questa opportunità occorre governare da subito i rischi e i pericoli per evitare che l'introduzione e lo sviluppo di strumenti così importanti per il miglioramento del benessere individuale e sociale (pensiamo agli effetti positivi nel mondo sanitario, sia in termini di strumenti per la cura, sia per la possibilità di poter offrire cure in zone geograficamente disagiate) venga arrestato da una assenza di consapevolezza diffusa su potenzialità e rischi. 

Se guardiamo il panorama nazionale, la situazione è purtroppo desolante.

Da tanti anni in Italia l'investimento in istruzione, in termini di azioni positive di governo che assegnino risorse, compiti e obiettivi, è del tutto assente. L'insegnamento delle nuove tecnologie nelle scuole elementari, medie e superiori, che dovrebbe coinvolgere tutti gli studenti indipendentemente dal loro percorso formativo è lasciato alla iniziativa volontaria delle singole scuole e alla passione dei singoli docenti. 

A livello universitario sono presenti corsi specialistici per la formazione di professionisti, ma il loro numero è insufficiente per coprire le esigenze del mercato del lavoro (https://www.consorzio-cini.it/index.php/it/labcs-home/formazione-in-cyber-security-in-italiA). 

Quasi totalmente assente anche in ambito universitario una formazione orizzontale alle tecnologie informatiche e alla loro sicurezza. 

E se pensiamo che non c'è attività professionale che oggi non debba fare i conti con l'informatica…

Questo scenario, oltre a rappresentare un pericoloso campanello dall'allarme per la competitività della nostra nazione, che non forma adeguatamente le competenze necessarie a confrontarsi con la rapida trasformazione tecnologica in ambito internazionale, risulta particolarmente critico per la sicurezza dal momento che diventa difficile poter gestire un "perimetro" di sicurezza quando i singoli sono scarsamente consapevoli che è compito di ciascuno difendere quel perimetro. 

La passione di diversi docenti delle scuole di ogni ordine e grado, così come le competenze presenti in ambito accademico non devono essere solo uno spunto per iniziative estemporanee. 

Occorre uno studio approfondito degli obiettivi formativi per ciascuna fascia di età e la conseguente formazione degli insegnanti. 

Non ci si può basare su buona volontà e conoscenze acquisite per curiosità personale. Come per qualunque disciplina l'improvvisazione può creare danni. 

E' già molto tardi. Ma se continuiamo a far finta di niente, non solo saremo sempre più esposti a pericoli facilmente evitabili con una buona formazione di base. 

Nel mentre che si attende, tutto il paese perde in competitività per la sua dipendenza dalle nazioni che invece investono in cultura e formazione e da chi usa questa cultura e formazione per esercitare dominio sulle altre nazioni. 

In Italia abbiamo già numerose professionalità e competenze riconosciute a livello internazionale. 

Occorre mettere in campo risorse e strategie per non disperdere questo patrimonio e utilizzarlo come fattore moltiplicatore (https://www.consorzio-cini.it/index.php/it/labcs-home/libro-bianco).

Giorgio Giacinto

29 ottobre 1969: nasce Arpanet, l'odierna Internet

Nel 1958 il presidente americano D.D. Eisenhower crea l'Advanced Research Project Agency, l'agenzia del DoD americano per lo sviluppo delle tecnologie emergenti in campo militare.
E' da un progetto dell'ARPA, nato con lo scopo di permettere agli scienziati di scambiare informazioni a distanza che nasce Arpanet.
Nel febbraio del 1967 Bob Taylor riuscì a convincere l'allora direttore dell'ARPA, Charles Herzfeld a finanziare un progetto di rete a pacchetti con un milione di dollari.
L'anno dopo Taylor assunse Larry Roberts e i lavori proseguirono velocemente anche con l'apporto di idee di altri scienziati e dell'industria americana delle telecomunicazioni. Nel 1967 nascono infatti i primi Router, allora chiamati IMP e poi i Modem.
La prima rete a scambio di pacchetti nasce nel 1968 e il primo messaggio venne spedito da uno studente dell'UCLA (University of California, Los Angeles), Charley Kline, alle 22.30 del 29 ottobre Pacific Standard Time, ovvero alle 06.30 del 30 ottobre secondo l'orario di Greenwich. Il testo del messaggio era "login".
Le prime due lettere partirono e arrivarono a destinazione, quindi il sistema andò in crash.
Circa un'ora dopo, risolto il problema, fu inviato il messaggio per intero: "login".
Qualche mese dopo, a dicembre, quattro computer erano in rete (UCLA, Stanford Research Institute, UC Santa Barbara e University of Utah).
Oggi Internet conta miliardi di periferiche di tutti i tipi e cresce senza sosta...

Alessandro Rugolo

Foto tratta da https://www.flickr.com/photos/pbarry/976719

Statistiche Internet: https://internetworldstats.com/stats.htm

Attacco cyber contro l'Iran? Gli Stati Uniti dicono...

Il 16 ottobre, la Reuter esce con un articolo-sensazione "Exclusive: U.S. carried out secret cyber strike on Iran in wake of Saudi oil attack: officials…", cosi almeno dicono i ben informati giornalisti americani Idrees Ali e Phil Stewart , sulla base di dichiarazioni di non meglio identificati testimoni...

Interrogato in merito, il ministro iraniano per le Comunicazioni e l'Information Technology Mohammad Javad Azari-Jahromi ha risposto ironicamente che gli USA devono averlo sognato.

Eppure la cosa fa notizia...

Ma perché tanta enfasi? 

Cosa c'è di nuovo in una notizia simile? 
Ma è veramente una sorpresa? 
Per quale motivo la notizia è stata ripresa negli ultimi giorni dai principali giornali di lingua inglese ?
Possibile che nessuno si attendesse una cosa del genere?

Tutte domande lecite, ma apparentemente senza risposta. Proviamo a rispondere noi, almeno in parte.

In primo luogo, a ben guardare, non c'è motivo di tanta enfasi.

Qualche settimana fa (23 settembre) un articolo del New York Times parlava proprio della ricerca di un obiettivo da attaccare tramite l'arsenale cyber. 

Il Generale Nakasone, capo del Cyber Command, per l'occasione ricordava al Presidente Trump che l'arsenale cyber non è come un proiettile magico… 

ma evidentemente sbagliava, non solo l'arsenale cyber statunitense è magico ma addirittura preveggente… o forse molto più semplicemente l'attacco era già pianificato da tempo, cosa assai normale nel mondo militare. 

Il modus operandi non è certo una novità!

Si preparano dei piani che vengono tenuti nel cassetto o sviluppati solo in parte e poi impiegati quando necessario. 

Nel caso di un cyber attack contro un obiettivo di un Paese nemico non è raro impiegare una APT (Advanced Persistent Threat) ovvero una operazione persistente nel tempo, basata magari su una o più botnet già dispiegate. 

Si agisce poi quando occorre, colpendo, per cosi dire, in profondità e per far male. 

Ma allora, se tutto era stato pianificato, perché tutta questa enfasi? Si tratta forse di una operazione di influence? 

E' quanto viene da pensare se si guarda a quanto accaduto, ripercorriamo i passaggi principali:

- il 14 settembre USA, UAE e alcuni Paesi europei dichiarano che l'Iran ha attaccato una raffineria. L'Iran smentisce. Un gruppo yemenita se ne attribuisce i meriti (ma cio' non è comodo e la cosa non è ritenuta seria...);

- il 23 settembre l'annuncio USA (tramite i media) della ricerca di un obiettivo iraniano da colpire per mezzo di una cyber arma, con la giustificazione che un attacco cyber non costerà perdite umane (!!!);

- il 16 ottobre una "fuga di notizie" ci informa dell'attacco cyber. Informazione ripresa e amplificata velocemente… danni subiti dall'avversario? 

Non noti… o meglio, ufficialmente l'operazione dovrebbe avere come effetto quello di colpire la capacità iraniana di diffondere propaganda e si tratterebbe di qualcosa che dovrebbe colpire l'hardware, ma niente di più è trapelato.

Ma allora, a che scopo tutto ciò?

Uno dei principi dell'Arte Militare consiste nello sfruttamento della sorpresa. 

La sorpresa abbatte il morale dell'avversario, lo spinge a compiere errori, lo fa sentire inferiore…

Perché rinunciare alla sorpresa?

Occorre tener presente che in gioco vi sono non solo gli interessi nella regione, più instabile che mai, ma anche la credibilità dei paesi occidentali di poter guadagnare la partita, credibilità già messa in dubbio in Siria e sulla questione curda. 
In tutto ciò vi è l'avvicinarsi delle elezioni americane. Interessante l'accenno, nell'articolo della Reuters, alle azioni di un gruppo chiamato "Phosphorous", ritenuto dalla Microsoft vicino al governo iraniano, e che tra agosto e settembre ha colpito i membri della campagna presidenziale.

Tutto ciò fa pensare che gli interessi in gioco siano molto più ampi di quelli iraniani e dunque ci si muova in una scacchiera dove il Pedone nasconde la Torre che protegge la Regina...

D'altra parte, se si rinuncia a qualcosa di prezioso, di solito è per qualcosa che ne valga la pena, ovvero qualcosa di ancora più prezioso… 

Alessandro RUGOLO

Immagine di Faiez Nureldine/Getty Images (tratta dal sito arstechnica.com).

Per approfondire:

- https://www.reuters.com/article/us-usa-iran-military-cyber-exclusive/exclusive-u-s-carried-out-secret-cyber-strike-on-iran-in-wake-of-saudi-oil-attack-officials-say-idUSKBN1WV0EK;

- https://www.nytimes.com/2019/09/23/world/middleeast/iran-cyberattack-us.html;

- https://arstechnica.com/information-technology/2019/10/us-claims-cyber-strike-on-iran-after-attack-on-saudi-oil-facility/;

- https://www.independent.co.uk/news/world/middle-east/us-cyber-attack-saudi-trump-oil-field-iran-white-house-military-a9158946.html; 

- https://www.nytimes.com/2019/09/23/world/middleeast/iran-cyberattack-us.html;

- https://www.weau.com/content/news/UK-says-Iran-responsible-for-attack-on-Saudi-oil-facilities-561098141.html;

- https://www.independent.co.uk/topic/Yemen;

HOW-TO: Come costruire un proprio Firewall “fatto in casa”

Un metodo pratico per risparmiare e tenere al sicuro i propri dati.

In questo periodo in cui le finanze delle Aziende e Pubbliche Amministrazioni sono messe a dura prova, è facile trovare Direttivi che pensano alla Sicurezza come ad un costo, e non come un’esigenza reale della propria infrastruttura.

E’ facile, dunque, immaginare uno scenario abbastanza preoccupante dove la struttura non è propriamente adeguata.

Server non adeguati, software non aggiornati, nessuna possibilità di modifica delle piattaforme e chi più ne ha più ne metta.

Determinati contesti in realtà non sono rari ed è quindi doveroso prepararsi ad agire anche a fronte di scarse risorse.

 In generale, implementare una soluzione software su hardware non dedicati, come la soluzione che andremo ad analizzare di seguito, può essere concretamente utile nei seguenti casi:

- Mancanza di fondi

- Necessità di adottare una soluzione “tampone” senza costi aggiuntivi in caso di estrema emergenza
- Necessità di difendere piccole macchine (ad esempio laptop) e non poter adottare soluzioni “classiche”, per via di condizioni eccezionali.
- Necessità di riconfigurare una rete isolata, ad esempio un laboratorio, senza dover acquistare hardware aggiuntivo, mantenendo la flessibilità della rete stessa.

Questi sono solo alcuni esempi, in realtà le possibilità sono molte.

A seconda dei casi, nel caso si voglia adottare la soluzione basata su Windows, non si avrà un calo considerevole delle prestazioni.

Il discorso cambia nel caso si voglia adottare OPNSense.

Consiglio OPNSense se non sono mai stati eseguiti dei test sulle applicazioni e i sistemi da difendere, mentre Windows nel caso in cui si conosca bene il limite delle proprie applicazioni e come mettere in sicurezza il codice.

E’ possibile, con un po’ di pazienza, risparmiare su Firewall hardware e UTM (comunque caldamente consigliati), per andare a proteggere una “situazione disperata”?

I Firewall Hardware sono degli apparati appositamente costruiti per ospitare un sistema operativo (il “cuore” di ogni elaboratore), di solito in versione “hardened”.

Per Sistema Operativo (OS) “hardened” (rinforzato), si intende un Sistema a cui sono state applicate delle specifiche patch e bugfix, ovvero delle specifiche correzioni e modifiche, che permettono al sistema stesso di resistere a fronte di numerose tipologie di attacchi.

Gli UTM (Unified Threat Management – Gestione Unificata delle Minacce) sono delle macchine le quali possono gestire numerose tipologie di attacchi in maniera centralizzata.

L’utente può, ad esempio, impostare delle regole sia per il Firewall, che per il filtro anti-spam direttamente da un’unica interfaccia, di solito accessibile via browser.

Ovviamente in una “situazione disperata” non abbiamo nulla di tutto ciò a livello “hardware”, dovremo quindi ingegnarci per trovare una soluzione ad un problema piuttosto difficile.

Quello che può ricorrere in nostro aiuto è la “virtualizzazione”.

La virtualizzazione è una specifica tecnica che permette di “astrarre”, ovvero rendere disponibili in maniera virtuale, delle componenti hardware.

Per spiegare meglio il concetto, immaginiamo di avere un processore (il componente che nell’elaboratore esegue materialmente le operazioni) di 20 “cores” (le varie unità che nel processore eseguono i calcoli).

Tramite la virtualizzazione possiamo “separare” ad esempio 10 cores e dedicarli ad un altro sistema operativo.

Lo stesso concetto di “dedicare” o “astrarre” una porzione di hardware ad altri software può essere applicato con la RAM, con le schede di rete ecc.

Questo permette di avere contemporaneamente un sistema operativo “host” (il sistema operativo principale) e più sistemi “guest” (i sistemi virtualizzati), sulla stessa macchina, contemporaneamente funzionanti.

Il componente che permette questa “astrazione” è detto “Hypervisor”.

In commercio si possono trovare molti sistemi di virtualizzazione, i quali hanno in alcuni casi dei costi di licenza proibitivi per la nostra “situazione disperata”.

Nel nostro caso, la scelta del sistema di virtualizzazione ricade sul software VirtualBox, sviluppato da Oracle.

VirtualBox è un software Open Source, ovvero il suo codice è aperto, cioè leggibile e modificabile da chiunque.

Ma perché la virtualizzazione può venire in nostro aiuto?

Per rispondere a questo, dobbiamo pensare al “concetto” di UTM.

Concettualmente un sistema di sicurezza può essere semplificato come una “scatola nera” con due cavi, uno di entrata e uno di uscita.

Il cavo di entrata si collega direttamente ad Internet, e da lì arrivano dei pacchetti (ovvero dati e connessioni) di cui non conosciamo la natura, se malevola o legittima.

Nella scatola nera avviene il controllo, e i pacchetti malevoli vengono scartati, mentre i legittimi vengono fatti passare tramite il cavo di uscita, verso la macchina che contiene il servizio vero e proprio (un sito web, ad esempio).

E’ quindi fondamentale tenere presenti tre aspetti fondamentali:

- La “scatola nera” deve essere “davanti” alla macchina da proteggere

- La “scatola nera” deve essere collegata ad internet

- La “scatola nera” deve filtrare i pacchetti in ingresso

Questo tipo di configurazione sembra essere perfetta per il nostro caso, ovvero una macchina virtuale, che diventa la nostra “scatola nera”.

Il fatto che VirtualBox sia Open Source, ci aiuta a non imbatterci in costi inaspettati, e per aiutarci a non avere “brutte sorprese”, non installeremo il pacchetto “Extension Pack” di VirtualBox.

Le soluzioni proposte qui sono in realtà due, con relativi vantaggi e svantaggi:

- Soluzione basata su Windows 7 (si, esattamente su Windows 7)

- Soluzione basata su OPNSense

La soluzione basata su Windows 7 ha il vantaggio di avere un consumo di risorse minimo e una velocità di connessione pari a quella della macchina “host” direttamente collegata alla Rete.

Lo svantaggio di avere Windows 7 è che di default non possiede nessun Intrusion Prevention System (un sistema che rileva e blocca in automatico eventuali pacchetti malevoli).

La soluzione basata su OPNSense ha il vantaggio di avere moltissimi strumenti di controllo e può essere configurato facilmente come Intrusion Prevention System (IPS).

Lo svantaggio di OPNSense è dato dai suoi stessi strumenti, ovvero l’impatto sulle risorse hardware è maggiore, e dal momento che l’IPS deve controllare il flusso dati, anche l’impatto sulla velocità di connessione sarà notevole.

Si è scelto OPNSense rispetto a pfSense (sistema analogo a OPNSense) per il suo sistema di analisi.

PfSense utilizza un componente di nome “Snort”, il quale analizza i pacchetti in transito e risulta piuttosto pesante, soprattutto se installato su macchina virtuale.

OPNSense utilizza Suricata ovvero un altro sistema di analisi dei pacchetti che sfrutta il multithreading, ovvero una tecnica che permette di eseguire più processi di calcolo contemporaneamente da parte del processore.

Ad oggi Suricata è un sistema NIDPS, ovvero Network Intrusion Detection and Prevention System (esattamente ciò che ci serve, in quanto riesce a prevenire le minacce e non solo ad individuarle), mentre Snort è un NIDS, ovvero un Network Intrusion Detection System.

Questa combinazione è preferibile, specialmente in una macchina virtuale dove si deve prestare particolare attenzione all’impatto che questi sistemi possono avere sulle performance generali.

Il sistema da difendere è Metasploitable, ovvero una macchina virtuale appositamente costruita per essere vulnerabile.

In questo caso, immaginiamo che Metasploitable sia il sistema da proteggere:

Analizziamo, quindi, come installare e rendere operative queste due soluzioni.

Lo scenario iniziale vede il nostro sistema senza difese.

Analizziamolo utilizzando Kali Linux, una distribuzione appositamente costruita per aiutare i Penetration Testers, ovvero persone che bucano sistemi per lavoro, per trovarne le vulnerabilità e sanarle.

Per prima cosa, facciamo una rapida scansione con nmap (un tool molto efficace che permette di scoprire le porte aperte e altre informazioni relative al sistema bersaglio):

Come si può vedere, la situazione del nostro sistema è disastrosa.

Le numerose porte aperte espongono dei servizi della macchina, molti di loro vulnerabili.

Proviamo a lanciare un attacco verso la macchina, per questo test, dal momento che è solo una prova, utilizzerò “db_autopwn”, un comando di Metasploit che semplifica il lancio di exploit verso il bersaglio.

Il comando “db_autopwn” è deprecato (cioè sconsigliato), e per questo test è stato utilizzato un modulo esterno che reimplementa il comando sull’ultima versione di Metasploit.

Come si può notare, Metasploit è riuscito ad aprire due sessioni sulla macchina:

Per la prima soluzione abbiamo a disposizione Windows 7, installato su una macchina virtuale.

Apriamo VirtualBox e configuriamo due schede di rete, in questo modo:

Abbiamo bisogno di due schede di rete, connesse in modalità bridge, alla scheda di rete attualmente connessa ad internet.

Abbiamo quindi creato la situazione della “scatola nera”, almeno a livello hardware.

Vediamo come configurare la macchina, a livello software.

Per prima cosa, dobbiamo configurare sulla prima scheda di rete, la connessione reale, ovvero l’indirizzo IP e il gateway di rete (dobbiamo quindi fare in modo che la prima scheda di rete sia funzionante e collegata ad internet).

Ovviamente questa configurazione è solo un esempio, e in questo caso Windows non è realmente collegato ad internet.

Una volta impostato l’indirizzo IP per la prima scheda, sempre sulla stessa scheda dobbiamo attivare la condivisione della connessione internet

Ora, nel caso in cui volessimo esporre dei servizi (ad esempio il sito web) su internet, clicchiamo su “impostazioni” e settiamo “Server Web (HTTP)”

Perchè questa configurazione?

Attivando la condivisione connessione internet, sulla seconda scheda di rete viene impostato da Windows una sottorete fittizia “192.168.137.x”.

La nostra macchina da proteggere, in questo caso, è impostata sull’indirizzo IP “192.168.137.143”, di conseguenza questo indirizzo va settato nella maschera “Impostazioni servizio” come mostrato in figura precedente.

Ora confermiamo il tutto, cliccando su “OK” sulle varie maschere.

Una volta confermato, apriamo “secpol.msc”

Sull’icona “Criteri di sicurezza IP”, cliccando con il pulsante destro del mouse, è possibile creare un nuovo criterio di sicurezza IP.

Nella procedura guidata, diamo un nome alla nostra configurazione e andiamo sempre avanti, fino alla creazione del filtro.

A questo punto ci troviamo davanti ad una nuova schermata, quindi clicchiamo su “Aggiungi”, andiamo sempre avanti fino alla schermata “Elenchi Filtri IP”.

Qui clicchiamo su “Aggiungi”

Dobbiamo creare la prima regola, ovvero dobbiamo bloccare qualunque connessione su qualunque porta.

Per fare questo, clicchiamo su “Aggiungi” e andiamo sempre avanti, in questo modo abbiamo creato una regola che funziona su qualunque Connessione, per qualunque protocollo.

Selezioniamo la regola appena creata e andiamo avanti.

Nella schermata successiva (Operazioni filtro), clicchiamo su “Aggiungi”, diamo il nome “Blocca” e clicchiamo su “Blocca”.

Una volta creata l’operazione filtro, selezioniamola e andiamo avanti per confermare la creazione della regola completa.

Ora abbiamo appena bloccato tutte le porte per tutte le connessioni della macchina, dal momento che nel nostro caso vogliamo rendere disponibile il sito web sulla porta 80, dobbiamo creare un’altra regola, che autorizza il passaggio dei dati sulla porta 80.

Sulla creazione del filtro IP, appena arriviamo sulla pagina “Protocolli” specifichiamo “TCP” e nelle porte, al secondo campo di testo clicchiamo sull’opzione “a questa porta” e specifichiamo la porta 80.

Mentre nelle operazioni filtro, questa volta dobbiamo specificare “Autorizza”

Una volta completata la configurazione, clicchiamo con il tasto destro sul filtro creato e successivamente su “Assegna”

A questo punto, possiamo eseguire nuovamente i nostri test:

Il sito è funzionante

Le porte inoltre sono coperte dalla “scatola nera” che abbiamo inserito tra la rete internet e la nostra macchina.

Attacchiamo, quindi, di nuovo la nostra macchina per testare se la configurazione ha cambiato qualcosa:

Come possiamo vedere, Metasploit non è riuscito ad aprire sessioni.

Perchè abbiamo questo brusco cambio di comportamento, nonostante non abbiamo modificato/aggiornato il sistema?

Il motivo è insito nel tipo di configurazione che abbiamo impostato.

Questo tipo di configurazione prevede l’utilizzo della condivisione connessione per creare una sotto-rete, tramite la quale si collega alla nostra macchina.

Se avessimo utilizzato solo la condivisione della connessione, Metasploit sarebbe comunque riuscito ad aprire una sessione, in quanto nonostante l’inoltro delle porte fosse impostato sulla 80 (per rendere disponibile il sito web dall’esterno), non avrebbe comunque impedito le “reverse connections”, ovvero una connessione ad una porta aperta da un client interno alla rete per consentire la connessione di un server remoto.

Quando attacchiamo una macchina, ciò che permette la comunicazione del bersaglio alla nostra macchina è il “payload”, ovvero un software che si connette alla nostra macchina, permettendo di lanciare comandi e interagire con il bersaglio, agendo da “ponte” tra noi e il bersaglio.

Dal momento che le porte “classiche” sono già utilizzate dai normali servizi del bersaglio, il payload non può sfruttare tali porte per comunicare.

Di conseguenza, il payload attiva una connessione su una porta randomica e generalmente superiore alla 10000 che, connettendosi al nostro computer, permette di stabilire la comunicazione tra noi e il bersaglio.

Per risolvere questo problema, derivato dal fatto che generalmente le connessioni in uscita non vengono bloccate dai firewall, abbiamo utilizzato il filtro sopra descritto, per impedire connessioni non volute.

In questo modo, anche se il sistema non è aggiornato, o esiste una vulnerabilità sfruttabile, l’aggressore non può sfruttare gli exploit disponibili in quanto i payload non possono comunicare.

Ovviamente, questa soluzione non impedisce lo sfruttamento di SQL Injection o altre vulnerabilità che non hanno bisogno di un payload per poter comunicare con la nostra macchina.

Ricordo infatti, che con questa soluzione non è disponibile l’analisi dei pacchetti.

Per abilitare l’analisi dei pacchetti, dovremo per forza di cose affidarci ad un software di “Intrusion Prevention”.

Per questa situazione è stato individuato OPNSense, che come descritto in precedenza utilizza Suricata come sistema di analisi dei pacchetti, e Netmap per diminuire il carico sulla CPU e ottimizzare le schede di rete.

Vorrei porre all’attenzione sul fatto che non c’è un cambiamento nello schema “logico” che abbiamo creato, né tantomeno all’infrastruttura virtualizzata.

Cambia solo il sistema operativo della “scatola nera”, per permettere appunto l’analisi dei pacchetti in tempo reale.

Per permettere ad OPNSense di operare al meglio, dedichiamo alla macchina virtuale 2 GB di RAM (a differenza della prima soluzione, dove era sufficiente anche un solo GB).

Ecco un esempio di configurazione per OPNSense:

Avviando la macchina, compare la schermata di accesso:

La macchina che dobbiamo proteggere, quindi, nel nostro caso avrà come indirizzo IP “192.168.2.2” e come gateway “192.168.2.1”.

Possiamo entrare nella configurazione di OPNSense, collegando un dispositivo alla LAN e, tramite un normale browser, puntando al link “https://192.168.2.1”

Si aprirà il seguente pannello:

Una volta loggati, ci troviamo di fronte al pannello principale di OPNSense:

Andiamo su “Services” → “Intrusion Detection” → “Administration” e spuntiamo tutte le opzioni:

Clicchiamo su “applica” e andiamo su “download”:

Clicchiamo sulla spunta per selezionare tutto, dopodichée clicchiamo su “Enable selected”, quindi riselezioniamo tutto e clicchiamo su “Enable (drop filter)”.

Per finire, a fondo pagina clicchiamo su “Download and update rules”.

Controlliamo quindi che tutte le regole siano correttamente aggiornate, e abbiamo quindi impostato l’analisi dei pacchetti.

Per coprire ogni tipo di casistica, impostiamo il “caching proxy”.

Il caching proxy è un componente, già presente in OPNSense, che permette di estendere la capacità di rilevamento delle intrusioni da parte di Suricata.

Questo perché per i protocolli cifrati, come HTTPS, Suricata non riuscirebbe a decifrare i dati in transito in tempo reale.

Per evitare questo problema, il caching proxy permette di fare da ponte tra la rete esterna e il sito web visitato.

Facendo da ponte, i pacchetti vengono decifrati dal proxy, che solo successivamente li ritrasmette al servizio vero e proprio.

Ovviamente questa operazione avviene anche in maniera speculare.

Questo permette ai pacchetti di poter essere controllati da Suricata.

Il software che permette tutto questo si chiama “Squid”.

Per abilitare squid su OPNSense, andiamo su “Services” → “Web Proxy” → “Administration”, spuntiamo “Enable Proxy”:

Andiamo poi su “Forward Proxy” e abilitiamo le tre spunte come in figura.

Nonostante queste soluzioni rappresentino una valida alternativa per quelle realtà che non possono provvedere all’acquisto di strumenti hardware-based, io raccomando comunque l’utilizzo della soluzione hardware.

In conclusione, se vogliamo proprio dormire sonni tranquilli, raccomando sempre di installare gli ultimi aggiornamenti per i sistemi operativi utilizzati, scrivere codice testandone anche le varie vulnerabilità utilizzando strumenti automatici e non, ed infine raccomando di cambiare la propria mentalità nei confronti della sicurezza: la sicurezza non è un prodotto, non lo è mai stata e non lo sarà mai, bensì è un processo e come tale ha bisogno di essere seguito, standardizzato, applicato e controllato.

Alessandro Fiori

Per approfondire:

https://www.offensive-security.com/metasploit-unleashed/requirements/

https://en.wikipedia.org/wiki/Internet_Connection_Sharing
https://wiki.opnsense.org/
https://it.wikipedia.org/wiki/Squid
https://it.wikipedia.org/wiki/IPsec
https://it.wikipedia.org/wiki/Virtualizzazione
https://www.virtualbox.org/wiki/Documentation

Cybertech Europe 2019, Roma 24 e 25 Settembre, Centro convegni “La Nuvola”.

In un periodo importante per l’innovazione e crescita digitale in Italia ed in tutta Europa, il Cybertech, come da quattro anni a questa parte, si riafferma come il principale evento europeo legato alla sicurezza informatica ed altri temi ad essa legati.

Grandi aziende tra le quali Leonardo che ha gentilmente offerto l’invito ai membri di Difesa Online ed Accenture, innovation partner di quest’anno , oltre ad altre 100 compagnie si sono riunite per discutere di ciò che possiamo aspettarci nel prossimo futuro in ambito di sicurezza informatica.

Come ogni anno la conferenza è stata presentata dalla giornalista della Rai Barbara Carfagna e presieduta da ospiti importanti, tra i quali Alessandro Profumo, CEO di Leonardo, Gene Reznik di Accenture, Rohit Ghai, presidente di RSA, Angelo Tofalo sottosegretario di Stato al Ministero della Difesa ed altri ospiti facenti parte di grandi organizzazioni ed imprese legate al settore.

Ma non solo aziende del settore, anche istituti bancari, università ed aziende energetiche, tutte unite dallo scopo comune di affrontare e combattere una vera e propria guerra cibernetica contro un nemico che pur non mostrando il volto o i propri intenti, rappresenta una minaccia ben più che tangibile nella nostra realtà.

IL cybercrime, negli ultimi anni, ha visto una crescita che un decennio fa non avremmo mai potuto prevedere ed Angelo Tofalo durante il suo discorso parla della situazione europea ma sopratutto della situazione nel nostro paese. A partire dal decreto Monti, poi per passare al decreto Gentiloni fino ad oggi, l’Italia ha fatto passi avanti importanti, secondo le parole del sottosegretario al ministero della Difesa, e recentemente, il 19 settembre di quest’anno, ha visto la creazione del Perimetro di sicurezza nazionale cibernetica. La sfida si farà ancora più grande nei prossimi mesi per la creazione di nuovi standard in cui l’Italia dovrà fare da portavoce e giocare un ruolo chiave.

Ma non solo l’italia, sempre a detta di Angelo Tofalo, tutta l’Europa deve fare fronte comune e collaborare, sia istituzioni che aziende private. In uno scenario in cui grandi potenze come gli Stati Uniti d’America e la Cina si sono già mobilitate da anni in questo campo, il destino dell’Europa è quello di rimanere schiacciata tra le due potenze o riemergere come leader, ma ciò potrà accadere solo con una stretta collaborazione tra gli stati dell’Unione, usando le sue parole: bisogna “fare squadra”.

Un termine che più volte si è presentato durante la conferenza è stato “attack surface” ossia “superficie d’attacco”. Al giorno d’oggi ogni dispositivo è connesso in rete e spesso si parla di IoT ( internet of things) , ciò ha causato un aumento drastico delle vulnerabilità , ma la sicurezza dei dispositivi e delle reti non è cresciuta a pari passo e ora ne stiamo tutti pagando le conseguenze. Al giorno d’oggi il 79% delle compagnie non sta rispondendo adeguatamente alle necessità di sicurezza dei propri clienti, creando nuove vulnerabilità.Questo fattore causa un problema di trust. Ciò che dobbiamo scongiurare, a detta di Gene Reznik di Accenture, è la perdita di trust da parte degli utenti nei confronti dei servizi che ogni giorno diventano sempre più parte delle loro vite, questo potrebbe mettere a rischio Il mercato globale, per un totale di circa 5.2 trilioni di dollari di perdite ogni anno.

Non solo pericoli per i singoli utenti o per aziende, ma anche per governi ed istituzioni. Vengono menzionate durante la conferenza anche le APT (Advanced Persistent Threat), il modo di definire attacchi portati solitamente ai danni di grandi aziende, Stati o gruppi di attivisti, spesso sponsorizzati da altri governi che si nascondono dietro ad essi.

I danni portati da queste campagne possono essere di immagine, finanziari o furto di dati e spionaggio a fini politici. Ne parla Marco Preuss di Kaspersky, dei circa 100 APT che oggi si conoscono circa 15 sono unicamente commerciali e colpiscono qualunque bersaglio, mentre gli altri sono privati o guidati da governi.

Per citare uno degli attacchi Apt più famosi, quello portato ai danni delle centrali nucleari Iraniane che grazie all’utilizzo di un sofisticato malware riuscì a rallentare drasticamente le ricerche in questo ambito per mesi. Questo attacco fu attribuito ad un gruppo APT di origine Israeliana/Americana.

Non solo superficie d’attacco maggiore, ma anche tempo di reazione minore, questo è uno dei maggiori problemi che si affrontano nella cybersecurity. Gli attaccanti non solo si fanno più astuti ma anche più veloci, un attacco al network di una azienda viene affrontato in media nel giro di qualche settimana, un periodo di tempo fin troppo lungo, in quanto il network viene compromesso nel giro di poche ore e i dati rubati ben prima che l’attacco venga sventato o addirittura scoperto.

Molti altri gli argomenti trattati durante le numerose conferenze tenutesi in questi due giorni, una vera e propria full immersion nel mondo della cybersecurity, grazie agli interventi di esperti del settore e la presenza di grandi compagnie che stanno plasmando il futuro della sicurezza informatica. Cybertech rinnova l’invito agli interessati per i prossimi incontri, l’ultimo dell’anno che si svolgerà a Tokyo il 26/27 Novembre.

Francesco RUGOLO

Per ulteriori informazioni sull’evento:

- https://italy.cybertechconference.com/it

- https://www.youtube.com/watch?v=F2I2ENC3ws8;

Le innovazioni tecnologiche durante la II Guerra Mondiale

La guerra, checché se ne dica, è una delle attività tipiche delle società umane. La crudeltà della guerra è cosa innegabile almeno quanto il fatto che essa esercita sull'uomo una spinta evolutiva talmente forte che spesso dopo una guerra il mondo ne risulta cambiato (in meglio?).
La II Guerra Mondiale è stata dunque contemporaneamente la più grande tragedia dell'umanità,  almeno del XX ° secolo, e una grande fucina d'innovazione.
Vediamo cosa è successo nei principali settori dell'alta tecnologia...

Chain Home RADAR - Londra 1935

Il RADAR, sigla che sta per RAdio Detection And Ranging, è un acronimo ormai diventato di uso comune ed assurto a parola, creato nel 1940 dalla Marina degli Stati Uniti.
Il radar a bordo delle navi da guerra degli alleati è considerato uno dei principali motivi della vittoria. Occorre però dire che i primi brevetti di strumenti capaci di individuare un oggetto in movimento furono registrati a nome di Christian Hulsmeuer, un inventore tedesco che riuscì a stimare la distanza dell'oggetto rilevato, era il 1904. Per uno scherzo del destino Hulsmeyer presentò la sua invenzione ai militari tedeschi che rigettarono il progetto, stessa sorte del nostro Guglielmo Marconi alle prese con il governo italiano. Senza ripercorrere tutta la storia, possiamo però affermare con ragionevole certezza che prima della II Guerra Mondiale erano diversi i paesi che in segreto avevano sviluppato la tecnologia, tra questi paesi vi era il Regno Unito, la Germania, la Francia, l'Italia, la Russia, gli Stati Uniti, il Giappone e i Paesi Bassi, di li a poco altri paesi avrebbero raggiunto lo stesso traguardo. Il progetto per lo sviluppo del RADAR a microonde, iniziato dai britannici, sarà poi sviluppato all'MIT (Massachusetts Institute of Technology).

Il Computer, macchina per fare calcoli evoluta poi grazie alla programmazione in ciò che conosciamo oggi, ha avuto una spinta da diversi settori militari tra cui la balistica, l'energia atomica e la crittografia.

Ing. Vannevar Bush

Già nel 1927 Vannevar Bush e H.W. Niemann dell'MIT realizzarono un calcolatore analogico capace di risolvere equazioni differenziali, impiegato già qualche anno dopo dagli UK per calcoli balistici in ambito militare. E' proprio lo stesso Vannevar Bush che nel 1941 viene nominato capo dell'Ufficio Federale per la Ricerca e Sviluppo scientifico degli Stati Uniti d'America e, con lui alla guida dell'innovazione, gli USA negli anni della II Guerra Mondiale svilupparono diversi progetti scientifici che li portarono a diventare la prima potenza mondiale in campo scientifico e militare (le due cose, in linea di massima, sono sempre state collegate!).
I progetti principali sono legati al MIT e ad alcune università e laboratori selezionati che riceveranno finanziamenti per portare avanti studi legati soprattutto allo sviluppo bellico e consolideranno quella tradizione di attrazione delle più brillanti menti del mondo scientifico.

ENIAC 1946

Presso i laboratori Charles Stark Draper (ingegnere, fondatore e direttore dell'MIT) i principali studi si concentrarono sul giroscopio, sui sistemi di navigazione inerziale e sui sistemi di controllo.
Nello stesso periodo partì il progetto chiamato Whirlwind, per la realizzazione di un simulatore di volo richiesto dalla US Navy, grazie a questo progetto prende il volo lo sviluppo dei computer digitali sulla scia dell'ENIAC, primo vero computer digitale realizzato allo scopo di aiutare nello sviluppo della bomba atomica (ma non arrivò in tempo!).

Enrico Fermi

Il settore dell'energia atomica, manco a parlarne, subì una forte accelerazione con il progetto Manhattan che richiama negli Stati Uniti i principali fisici teorici (in Italia Fermi era allora già ben conosciuto) ma non solo. Le sfide organizzative sono di una dimensione mai affrontata prima e per ciò vengono messe i campo tutte le energie di una parte del mondo. Gli scienziati di tutti i campi sono chiamati a dare il loro contributo. Le principali società di armamenti si raggruppano sotto la guida dei Du Pont (non da sola...) per gestire i processi che porteranno alla realizzazione di "Little Boy" e "Fat Man". Il cambiamento è epocale.

Chicago Pile-1

Il progetto Manhattan è con molta probabilità uno dei più grandi progetti dell'umanità mai sviluppato, non solo dal punto di vista scientifico ma anche dal punto di vista "influenza". Ancora oggi infatti l'energia atomica ha ancora i suoi risvolti strategici in tutto il mondo,  attraverso i suoi aspetti economici e militari.
La scienza ha dimostrato che esistono delle forze nascoste nella natura che possono essere imbrigliate ad uso e consumo dell'Uomo e non solo per la costruzione di ordigni esplosivi, i progetti per l'impiego della energia atomica per usi civili prendono il volo sotto il controllo strettissimo dei detentori della conoscenza e delle pochissime società in grado di mettere sul campo progetti miliardari e pluriennali.

Il SONAR (SOund NAvigation Ranging) non è una invenzione della II Guera Mondiale. Il grande genio italiano Leonardo da Vinci ebbe l'idea di utilizzare un tubo inserito nell'acqua da usare per individuare l'avvicinarsi di battelli, si trattava della tecnica del SONAR passivo, basata sull'ascolto delle vibrazioni sonore trasmesse dall'acqua.

ASDIC - 1944

Naturalmente l'impiego sempre maggiore di sottomarini nel corso della guerra diede una spinta non indifferente allo studio del SONAR attivo, basato sull'invio di onde sonore e la relativa risposta per riflessione. I principali sviluppi si ebbero, ancora una volta, negli USA a partire dal progetto britannico ASDIC (Anti Submarine Division) la cui tecnologia fu trasferita in America per essere sviluppata assieme agli alleati.

La guerra ha sempre avuto un lato "informativo" e in piena II Guerra Mondiale l'importanza delle informazioni è sottolineata dai progressi nelle tecniche di codifica tramite algoritmi di cifratura. Alan Turing è forse uno dei più noti al mondo per essere riuscito, con l'aiuto di una macchina di sua invenzione (chiamata Bomba) di cui abbiamo parlato in diverse occasioni, a decifrare il codice impiegato dalla cifrante Enigma e sue varianti, cifrante impiegata dai tedeschi. La capacità di leggere i messaggi del proprio avversario è chiaramente un vantaggio strategico enorme e impiegata con intelligenza ha senza alcun dubbio contribuito alla vittoria alleata.
Ma Alan Turing era un logico e matematico e il suo pensiero è alla base di numerosi sviluppi, non solo nel campo della cifra ma più in generale nello sviluppo degli algoritmi, dei computer e dell'Intelligenza Artificiale. Naturalmente se dobbiamo decriptare i segnali occorre prima raccoglierli, la SIGINT ha quindi avuto una grande importanza e si è sviluppata di conseguenza, stimolando a sua volta tecniche di memorizzazione dei segnali raccolti.

I sistemi di trasmissione. In un esercito moderno come abbiamo visto, le informazioni fanno la parte del leone, ma solo se possono essere trasmesse in sicurezza, velocemente e con un basso tasso d'errore possono fare la differenza. Ciò significa che le trasmissioni divennero importanti e oggetto di ricerca e sviluppo.
Stiamo parlando di circa 80 anni fa, quando la trasmissione via cavo della voce era impiegata nelle linee telefoniche e i segnali viaggiavano nelle linee telegrafiche. Una delle migliorie di guerra, introdotta dai tedeschi aveva a che fare con i cavi. In particolare introdussero un cavo multicoppia capace di veicolare quattro telefonate per volta, resistente, facile da stendere e in grado di funzionare a distanza. I telefoni campali erano molto utilizzati o punto - punto o tramite centralini campali. Anche le radio avevano cominciato ad avere una certa importanza sia a livello tattico che strategico.

La crescita dell'aviazione ad uso militare e lo sviluppo del radar hanno sostenuto lo sviluppo di più avanzate armi antiaeree, missili teleguidati, sottomarini… ma questa è un'altra storia!

Alessandro RUGOLO

Per approfondire:
- https://duotechservices.com/chain-home-radar-saved-london-in-battle-britain;
- https://www.gadgette.com/2016/03/29/women-in-tech-history-eniac-and-the-programming-pioneers-that-nobody-knew/;
- https://www.atomicheritage.org/article/chicago-pile-1-ushering-atomic-age;
- http://jproc.ca/haida/sontec.html;
- https://www.britannica.com/technology/military-communication/World-War-II-and-after;
- http://www.difesaonline.it/evidenza/cyber/quantum-computing-e-crittografia;