Auditing di sicurezza Report 2011 O. Pinazza per il gruppo Auditing CCR-INFN Tutorial Sicurezza CCR, LNF 15 febbraio

Il mandato del gruppo auditing Il gruppo di Auditing INFN si occupa esclusivamente di sicurezza informatica e nasce in attuazione a quanto stabilito dalla direttiva del 16/1/2002, pubblicata nella Gazzetta Ufficiale n. 69 del 22 marzo 2002, recante raccomandazioni per la “Sicurezza informatica e delle telecomunicazioni nelle pubbliche amministrazioni” e recepita dall’Ente con l’adozione della Carta della Sicurezza Informatica (C.D. 23/2/2007) Le attività previste possono essere riassunte nei punti seguenti: raccolta di informazioni sull’organizzazione delle risorse informatiche; analisi dei rischi per individuare le priorità delle attività da svolgere; analisi delle politiche di sicurezza adottate; rilevazione dei servizi ritenuti “pericolosi”, esposti all’esterno delle varie reti locali; ricerca di vulnerabilità e verifica delle configurazioni dei server individuati nel punto precedente; verifica della configurazione delle apparecchiature di rete (router, switch, ecc.); emissione di raccomandazioni per ovviare alle vulnerabilità rilevate e verifica della loro applicazione stesura di rapporti periodici, destinati ai responsabili locali e alla Direzione dell’Ente. Controlli da remoto: scansioni continue con nmap (o equivalente) su tutte le macchine con indirizzi gestiti dall’Ente, inclusi switch e router, per la rilevazione di servizi accessibili dall’esterno delle reti locali; scansioni periodiche con nessus (o equivalente) sulle macchine individuate nel punto precedente alla ricerca di eventuali vulnerabilità: queste attività, a differenza delle precedenti, verranno preannunciate. Sarà cura del gruppo svolgere le attività di cui sopra, in particolare le scansioni alla ricerca di vulnerabilità, nel modo meno invasivo possibile e con un ampio preavviso. E’ chiaro, però, che si tratta di azioni inerentemente intrusive e che quindi potranno provocare interruzioni dei servizi in esame, crash di macchine e altri malfunzionamenti, di cui il gruppo non potrà essere ritenuto responsabile. Sarà ovviamente sempre possibile, su richiesta del responsabile, escludere macchine particolarmente critiche. Dopo ogni ciclo di verifiche, le segnalazioni delle nuove vulnerabilità rilevate saranno rese disponibili, in modo che i responsabili indicati delle varie Strutture possano prendere le opportune contromisure. Il gruppo produrrà inoltre un rapporto, almeno annuale, delle sue attività e dei suggerimenti da presentare alla Direzione dell’Ente. 2

Attività 2011: scansioni ed altri servizi Scansioni Nmap quasi continue Scansioni delle vulnerabilità Nessus periodiche Le scansioni sono attive lun-ven 9-18, escluso agosto/festivi Scansioni fai-da-te tramite il sito Monitoraggio dell’aggiornamento di sistemi operativi (Windows e Linux) Google alert e Shadow server (GARR) Startup per l’auditing del sistema informativo (ora indipendente) Redazione di Rapporti periodici sullo stato della sicurezza informatica nell’INFN 3

Il report – 1a edizione 4

Commento ai risultati del 2010 Presenti molti server vulnerabili Raccomandazioni: Aggiornamento di sistemi operativi e di sw Utilizzo di regole di firewall per proteggere servizi critici e limitare il numero di server esposti Separazione dei servizi critici su nodi dedicati Si segnalavano: Problemi di coesistenza con reti universitarie Assenza di referenti in alcuni gruppi collegati 5

2011: Scansioni automatiche Nmap Port scanner OS e version scanner Una scansione nmap parte automaticamente quando la precedente si conclude Nessus Vulnerability scanner le scansioni nessus sono annunciate, sono interrotte durante il weekend e i risultati sono disponibili ai responsabili su audiweb.infn.it lista delle reti INFN lista delle reti escluse lista degli host esclusi d_scan audit_code scan type scan date target type command_line 72 ROBOT nmap net /usr/local/bin/nmap -d3 -v -PN -sV -sT -sU -T3 -p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, scada nmap net /usr/local/bin/nmap -d3 -v -PN -sV -sT -sU -T3 -p T:1527,2527,512,2505, ROBOT nmap net /usr/local/bin/nmap -d3 -v -PN -sV -sT -sU -T3 -p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap -d3 -v -PN -sV -sT -sU -T3 -p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap -d3 -v -PN -sV -sT -sU -T3 -p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap -d3 -v -PN -sV -sT -sU -T3 -p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, igi-01.pd.infn.it nessus host /opt/nessus/bin/nessus -c /home/nessus/bin/.nessusrc.LAST -Tnessus -q 61 ROBOT nmap net /usr/local/bin/nmap -d3 -v -PN -sV -sT -sU -T3 -p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nessus host /opt/nessus/bin/nessus -c /home/nessus/bin/.nessusrc.LAST -Tnessus -q 60 ROBOT nmap net /usr/local/bin/nmap -d3 -v -PN -sV -sT -sU -T3 -p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap -d3 -v -PN -sV -sT -sU -T3 -p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap -d3 -v -PN -sV -sT -sU -T3 -p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap -d3 -v -PN -sV -sT -sU -T3 -p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap -d3 -v -PN -sV -sT -sU -T3 -p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap -d3 -v -PN -sV -sT -sU -T3 -p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap -d3 -v -PN -sV -sT -sU -T3 -p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap -d3 -v -PN -sV -sT -sU -T3 -p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nessus host /opt/nessus/bin/nessus -c /home/nessus/bin/.nessusrc.LAST -Tnessus -q 50 ROBOT nmap net /usr/local/bin/nmap -d3 -v -PN -sV -sT -sU -T3 -p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap -d3 -v -PN -sV -sT -sU -T3 -p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap -d3 -v -PN -sV -sT -sU -T3 -p U:53,69,161,162,T:21,22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap -d3 -v -PN -sV -sT -sU -T3 -p U:53,T:22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap -d3 -v -PN -sV -sT -sU -T3 -p U:53,T:22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap -d3 -v -PN -sV -sT -sU -T3 -p U:53,T:22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080, ROBOT nmap net /usr/local/bin/nmap -d3 -v -PN -sV -sT -sU -T3 -p U:53,T:22,23,25,53,80,109,110,143,443,465,587,993,995,1080,1443,8000,8080,8081

Nessus Licenza pagata da CCR (1500 Euro/anno) Su richiesta INFN, SL è stato inserito fra le distribuzioni ufficiali (falso positivo plugin 33850) dall’ultima scansione, la INFN CA compare fra le trusted authorities (falso positivo plugin 51192) 7

Risultati delle scansioni 2011 Scansioni nmap host visibili host ufficiali e non porte aperte versioni Scansioni recenti una o due ogni mese ottobre 2011 Scansioni nessus analisi delle vulnerabilità Reportistica automatica Scansioni recenti Maggio 2011 Novembre

Numero di nodi visibili dall’esterno Numero totale di nodi indirizzabili Reti/nodi esclusi Numero di nodi scansionati Numero di nodi rilevati Percentuale di esposizione 7% Esposizione delle sedi dal 0.7% al 30% (eccezione: Ferrara 97% - senza ACL o errata interpretazione della risposta dell’apparato firewall?) 9

Numero di nodi visibili dall’esterno 10 Sezione Numero massimo nodi indirizzabili Reti/nodi esclusi Nodi visibili dall'esterno % esposizione Aquila Bari Bologna Cagliari Catania CNAF Cosenza Ferrara Firenze Genova Lecce LNF LNGS LNL LNS Messina Milano Milano Bicocca Napoli Padova Parma Pavia Perugia Pisa presid Roma Roma Roma Salerno Torino Trento Trieste Udine TOTALE

Nodi visibili e servizi rilevati 11 SezioneNumero di hostServer webServer SSHServer SMTPserver DNS Aquila Bari Bologna Cagliari Catania CNAF Cosenza Ferrara Firenze Genova Lecce LNF LNGS LNL LNS Messina Milano MilanoBicocca Napoli Padova Parma Pavia Perugia Pisa presid Roma Roma Roma Salerno Torino Trento Trieste Udine Totale

Vulnerabilità Numero di nodi rilevati Numero nodi vulnerabili Numero di vulnerabilità rilevate Vulnerabilità alte 517 Vulnerabilità medie Vulnerabilità basse

Vulnerabilit à Sezione Numero di nodi vulnerabili Numero di nodi con vulnerabilità alte Numero di vulnerabilità alte Numero di vulnerabilità medie Numero di vulnerabilità basse Aquila Bari Bologna Cagliari Catania CNAF Cosenza Ferrara Firenze Genova Lecce LNF LNGS LNL LNS Messina Milano MilanoBicocca Napoli Padova Parma Pavia Perugia Pisa presid00000 Roma Roma Roma Salerno Torino Trento Trieste Udine Totale

Servizio DNS SezioneDNS rilevatiDNS ufficiali DNS ufficiali non raggiungibili Numero di vulnerabilità alte Numero di vulnerabilità medie Numero di vulnerabilità basse ID (DNS cache snooping - medium) ID (recursive query - medium) ID (Zone transfer - medium) ID (negative record cache poisoning - high) ID (non random ports - high) Aquila Bari Bologna Cagliari Catania CNAF Cosenza Ferrara Firenze Genova Lecce LNF LNGS LNL LNS Messina 10 Milano Milano Bicocca Napoli Padova Parma Pavia Perugia Pisa presid Roma Roma Roma Salerno Torino Trento Trieste Udine Totale

Servizi web Sezione Numero di server web rilevati Numero di server con vulnerabilità alte Numero di vulnerabilità alte Numero di vulnerabilità medie Numero di vulnerabilità basse Numero di vulnerabilità “web services" di cui vulnerabilita ALTE Aquila Bari Bologna Cagliari Catania CNAF Cosenza Ferrara Firenze Genova Lecce LNF LNGS LNL LNS Messina Milano Milano Bicocca Napoli Padova Parma Pavia Perugia Pisa presid Roma Roma Roma Salerno Torino Trento Trieste Udine Totale

Servizio SMTP SezioneHost ufficiali Numero di host rilevati Numero di vulnerabilità Numero di vulnerabilità alte Numero di vulnerabilità medie Numero di vulnerabilità basse Aquila Bari Bologna Cagliari Catania CNAF Cosenza Ferrara Firenze Genova Lecce LNF LNGS LNL LNS Messina Milano MilanoBicocca Napoli Padova Parma Pavia Perugia Pisa presid Roma Roma Roma Salerno Torino Trento Trieste Udine Totale

Servizio SSH Sezione Numero di server SSH rilevati Numero di nodi con vulnerabilità alte Numero di vulnerabilità alte Numero di vulnerabilità medie Numero di vulnerabilità basse Numero totale di vulnerabilità Aquila Bari Bologna Cagliari Catania CNAF Cosenza Ferrara Firenze Genova Lecce LNF LNGS LNL LNS Messina Milano Milano Bicocca Napoli Padova Parma Pavia Perugia Pisa presid Roma Roma Roma Salerno Torino Trento Trieste Udine Totale

Servizi Windows 18 Sede135/tcp RCP 137/udp NETBIOS 138/udp NETBIOS 139/tcp NETBIOS 389/tcp LDAP445/tcp SMB3389/TCP RDPWindows NTWindows 2000 Aquila Bari 1 Bologna 2 Cagliari 1 Catania 5 CNAF 2 Cosenza Ferrara 1 Firenze 2 Genova Lecce LNF LNGS LNL 1 LNS Messina Milano Milano Bicocca 2 Napoli Padova Parma Pavia 2 Perugia 1 Pisa presid Roma Roma2 Roma3 Salerno Torino Trento Trieste Udine 1 Totale

Conclusioni E’ quasi pronto il Rapporto 2011, sarà consegnato a CCR Ci sono ancora troppi server vulnerabili, facilmente visibili dall’esterno. Ricordiamo le raccomandazioni: mantenere i sistemi aggiornati e installare le patch di sicurezza rivedere le regole di firewalling separare i servizi critici Migliorano i servizi SMTP e DNS, male Web, SSH Pagine web del gruppo A questo lavoro hanno contribuito i membri del gruppo auditing: Franco Brasolin, Roberto Cecchini, Fulvia Costa, Leandro Lanzi, Aurora Mazzone, Michele Michelotto, Ombretta Pinazza 19