Sicurezza dei Sistemi Informatici L.S. in Ingegneria Informatica Docente: Prof. Giuseppe Mastronardi Minacce alla sicurezza ed alla integrità dei dati e delle risorse di un sistema di calcolo: Distruzione delle informazioni Alterazione delle informazioni Acquisizione illecita di informazioni riservate Saturazione delle risorse fisiche (Violazione dei copyright) VULNERABILITA’ DEI SISTEMI DI CALCOLO

I VIRUS DEI COMPUTER (1/8) … rappresentano una delle maggiori minacce alla sicurezza ed alla integrità dei sistemi informatici. Il virus, implementato mediante tecniche di elaborazione di stringhe, è un programma in grado di “infettare” altri programmi, modificandoli in modo che includano una copia di se stesso. Ogni programma infettato agisce, a sua volta come un virus ed è in questo modo che il contagio si diffonde all'interno del sistema o in una rete di elaboratori. Il virus può causare perdita o alterazione di dati e programmi, o comprometterne la riservatezza. Le tecniche di difesa da un attacco virale non si dovrebbero limitare alla riduzione della probabilità di contagio, ma dovrebbero essere in grado di agire tempestivamente, una volta contratta l'infezione, al fine di ridurre e bloccare quanto prima i potenziali danni al sistema. Le azioni dannose provocate dai virus sono distruttive e pericolose, fino ad arrivare alla messa fuori uso dell'intero sistema.

I VIRUS DEI COMPUTER (2/8) Le azioni più comuni riguardano: la distruzione della F.A.T. (File Allocation Table); il cambiamento dell'assegnamento del disco, in modo che le informazioni vengano scritte su un disco errato; la cancellazione di specifici programmi eseguibili; l'alterazione di dati nei file di dati; l'impedimento dell'esecuzione di alcuni programmi residenti nella RAM; diminuzione dello spazio disponibile su disco; la scrittura di una etichetta di volume su disco che non ne possiede alcuna; la formattazione di tracce di disco o dell'intero disco.

I VIRUS DEI COMPUTER (3/8) Un virus si compone generalmente:  di una parte di codice che svolge la funzione di duplicazione, in cui si riconoscono le sezioni per l'installazione del virus nella memoria e per la copiatura del virus sul disco, o per l'agganciamento ad un file o a qualunque altro codice eseguibile che possa essere infettato;  di una parte causante danneggiamento (eventuale) che è composta da una sezione di verifica di una particolare condizione (il virus è in stato di attesa di un evento) e da una sezione che implementa le azioni per cui è stato creato.

Sono stati sviluppati altri programmi di tipo "virale", che in ugual modo costituiscono una minaccia per l'integrità dei sistemi, quali ad esempio: Batterio Cavallo di Troia Rabbit Bomba logica Worm BATTERIO E' un programma che, eseguito, invia copie di se stesso ad altri sistemi o ad altri utenti. Si differenzia dal virus poiché non infetta altri programmi. I VIRUS DEI COMPUTER (4/8)

I VIRUS DEI COMPUTER (5/8) CAVALLO DI TROIA E' un programma che apparentemente esegue compiti inoffensivi (es. listare i file di un direttorio), dietro ai quali si celano intenti dannosi per l'integrità e la segretezza delle informazioni del sistema (ad esempio registrazioni di password d'utente all’atto del LOGIN, per successive utilizzazioni fraudolente). RABBIT Questo tipo di programma ha lo scopo di replicare ripetutamente se stesso, con l'obiettivo di saturare rapidamente le risorse del sistema, come le memorie o la capacità di processo della CPU. Non si riproduce nei programmi ed è specificamente diretto all'intasamento degli organi di macchina a differenza del batterio, che, pur inviando copie di se stesso, non mira specificamente alla saturazione delle risorse del sistema.

BOMBA LOGICA E' un programma le cui istruzioni producono un certo effetto solo al momento in cui si verificano determinate condizioni (es. una certa data). WORM E' un programma che è in grado di diffondere sue copie in altri sistemi connessi in rete, con lo scopo di saturare le reti di trasmissione e le risorse, con una quantità enorme di messaggi (che crescono con legge esponenziale). Esistono programmi virus che svolgono funzioni utili al sistema e sono abitualmente trascurate dall'utente (es. compressione dei file): questo tipo di virus agisce solo su richiesta dell'utente, svolgendo una funzione benefica. I VIRUS DEI COMPUTER (6/8)

I virus hanno tre caratteristiche di funzionamento: A.di compressione, il quale copia se stesso in un file ancora sano producendo la compressione del codice del file; ad infezione avvenuta, il virus decomprime il codice del programma iniziale, in cui era contenuto, per consentire la sua normale esecuzione; B.semplice, che è in grado di infettare altri programmi eseguibili e, al verificarsi di una condizione d'attesa, di eseguire le azioni dannose per cui è stato creato; C.evolutivo, cioè un virus che modifica alcune righe del proprio codice casualmente, ogni volta che viene invocato. I VIRUS DEI COMPUTER (7/8)

Le contromisure da adottare per la difesa da attacchi di tipo virale, sono raggruppabili in tre categorie: * tecniche di prevenzione, tese a impedire l'ingresso di un virus nel sistema; * tecniche di rilevazione e diagnostica, in grado di rilevare e/o identificare il virus, una volta che si è inserito nel sistema; * tecniche di eliminazione, per rimuovere il virus ed i suoi effetti dal sistema. I VIRUS DEI COMPUTER (8/8)

Per evitare il contagio da virus, le principali “regole” di comportamento preventivo sono: esecuzione dell’avviamento (bootstrap) del sistema sola da supporti originali (contenuti nei pacchetti originali del fornitore), protetti in scrittura; se il sistema ha un disco rigido, non effettuare l’avviamento (bootstrap) da supporti esterni, tranne in casi di disinfestazione del sistema; in un ambiente con più sistemi è consigliabile disporre, per ogni sistema, del relativo supporto di avviamento, univocamente identificabile; qualora si operi in ambiente distribuito, è consigliabile non utilizzare come normale stazione di lavoro il nodo di file-server; è buona norma l’utilizzo di un elaboratore dedicato per la gestione della posta elettronica; esecuzione di salvataggi (backup) del disco rigido e/o degli altri supporti, con regolarità, ed anche in più copie; TECNICHE DI PREVENZIONE (1/2)

Nel caso di un’organizzazione è necessaria l’imposizione di una precisa normativa per gli utenti, che regoli le modalità di interazione con il sistema, sia interne che esterne. In particolare, si dovrebbe: ­adottare un’efficace politica di controllo degli accessi al sistema, che, essendo in grado di risalire all’autore dell’accesso (es. tecniche di identificazione mediante password) ed anche di limitare il numero di accessi, costituisce una barriera ai tentativi con intenti virali; ­adottare una politica “aperta”, in modo da non favorire il reperimento del software per vie alternative (potenzialmente pericolose); ­proibire le interazioni dei dischetti interni con l’esterno (es. lavoro a casa, videogiochi, etc.); ­intraprendere un’azione educativa ed informativa per gli utenti del sistema, sull’anatomia, i sintomi ed i possibili effetti di un virus, nonché sulle principali azioni da attuare, qualora l’infezione sia già contratta; ­vietare l’utilizzo di software generico, di cui non sia nota la sorgente e/o che non provenga dai fornitori ufficiali (tale norma dovrebbe, comunque, essere seguita anche dal singolo utente di un PC). TECNICHE DI PREVENZIONE (2/2)

Si possono considerare tecniche di diagnostica di carattere organizzativo, un insieme di indicatori significativi sul funzionamento del sistema, che periodicamente dovrebbero essere controllati. Una loro variazione potrebbe indicare la presenza di un virus: il numero dei file su disco è aumentato, magari con file sconosciuti e dai nomi sospetti; comparsa del messaggio “1 File(s) copied", anche senza aver invocato il comando copy. Se non esistono programmi che creano file, oppure se non si è utilizzato un file.BAT che richiami il comando COPY, allora è molto probabile che la causa del messaggio comparso sia un virus; riduzione dello spazio RAM disponibile, che si dovrebbe controllare periodicamente, attraverso CHKDSK (o analoghe utilities); cambiamento di date di file; aumento della dimensione di un file eseguibile; TECNICHE DI DIAGNOSTICA E DI RILEVAZIONE (1/2)

comparsa di settori “bad” sul disco, tenendo presente che per i dischi rigidi esistono dei settori “bad” già sul disco nuovo (di cui si possono conoscere le locazioni attraverso programmi come BADSECT), mentre sui dischetti formattati non dovrebbero mai essere presenti; non caricamento, contrariamente al solito, di un programma per insufficienza di spazio RAM; aumento dei tempi di caricamento e di esecuzione dei programmi; sensibile aumento dei tempi di accesso al disco rigido; accensione della luce di un drive, senza che siano state richieste, durante la corrente operazione, lettura o scrittura del corrispondente disco; un programma TSR (Terminate and Stay Resident) non opera correttamente, contrariamente al solito. TECNICHE DI DIAGNOSTICA E DI RILEVAZIONE (2/2)

In generale, le norme da seguire per effettuare l'eliminazione del virus dipendono dal tipo di virus stesso. Per i virus che infettano solo il settore di boot dei dischi, occorre: spegnere il sistema colpito; eseguire il caricamento del S.O. direttamente dai supporti originali (protetti in scrittura se magnetici); eseguire il comando SYS (per il trasferimento dei file di sistema IO.SYS e MSDOS.SYS o IBMBIO.COM e IBMDOS.COM) su tutti i dischi infetti, in modo da disattivare i settori originariamente allocati dal virus. TECNICHE DI ELIMINAZIONE (1/3)

Se il virus è un Parasitic Virus allora occorre determinare se è stato infettato il disco fisso (HD); in caso affermativo è necessario: spegnere il sistema; effettuare l'operazione di caricamento del S.O. da CD-ROM originale, o altri supporti magnetici protetti in scrittura; effettuare il salvataggio di tutti i file non-eseguibili e di tutte le directory su nuovi supporti riformattati, non utilizzando la prestazione di BACK- UP del disco fisso, ma quella del dischetto originale; listare il contenuto dei file batch del disco infetto e controllare che non vi siano righe sospette elo insolite; per i file di cui si è certi, eseguire il salvataggio; eseguire la formattazione del disco fisso e ripristinare la configurazio- ne iniziale; TECNICHE DI ELIMINAZIONE (2/3)

eseguire il comando SYS per il disco fisso; ristrutturare le directory del sistema; copiare o re-installare tutti i programmi eseguibili dai supporti originali; ripristinare tutti i file di cui è stato effettuato precedentemente il salvataggio o backup; individuare tutti i supporti che potrebbero essere infettati (sarebbe bene risalire fino a due anni addietro per avere una buona probabilità di eliminare le possibili cause di re-infezione); eseguire il salvataggio di tutti i file non eseguibili su supporti nuovamente formattati; formattare di nuovo i supporti sospetti. TECNICHE DI ELIMINAZIONE (3/3)